C->>A: Authenticated OpenAI-compatible or Anthropic request
A->>W: Size, canonicalization, WAF, session, rate-limit
W-->>C: Fail-closed response + durable error evidence when rejected
W->>U: Forward only after admission
U-->>A: Complete response or bounded SSE events
A->>L: Non-stream: hash, sign, append, flush, fsync
L-->>A: Non-stream durable evidence status
A->>Q: Optional bounded response analysis
A-->>C: Non-stream response + portable MMR proof headers
A-->>C: Stream events through bounded queue
A->>L: Stream terminal summary, sign, append, flush, fsync
L-->>A: Terminal commit complete
A-->>C: Protocol terminal marker

엄격한 수명 주기는 다음과 같습니다:

1. 호출자를 인증하고 요청 식별자를 할당합니다.
2. 요청 크기 제한을 적용하고 요청 표현을 정규화합니다.
3. WAF, 세션 동작, 이그레스 및 속도 제한 제어를 적용합니다.
4. 필수 제어 실패 시 보안 경로를 조용히 약화시키는 대신 거부합니다.
5. 구성된 업스트림 공급자로 전달합니다.
6. 비스트리밍 호출의 경우 응답을 캡처하고, 정규 해시를 계산하고, 증거에 서명하고, WAL에 추가하고, 플러시하고, 반환하기 전에 `fsync`합니다.
7. SSE 호출의 경우 바이트 계정이 적용된 경계 큐를 통해 정제된 논리적 이벤트를 중계합니다. 정확히 전송된 바이트를 증분 해시합니다. 종료 시 프로토콜 종료 마커를 전송하기 전에 서명된 최종 요약 하나를 커밋합니다. 따라서 초기 스트리밍 헤더는 `durable`이 아닌 `X-Aegis-Evidence-Status: pending-terminal`입니다.
8. 권위 있는 레코드가 존재한 후 선택적 응답 강화를 경계가 적용된 워커 경로를 통해 실행합니다.

