Confiance
Voici ce que le système impose par construction, et les limites que nous connaissons déjà — avant que votre questionnaire ne le demande.
Imposé par construction
Chaque lecture est restreinte à la personne qui demande dans la requête elle-même, et non dans le code après coup : un fait, un résumé ou un passage que vous n'avez pas le droit de voir n'est jamais assemblé ni compté. Quelqu'un que nous ne pouvons pas identifier ne voit que ce qui est public — jamais la vue d'un opérateur — et rien de ce qu'on met dans une requête ne peut élargir cela.
Quand la mémoire écrit une phrase à partir de cinq documents, seules les personnes autorisées à voir les cinq peuvent voir cette phrase : combiner des sources ne peut que restreindre les droits, jamais les élargir. Et là où les droits d'une source ne peuvent être lus, le connecteur retombe sur un public plus étroit — le compte qui a rapporté le document — et non sur le cabinet entier.
Chaque citation est résolue contre l'ensemble fermé des passages que le moteur lui-même a placés devant le modèle : une référence à un passage inexistant ne peut donc pas survivre. Quand vous posez une question, le modèle choisit parmi des étiquettes que le moteur retraduit, au lieu de désigner lui-même un emplacement, et tout ce sur quoi vous pouvez cliquer ouvre un vrai passage des éléments réunis sous vos droits.
Un schéma de base de données et un préfixe de stockage objet par cabinet : aucune table partagée ne contient les documents, faits ou passages d’un client. Les seules tables que tous les cabinets partagent sont des enregistrements de compte, de facturation et de session, et aucune ne contient quoi que ce soit que la mémoire a appris. Si vous voulez que la base de données elle-même tienne la ligne, les requêtes d’un cabinet peuvent s’exécuter sous un rôle qui n’a de droits que sur son propre schéma — obligatoire sur notre service hébergé, et disponible et désactivé par défaut sur un déploiement que vous exploitez, comme seconde couche derrière la frontière du schéma. Un cabinet dont le rôle manque est refusé, jamais servi sur un rôle partagé.
La liste d’autorisation sortante contient par défaut le point d’accès du modèle et rien d’autre. Il n’y a ni télémétrie ni vérification de mises à jour à désactiver, parce qu’aucune des deux n’a jamais été construite, et le fichier de licence est informatif : rien n’est vérifié auprès de nous. Les composants refusent de démarrer quand leur configuration contredit la liste, et l’application réseau, c’est votre pare-feu. Cela concerne un déploiement que vous exploitez, pas le service hébergé. Videz la liste et rien ne sort, pas même vers le modèle, donc rien de nouveau n’est lu ; la recherche classe alors par mots-clés ce qui a déjà été lu.
Chaque observation, fait, correction et rétractation est une entrée dans un registre qui n'est jamais réécrit — une correction est une nouvelle entrée, et l'ancienne reste lisible. Tout ce que vous lisez sur une page est dérivé de ce registre, et se reconstruit en le rejouant plutôt que d'être réparé sur place.
Les identifiants du modèle sont chiffrés au repos sous la clé de votre propre déploiement, un chiffré par cabinet, et supprimés avec le cabinet. Avec l'authentification unique, la passerelle joint votre fournisseur d'identité et celui de personne d'autre. Seules l'extraction et les réponses rédigées exigent qu'un modèle soit joignable — tout ce qui a déjà été lu reste consultable sans lui.
Ce que nous ne faisons pas encore
Les actions administratives sont enregistrées et votre propre administrateur peut les lire : qui a provisionné une mémoire, qui a accordé ou révoqué un accès, qui a changé le schéma. Nous tenons également un compteur de chaque appel d'agent — quelle personne, dans quelle mémoire, par quel outil, et quand —, mais celui-là, c'est nous qui le lisons, pas encore vous. En dessous, chaque réponse est désormais journalisée : qui a demandé, ce qui a été demandé et quels documents la réponse a cités, conservé 90 jours par défaut. Certaines portes restent hors de ce journal : préparer une question, enregistrer ce qu'un assistant lui a demandé de retenir, lire le vocabulaire de la mémoire, les opérations administratives, et récupérer directement un fichier stocké. Une requête adressée à un cabinet qui n'existe plus ne peut pas être journalisée du tout, parce qu'il n'y a nulle part où l'écrire.
Le registre des lectures et la piste administrative s’exportent tous deux sous forme de fichier pour n’importe quelle période, de sorte que vous pouvez en remettre un à un auditeur, et les lectures sont conservées 90 jours par défaut. Ce qui manque, c’est le libre-service : le registre des lectures n’a pas d’écran dans la console, et sur le service hébergé nous lançons son export pour votre administrateur sur demande. En cloud privé et en auto-hébergement, quiconque détient l’identifiant d’opérateur du déploiement le lance directement.
