Une décision.Cinq portes.Jamais les clés.

Les agents de sécurité savent déjà proposer un confinement : isoler un poste, retirer un nœud, couper un accès. La question n'est plus « peut-il le faire ? » mais « qui l'a autorisé, sur quelle preuve, et comment revient-on en arrière ? »

Aujourd'hui, la réponse est un journal que seul l'éditeur sait lire. AEGIS remplace cette réponse par une transaction : une décision prise par du code déterministe, scellée, et un reçu que vous vérifiez chez vous.

Une session AEGIS est une transaction. Elle commence par une mission et finit par un reçu ; entre les deux, chaque porte ne s'ouvre que si la précédente est refermée.

1. Cadrer. Un opérateur signe une mission : la liste fermée des actions permises, le périmètre, l'échéance, le budget de risque. Toute action absente de la liste est refusée à la frontière, avant même d'être examinée.
2. Prouver. L'IA justifie l'action avec des constats, jamais avec son avis. Il en faut deux, issus de domaines de panne différents : un capteur et sa copie ne comptent pas double.
3. Valider. Un humain approuve. Puis le noyau relit la règle et l'état exact de la cible, et une seconde évaluation indépendante doit dire la même chose.
4. Agir. Un exécuteur dédié, avec des droits minimaux, reçoit un jeton à usage unique lié à l'état examiné. Un exécuteur ne peut recevoir que les actions qui lui sont destinées.
5. Rétablir. Le retour est une obligation persistée. Elle est tentée, retentée dans des bornes fixées, puis remontée à un humain si elle échoue encore.

Deux actions, et pas une de plus

Isoler temporairement une charge de travail, ou retirer temporairement un nœud de l'ordonnancement. Pas de suppression, pas de chiffrement, pas de blocage de compte : c'est le produit, pas une limite provisoire. Chacune de ces deux actions a son contrat de réversibilité, écrit avant qu'elle existe.

Pourquoi une seconde implémentation

Le vérificateur en Rust ne partage aucune ligne avec AEGIS et décode les enveloppes avec des bibliothèques tierces. Si nos encodeurs se trompaient, il le dirait. « Faites-nous confiance » est la phrase que le produit refuse de prononcer.

• Chaque test est éprouvé par mutation. On retire la protection qu'il garde, et il doit tomber. Plusieurs ne tombaient pas à la première écriture ; c'est ce qui a été corrigé.
• Chaque encodeur écrit à la main est relu par autre chose qu'AEGIS. Le corpus de la RFC 8949, le vérificateur Rust, et cinq enveloppes falsifiées qui doivent être refusées.
• Le modèle formel (Quint, vérifié par Apalache) explore les entrelacements : pannes, état périmé, arrêt d'urgence. Les traces réelles sont rejouées contre lui.
• Un agent adverse, en HTTP, avec une simple identité d'opérateur, tente dix-huit routes. Le contrôle positif passe d'abord : un tableau de refus produit par un harnais qui n'atteint jamais le produit ne vaut rien.
• Ce site lui-même est assemblé depuis le dépôt. Tout lien interne cassé fait échouer la publication ; toute page sans la ligne « démonstrateur » aussi. Le reçu en bas de page est le sien.

Le détail, avec les commandes qui reproduisent chaque chiffre, est dans les documents et le changelog.

• Aucun audit indépendant. Les méthodes de la pièce 04 prouvent la cohérence interne et la conformité aux spécifications. Elles ne remplacent pas un évaluateur tiers, qui n'est pas passé.
• Aucun système de production. Deux actions qualifiées sur un cluster jetable ; aucune sur un cluster réel. La démonstration tourne dans un simulateur local.
• Le dépôt est privé. Les liens vers le code et les artefacts de release renvoient 404 sans accès en lecture. Rien dans la vérification ne demande de faire confiance à AEGIS, mais aujourd'hui il faut un accès pour la lancer.
• Le reçu d'inclusion n'est pas au format IETF standard. Voir la pièce 03. Le jour où il le sera, cette ligne disparaîtra, et le changelog dira quand.

Le document de conformité dit, obligation par obligation, quel artefact d'AEGIS constitue un élément de preuve, et lesquelles ne sont pas couvertes. Il ne dit jamais « conforme ».

1. Regardez la démonstration. Une transaction réelle, rejouée porte par porte, chaque valeur issue d'une exécution capturée. Ouvrir la démonstration.
2. Lisez la version sans prérequis. Ce qu'AEGIS fait, ce qu'il refuse, et pour qui, avec des schémas. Lire.
3. Vérifiez un reçu vous-même. Le vérificateur indépendant, le corpus et le manifeste. Il faut aujourd'hui un accès au dépôt. Comment faire.
4. Parlez-nous. Le cadrage, le marché et le calendrier réglementaire sont dans le dossier complet sur byss-group.com.

Si vous avez lu jusqu'ici, vous venez de faire ce qu'AEGIS demande à une IA : passer les portes dans l'ordre, sans en sauter une.