C->>A: Authenticated OpenAI-compatible or Anthropic request
A->>W: Size, canonicalization, WAF, session, rate-limit
W-->>C: Fail-closed response + durable error evidence when rejected
W->>U: Forward only after admission
U-->>A: Complete response or bounded SSE events
A->>L: Non-stream: hash, sign, append, flush, fsync
L-->>A: Non-stream durable evidence status
A->>Q: Optional bounded response analysis
A-->>C: Non-stream response + portable MMR proof headers
A-->>C: Stream events through bounded queue
A->>L: Stream terminal summary, sign, append, flush, fsync
L-->>A: Terminal commit complete
A-->>C: Protocol terminal marker

Строгий жизненный цикл:

1. Аутентифицировать вызывающего и назначить идентификатор запроса.
2. Применить ограничения размера запроса и канонизировать представление запроса.
3. Применить WAF, контроль поведения сеанса, исходящего трафика и ограничения скорости.
4. Отклонить при сбое обязательного контроля вместо молчаливого ослабления пути безопасности.
5. Переслать настроенному вышестоящему провайдеру.
6. Для не-потоковых вызовов захватить ответ, вычислить канонические хэши, подписать доказательство, добавить в WAL, сбросить и выполнить `fsync` перед возвратом.
7. Для SSE-вызовов ретранслировать санитизированные логические события через ограниченную очередь с учётом байтов. Инкрементально хэшировать точные отправленные байты; при завершении зафиксировать одну подписанную итоговую сводку перед отправкой протокольного терминального маркера. Поэтому начальный потоковый заголовок — `X-Aegis-Evidence-Status: pending-terminal`, а не `durable`.
8. Выполнять необязательное обогащение ответа через ограниченный рабочий путь после создания авторитетной записи.