## 핵심 계약

| 제어 | 구현된 동작 | 증거 및 경계 |
|---|---|---|
| 증거 내구성 | 비스트리밍 관리 호출의 경우 코어 프록시는 반환 전에 요청/응답 증거를 커밋하고 `X-Aegis-Evidence-Status: durable`을 전송합니다. 스트리밍 SSE는 `pending-terminal`로 시작합니다. 프로토콜 종료 마커 전에 서명된 최종 요약 하나가 커밋되고, 종료 후 증명이 검색됩니다. | `tests/test_p0_release_gates.py`, `tests/test_proxy_streaming.py`, 프록시 실패 경로 테스트 및 WAL 무결성 테스트. 대상 파일 시스템과 스토리지 공급자는 여전히 배포 검증이 필요합니다. |
| 내구성 있는 터미널 오류 | 업스트림 비-2xx 응답, 회로 차단 경로 및 네트워크 오류는 증거 경계를 사용할 수 있을 때 내구성 있는 오류 증거 경로를 사용합니다. | `tests/test_enterprise_durable_evidence.py` 및 v3.1.0 릴리스 증거. 승인 후 스토리지 실패는 성공적인 응답이 아닌 실패-폐쇄 운영 사고입니다. |
| 체인 무결성 | 감사 노드는 선행 노드, 요청 해시, 응답 해시, 머클 루트, 서명 및 체계 메타데이터를 바인딩합니다. | `aegis/core/crypto_audit.py` 및 `verify_integrity()`. 변조 탐지는 불변 외부 스토리지와 동일하지 않습니다. |
| 강력한 서명 | 엄격한 원장은 임시 Ed25519 폴백을 거부합니다. HMAC-SHA256, 구성된 PKCS#11 또는 구성된 네이티브 서명은 선택된 정책을 충족해야 합니다. 레거시 HSM 인터페이스는 이제 소프트웨어 키를 파생하는 대신 실패-폐쇄됩니다. | 서명자 테스트 및 엄격한 시작 게이트. 모의 PKCS#11 테스트는 어댑터 증거일 뿐이며, HMAC은 대칭형이며, HSM 상호 운용성, 키 비수출성, FIPS 검증 또는 제3자 부인 방지가 확립되지 않았습니다. |
| 키 순환 | 엔터프라이즈 서명자는 하나의 활성 키, 기록 검증 키, 명시적 만료 및 비밀 아님 `key_id` 메타데이터를 가진 원자적 버전 관리 HMAC 키링을 지원합니다. | `aegis_server/crypto/keyring.py`, `tests/test_keyring_rotation.py`. 프로덕션 주장에는 3-레플리카 배포 증거가 여전히 필요합니다. |
| 속도 제한 | Redis 기반 분산 제한은 백엔드를 사용할 수 없을 때 실패-폐쇄됩니다. 개발용 인메모리 제한은 프로덕션 대체물이 아닙니다. | 속도 제한기 테스트 및 배포 구성. Redis/TLS/HA 동작은 배포에 따라 다릅니다. |
| 엔터프라이즈 ID 및 테넌트 바인딩 | 미출시 후보는 구성된 API 키 매핑, 엄격한 OIDC 클레임 또는 명시적으로 고정된 mTLS 인증서에서 불변 주체를 파생합니다. 테넌트/세션 헤더는 증거 테넌트 또는 할당량 키를 선택하지 않습니다. | `aegis/auth/`, `aegis/proxy/dependencies.py` 및 인증 통합 테스트. IdP, TLS 종단, 인증서 수명 주기 및 Redis 승인은 배포에 따라 달라집니다. 현재 mTLS 소스는 리프-핀 모드이며 범용 PKI 검증이 아닙니다. |
| 최종 세그먼트 아카이빙 | 순환된 JSONL WAL 세그먼트는 버전 관리 매니페스트를 받고 SHA-256, 버전, 잠금 모드 및 보존 검증과 함께 선택적 S3 Object Lock 어댑터를 통해 업로드할 수 있습니다. 선택적 RFC 3161 승인은 명시적 CA 파일에 대한 OpenSSL 검증이 필요합니다. | `aegis/storage/`, `aegis/anchoring/` 및 집중 테스트. 이는 대상 승인 없이는 규제 WORM, 법적 증거 능력 또는 외부 시간 보장이 아닙니다. |
| 프라이버시 안전 텔레메트리 | 폐쇄 스키마 보안 이벤트는 프롬프트/응답/토큰 텍스트, 임베딩, 원시 테넌트/세션 식별자, 서명자 이름 및 예외 문자열을 생략합니다. 선택적 경계 SQLite 스풀은 지원되는 SIEM 인코딩으로 내보냅니다. | `aegis/telemetry/` 및 프라이버시 센티널 테스트. 다운스트림 전달, 보존, 액세스 제어 및 운영 SLO는 외부적입니다. |
