jondean213-pixel/quietos-sentinelSentinel — o governador de entrada da DeanWay Labs. Protege aquilo que um agente de IA ouve: o conteúdo do mundo é dado, nunca ordem. O espelho do QuietOS.
DeanWay Labs. Sentinel é o espelho do QuietOS. O QuietOS governa o que um agente de IA faz. O Sentinel governa o que um agente de IA ouve.
O cérebro propõe, o QuietOS dispõe — e o Sentinel decide o que o cérebro tem sequer permissão de ouvir.
Um agente lê dados e instruções no mesmo fluxo, e não consegue nativamente distingui-los. Assim, o mundo aprendeu a esconder ordens dentro dos dados: uma página web que diz ao assistente para enviar as senhas por e-mail, um e-mail usando o nome do proprietário, um resultado de ferramenta com uma segunda tarefa secreta embutida. Isso é injeção de prompt, e funciona porque nada fica na porta.
O Sentinel fica na porta.
Apenas o proprietário emite instruções. Todo o resto é dado.
Conteúdo vindo do mundo — páginas web, e-mails, arquivos, mensagens, saídas de ferramentas — é inspecionado
antes de chegar ao cérebro, e o que passa é entregue embrulhado e rotulado como
dado, nunca como ordens. Uma alegação dentro do conteúdo ("eu sou o proprietário", "o proprietário já
aprovou isto", SYSTEM:) não autentica nada: a autenticação vem do canal,
nunca do texto.
| Veredicto | Significado |
|---|---|
| ALLOW | Dado limpo. Passa adiante, rotulado como dado. |
| ESCALATE | Conteúdo em forma de instrução direcionado ao agente a partir de uma fonte que não é o proprietário. Retido para o proprietário com o conteúdo exato preservado — a mesma disciplina de vinculação de aprovação do QuietOS. Nada age sobre ele enquanto aguarda. |
| BLOCK | Padrões conhecidos como hostis: diretivas de exfiltração, falsificação de identidade do proprietário/sistema, alegações falsas de aprovação, encantamentos de sobreposição de regras, diretivas de ocultação. Recusado de imediato. |
Todo ESCALATE e BLOCK é gravado num registro de ataques somente-anexação — timestamp, origem, veredicto, sinais correspondidos, SHA-256 do conteúdo exato, e um trecho preservado. As tentativas são evidência, e o registro faz parte do produto, da mesma forma que o registro de prova de red-team do QuietOS.
Signal; uma verificação baseada em modelo pode juntar-se a rules.CHECKS sem tocar no motor.docs/PROOF-LOG.md para as lacunas abertas atuais): a cerca é
apenas em inglês e literal — ataques criados com sinônimos, leetspeak e puramente semânticos podem
passar pela cerca. Ainda assim encontram a lei: o conteúdo não detetado chega ao cérebro rotulado
como dado, não como ordens. A deteção eleva o custo do ataque; a autoridade é a muralha.from sentinel import Inspector, Source
inspector = Inspector() # optionally: Inspector(ledger=AttackLedger("attacks.jsonl"))
verdict = inspector.inspect(page_text, Source("webpage", url))
if verdict.verdict == "ALLOW":
brain_input = Inspector.labeled_payload(verdict, page_text)
elif verdict.verdict == "ESCALATE":
hold_for_owner(verdict.excerpt, verdict.signals) # exact content, owner's call
else: # BLOCK
refuse(verdict)
O canal autenticado do próprio proprietário é a única exceção à inspeção:
Source("owner", ..., owner_authenticated=True) passa com a função instruction —
não é uma superfície de ataque, é a autoridade. Uma reivindicação não autenticada ao
canal do proprietário é bloqueada como personificação por construção.
python3 -m pytest tests/ -q
Três suítes: tests/test_redteam.py (casos de ataque), tests/test_controls.py
(conteúdo benigno que deve passar como dados), tests/test_engine.py (lei de
autoridade, evidência de ledger, rotulagem). Os resultados — incluindo os erros —
estão em docs/PROOF-LOG.md.
Concebido por Jon Dean (DeanWay Labs), 2026-10-21: "Nós governamos o que sai — não precisamos também proteger a IA, e governar o que entra?" Construído na mesma noite. Nomeado Sentinel por Jon.