## Основной контракт

| Контроль | Реализованное поведение | Доказательство и граница |
|---|---|---|
| Долговечность доказательств | Для не-потоковых управляемых вызовов основной прокси фиксирует доказательства запроса/ответа перед возвратом и отправляет `X-Aegis-Evidence-Status: durable`. Потоковый SSE начинается с `pending-terminal`; одна подписанная итоговая сводка фиксируется перед протокольным терминальным маркером, а доказательство извлекается после завершения. | `tests/test_p0_release_gates.py`, `tests/test_proxy_streaming.py`, тесты путей отказа прокси и тесты целостности WAL. Целевая файловая система и провайдер хранилища всё ещё требуют проверки развёртывания. |
| Долговечные терминальные ошибки | Ответы вышестоящего сервера с кодом не-2xx, пути разомкнутой цепи и сетевые сбои используют путь долговечных доказательств ошибок, когда граница доказательств доступна. | `tests/test_enterprise_durable_evidence.py` и доказательства релиза v3.1.0. Сбой хранилища после приёма — это операционный инцидент с закрытием при отказе, а не успешный ответ. |
| Целостность цепочки | Аудит-узлы связывают предшественника, хэш запроса, хэш ответа, корень Меркла, подпись и метаданные схемы. | `aegis/core/crypto_audit.py` и `verify_integrity()`. Обнаружение подделки — это не то же самое, что неизменяемое внешнее хранилище. |
| Строгая подпись | Строгие реестры отклоняют эфемерный запасной вариант Ed25519. HMAC-SHA256, настроенный PKCS#11 или настроенная нативная подпись должны удовлетворять выбранной политике; устаревший интерфейс HSM теперь закрывается при отказе вместо вывода программного ключа. | Тесты подписей и строгие стартовые шлюзы. Мокированные тесты PKCS#11 — это только доказательство адаптера, HMAC симметричен, и не установлены совместимость HSM, неэкспортируемость ключей, валидация FIPS или сторонняя неотказуемость. |
| Ротация ключей | Корпоративный подписант поддерживает атомарное версионированное кольцо ключей HMAC с одним активным ключом, историческими ключами проверки, явным сроком действия и несекретными метаданными `key_id`. | `aegis_server/crypto/keyring.py`, `tests/test_keyring_rotation.py`. Доказательство развёртывания с тремя репликами остаётся обязательным для производственного заявления. |
| Ограничение скорости | Распределённое ограничение на базе Redis закрывается при отказе, когда бэкенд недоступен; разработческое ограничение в памяти не является производственной заменой. | Тесты ограничителя скорости и конфигурация развёртывания. Поведение Redis/TLS/HA зависит от развёртывания. |
| Корпоративная идентичность и привязка тенанта | Нерелизный кандидат выводит неизменяемые принципалы из настроенных сопоставлений API-ключей, строгих утверждений OIDC или явно закреплённых сертификатов mTLS. Заголовки тенанта/сеанса не выбирают тенанта доказательств или ключ квоты. | `aegis/auth/`, `aegis/proxy/dependencies.py` и интеграционные тесты аутентификации. IdP, терминатор TLS, жизненный цикл сертификатов и приёмка Redis остаются зависимыми от развёртывания; текущий источник mTLS — режим закрепления листа, а не универсальная валидация PKI. |
| Архивация финализированных сегментов | Ротированные сегменты JSONL WAL получают версионированные манифесты и могут загружаться через опциональный адаптер S3 Object Lock с проверкой SHA-256, версии, режима блокировки и срока хранения. Опциональная приёмка RFC 3161 требует проверки OpenSSL против явного файла CA. | `aegis/storage/`, `aegis/anchoring/` и целевые тесты. Это не регуляторный WORM, гарантия юридической допустимости или внешнего времени без целевой приёмки. |
| Приватная телеметрия | События безопасности закрытой схемы исключают текст промптов/ответов/токенов, эмбеддинги, сырые идентификаторы тенантов/сеансов, имена подписантов и строки исключений; опциональный ограниченный спул SQLite экспортирует в поддерживаемые кодировки SIEM. | `aegis/telemetry/` и тесты приватности-стражей. Доставка нижестоящим системам, хранение, контроль доступа и операционные SLO являются внешними. |
| Отчёт о возможностях | `aegis.crypto` предоставляет машиночитаемый инвентарь, различающий состояния «реализовано», «опционально-рантайм», «заглушка» и «требуется внешняя валидация». | `aegis/crypto/capabilities.py` и целевые тесты. Текущий ZK API — нереальная тестовая заглушка, переносимые доказательства MMR растут как O(log n), и не заявляется валидация FIPS. |
| Граница аттестации TEE | Узлы устройств TEE сообщаются только как обнаружение. Авторские устаревшие отчёты вызывающего отклоняются; инжектированный верификатор может предоставить аутентифицированные нормализованные утверждения для точной оценки политики измерения, подписанта, nonce, свежести, отладки, TCB и данных отчёта. | `aegis/core/tee_manager.py` и тесты аппаратных модулей. Репозиторий не реализует загрузчик анклавов, разбор квот вендора, валидацию сертификатов/обеспечения, конфиденциальность корня хоста или целевую приёмку аттестации. |
| Граница дифференциальной приватности | Внутренний примитив счёта Лапласа использует чувствительность один и системный CSPRNG для одного выпуска при смежности добавления/удаления одной записи. | `aegis/core/dp_analytics.py` и детерминированные тесты. Не публикуется HTTP-эндпоинт DP; повторные выпуски требуют долговечного учётчика, стабильной идентичности набора данных/запроса, мемоизации и проверенных границ вклада, которые здесь не реализованы. |
| Граница возможностей фаззинга | Фаззинг доступен только при наличии `cargo`, `cargo-fuzz`, приватного рабочего пространства, ограниченного разбираемого манифеста и всех точных ограниченных целевых файлов; состояние запуска различает чистый, артефакт сбоя, ошибку инструмента, таймаут и недоступность. | `aegis/core/fuzzing_harness.py` и целевые тесты. Текущее дерево не имеет рабочего пространства cargo-fuzz или харнесса Kani, измеренное покрытие остаётся недоступным, а ограниченные тесты не являются исчерпывающим доказательством. |
| Консультативный ИИ-контекст | `AGENTS.md`, `llms.txt` и `.aegis_ai_context/` предоставляют навигацию по репозиторию и границы заявлений для помощников по кодированию. | Эти файлы являются консультативными данными: они не могут переопределять авторизацию, устанавливать поведение рантайма или превращать объединённый исходный код в релиз. |
| Ограничения запроса | Чрезмерно большие тела отклоняются до обычной обработки приложением. | Тесты релиза P0/P1. Лимиты должны быть подобраны под развёрнутый провайдер и политику потоковой передачи. |
| WAF | Нормализация NFKC, удаление нулевой ширины, блокировка критических паттернов, защита структурной глубины и взвешенный локальный анализ выполняются на границе приложения. | `tests/data/waf_corpus_v1.json` и `tools/security/run_waf_corpus.py`. Разбор входящего HTTP/2 находится вне границы приложения. |
| Исходящий трафик | Канонические списки разрешений отклоняют схемы, userinfo, некорректные порты, неподдерживаемые формы и неодобренные эндпоинты. | `aegis/proxy/egress_guard.py` и тесты. Это не заменяет межсетевой экран, пространство имён, NetworkPolicy или облачные средства контроля исходящего трафика. |
| Контроль ядра | Строгий запуск может требовать возможности Seccomp и LSM/AppArmor/SELinux и отклоняет отсутствие принудительного применения вне явного режима песочницы. | `aegis/core/seccomp_guard.py`, `aegis/core/lsm_guard.py`, тесты развёртывания. Целевое ядро всё ещё требует приёмочного тестирования. |
| Обогащение ответа | Анализ ограничен, наблюдаем и сериализован по сеансу, где требуется. Он опционален и не может ослабить контракт долговечных доказательств. | Тесты анализатора и очереди. Поведение очереди при реальном насыщении I/O описано в runbook по противодавлению. |
| Переносимое доказательство включения | Каждая новая запись реестра хранит самодостаточное доказательство `aegis-mmr-inclusion-v1`, дайджест листа, упорядоченные пики и корень. Не-потоковые ответы возвращают их как заголовки `X-Aegis-MMR-*`; потоковые вызовы предоставляют аутентифицированную ссылку на доказательство после завершения. | Кросс-языковые золотые векторы и тесты воспроизведения WAL/подделки. Действительное доказательство устанавливает включение в объявленный корень MMR; само по себе оно не устанавливает внешнюю отметку времени, хранение или юридическую допустимость. |

