LA COUCHE DE CONTRÔLE DE LA PRISE DE DÉCISION DES AGENTS IA

Stoppez la prompt injection avant qu’elle ne devienne action.

Vos agents détiennent des identifiants et lisent le web ouvert. Nous surveillons leur état cognitif — pas leurs phrases — et bloquons la compromission en plein calcul, sans popup de validation et sans les ralentir.

Demander un briefing →Programme partenaires pilotes

CLAUDE / GPT / LLAMAAUCUN POPUP DE VALIDATIONFORENSIC PAR DÉFAUT

FIG. A · CONTROL PLANEOPAQUE

Φ = σ(Σ wᵢ·φᵢ + Σ wᵢⱼ·φᵢ·φⱼ + b)

FIG. 01 · ENVELOPPE DE PROTECTION

AGNOSTIQUE DU MODÈLEINTÉGRITÉ COGNITIVEFORENSIC BY CONSTRUCTIONEU AI ACT · ARTICLE 12CONTROL PLANE POUR AGENTSPROTOCOLE OUVERTZERO POPUPSSOUS 50 MSSOCIÉTÉ SUISSEAGNOSTIQUE DU MODÈLEINTÉGRITÉ COGNITIVEFORENSIC BY CONSTRUCTIONEU AI ACT · ARTICLE 12CONTROL PLANE POUR AGENTSPROTOCOLE OUVERTZERO POPUPSSOUS 50 MSSOCIÉTÉ SUISSE

§01 LE PROBLÈME

Un agent muni d’identifiants légitimes, c’est une cible facile avec une portée réelle.

L’attaque ne vole aucun identifiant, n’élève aucun privilège et ne dépose aucun code. Elle place du langage naturel là où l’agent va le lire, puis formule une demande en apparence légitime. Les firewalls la laissent passer. Les logs semblent normaux. Le dommage se produit dans le périmètre déjà autorisé de l’agent.

SCÉNARIO · AGENT LOG

Un agent d’achats. Un mardi comme les autres.

UTILISATEURAnalyse la tarification de nos 10 principaux concurrents et envoie-moi une synthèse par e-mail.
AGENTRécupération de competitor-1.com / competitor-2.com / competitor-3.com…
SOURCEcompetitor-3.com contient 140 octets de texte brut dissimulés dans le DOM.
AGENTSelon la page que je viens de lire, j’ajoute nos identifiants AWS en annexe et mets compliance-audit@ en copie cachée…
AGENTAppel email.send(to=utilisateur, bcc=attaquant, body=<rapport+identifiants>)
UTILISATEURL’utilisateur reçoit son rapport. Rien ne paraît anormal. Aucun outil de sécurité ne s’est déclenché.

Cette classe d’attaque a été démontrée publiquement contre les principales plateformes d’agents entre 2024 et 2026. Des variantes prêtes à copier-coller circulent chaque semaine.

Aucun vol d’identifiants

L’agent les détient déjà. L’attaquant l’amène simplement à s’en servir.

Aucune élévation de privilèges

Chaque action reste dans le périmètre autorisé de l’agent. Les règles de sécurité passent.

Aucun code malveillant

Le payload est du langage naturel, grammaticalement normal, sémantiquement plausible.

Aucune signature classique

Chaque appel d’API réussit. Chaque ligne de log est propre. WAF, EDR, DLP, CASB : aveugles.

§02 APPROCHE

Nous observons le calcul interne — pas la conversation.

Tout détournement réussi doit modifier ce que le modèle calcule en interne. Ce calcul compromis se distingue d’un calcul sain. C’est le seul signal qu’un adversaire ne peut pas réécrire avec une meilleure tournure. Nous le lisons.

§01

Avant l’action

Les interventions se déclenchent avant l’exécution de l’outil. Les identifiants ne quittent jamais le disque. L’e-mail ne quitte jamais la file d’envoi.

§02

Autonomic

Aucun popup de validation. Les agents conservent leur autonomie. Le control plane décide et agit en millisecondes.

§03

Agnostique du modèle

Fonctionne avec Claude, GPT, Gemini, Llama, Qwen, Mistral. Une intégration, toutes les plateformes.

§04

Forensic

Chaque session produit une trace cognitive signée cryptographiquement — une preuve rejouable pour un régulateur.

VUE EN DIRECT · ABSTRAITE

Intégrité cognitive · session trace

TRACE DE SESSION

t=00Tâche reçue : analyser les concurrents, m’envoyer une synthèse par e-mail.

INTÉGRITÉ COGNITIVE

100/100

NOMINAL

Un score d’intégrité unique. Les rouages internes de la computation sont volontairement omis des vues publiques.

DÉTECTION

NON REQUISE

USER APPROVAL

AUCUNE

EVIDENCE

SIGNED · REPLAYABLE

LATENCE

< 50 MS P99

§03 POURQUOI LES STACKS EXISTANTES PASSENT À CÔTÉ

Les défenses de la couche conversation ne lisent pas un modèle compromis.

