jondean213-pixel/quietos-sentinelSentinel — входящий регулятор от DeanWay Labs. Охраняет то, что слышит ИИ-агент: контент из внешнего мира — это данные, а не приказы. Зеркальное отражение QuietOS.
DeanWay Labs. Sentinel — это зеркальное отражение QuietOS. QuietOS управляет тем, что AI-агент делает. Sentinel управляет тем, что AI-агент слышит.
Мозг предлагает, QuietOS распоряжается — а Sentinel решает, что мозгу вообще позволено услышать.
Агент читает данные и инструкции в одном потоке и не может от природы отличить одно от другого. Поэтому мир научился прятать приказы внутри данных: веб-страница, которая велит ассистенту отправить пароли по почте, письмо, носящее имя владельца, результат работы инструмента со второй, тайной задачей, спрятанной внутри. Это prompt injection, и он работает, потому что у двери никто не стоит.
Sentinel стоит у двери.
Только владелец отдаёт инструкции. Всё остальное — данные.
Контент из внешнего мира — веб-страницы, письма, файлы, сообщения, вывод инструментов — проверяется
до того, как он достигнет мозга, и всё, что проходит, доставляется обёрнутым и помеченным как
данные, а не как приказы. Утверждение внутри контента («я владелец», «владелец уже
одобрил это», SYSTEM:) ничего не аутентифицирует: аутентификация исходит от канала,
а не от текста.
| Вердикт | Значение |
|---|---|
| ALLOW | Чистые данные. Проходят насквозь, помеченные как данные. |
| ESCALATE | Контент в форме инструкций, направленный агенту из источника, не являющегося владельцем. Удерживается для владельца с точным сохранением содержимого — та же дисциплина привязки одобрения, что и в QuietOS. Пока он ожидает, ничего по нему не предпринимается. |
| BLOCK | Известные враждебные паттерны: директивы эксфильтрации, выдача себя за владельца/систему, ложные заявления об одобрении, заклинания переопределения правил, директивы сокрытия. Отклоняется сразу. |
Каждый ESCALATE и BLOCK записывается в журнал атак только для добавления — метка времени, источник, вердикт, совпавшие сигналы, SHA-256 точного содержимого и сохранённый фрагмент. Попытки являются доказательствами, и журнал — часть продукта, так же как журнал доказательств red-team в QuietOS.
Signal; проверка на основе модели может присоединиться к rules.CHECKS, не затрагивая движок.docs/PROOF-LOG.md): забор
только англоязычный и буквальный — атаки, составленные из синонимов, leetspeak и чисто семантические, могут
пройти забор. Они всё равно встречают закон: пропущенный контент достигает мозга помеченным
как данные, а не как приказы. Обнаружение повышает стоимость атаки; авторитет — это стена.from sentinel import Inspector, Source
inspector = Inspector() # optionally: Inspector(ledger=AttackLedger("attacks.jsonl"))
verdict = inspector.inspect(page_text, Source("webpage", url))
if verdict.verdict == "ALLOW":
brain_input = Inspector.labeled_payload(verdict, page_text)
elif verdict.verdict == "ESCALATE":
hold_for_owner(verdict.excerpt, verdict.signals) # exact content, owner's call
else: # BLOCK
refuse(verdict)
Собственный аутентифицированный канал владельца — единственное исключение из проверки:
Source("owner", ..., owner_authenticated=True) проходит с ролью instruction —
это не поверхность атаки, это источник полномочий. Неаутентифицированное заявление на
канал владельца блокируется как выдача себя за другое лицо по самой конструкции.
python3 -m pytest tests/ -q
Три набора: tests/test_redteam.py (атакующие случаи), tests/test_controls.py
(безвредный контент, который должен проходить как данные), tests/test_engine.py (закон полномочий,
доказательства из журнала, маркировка). Результаты — включая промахи — находятся в
docs/PROOF-LOG.md.
Задумано Джоном Дином (DeanWay Labs), 2026-10-21: «Мы управляем тем, что уходит наружу — разве нам не нужно также защищать ИИ и управлять тем, что приходит внутрь?» Создано в ту же ночь. Названо Sentinel Джоном.