## Быстрый старт для локальной оценки

Локальный путь предназначен для разработки, тестов и воспроизведения доказательств. Это не профиль производственного развёртывания.```bash
git clone https://github.com/JuanLunaIA/aegis-latent-core.git
cd aegis-latent-core
python3 -m venv .venv
. .venv/bin/activate
python -m pip install --require-hashes -r requirements.lock
python -m pip install --no-deps -e .
python -m compileall -q aegis aegis_server
pytest -q

`development` — единственный принимаемый нестрогий режим в текущей модели настроек; более старое значение `permissive` и команда `uvicorn aegis.main:app` устарели. Никогда не помещайте ключи провайдеров, bearer-токены, секреты подписи, записи WAL или полезные данные клиентов в систему контроля версий.

## SDK с объединённым исходным кодом

Python-дистрибутив с объединённым исходным кодом в [`sdk/python`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/sdk/python) — это интеграция «под ключ», которая наследует официальные клиенты OpenAI и Anthropic. Существующие типы моделей запросов/ответов и синхронные/асинхронные API ресурсов сохраняются, при этом заголовки Aegis для тенанта, сессии и bearer-аутентификации внедряются при создании экземпляра. Нативный вход Anthropic `/v1/messages` требует `AEGIS_PROVIDER=anthropic`; он сохраняет форму ответа Anthropic Messages вместо преобразования её в объекты OpenAI.

Edge-совместимый TypeScript-пакет с объединённым исходным кодом в [`sdk/typescript`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/sdk/typescript) проверяет доказательства `aegis-mmr-inclusion-v1` с помощью Web Crypto и предоставляет нативные обёртки провайдера и параметры конструктора, а не переобъявляет полезные данные провайдера. Официальные пакеты OpenAI и Anthropic являются peer-зависимостями, поэтому их нативные ресурсы, параметры запросов, модели ответов, потоковые итераторы, повторы и типы ошибок остаются авторитетными. Оба SDK используют одни и те же замороженные векторы доказательств из `sdk/shared/`.

Кандидат невыпущенного Python SDK также включает адаптеры обратных вызовов LangChain и LlamaIndex с минимизацией конфиденциальности. Публикационные рабочие процессы отключены, если не настроены внешние предварительные условия: доверенный издатель, окружение, подписанные теги и переменные репозитория. См. [`docs/DEVELOPER_INTEGRATIONS_GUIDE.md`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/docs/DEVELOPER_INTEGRATIONS_GUIDE.md).```python
from aegis_sdk.openai import OpenAI

client = OpenAI(
    aegis_api_key="gateway-token",
    gateway_url="https://aegis.internal",
    tenant_id="tenant-42",
)
response = client.chat.completions.create(
    model="gpt-4.1-mini",
    messages=[{"role": "user", "content": "hello"}],
)

`AEGIS_DASHBOARD_API_KEY` доступен только на сервере и никогда не сериализуется в браузерные бандлы. Конечная точка экспорта требует область `audit:export`, когда настроены области для отдельных ключей. Каждый ограниченный ZIP-архив содержит RFC 8785 JCS `manifest.json`, канонический DAG-CBOR `ledger_slice.cbor`, идентифицируемый CIDv1, `merkle_proof.json`, `audit_certificate.pdf` и `VERIFY.sh`. Сертификат представляет собой технический отчёт о целостности, а не сертификацию или заключение о юридической допустимости.

