La slide dit que l’agent respecte vos permissions. Demandez comment. La réponse, plus souvent qu’un comité sécurité ne le voudrait, est un paragraphe dans le system prompt : ne divulgue pas les salaires, ne révèle pas le prix du fournisseur. Un paragraphe est une instruction. La personne de l’autre côté de l’agent tape des instructions elle aussi, et elle a tout l’après-midi.
Un prompt est une demande, pas un droit
Un system prompt et la question d’un utilisateur passent par le même canal et sont lus par la même machine. La politique est une phrase ; l’attaque est une phrase ; la plus persuasive l’emporte. Un meilleur modèle ne corrigera pas cela, parce qu’un modèle qui suit bien les instructions est exactement ce qui a été commandé. Un droit est d’une autre nature. Le champ est visible pour cette personne ou il ne l’est pas, et l’institution a tranché avant la question.
Qui voit quoi est un fait institutionnel. Il a été fixé par un annuaire, une habilitation, un contrat, une lettre du régulateur. Un agent qui porte une paraphrase de ce fait dans son prompt a reçu un résumé de la loi et l’ordre de l’appliquer de mémoire.
Les guardrails filtrent la réponse après la lecture
La deuxième réponse est un guardrail : un filtre qui inspecte la sortie de l’agent et retire ce qui ne doit pas sortir. La donnée a été récupérée, placée dans le contexte, raisonnée, et seulement ensuite examinée à la porte. Le salaire était dans la pièce. Le guardrail décide s’il est mentionné, sur un motif, c’est-à-dire sur une probabilité.
Un droit opère avant la lecture. Ce qui entre dans le contexte est la question de sécurité ; ce qui en sort est une politesse. Une organisation qui ne peut pas dire ce que son agent a lu ne peut pas défendre l’agent, et une organisation qui ne peut pas être lue ne peut pas être défendue.[1] La propriété d’un actif informationnel se mesure à un seul test : peut-on lui poser une question et obtenir une réponse que son propriétaire défendrait devant un régulateur, un tribunal, ou un ministre qui a déjà lu le journal.[2] « Le guardrail l’attrape en général » n’est pas cette réponse.
Deux réglages ne font pas une politique
La troisième réponse est un périmètre. Mettez l’agent dans le réseau, donnez-lui le compte de service, et comptez sur les murs. La sécurité périmétrique offre deux réglages, tout ou rien, et c’est pourquoi rien n’est jamais partagé.[3]
Regardez qui a besoin du même fait à des profondeurs différentes. Le maître d’œuvre et son sous-traitant. La banque et son régulateur. Une gouvernance au niveau du champ et de la relation permet à un seul modèle de servir un officier habilité et un sous-traitant qui ne l’est pas, en montrant à chacun exactement ce qu’il a le droit de voir et en s’arrêtant là. Un périmètre doit dupliquer la donnée vers le bas, la dégrader en la copiant, et rompre le lien entre les deux versions.[3:1]
Puis l’agrégation. Deux faits non classifiés se combinent en un fait classifié : la position d’une flotte et sa disponibilité sont chacune partageables et ne le sont pas ensemble. La classification s’attache à la relation, et un système qui gouverne au périmètre n’a nulle part où l’écrire.[3:2] La formule du fondateur pour l’alternative est exacte : sécurité et gouvernance appliquées jusqu’à la cellule.
Un log n’est pas une permission
La réponse actuelle de l’industrie est la piste d’audit : un enregistrement chronologique et inviolable de chaque entrée, appel au modèle, exécution d’outil et sortie qu’un agent a produits. Gardez le log ; il est nécessaire. C’est aussi un enregistrement de ce qui a été lu, et un enregistrement ne peut pas décider si quelque chose pouvait l’être. Quand la ligne existe, la réponse est déjà à l’écran.
La phrase du manifeste sur la capacité légale a trois membres : chaque requête journalisée, chaque accès borné à une finalité, chaque action imputable à un officier nommé.[4] Le log est le premier membre. Le deuxième est un droit qui existait avant la requête. Le troisième est une personne, pas un compte de service. Un fournisseur qui livre le premier et l’appelle gouvernance a livré un tiers de la phrase.
Ce que Galahad refuse
Un system prompt comme politique d’accès. Des guardrails à la place de droits. Un périmètre à deux réglages, tout ou rien. Le premier se discute, le deuxième arrive après la lecture, et le troisième ne sait pas dire moins que tout.
La page entreprise le dit en une ligne : qui peut voir quoi est appliqué par la base de données elle-même, jamais par un code applicatif qu’on pourrait contourner, et un déploiement sert une organisation.[5] L’agent hérite de la décision de l’institution. Il n’en porte pas une copie.
Les questions à poser à un fournisseur
Posez-les avant de connecter l’agent.
- Où est écrite la règle de qui peut voir ce champ : dans le prompt, dans l’application, ou dans le système d’accès de l’institution ?
- Si je révoque un droit dans mon annuaire, la prochaine réponse de l’agent change-t-elle sans que personne touche à un prompt ?
- Deux personnes d’habilitations différentes peuvent-elles poser la même question au même modèle et recevoir chacune une réponse juste ?
- Que se passe-t-il quand deux faits qu’un utilisateur peut voir séparément se combinent en un fait qui lui est interdit ?
- Montrez-moi le log de la dernière requête, et montrez-moi la règle qui l’a laissée s’exécuter.
- Qui est nommé sur chaque accès : la personne, ou le compte de service sous lequel l’agent tourne ?
Un fournisseur qui répond par des droits qui existent hors du modèle a construit ce qu’une organisation régulée peut défendre. Un fournisseur qui répond par un paragraphe a construit une demande.
Monarch applique la sécurité et la gouvernance jusqu’à la cellule, dans votre infrastructure, sous vos comptes et vos clés. Voyez-le sur vos données.