Sécurité d'entreprise dès la conception
EDDI élimine des classes entières de vulnérabilités de sécurité par conception. Il n'y a aucun eval(), aucun bloc d'exécution de code et aucune injection dynamique de code, le comportement de l'agent est défini uniquement par configuration JSON déclarative.
Pourquoi c'est important maintenant
L'écosystème des agents IA est sous une pression sécuritaire sans précédent. Début 2026, des centaines de vulnérabilités critiques ont été documentées publiquement dans les principaux frameworks d'agents open-source, y compris des failles d'exécution de code à distance CVSS 10.0, des évasions de sandbox et des contournements d'autorisation. La cause principale dans la plupart des cas : des plateformes qui exécutent du code fourni par l'utilisateur ou généré dynamiquement à l'exécution.
La Cloud Security Alliance a identifié un "Vide de Divulgation des Agents IA" systémique.
La défense architecturale d'EDDI
Plutôt que d'essayer d'isoler l'exécution de code, EDDI élimine entièrement la surface d'attaque. Le comportement des agents est défini uniquement par configuration JSON déclarative.
Fonctionnalités de sécurité
- Zéro eval(), Aucune exécution dynamique de code d'aucune sorte. La logique des agents est uniquement du JSON déclaratif
- OIDC/Keycloak, Authentification et autorisation d'entreprise avec rôles RBAC (admin, éditeur, lecteur) et un rôle d'approbateur dédié
- Espaces de travail par utilisateur, Chaque ressource de configuration a un propriétaire, un espace personnel ou d'équipe et un partage explicite au niveau utilisation, lecture, modification ou propriété
- Connections, Un modèle unique d'identifiants pour les appels sortants, des clés à l'échelle de l'organisation et des comptes de service OAuth2 jusqu'au propre compte OAuth de chaque utilisateur ou à un identifiant fourni par le système appelant à chaque requête. Les secrets sont toujours des références vault
- Garde-fous sur les résultats d'outils, Chaque résultat d'outil porte sa provenance, et tout texte qu'il contient formulé comme une instruction est marqué, expurgé, assorti d'un avertissement ou bloqué avant que le modèle n'agisse en conséquence
- Secrets Vault, Chiffrement enveloppe AES-256-GCM pour les clés API avec nettoyage automatique des secrets à l'export
- Protection contre le path traversal, Validation des entrées à chaque frontière pour prévenir les attaques par échappement de répertoire
- Protection SSRF, Validation d'URL et liste d'autorisation de domaines contre la falsification de requêtes côté serveur, et les endpoints de métadonnées cloud sont refusés pour les cibles d'appels HTTP, MCP et A2A, y compris via la résolution DNS et les redirections
- Pistes d'audit cryptographiques, Journaux d'opérations signés HMAC-SHA256, inviolables, avec signature cryptographique par agent
- Prêt pour l'AI Act européen, Fonctionnalités de gouvernance intégrées pour la conformité réglementaire
- Masquage des secrets, Filtre automatisé qui supprime les clés API, les références vault et les données sensibles de toutes les entrées d'audit
- Journalisation sûre pour les PII, Les opérations RGPD journalisent des pseudonymes SHA-256, jamais d'identifiants utilisateur bruts
- Sigstore Cosign, Signature d'images conteneur OIDC sans clé, vérification cryptographique que chaque image Docker a été construite par la CI officielle
- Image de base renforcée, Runtime Red Hat UBI 10 épinglé par digest, publié dans le catalogue certifié Red Hat
- Valeurs de contexte secrètes, Un appelant peut remettre à un agent un identifiant utilisable pendant un seul tour, qui n'est jamais stocké ni renvoyé
- Templates d'exécution restreints, Les templates construits à partir de données d'exécution sont rendus par un moteur restreint, sans accès à la configuration ni aux beans et avec des limites par rendu, et les saisies utilisateur sont toujours substituées comme données, jamais analysées comme template
Pipeline de Sécurité Automatisée
Chaque modification passe par un outillage de sécurité automatisé, chaque GitHub Action étant épinglée par SHA pour prévenir les attaques de chaîne d'approvisionnement :
- CodeQL, Analyse SAST sémantique avec requêtes
security-extended - Trivy, Scan CVE des dépendances et images Docker (bloquant sur CRITICAL/HIGH)
- Gitleaks, Scan de l'historique Git pour prévenir les fuites de secrets et identifiants
- Dependency Review, Les nouvelles dépendances présentant des vulnérabilités connues sont signalées sur la pull request qui les ajoute
- CycloneDX, Génération SBOM pour la transparence de la chaîne d'approvisionnement
- ClusterFuzzLite avec Jazzer, Tests de fuzzing guidés par la couverture pour les parseurs critiques de sécurité
- OpenSSF Scorecard, Évaluation continue des pratiques de sécurité de la chaîne d'approvisionnement du dépôt
Pourquoi les règles doivent rester hors du modèle
L'injection de prompt est l'attaque qui compte pour les agents dotés d'outils. Dans un benchmark d'agents utilisant des outils, des instructions cachées dans des tickets et des logs ont conduit les agents à des actions dangereuses dans 82,5% des cas en l'absence de défense. Les défenses au niveau du prompt laissaient encore 10 à 26% d'actions dangereuses ; seul un contrôle de politique appliqué au moment de l'appel d'outil est descendu à zéro tout en laissant passer les modifications approuvées. C'est pourquoi EDDI applique ses règles dans le moteur, à la frontière des outils, là où un texte injecté ne peut pas argumenter pour les contourner. La page des preuves recense les études.
Journal de durcissement
Le travail de sécurité est continu, et nous publions ce qu'il met au jour. Campagnes récentes :
- Septembre 2026 (6.5.0), Une campagne de revue d'une trentaine de correctifs portant sur l'injection de templates, le SSRF des appels sortants, la gestion des clés du vault, la portée des secrets, les autorisations des espaces de travail, l'identité des canaux et l'interface de sécurité du Manager, chacun avec un test de non-régression
- Août 2026 (6.3.0, 6.4.0), Identifiants sortants unifiés sous Connections, résultats d'outils porteurs de leur provenance avec masquage du texte ayant la forme d'une directive, et application des autorisations du vault accordées aux agents
- Juillet 2026 (6.2.0), Caches de résultats d'outils cloisonnés par identité, secrets masqués dans la trace d'outils en direct, et comparaison HMAC d'audit en temps constant
Intégration gouvernance et conformité
Les capacités de sécurité alimentent directement le cadre de conformité d'EDDI. La piste d'audit immuable soutient les exigences de conservation des enregistrements du EU AI Act (Art. 12), le traçage du pipeline assure la transparence des décisions de l'IA (Art. 13), et l'interface de gestion permet une supervision humaine avec arrêt d'urgence (Art. 14). La même infrastructure prend en charge le RGPD, HIPAA, SOC 2 et plus de 15 autres cadres réglementaires, le tout via une API unifiée.