Tous les éditeurs affirment que leur agent respecte vos permissions. Demandez comment. Trop souvent, la réponse est un paragraphe dans le system prompt : ne pas divulguer les salaires, ne pas révéler les prix fournisseurs. Ce paragraphe est une instruction, et l’utilisateur en face peut lui aussi taper des instructions.
Un prompt est une demande, pas un droit
Le system prompt et la question de l’utilisateur arrivent au modèle par le même canal. La politique est une phrase, l’attaque est une phrase, et la plus persuasive l’emporte. Un meilleur modèle ne règle rien : suivre les instructions est précisément ce pour quoi il est conçu.
Un droit fonctionne autrement. Un champ est visible pour une personne donnée ou il ne l’est pas, et l’institution l’a décidé avant la question, par son annuaire, ses habilitations, ses contrats. Un agent qui porte une paraphrase de ces règles dans son prompt applique la loi de mémoire.
Les guardrails agissent après la lecture
La deuxième réponse courante est un guardrail : un filtre qui inspecte la sortie de l’agent et retire ce qui ne doit pas sortir. À ce stade, la donnée a déjà été lue et exploitée. Le guardrail décide seulement si elle sera mentionnée, et il décide sur une probabilité.
Un droit s’applique avant la lecture. Ce qui entre dans le contexte de l’agent est la vraie question de sécurité. Une organisation incapable de dire ce que son agent a lu ne peut pas le défendre devant un régulateur ou un tribunal.[1] [2]
Un périmètre n’a que deux positions
La troisième réponse est le périmètre réseau : faire tourner l’agent à l’intérieur, lui donner un compte de service, compter sur les murs. Un périmètre offre deux positions, tout ou rien, et c’est pourquoi si peu de choses sont partagées.[3]
Beaucoup de situations exigent plus de finesse. Un maître d’œuvre et son sous-traitant, une banque et son régulateur ont besoin des mêmes faits à des profondeurs différentes. Gouverner l’accès au niveau de chaque champ et de chaque relation permet à un seul modèle de servir les deux, en montrant à chacun exactement ce qu’il a le droit de voir. Un périmètre oblige à copier la donnée, à dégrader la copie et à perdre le lien entre les deux versions.[3:1]
L’agrégation pose le même problème. Deux faits non classifiés peuvent se combiner en un fait classifié : la position d’une flotte et sa disponibilité sont chacune partageables, ensemble elles ne le sont pas. La classification porte sur la relation, et un périmètre n’a nulle part où l’inscrire.[3:2]
Un log n’est pas une permission
Les logs d’audit sont nécessaires : un enregistrement infalsifiable de chaque entrée, appel au modèle, exécution d’outil et sortie. Mais un log enregistre ce qui a été lu. Il ne décide pas de ce qui peut l’être, et quand l’entrée existe, la réponse est déjà à l’écran.
Un usage licite de l’IA exige trois choses : chaque requête journalisée, chaque accès limité à une finalité, chaque action imputable à une personne nommée.[4] Le log couvre la première. La deuxième suppose des droits qui existent avant la requête. La troisième suppose une personne, pas un compte de service.
Notre position
Galahad ne traite pas un system prompt comme une politique d’accès, un guardrail comme un substitut aux droits, ni un périmètre comme de la gouvernance.
Dans Monarch, les droits d’accès sont imposés par la base de données, et chaque déploiement sert une seule organisation.[5] L’agent hérite des décisions de l’institution. Il n’en porte pas une copie.
Les questions à poser à un éditeur
Posez-les avant que l’agent ne soit connecté à quoi que ce soit.
- Où est écrite la règle qui dit qui peut voir ce champ : dans le prompt, dans l’application, ou dans votre propre système d’accès ?
- Si je retire un droit à un utilisateur dans mon annuaire, la prochaine réponse de l’agent change-t-elle sans que personne ne modifie un prompt ?
- Deux personnes d’habilitations différentes peuvent-elles poser la même question au même modèle et obtenir chacune une réponse correcte ?
- Que se passe-t-il quand deux faits qu’un utilisateur peut voir séparément se combinent en un fait qu’il ne peut pas voir ?
- Montrez-moi le log de la dernière requête, et la règle qui l’a autorisée.
- Qui est nommé sur chaque accès : la personne, ou le compte de service de l’agent ?
Un éditeur dont les réponses renvoient à des droits tenus hors du modèle a construit quelque chose qu’une organisation régulée peut défendre.
Monarch applique la sécurité et la gouvernance jusqu’au champ, dans votre infrastructure, sous vos comptes et vos clés. Voyez-le sur vos données.