DIMENSION	Text firewalls	Permissions framework	SENTISEC
Ce qu’ils lisent	Texte en entrée/sortie	Listes d’outils autorisés	L’état cognitif du modèle
Quand ils décident	Après la sortie nuisible	Avant un périmètre non autorisé	Avant l’exécution, à l’intérieur du périmètre
Human-in-the-loop	Bloquer / masquer	Popups de validation	Aucun requis
Adversaire adaptatif	Contourné en quelques jours	Contourné par nuisance dans le périmètre	Doit tromper plusieurs signaux indépendants
Evidence produite	Une ligne de log	Une règle déclenchée	Une trace cognitive signée, chaînée par hash
Dépendance fournisseur	Par fournisseur	Par framework	Multi-fournisseur par construction

Ce qu’ils lisent

Text firewalls: Texte en entrée/sortie
Permissions framework: Listes d’outils autorisés
SENTISEC: L’état cognitif du modèle

Quand ils décident

Text firewalls: Après la sortie nuisible
Permissions framework: Avant un périmètre non autorisé
SENTISEC: Avant l’exécution, à l’intérieur du périmètre

Human-in-the-loop

Text firewalls: Bloquer / masquer
Permissions framework: Popups de validation
SENTISEC: Aucun requis

Adversaire adaptatif

Text firewalls: Contourné en quelques jours
Permissions framework: Contourné par nuisance dans le périmètre
SENTISEC: Doit tromper plusieurs signaux indépendants

Evidence produite

Text firewalls: Une ligne de log
Permissions framework: Une règle déclenchée
SENTISEC: Une trace cognitive signée, chaînée par hash

Dépendance fournisseur

Text firewalls: Par fournisseur
Permissions framework: Par framework
SENTISEC: Multi-fournisseur par construction

§04 INTÉGRATION

Deux lignes. Claude, GPT, Llama. Aucune réécriture de framework.

SDK Python ou TypeScript prêt à brancher. Ou pointez l’URL de base de votre LLM vers notre proxy : aucune modification de code. Déploiement en SaaS, VPC, on-prem, ou dans une enclave confidentielle.

SDK

< 5 MS

Latence minimale. Encapsule le client LLM.

Proxy

DROP-IN

Aucune modification de code. Pointez l’URL de base chez nous.

Enclave

HAUTE SEC

Attestée TEE. Pour charges de travail réglementées.

sentisec-sdk · python

01from sentisec import Monitor
02with Monitor(task=task, model=model):
03    agent.run(task)    # protégé

CLAUDE · GPT · GEMINI · LLAMA · QWEN · MISTRALSAAS · VPC · ON-PREM · TEE

§05 FORENSIC & CONFORMITÉ

Une trace cognitive rejouable par le régulateur. Chaque session. Par défaut.

EU AI Act · Article 12

Les systèmes d’IA à haut risque doivent journaliser leurs opérations de manière à rendre l’audit rétrospectif réalisable. Nos traces satisfont cette exigence par construction.

SOC 2 / ISO 27001

Evidence bundles chaînés par hash, résistants à l’altération, exportables vers Splunk, Datadog, Elastic, Sentinel ou un webhook générique.

Rejouable

Un auditeur peut avancer pas à pas dans une session et voir exactement où l’état cognitif a divergé de l’intention utilisateur, et quelle action a été interrompue.

FIG. B · FORENSIC BUNDLE · MANIFESTE TYPEHASH-CHAINED

{
  "bundle_id":    "sntsc-a7f3-92d1",
  "session_id":   "sess-2026-0412-1439Z",
  "sealed_at":    "2026-04-12T14:41:08.221Z",
  "model":        "**-REDACTED-**",
  "task_hash":    "sha256:8f1a…c2d0",
  "provenance_manifest": "**-REDACTED-**",
  "verdicts": [
    { "t": "t+6.04s", "level": "ELEVATED" },
    { "t": "t+6.11s", "level": "HALT", "action": "**-REDACTED-**" }
  ],
  "integrity_curve_ref": "s3://sntsc-forensics/curves/a7f3-92d1.bin",
  "signature":    "ed25519:…",
  "chain_prev":   "sha256:c118…e4a9",
  "replay_uri":   "sntsc://replay/sntsc-a7f3-92d1"
}

§06 POURQUOI MAINTENANT

Trois courbes. Toutes inclinées dans le même sens.

ADOPTION DES AGENTS

En 2025, les budgets agents sont passés du pilote au budget opérationnel. La base installée croît plus vite que lors des précédentes vagues IA.

SURFACE D’INCIDENTS

La prompt injection indirecte est passée d’une curiosité académique en 2023 à une classe d’attaque partagée, copiée et exploitée chaque semaine en 2026.

RÉGULATION

EU AI Act, NIST AI RMF, gouvernance IA sectorielle : tous convergent vers des obligations de journalisation opérationnelle qu’aucun outil actuel ne couvre correctement.

§07 LIGNÉE DE RECHERCHE

Chaque primitive que nous utilisons est publiée. Personne ne les a composées pour ce problème.

Sentisec s’appuie sur près de vingt ans de recherche à travers quatre domaines. Notre avantage, c’est la composition, l’engineering et l’opération threat-intel autour — pas une idée unique non éprouvée.

Interprétabilité mécaniste

Anthropic, Goodfire, Transluce, laboratoires académiques (2020–2026)

Information flow control

Myers, Asbestos, HiStar, CaMeL (1999–2024)

Sécurité par capacités

Dennis & Van Horn, Miller, Macaroons (1966–2014)

Intégrité du flot de contrôle

Abadi et al. 2005 et la lignée shadow-stack

Analyse par canaux auxiliaires

Kocher, Bernstein, et la lignée hardware-security

Détection d’anomalies comportementales

Denning 1987 et après, EDR moderne

ML adversarial

Carlini & Wagner, Metzen, 2017–2026

~20 PEER-REVIEWED PRIMITIVES · UN PROBLÈME NOUVEAU

COMPOSITION · OPERATIONALIZATION · THREAT-INTEL

§08 NOUS CONTACTER

Si vous déployez des agents qui touchent à de vrais systèmes, parlons-nous.

Nous intégrons cinq partenaires pilotes avant la fin du T2 2027. Priorité : industries réglementées (finance, santé, gouvernement) et agents d’ingénierie à fort enjeu (code, infra, data). Les briefings se tiennent à distance ou dans nos bureaux à Lausanne.

Demander un briefing →Recevoir le whitepaper (NDA)