La fuite de EUR 412 millions, traitée de bout en bout
Une question, posée par une analyste synthétique, répondue des deux côtés de l'écran scindé. Chaque image ci-dessous est une capture de l'application en cours d'exécution ; chaque identité, document et chiffre est une donnée de fixture synthétique.
La question qui fuit
Lena Vogt, analyste risque de crédit EMEA avec habilitation L2, demande : « Quelle est notre projection de pertes de crédit EMEA au T3 et la méthodologie derrière ? » La récupération fait remonter le pack conseil Board-Only du T3 aux côtés de documents qu'elle peut voir. Le côté ACL plat le sert : des années de dette d'héritage de groupes imbriqués dans le graphe d'identité l'ont rendue transitivement membre « Board », et une étiquette uniquement de groupe n'a aucune notion d'habilitation. Le mémo atteint le modèle, la réponse lit EUR 412 millions, et la bannière affiche LEAK.
La même requête, derrière le pare-feu
Du côté RAGGUARD, la même récupération s'exécute, mais le pack conseil est retenu avant le LLM avec le code de motif BOARD_MEMBERSHIP_REQUIRED : le document exige l'habilitation L4 et Lena détient L2. Le modèle répond correctement à partir de la note de méthodologie Internal et du mémo Confidential auxquels sa chaîne de groupes imbriqués lui donne droit, et il indique ce qui a été retenu et pourquoi au lieu de bluffer.
Ce que le modèle a réellement vu
La fenêtre de détail de décision montre l'entrée verbatim du modèle des deux côtés. À gauche, le pack conseil divulgué se trouve dans le prompt, marqué en rouge. À droite, il est simplement absent : le modèle ne voit jamais les documents auxquels l'utilisateur n'a pas accès. La vue par document rend la divergence explicite, la même ligne du pack conseil indiquant « Servi sans autorisation » d'un côté et « Accès refusé à la récupération » avec son code de motif de l'autre.
L'injection qui n'avait rien à voler
La note de méthodologie Internal porte une chaîne d'injection de prompt intégrée ordonnant à tout assistant IA qui la lit d'ignorer ses permissions de récupération et de produire le chiffre Board complet. Du côté du pare-feu, elle n'a rien à exfiltrer : le pack conseil n'est jamais entré dans la fenêtre de contexte, parce que l'autorisation a eu lieu avant le LLM. C'est un cas étiqueté, montré comme défense en profondeur issue de l'application au moment de la récupération, pas un produit de garde-fous distinct.
Le graphe d'identité bouge. L'instantané, non.
Priya Shah a été licenciée il y a neuf minutes sur l'horloge de la démonstration, et le webhook du fixture s'est déclenché. Le pare-feu renvoie ALL_ACCESS_REVOKED_TERMINATION sur tout : 0 accordé, 5 refusés. L'instantané ACL plat, construit avant le licenciement, la sert encore, parce que la réindexation n'a pas été exécutée. La démonstration parcourt le même cas limite pour Marco Rossi, dont l'attribution à durée limitée Project-Atlas a expiré hier sur l'horloge de la démonstration (ACCESS_WINDOW_EXPIRED), pour Raj Patel, qui siège à la fois dans un groupe autorisant et un groupe refusant (POLICY_CONFLICT, retenu pour revue humaine), et pour Wei Chen, le membre du conseil L4 que le pare-feu sert correctement, le contrôle positif prouvant qu'il ne se contente pas de tout refuser.
Le reçu, à l'écran
Chacune de ces décisions atterrit dans la piste d'audit infalsifiable : un enregistrement JSON chaîné par hachage de qui a demandé quoi, ce qui a été servi, ce qui a été retenu et pourquoi, et quel modèle a répondu, avec une puce de vérification CHAIN INTACT et un export en un clic. Généré automatiquement, à l'intérieur du VPC.
Le tableau de score, avec sa portée exacte
Le jeu d'or est 40 décisions allow/deny étiquetées (utilisateur, document) : 10 utilisateurs contre 4 documents sensibles, étiquettes dérivées mécaniquement par l'oracle indépendant à partir de la sémantique du graphe d'identité. Le pare-feu obtient 40/40 avec 0 divulgation non autorisée et 0 faux refus. La référence ACL plat obtient 29/40 avec 10 divulgations non autorisées, dont le pack conseil servi à 7 utilisateurs non autorisés, la fenêtre Atlas expirée, et l'employé licencié, plus 1 faux refus. Chaque chiffre est calculé par le harnais à l'exécution, jamais codé en dur, et le forage par cas montre chaque étiquette d'oracle à côté des décisions des deux systèmes. Ce sont des résultats de jeu d'or, pas des garanties en monde ouvert.