## Строгий путь развёртывания

Строгий режим — это целевая производственная конфигурация. Он требует аутентификации, долговечных доказательств, надёжной подписи, ограниченных тел запросов, распределённого бэкенда ограничения частоты запросов, долговечного хранилища и настроенных средств контроля ядра. Используйте менеджер секретов и монтируйте WAL на долговечный путь, доступный для чтения владельцем.```bash
export AEGIS_SECURITY_ENFORCEMENT_MODE=strict
export AEGIS_API_KEYS='replace-with-a-secret-manager-reference'
export AEGIS_SIGNING_KEY='at-least-32-bytes-of-secret-material'
export AEGIS_RATE_LIMIT_BACKEND=redis
export AEGIS_REDIS_URL='rediss://redis.internal:6380/0'
export AEGIS_REQUIRE_DISTRIBUTED_LIMITER=true
export AEGIS_REQUIRE_DURABLE_EVIDENCE=true
export AEGIS_REQUIRE_LSM=true
export AEGIS_REQUIRE_SECCOMP=true
export AEGIS_MAX_REQUEST_BODY_BYTES=1048576
export AEGIS_BACKEND_URL='https://llm.internal.example/v1'
export AEGIS_WAL_PATH='/var/lib/aegis/aegis.wal.jsonl'

Протокол связки ключей, окно перекрытия, срок действия, откат и критерии приёмки с тремя репликами описаны в [`docs/operations/KEY_ROTATION_RUNBOOK.md`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/docs/operations/KEY_ROTATION_RUNBOOK.md). Путь связки ключей не является менеджером секретов; развёртывание всё равно должно обеспечивать хранение, контроль доступа, атомарную доставку, резервное копирование, уничтожение и аудируемость.

## Модель доказательств и подписи

Локальный журнал — это append-only JSONL WAL с ограниченной цепочкой в памяти и необязательными архивными сегментами. Каждая запись содержит хэши запроса и ответа, связность цепочки, корень Меркла, метаданные подписи и идентификатор запроса. WAL сбрасывается и синхронизируется до завершения пути долговременного ответа.

Поддерживаемые варианты подписи зависят от развёртывания:

| Подписант | Подходящая граница | Важное ограничение |
|---|---|---|
| HMAC-SHA256 | Однoузловые развёртывания или самохостинг с общим секретом | Симметричный ключ; каждый проверяющий, владеющий ключом, также может подписывать. HMAC — классический, не квантово-устойчивый. |
| Подписант на базе HSM/Vault | Корпоративные развёртывания, требующие изоляции ключей или удалённого хранения | Доступность, политика, TLS/mTLS, ротация и офлайн-проверка требуют собственных доказательств целевого развёртывания. |
| Нативный подписант ML-DSA-65 | Среды, которые собирают и загружают реальный Rust-бэкенд | Сохранённый кандидатный артефакт с 1 млн выборок не выявил значимой разницы во времени для `sign` (`p=0.8521504207157158`), но не достиг порога для `verify` (`p=0.0`); утверждение о константном времени не одобрено. См. [`docs/security/PQC_CONSTANT_TIME.md`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/docs/security/PQC_CONSTANT_TIME.md). |

Aegis не создаёт поддельные подписи ML-DSA, когда нативный бэкенд недоступен. Он сообщает о недоступности бэкенда и требует явной реальной политики отката. Результат замера времени с `p > 0.05` означал бы лишь, что статистически значимая утечка не была обнаружена в рамках названного эксперимента; это не доказывало бы выполнение за константное время.

## Семантика обратного давления и сбоев

Долговременные доказательства — это инвариант горячего пути. При остановке хранилища или `fsync` путь запроса может блокироваться или отклоняться в соответствии с настроенными пределами; он не должен молча терять авторитетные доказательства. Очередь обогащения может отклонять необязательную работу, но политика очереди не может превратить управляемый принятый ответ в незаписанный ответ.

Детерминированный каркас внедрения сбоев:```bash
PYTHONPATH=. .venv/bin/python tools/benchmarks/run_backpressure_stall.py \
  --duration-s 0.25 --offered-rps 10000 --fsync-delay-ms 2 --max-workers 64 \
  --output evidence/backpressure_stall_report.json