Résumé

  • draft-gilda-wimse-agent-audit-record-01 reste un Internet-Draft individuel, sans adoption par WIMSE ni statut de RFC.
  • La révision sépare trois constats : une action autorisée mais non exécutée, une interdiction suivie d’un effet attribué et une écriture dont la requête d’origine demeure inconnue.

Une permission n’est pas une commande. Si un agent reçoit le droit d’écrire puis ne modifie rien, l’audit ne révèle pas, par ce seul fait, un défaut d’application de la règle. Pourtant, dans la version 00 du projet de Sankalp Gilda, l’association « permis, aucun effet » recevait la valeur disagree, tout comme « refusé, effet constaté ». La version 01 corrige cette symétrie trompeuse : le premier cas devient not-exercised; le second reste disagree lorsque l’effet est attribué à la requête refusée.

Le changement porte aussi sur ce que l’observateur sait réellement relier. Chaque écriture du format proposé porte désormais le condensat de sa requête d’origine, ou la valeur littérale unattributed si ce rattachement est impossible. Le champ effect.observed décrit la requête du présent enregistrement, non la totalité des écritures survenues pendant l’intervalle. Une écriture rattachée à une autre requête ne transforme donc pas ce dossier en action accomplie. En revanche, une écriture non attribuée dans le périmètre surveillé interdit de conclure sereinement à « aucun effet » : le résultat est unknown, puis l’accord calculé devient indeterminate quelle que soit la décision rapportée.

Il ne s’agit pas d’un nouveau régime de responsabilité imposé aux exploitants. Le projet, affiché comme individuel et actif par le Datatracker le 27 septembre, décrit un format d’enregistrement dans une enveloppe DSSE signée, avec un prédicat in-toto. Il ne définit ni politique d’accès ni critère de conformité. La structure de base existait déjà en version 00; la nouveauté vérifiable est le traitement des écritures concurrentes et de l’incertitude.

Un autre détail évite que deux systèmes produisent des preuves impossibles à rapprocher. Quand les arguments d’un appel ne peuvent être liés par condensat, la version 01 exige l’absence pure et simple du membre argumentsDigest, et non une valeur nulle ou vide. Le calcul du condensat de requête exclut alors ce membre. Les nouveaux vecteurs d’essai couvrent cette représentation ainsi que les écritures d’autres requêtes, l’écriture sans attribution et la permission non exercée.

La signature n’est pas une caméra omnisciente. La vérification peut détecter certaines incohérences entre les champs et les octets signés; elle ne prouve pas que le producteur a vu toutes les écritures, ni qu’il disposait vraiment du point d’observation qu’il revendique. Un résultat indéterminé impose une enquête supplémentaire, pas une accusation automatique.

Sources