| 기능 보고 | `aegis.crypto`는 구현됨, 선택적 런타임, 스텁 및 외부 검증 필요 상태를 구분하는 기계 판독 가능 인벤토리를 노출합니다. | `aegis/crypto/capabilities.py` 및 집중 테스트. 현재 ZK API는 비실제 테스트 스텁이며, 휴대용 MMR 증명은 O(log n)으로 증가하며, FIPS 검증은 주장되지 않습니다. |
| TEE 증명 경계 | TEE 디바이스 노드는 검색 전용으로 보고됩니다. 호출자 작성 레거시 보고서는 거부됩니다. 주입된 검증자는 정확한 측정, 서명자, 논스, 신선도, 디버그, TCB 및 보고서 데이터 정책 평가를 위한 인증된 정규화 클레임을 제공할 수 있습니다. | `aegis/core/tee_manager.py` 및 하드웨어 모듈 테스트. 저장소는 엔클레이브 로더, 벤더 견적 파싱, 인증서/담보 검증, 호스트 루트 기밀성 또는 대상 증명 승인을 구현하지 않습니다. |
| 차등 프라이버시 경계 | 내부 라플라스 카운트 프리미티브는 민감도 1과 시스템 CSPRNG를 사용하여 추가/제거-단일-레코드 인접성 하에서 한 번의 릴리스를 수행합니다. | `aegis/core/dp_analytics.py` 및 결정적 테스트. 게시된 DP HTTP 엔드포인트가 없습니다. 반복 릴리스에는 여기에 구현되지 않은 내구성 있는 회계사, 안정적인 데이터셋/쿼리 ID, 메모이제이션 및 검토된 기여 범위가 필요합니다. |
| 퍼징 기능 경계 | 퍼징은 `cargo`, `cargo-fuzz`, 비공개 워크스페이스, 경계가 적용된 구문 분석 가능 매니페스트 및 모든 정확히 제한된 정규 대상 파일이 존재할 때만 사용할 수 있습니다. 실행 상태는 정상, 크래시 아티팩트, 도구 오류, 시간 초과 및 사용 불가를 구분합니다. | `aegis/core/fuzzing_harness.py` 및 집중 테스트. 현재 트리에는 cargo-fuzz 워크스페이스나 Kani 하네스가 없으며, 측정된 커버리지는 여전히 사용할 수 없고, 경계 테스트는 완전한 증명이 아닙니다. |
| 자문 AI 컨텍스트 | `AGENTS.md`, `llms.txt` 및 `.aegis_ai_context/`는 코딩 어시스턴트를 위한 저장소 탐색 및 주장 경계를 제공합니다. | 이러한 파일은 자문 데이터입니다. 권한 부여를 재정의하거나, 런타임 동작을 설정하거나, 병합된 소스를 릴리스로 전환할 수 없습니다. |
| 요청 경계 | 과도하게 큰 본문은 일반 애플리케이션 처리 전에 거부됩니다. | P0/P1 릴리스 테스트. 제한은 배포된 공급자 및 스트리밍 정책에 맞게 크기가 조정되어야 합니다. |
| WAF | NFKC 정규화, 제로 너비 제거, 중요 패턴 차단, 구조적 깊이 가드 및 가중 로컬 분석이 애플리케이션 경계에서 실행됩니다. | `tests/data/waf_corpus_v1.json` 및 `tools/security/run_waf_corpus.py`. 인그레스 HTTP/2 파싱은 애플리케이션 경계 밖에 있습니다. |
| 이그레스 | 정규 허용 목록은 체계, 사용자 정보, 잘못된 포트, 지원되지 않는 형식 및 승인되지 않은 엔드포인트를 거부합니다. | `aegis/proxy/egress_guard.py` 및 테스트. 이는 방화벽, 네임스페이스, NetworkPolicy 또는 클라우드 이그레스 제어를 대체하지 않습니다. |
| 커널 제어 | 엄격한 시작은 Seccomp 및 LSM/AppArmor/SELinux 기능을 요구할 수 있으며 명시적 샌드박스 모드 외부에서 강제 적용 누락을 거부합니다. | `aegis/core/seccomp_guard.py`, `aegis/core/lsm_guard.py`, 배포 테스트. 대상 커널은 여전히 승인 테스트가 필요합니다. |
| 응답 강화 | 분석은 경계가 적용되고, 관찰 가능하며, 필요한 경우 세션별로 직렬화됩니다. 선택 사항이며 내구성 있는 증거 계약을 약화시킬 수 없습니다. | 분석기 및 큐 테스트. 실제 I/O 포화 상태에서의 큐 동작은 백프레셔 런북에 설명되어 있습니다. |
| 휴대용 포함 증명 | 모든 새 원장 레코드는 자체 포함된 `aegis-mmr-inclusion-v1` 증명, 리프 다이제스트, 정렬된 피크 및 루트를 저장합니다. 비스트리밍 응답은 이를 `X-Aegis-MMR-*` 헤더로 반환합니다. 스트리밍 호출은 인증된 사후 종료 증명 링크를 노출합니다. | 크로스 언어 골든 벡터 및 WAL 재생/변조 테스트. 유효한 증명은 선언된 MMR 루트에 포함을 확립합니다. 그 자체로 외부 타임스탬프, 보존 또는 법적 증거 능력을 확립하지는 않습니다. |

