Isolation du projet
Contrôle d'isolation vérifiant l'absence de dépendance opérationnelle vers des projets externes.
Pratiques de sécurité et divulgation responsable.
Le dépôt contient une surface Web/PWA, des contrôles de gouvernance et de sécurité, ainsi qu'un projet Android canonique dans native-android-app/. Les contrôles et simulations présents dans le dépôt ne doivent pas être interprétés comme une protection active d'un système tiers.
État documentaire : septembre 2026.
Contrôles présents
Ce qui est vérifié dans le dépôt.
Chaîne d'approvisionnement
Vérification du pinning des GitHub Actions et des contrôles d'intégrité et de provenance.
Gouvernance IA
Gouvernance des modèles et des sorties IA avant automatisation.
Simulations et fuzzing
Simulations adversariales et fuzzing de gouvernance, ainsi que contrôles CodeQL et validations CI lorsque les runners les exécutent effectivement.
Indépendance
Aucune dépendance opérationnelle externe.
Sentinel est maintenu comme projet indépendant. Il ne doit pas introduire de dépendance opérationnelle à A KI PRI SA YÉ, Firebase ou à une autre application externe non prévue par son architecture.
Les références Firebase présentes dans le scanner d'isolation, ses tests négatifs et certains contrôles sont intentionnelles : elles servent à vérifier que des dépendances interdites seraient détectées.
Données et communications
Ce qui dépend du déploiement réel.
Le comportement réel dépend de la version déployée, des fonctionnalités activées, du navigateur, du terminal et des services éventuellement intégrés. Toute affirmation sur l'absence de collecte ou de transfert doit être vérifiée sur la configuration effectivement déployée — voir Politique de confidentialité.
Validation
Ce que prouvent réellement les tests.
Les résultats CI, les builds et les déploiements doivent être évalués à partir de leurs exécutions réelles. Un job qui échoue avant sa première étape ne constitue pas une preuve d'échec du contrôle logiciel lui-même.
Divulgation responsable
Signaler une vulnérabilité.
Si vous identifiez une vulnérabilité concernant la vitrine, le logiciel local ou les contrôles de gouvernance, merci de la signaler de façon responsable avant toute divulgation publique :
- Contact sécurité : [EMAIL_ÉDITEUR]
- Décrivez le périmètre, les étapes de reproduction et l'impact estimé.
- Laissez un délai raisonnable de correction avant toute publication.
- N'accédez pas à des données au-delà de ce qui est strictement nécessaire pour démontrer la vulnérabilité.
Aucune récompense financière (bug bounty) n'est actuellement annoncée ; seule une réponse de suivi est garantie.