Théorie d'Action Finality

Ce document formule les idées de recherche du prototype. Ce sont des hypothèses d'ingénierie rendues falsifiables par des invariants et des tests, pas des théorèmes académiques publiés.

1. L'autorité est une quantité conservée

Une délégation sûre ne « donne pas confiance » à un agent. Elle transforme une autorité par atténuation monotone :

A_enfant = A_parent ∩ action ∩ cible ∩ temps ∩ audience − coût_risque

Aucune conversation, confiance calculée ou nouvelle copie de données ne peut augmenter A_enfant. Une capacité est affine : elle peut être consommée zéro ou une fois, jamais dupliquée.

2. L'autorisation seule n'est pas la finalité

Pour une action à effet, allow est un état intermédiaire. La transaction n'atteint la finalité sûre que si, avant mutation :

Finalité = Autorité valide
         + État préparé encore frais
         + Effet borné admissible
         + Obligation de récupération durable
         + Preuve vérifiable à la frontière d'effet

Cette définition explique pourquoi un simple guardrail de tool call ou un log après coup est insuffisant. Le workflow de restauration n'est pas une commodité opérationnelle ; il fait partie de l'autorisation.

3. La corroboration est causale, pas numérique

Deux agents lisant la même alerte ne produisent pas deux preuves indépendantes. Le quorum pertinent porte sur les domaines de compromission amont. AEGIS compte donc faultDomain, dérivé par une autorité de configuration, et non les IDs ou labels fournis par les collecteurs.

Conséquence : une « discussion entre agents » peut améliorer l'exploration, mais n'augmente jamais à elle seule l'autorité ni le niveau de corroboration.

4. Deux horloges, deux formes de vérité

• La fenêtre d'autorité dit pendant combien de temps une décision peut être présentée.
• La fenêtre d'état dit pendant combien de temps l'observation de la cible reste exploitable.

La validité effective est le minimum des deux. Une autorisation encore valide portant un état périmé doit être refusée.

5. La réversibilité est un vecteur, pas un booléen

Restaurer une configuration ne restaure pas les connexions terminées, le trafic perdu ni une fuite antérieure. Le contrat sépare : configuration réversible, effets compensables, effets irréversibles et stratégie face aux changements concurrents. Un actionneur autonome initial doit avoir un vecteur irréversible nul ou explicitement accepté par une autorité humaine séparée.

6. Une preuve doit survivre au raisonnement

Le raisonnement agentique est volatil et potentiellement hostile. La preuve utile est compacte, déterministe et recalculable : mission, intention, engagements de preuve, décision, état, autorité, restauration et signatures. Le vérificateur n'a pas besoin du prompt, de la mémoire ou du débat qui a mené à la proposition.

7. L'assurance est dynamique et négative

Un dossier d'assurance honnête énumère aussi ce qui manque. Avant reçu, il prouve une autorisation ; après reçu exécuteur, il rapporte un effet ; sans observateur indépendant, il ne prétend pas que cet effet est attesté. Les assumptions portent chacune une expiration et une condition d'invalidation.

Hypothèses à tester ensuite

1. Un protocole de finalité réduit mieux les actions dangereuses qu'un filtre de tool calls à faux-positifs égal.
2. Les quorums de domaines de faute résistent mieux au provenance laundering que les quorums par source/agent.
3. Une preuve admise par la cible détecte les bypass qu'un PEP applicatif seul ne voit pas.
4. La pré-validation d'une restauration réduit le temps moyen d'escalade sous panne, sans augmenter le taux d'écrasement d'état concurrent.
5. L'affichage des risques résiduels améliore la qualité de validation humaine par rapport à un score de confiance agrégé.