Die mandantenspezifische Erkennung hat versagt. Substrate Fingerprinting erfasst, was Sigstore nicht erfassen kann.

Drei Kompromittierungsklassen liegen oberhalb der Agenten-Laufzeit und sind für die mandantenspezifische Erkennung unsichtbar, weil jeder Mandant dasselbe vergiftete Artefakt erhält.

Jede Auswertung, die durch die verwaltete Mnemom-Gateway läuft, wird mit einem substrate fingerprint versehen: dem Tupel provider + model + sdk@ver, plus einem optionalen, vom Kunden gesetzten lockfile-hash-Header für höhere Granularität. Der Fingerprint wird zu einer von vier axis identities — Substrat, Vertikale, Muster, Quelle — auf jeder Zeile, die der mandantenübergreifende Aggregator liest. (Siehe /protection-network für die L0-L5-Schichtung; siehe Migration 217 für die Form der Datenebene.)

{
  "provider": "anthropic",
  "model":    "claude-sonnet-4.7",
  "sdk":      "@anthropic-ai/[email protected]",
  "lockfile_hash": "sha256:9f3b...",   // optional, customer-supplied
  "fingerprint":   "sub_a4f1c8e7..."   // stable hash of the tuple
}

Der Auswertungsstrom eines einzelnen Kunden kann isoliert unauffällig wirken. Über alle Kunden hinweg, die auf demselben Substrate Fingerprint laufen, lässt dieselbe Verhaltensabweichung die rollenden Statistiken des L1-Aggregators aufleuchten. AEGIS schreibt die Anomalie dem Substrat zu, hebt den Bucket automatisch innerhalb der vom Kunden konfigurierten Obergrenze an (gemäß dem under-attack additiven Ratcheting-Modell), und eine signierte Managed Rule landet mit P95 ≤ 30 Sekunden von der signierten Promotion bis zum Gateway-Laden auf jedes Gateway. (Siehe /trust/slos.)

Der Basis-Substrate-Fingerprint (provider + model + sdk@ver) wird standardmäßig mit jedem Gateway-Aufruf gesendet. Für höhere Granularität senden Sie bei jeder Anfrage einen X-Mnemom-Lockfile-Hash-Header: den SHA-256 Ihres aufgelösten Dependency-Manifests. AEGIS verwendet nur den Hex-Digest — das Roh-Lockfile verlässt niemals Ihre Umgebung.

Mit dem lockfile-hash kann der Aggregator Anomalien nicht nur „Kunden, die diesen Provider + Modell + SDK ausführen“, sondern „Kunden, die genau diesen aufgelösten Dependency-Baum ausführen“ zuordnen. Diese Granularität ist es, die einen schadhaften SDK-Patch erkennt, bevor der Rest des Substrats ihn sieht.

# Opt into substrate-fingerprint granularity by sending the lockfile-hash
# header on every gateway request. The hash is computed over your
# resolved dependency manifest (package-lock.json, pnpm-lock.yaml,
# poetry.lock, requirements.txt) and never leaves your environment in
# raw form — only the hex digest reaches AEGIS.

curl https://gateway.mnemom.ai/v1/messages \
  -H "X-Mnemom-Api-Key: $MNEMOM_KEY" \
  -H "X-Mnemom-Lockfile-Hash: sha256:9f3b…" \
  -H "Content-Type: application/json" \
  -d @payload.json

Substrat-zugeordnete mandantenübergreifende Erkennung ist nichts, was die aktuelle KI-Sicherheitskategorie nachträglich integrieren kann. Die Gründe sind architektonisch, nicht Produkt-Roadmap-bedingt.

Mnemom ergänzt diese Werkzeuge. Kunden, die Lakera Guard, NeMo Guardrails, Cloudflare WAF, AWS Bedrock Guardrails oder Cisco AI Defense einsetzen, können AEGIS parallel betreiben; der Substrate Fingerprint ist das Netzwerksignal, das nichts anderes in der Kategorie produziert.

Substrate-Fingerprint-Indikatoren erscheinen im öffentlichen STIX 2.1-IoC-Feed unter dem Filter type=substrate_fingerprint. Bei GA ist der Feed bewusst leer — der calm-at-GA contract auf /trust/iocs spiegelt das wider. Indikatoren werden veröffentlicht, wenn AEGIS eine Kampagne schließt und ein signierter Advisory auf /trust/advisories ausgeliefert wird.

# Subscribe to the substrate-fingerprint slice of the public IoC feed.
# STIX 2.1 Bundle; empty by design at GA per the calm-at-GA contract.

curl -sS 'https://api.mnemom.ai/v1/trust/iocs?type=substrate_fingerprint' \
  | jq '.objects[] | select(.type=="indicator")'