## 로컬 평가를 위한 빠른 시작

로컬 경로는 개발, 테스트 및 증거 재생을 위한 것입니다. 프로덕션 배포 프로필이 아닙니다.```bash
git clone https://github.com/JuanLunaIA/aegis-latent-core.git
cd aegis-latent-core
python3 -m venv .venv
. .venv/bin/activate
python -m pip install --require-hashes -r requirements.lock
python -m pip install --no-deps -e .
python -m compileall -q aegis aegis_server
pytest -q

`development`는 현재 설정 모델에서 허용되는 유일한 비엄격(non-strict) 모드입니다. 이전의 `permissive` 값과 `uvicorn aegis.main:app` 명령은 더 이상 사용되지 않습니다. 공급자 키, 베어러 토큰, 서명 비밀값, WAL 레코드 또는 고객 페이로드를 소스 제어에 절대 넣지 마십시오.

## 병합 소스 SDK

[`sdk/python`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/sdk/python)의 병합 소스 Python 배포판은 공식 OpenAI 및 Anthropic 클라이언트를 하위 클래스로 사용하는 드롭인 통합입니다. 기존 요청/응답 모델 유형과 동기/비동기 리소스 API는 유지되며, Aegis 테넌트, 세션 및 베어러 인증 헤더는 생성 시 주입됩니다. 네이티브 Anthropic `/v1/messages` 수신 경로는 `AEGIS_PROVIDER=anthropic`을 요구하며, 이를 OpenAI 객체로 변환하는 대신 Anthropic Messages 응답 형태를 유지합니다.

[`sdk/typescript`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/sdk/typescript)의 엣지 호환 병합 소스 TypeScript 패키지는 Web Crypto로 `aegis-mmr-inclusion-v1` 증명을 검증하고, 공급자 페이로드를 다시 선언하는 대신 공급자 네이티브 래퍼와 생성자 옵션을 제공합니다. 공식 OpenAI 및 Anthropic 패키지는 피어 종속성(peer dependency)이므로, 해당 네이티브 리소스, 요청 매개변수, 응답 모델, 스트리밍 반복자, 재시도 및 오류 유형은 여전히 권위 있는 것으로 유지됩니다. 두 SDK 모두 `sdk/shared/` 아래의 동일한 고정 증명 벡터를 사용합니다.

미출시 Python SDK 후보에는 프라이버시 최소화 LangChain 및 LlamaIndex 콜백 어댑터도 포함됩니다. 외부 신뢰 게시자, 환경, 서명 태그 및 저장소 변수 사전 요구 사항이 구성되지 않는 한 게시 워크플로는 비활성화됩니다. [`docs/DEVELOPER_INTEGRATIONS_GUIDE.md`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/docs/DEVELOPER_INTEGRATIONS_GUIDE.md)를 참조하십시오.```python
from aegis_sdk.openai import OpenAI

client = OpenAI(
    aegis_api_key="gateway-token",
    gateway_url="https://aegis.internal",
    tenant_id="tenant-42",
)
response = client.chat.completions.create(
    model="gpt-4.1-mini",
    messages=[{"role": "user", "content": "hello"}],
)

`AEGIS_DASHBOARD_API_KEY`는 서버 전용이며 브라우저 번들에는 절대 직렬화되지 않습니다. 내보내기 엔드포인트는 키별 범위가 구성된 경우 `audit:export` 범위를 요구합니다. 각 바운드 ZIP에는 RFC 8785 JCS `manifest.json`, CIDv1로 식별되는 표준 DAG-CBOR `ledger_slice.cbor`, `merkle_proof.json`, `audit_certificate.pdf`, `VERIFY.sh`가 포함됩니다. 인증서는 기술적 무결성 보고서이며, 인증 또는 법적 증거능력 결론이 아닙니다.

## 엄격한 배포 경로

엄격 모드는 의도된 프로덕션 운영 방식입니다. 인증, 지속 가능한 증거, 강력한 서명, 바운드 요청 본문, 분산형 속도 제한 백엔드, 지속 가능한 스토리지, 그리고 구성된 커널 제어가 필요합니다. 비밀 관리자를 사용하고 WAL을 소유자만 읽을 수 있는 지속 가능한 경로에 마운트하십시오.```bash
export AEGIS_SECURITY_ENFORCEMENT_MODE=strict
export AEGIS_API_KEYS='replace-with-a-secret-manager-reference'
export AEGIS_SIGNING_KEY='at-least-32-bytes-of-secret-material'
export AEGIS_RATE_LIMIT_BACKEND=redis
export AEGIS_REDIS_URL='rediss://redis.internal:6380/0'
export AEGIS_REQUIRE_DISTRIBUTED_LIMITER=true
export AEGIS_REQUIRE_DURABLE_EVIDENCE=true
export AEGIS_REQUIRE_LSM=true
export AEGIS_REQUIRE_SECCOMP=true
export AEGIS_MAX_REQUEST_BODY_BYTES=1048576
export AEGIS_BACKEND_URL='https://llm.internal.example/v1'
export AEGIS_WAL_PATH='/var/lib/aegis/aegis.wal.jsonl'

