Ce qu'un Trust Ledger à altération détectable prouve réellement

Il existe un écart réel entre gouverné et prouvable. Un système gouverné prend les bonnes décisions sur le moment. Un système prouvable peut démontrer, après coup, à un tiers qui ne vous fait pas confiance, que ces décisions ont bien été prises et n'ont pas été modifiées depuis. Le Trust Ledger est la couche qui fait passer Cortex du premier au second — et l'expression « à altération détectable » recouvre un sens précis et testable qu'il vaut la peine de fixer.

« À altération détectable » n'est pas « infalsifiable »

Soyons précis : rien n'empêche un opérateur suffisamment privilégié de modifier une ligne dans une base de données. « Infalsifiable » est une affirmation que presque personne ne peut faire honnêtement. « À altération détectable » est la propriété atteignable et la plus utile — toute insertion, modification, suppression ou réorganisation devient détectable. Vous ne pourrez peut-être pas empêcher chaque changement, mais vous pouvez prouver qu'il a eu lieu ou non.

Cortex y parvient avec une chaîne de hachage. Chaque enregistrement d'audit porte le hash de l'enregistrement précédent, si bien que les enregistrements forment une séquence où chaque maillon dépend de tous ceux qui le précèdent. Modifiez un enregistrement et son hash change ; cela rompt le lien avec l'enregistrement suivant, et la rupture se propage à toute la chaîne.

// chaque enregistrement s'engage sur le précédent
recordHash = sha256( canonicalize({
  seq, prevHash, tenantId, eventType, payloadHash, occurredAt
}) );

// verifyChain recalcule chaque hash et les compare
verifyChain(records)
  -> { ok: false, brokenAtSeq: 4471,
       reason: "record hash mismatch" }

Ce que la chaîne prouve

Exécutez verifyChain sur une plage et vous obtenez un verdict unique et honnête : soit la chaîne est intacte, soit elle est rompue à un numéro de séquence précis. Voilà ce que le registre prouve réellement :

• Exhaustivité — les numéros de séquence sont monotones par tenant, si bien qu'un enregistrement manquant laisse un trou détectable. Vous pouvez prouver que rien n'a été supprimé discrètement.
• Intégrité — le hash de chaque enregistrement est recalculé et comparé, si bien que toute modification apparaît comme une divergence au numéro de séquence exact où elle s'est produite.
• Ordre — parce que chaque enregistrement s'engage sur son prédécesseur, les enregistrements ne peuvent pas être réordonnés sans rompre la chaîne.
• Authenticité — chaque issue gouvernée émet également un reçu signé compact qu'un tiers peut vérifier hors ligne, indépendamment de vos systèmes en production.

Le registre ne vous demande pas de croire que l'enregistrement est honnête. Il permet à quiconque — un auditeur, un régulateur, vous-même dans six mois — de le recalculer et de le vérifier.

Provenance : d'un fait jusqu'à sa source

L'intégrité du journal n'est que la moitié de l'histoire ; l'autre moitié est la provenance — savoir d'où vient un fait. Cortex assemble une chaîne de lignée tout au long de l'exécution : Human, Agent, Skill, Prompt, Policy, Model, Tool, Artifact, Outcome, Approval. Par-dessus, la provenance au niveau du datapoint épingle chaque chiffre remonté à son document source, à sa page et à sa zone de délimitation, avec un hash de valeur prouvant que le chiffre n'a pas été modifié après extraction. Lorsqu'un agent avance un chiffre, vous pouvez cliquer directement jusqu'à la page dont il provient.

Pourquoi prouvable vaut mieux que gouverné

Le bénéfice concret apparaît le jour où quelqu'un conteste une décision. Un système seulement gouverné demande au contestataire de vous croire sur parole. Un système prouvable lui remet un enregistrement scellé qu'il peut vérifier lui-même — les verdicts des huit verrous qui se sont déclenchés, l'approbateur qui a validé, la source d'où venait le chiffre — produit comme sous-produit de l'exécution, et non assemblé à la hâte après coup.

C'est tout l'intérêt de produire les preuves par construction. Les systèmes honnêtes n'affirment pas qu'ils se sont bien comportés ; ils rendent la vérification peu coûteuse pour un sceptique. Un registre à altération détectable, c'est ce qui transforme « croyez-nous » en « vérifiez vous-même ».