La détection par tenant a échoué. Le substrate fingerprint capte ce que Sigstore ne peut pas capter.

Trois classes de compromission se situent en amont de l’exécution de l’agent, invisibles pour la détection par tenant car chaque tenant reçoit le même artefact empoisonné.

Chaque évaluation qui transite par le gateway managé Mnemom est estampillée d’un substrate fingerprint : le tuple provider + model + sdk@ver, plus un en-tête lockfile-hash optionnel défini par le client pour une granularité accrue. Le fingerprint devient l’une des quatre axis identities — substrat, vertical, motif, source — sur chaque ligne lue par l’agrégateur inter-tenants. (Voir /protection-network pour le découpage L0-L5 ; voir la migration 217 pour la forme du plan de données.)

{
  "provider": "anthropic",
  "model":    "claude-sonnet-4.7",
  "sdk":      "@anthropic-ai/[email protected]",
  "lockfile_hash": "sha256:9f3b...",   // optional, customer-supplied
  "fingerprint":   "sub_a4f1c8e7..."   // stable hash of the tuple
}

Le flux d’évaluation d’un seul client peut sembler anodin en isolation. Sur l’ensemble des clients utilisant le même substrate fingerprint, la même déviation comportementale fait s’allumer les statistiques glissantes de l’agrégateur L1. AEGIS attribue l’anomalie au substrat, élève automatiquement le bucket à l’intérieur du plafond configuré par le client (selon le modèle de ratcheting additif under-attack), et une Managed Rule signée arrive sur chaque gateway avec P95 ≤ 30 secondes entre la promotion signée et le chargement par la gateway. (Voir /trust/slos.)

Le substrate fingerprint de base (provider + model + sdk@ver) est envoyé par défaut avec chaque appel gateway. Pour une granularité accrue, envoyez un en-tête X-Mnemom-Lockfile-Hash à chaque requête : le SHA-256 de votre manifeste de dépendances résolu. AEGIS n’utilise que l’empreinte hexadécimale — le lockfile brut ne quitte jamais votre environnement.

Avec le lockfile-hash présent, l’agrégateur peut attribuer les anomalies non plus seulement aux « clients exécutant ce provider + model + SDK », mais aux « clients exécutant exactement cet arbre de dépendances résolu ». C’est cette granularité qui permet de capter un patch SDK malveillant avant que le reste du substrat ne le voie.

# Opt into substrate-fingerprint granularity by sending the lockfile-hash
# header on every gateway request. The hash is computed over your
# resolved dependency manifest (package-lock.json, pnpm-lock.yaml,
# poetry.lock, requirements.txt) and never leaves your environment in
# raw form — only the hex digest reaches AEGIS.

curl https://gateway.mnemom.ai/v1/messages \
  -H "X-Mnemom-Api-Key: $MNEMOM_KEY" \
  -H "X-Mnemom-Lockfile-Hash: sha256:9f3b…" \
  -H "Content-Type: application/json" \
  -d @payload.json

La détection inter-tenants attribuée au substrat n’est pas quelque chose que la catégorie actuelle de sécurité IA peut rétro-adapter. Les raisons sont architecturales, et non liées à la roadmap produit.

Mnemom complète ces outils. Les clients qui utilisent Lakera Guard, NeMo Guardrails, Cloudflare WAF, AWS Bedrock Guardrails ou Cisco AI Defense peuvent exécuter AEGIS en parallèle ; le substrate fingerprint est le signal réseau que rien d’autre dans la catégorie ne produit.

Les indicateurs substrate-fingerprint apparaissent sur le flux IoC public STIX 2.1 sous le filtre type=substrate_fingerprint. À la GA, le flux est vide par conception — le calm-at-GA contract sur /trust/iocs le reflète. Les indicateurs sont publiés lorsque AEGIS clôture une campagne et qu’un advisory signé est diffusé sur /trust/advisories.

# Subscribe to the substrate-fingerprint slice of the public IoC feed.
# STIX 2.1 Bundle; empty by design at GA per the calm-at-GA contract.

curl -sS 'https://api.mnemom.ai/v1/trust/iocs?type=substrate_fingerprint' \
  | jq '.objects[] | select(.type=="indicator")'