키링 프로토콜, 오버랩 윈도우, 만료, 롤백, 그리고 3-레플리카 승인 기준은 [`docs/operations/KEY_ROTATION_RUNBOOK.md`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/docs/operations/KEY_ROTATION_RUNBOOK.md)에 명시되어 있습니다. 키링 경로는 비밀 관리자가 아닙니다. 배포 시에도 여전히 관리권(커스터디), 접근 제어, 원자적 전달, 백업, 폐기, 그리고 감사 가능성을 확립해야 합니다.

## 증거 및 서명 모델

로컬 원장은 인메모리 바운드 체인과 선택적 아카이브 세그먼트를 갖춘 추가 전용 JSONL WAL입니다. 각 레코드에는 요청 및 응답 해시, 체인 연결, 머클 루트, 서명 메타데이터, 그리고 요청 식별자가 포함됩니다. WAL은 내구성 있는 응답 경로가 완료되기 전에 플러시되고 동기화됩니다.

지원되는 서명 선택지는 배포 환경에 따라 달라집니다:

| 서명자 | 적절한 경계 | 중요한 제한 사항 |
|---|---|---|
| HMAC-SHA256 | 단일 노드 또는 공유 비밀 자체 호스팅 배포 | 대칭 키 방식입니다. 키를 보유한 모든 검증자는 서명도 할 수 있습니다. HMAC은 고전적 방식이며 양자 내성이 없습니다. |
| HSM/Vault 기반 서명자 | 키 격리 또는 원격 관리권이 필요한 엔터프라이즈 배포 | 가용성, 정책, TLS/mTLS, 순환, 그리고 오프라인 검증에는 대상 배포 환경 자체의 증거가 필요합니다. |
| 네이티브 ML-DSA-65 서명자 | 실제 Rust 백엔드를 빌드하고 로드하는 환경 | 보존된 100만 샘플 후보 아티팩트는 `sign`에 대해 유의미한 타이밍 차이를 발견하지 못했지만(`p=0.8521504207157158`), `verify`에 대해서는 임계값을 충족하지 못했습니다(`p=0.0`). 상수 시간 실행 주장은 승인되지 않았습니다. [`docs/security/PQC_CONSTANT_TIME.md`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/docs/security/PQC_CONSTANT_TIME.md)를 참조하십시오. |

Aegis는 네이티브 백엔드를 사용할 수 없을 때 ML-DSA 서명을 위조하지 않습니다. 백엔드를 사용 불가로 보고하고 명시적인 실제 폴백 정책을 요구합니다. `p > 0.05`인 타이밍 결과는 명명된 실험 조건에서 통계적으로 유의미한 누출이 감지되지 않았다는 의미일 뿐이며, 상수 시간 실행을 증명하는 것은 아닙니다.

## 역압 및 장애 의미론

내구성 있는 증거는 핫 경로 불변 조건입니다. 저장소 또는 `fsync` 지연 상황에서 요청 경로는 구성된 경계에 따라 차단되거나 거부될 수 있으며, 권위 있는 증거를 조용히 유실해서는 안 됩니다. 보강 큐는 선택적 작업을 거부할 수 있지만, 큐 정책이 관리되는 수락 응답을 기록되지 않은 응답으로 바꿀 수는 없습니다.

결정적 장애 주입 하네스는 다음과 같습니다:```bash
PYTHONPATH=. .venv/bin/python tools/benchmarks/run_backpressure_stall.py \
  --duration-s 0.25 --offered-rps 10000 --fsync-delay-ms 2 --max-workers 64 \
  --output evidence/backpressure_stall_report.json