Quand un système que vous avez connecté retire un document à quelqu'un, l'interrogation suivante le remarque, et le document quitte la liste de cette personne dans l'intervalle de ce connecteur — cinq minutes par défaut. Tout ce qui en découle suit. Dans la même étape, les faits, résumés et passages extraits sous l'ancien public sont rétractés, si bien qu'une citation déjà détenue par un lecteur révoqué cesse de s'ouvrir.
Un travail déjà en cours à ce moment peut brièvement citer un document révoqué ; la synchronisation suivante de ce document le corrige.
Cela ne vaut que là où la source tient des droits par document : Google Drive, SharePoint et OneDrive, Box, Confluence, Slack et Gmail, et notre propre disque. Un dossier surveillé, Salesforce, HubSpot et Affinity, un projet Jira, un espace Notion et DocuSign sont capturés avec un seul public à l'échelle du cabinet — il n'y a donc pas de révocation par document que nous puissions suivre.
Nous partons du principe que tout document capturé est hostile, et nous limitons ce que son texte peut provoquer plutôt que d'essayer de le reconnaître : rien de ce qu'il dit ne peut élargir les droits de sa source ni produire une citation hors des passages sélectionnés par le moteur.
Nous ne livrons pas de classifieur qui reconnaît les tentatives d'injection, et nous n'en revendiquons pas. Chaque source tourne en outre dans son propre processus, de sorte que l'identifiant qui atteint votre espace de stockage et le contenu non fiable qu'il rapporte restent séparés.
Le système est conçu pour un petit nombre de cabinets disposant chacun de beaucoup de matière, et certaines protections sont encore écrites pour un processus plutôt que pour une flotte : le frein sur les tentatives de connexion répétées garde son compteur en mémoire, si bien que derrière plus d'une instance, il freine par instance.
Détruire un cabinet supprime son schéma et son préfixe de stockage — le grand livre, les passages, les faits, les résumés et l'index de recherche partent avec —, efface ses identifiants stockés et vide ses sessions. Ce qui survit, c'est la ligne disant que ce cabinet a existé — son nom retiré et jamais réutilisable —, les relevés d'usage qui y renvoient, les lignes d'habilitation qui nommaient qui pouvait l'atteindre, laissées inertes plutôt que supprimées, et la trace administrative de ce qui lui a été fait, que nous gardons à dessein.
Supprimer un seul document est plus restreint. Les faits, résumés et passages qui en sont tirés sont rétractés, de sorte que rien qui en découle ne répond plus à une question. Ce qui n'est pas effacé, ce sont les octets du fichier lui-même, l'entrée du registre attestant que nous l'avons lu, et le texte de l'invite de tout travail déjà mis en file d'attente à son sujet — ce dernier pendant quelques jours, jusqu'à son expiration. Le registre est en ajout seul par conception : c'est ainsi que chaque réponse reste traçable jusqu'à sa source. S'il vous faut des octets disparus et non seulement inaccessibles, détruire le cabinet est l'opération qui le fait aujourd'hui.
Les sauvegardes sont l'exception. Les données d'un cabinet détruit restent dans les sauvegardes déjà prises jusqu'à ce que votre propre politique de conservation les fasse expirer, et rien de ce que nous exploitons n'y accède.
Chaque passe sur un document envoie au lecteur un nombre borné de passages. La plupart des documents tiennent entièrement. Celui qui ne tient pas — un rapport scanné de plusieurs centaines de pages — est lu jusqu'à cette borne, et ce qui se trouve au-delà n'est pas extrait lors de cette passe. Un document téléversé avec succès n'a pas nécessairement été compris de bout en bout. Nous rendons cela reprenable pour que chaque passage soit lu exactement une fois ; d'ici là, supposez qu'un document très long est couvert à son début plutôt que d'un bout à l'autre.
Ce qu'une citation n'établit pas, c'est que le passage étaye la phrase. Le modèle choisit le passage réel que porte chaque phrase, et il peut en choisir un qui ne la paraphrase pas. La vérification dont dispose un lecteur est celle pour laquelle nous avons conçu la citation : l'ouvrir et regarder. Nous ajoutons des vérifications automatiques des chiffres, des périodes et des devises, qui retiendront une affirmation plutôt que de l'afficher sans vérification.
Cette liste est ce que nous connaissons. Si votre revue trouve quelque chose qu'elle ne nomme pas, dites-le-nous et nous l'ajouterons ici.
Des questions sur la sécurité ?
Des questions sur l'accès, le déploiement ou quoi que ce soit sur cette page ? Écrivez-nous.
Les documents, en attendant : notre accord de traitement des données et les sous-traitants avec lesquels nous exploitons le service.