Manuel d'utilisation du proxy de confidentialité CLOISON

Ce manuel ne documente que des comportements déjà prouvés, chacun avec sa trace dans les journaux du dépôt. Tout le reste (intégrations en cours) n'y figure pas.

Deux contrôles : le smoke test distribué (prouvé exit 0 sur Windows réel) et le roundtrip manuel qui reproduit la preuve e2e des journaux.

Smoke test (Windows)

powershell -ExecutionPolicy Bypass -File https://raw.githubusercontent.com/coucagog/cloison-proxy/main/smoke-n0.ps1

Ce que le smoke prouve : boot du daemon N0 (coffre persistant, fail-loud, sel 0600), NER embarqué chargé, masquage amont (sentinelles ⟦…⟧, aucune PII), restauration client complète, ville généralisée [VILLE_SN], coffre sans clair, embeddings → 404.

Roundtrip manuel (le scénario prouvé des journaux)

curl http://127.0.0.1:8787/v1/chat/completions \
  -H "Authorization: Bearer mn_mon_jeton.sk-or-v1-XXXX" \
  -H "Content-Type: application/json" \
  -d '{"model":"gpt-4o-mini","messages":[{"role":"user","content":"Appelez Xolani Ndlovu au 77 123 45 67, il habite a Ziguinchor."}]}'

Résultat prouvé : l'amont ne reçoit que Appelez ⟦…·PE⟧ ⟦…·PE⟧ au ⟦…·PH⟧, il habite à [VILLE_SN]. — le nom (hors gazetteer) est masqué par le NER embarqué, le téléphone +221 par les regex, la ville est généralisée ; la réponse du client contient les vraies valeurs restaurées, zéro jeton résiduel.

Le harnais deploy/e2e_reel.sh prouve le masquage anti-pass-through : il vérifie que le corps reçu par l'amont contient des sentinelles ⟦ et PAS la PII. Résultats historiques : mock 12/12, LLM réel 8/8.

Mode mock (sans clé, sans réseau externe)

cd cloison
sudo -E bash deploy/e2e_reel.sh

Mode réel (OpenRouter, gpt-4o-mini)

cd cloison
CLOISON_E2E_MODE=real OPENROUTER_API_KEY=<votre-cle> bash deploy/e2e_reel.sh

Scénarios couverts (prouvés) : chat non-stream, stream SSE (sentinelle découpée sur les chunks), tool-calls (arguments masqués/restaurés, stream compris), 401 sur clé invalide, jeton forgé → marqueur neutre, /v1/models, completions legacy.

Observe-only : le proxy détecte et compte sans rien masquer, émet des reçus signés Ed25519 (compteurs uniquement — jamais de texte) et sert un rapport de conformité k-anonyme (défaut k=5).

Activer le mode audit

export CLOISON_AUDIT_MODE=1
export CLOISON_AUDIT_KEYS=/data/audit_key        # clé Ed25519 de l'agent
export CLOISON_AUDIT_LEDGER_FILE=/data/audit_ledger.jsonl   # reçus persistés (0600)
export CLOISON_AUDIT_K=5                          # seuil k-anonymat

Lire le rapport de conformité

curl "http://127.0.0.1:8787/v1/audit/report?period=daily" \
  -H "Authorization: Bearer mn_mon_jeton.sk-or-v1-XXXX"

Chaque réponse non-stream porte aussi l'en-tête X-Cloison-Audit-Receipt (reçu signé, base64url). Les périodes valides : hourly | daily | weekly | all. Les cellules sous le seuil k ne sont jamais publiées.

Le fossé ouest-africain est mesuré sur un jeu 100 % synthétique sénégalais (seed 42, 500 docs, 0 PII réelle), contre une baseline Presidio forte, avec une grille de scoring pré-enregistrée (v1.1, non modifiable). Verdict : GO.

cd bench/cloison-bench
python3 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
python -m spacy download fr_core_news_md
pytest test_benchmark.py                      # 32 tests du harnais
CLOISON_OFFLINE=1 python3 run_detect_target.py --offline   # détecteur cible

Résultats mesurés (modèles réels sur CPU, reproductibles)

À lire avant d'acheter. Ce que le produit ne prétend pas résoudre est rendu visible, jamais dissimulé.

• Quasi-identifiants : « le patient de 42 ans opéré le 3 mars à Ziguinchor » peut ré-identifier sans aucun nom. La jauge (opt-in) signale la densité ; elle ne résout rien.
• PII hallucinée : le modèle peut inventer une donnée sans jeton (grounding) — hors de portée d'un proxy, item de recherche.
• Poste compromis : N0 ne protège pas contre un malware ou le vol du poste (le coffre et sa clé y vivent).
• Sans NER embarqué : un nom hors gazetteer jamais mentionné peut partir en clair (limite N0 v1, levée par le NER léger v1.2).
• Embeddings : /v1/embeddings est bloqué par défaut (un embedding de PII reste dérivé de PII).

Les quatre niveaux (ce que l'opérateur peut lire)