Résumé

  • RGIP-02 remplace l’agent d’auto-réparation très large de la version 01 par quatre classes d’impact et des modes de supervision déclarés.
  • Une réparation idempotente de distribution peut être autonome, une seule fois par épisode ; si le défaut revient, l’examen humain devient obligatoire.
  • Si un Link ou un Braid recalculé diverge de la valeur stockée, l’automate doit uniquement consigner le constat, suspendre les nouveaux ajouts et transmettre l’incident.
  • Le texte reste un Internet-Draft individuel sans approbation de l’IETF. Aucun code de référence, jeu de tests, déploiement ou résultat d’interopérabilité n’est fourni dans les sources étudiées.

Le vrai changement de la version 02 n’est pas cryptographique

L’annonce I-D date la deuxième révision du Reilly Government Integrity Protocol du 4 septembre 2026. Le projet assemble plusieurs mécanismes — empreintes, ancrages temporels, copies distribuées et dépôts d’archives — pour rendre vérifiables des documents publics. Il évoque des lois, des marchés publics, des budgets, des décisions judiciaires et des opérations électorales.

Sa première page énumère de nombreuses corrections techniques. Pourtant, la plus structurante pour la gouvernance se trouve dans l’autorité confiée au logiciel. La version 01 demandait à un Agent 11 « Self-Heal » de rechercher périodiquement les couches de permanence dégradées puis de relancer l’agent concerné. Un Sentinel recalculait la chaîne. Un agent d’intelligence formulait des directives de remédiation et les envoyait vers l’auto-réparation. L’ensemble devait assurer une surveillance continue sans supervision humaine permanente.

Ce montage ne séparait pas nettement le constat, le diagnostic et le pouvoir de réécrire l’état observé. Surtout, il ne soustrayait pas expressément une anomalie de chaîne au domaine de l’auto-réparation. Un défaut persistant pouvait entraîner une succession de relances sans événement terminal vérifiable.

La révision 02 nomme ce point comme un défaut de gouvernance. Le Sentinel devient strictement observateur : il doit recomputer les valeurs, vérifier les affirmations de l’enveloppe et produire un constat, mais ne peut modifier aucun enregistrement. Un Remediator distinct peut agir, dans les seules limites d’une classification nouvelle.

Quatre rayons d’action, quatre degrés d’autorité

BR0 réunit les opérations de lecture : vérifier, interroger, rendre compte. Elles restent possibles dans tous les modes. BR1 vise la remise en état idempotente d’une couche de diffusion, par exemple réépingler une copie ou resoumettre une demande d’archivage sans toucher au noyau signé. Cette relance peut être autonome.

BR2 crée un nouveau bloc ou change un état visible à l’extérieur, notamment par un enregistrement de pont ou de remplacement. Le projet exige alors une approbation humaine enregistrée. BR3 touche au matériau probatoire : modifier, supprimer ou reconstruire des blocs, changer l’état d’un ancrage sans preuve résolue, agir sur les révocations, les clés ou les sels. L’automatisation y est interdite.

Cette graduation évite de confondre l’identité du programme et l’effet de son action. Le même composant peut demander une relance bénigne ou une modification irréversible ; c’est l’impact qui décide de l’autorité. Le déploiement doit par ailleurs annoncer son mode de supervision et conserver le mode effectivement appliqué à chaque opération.

Une seconde barrière empêche la boucle infinie. La règle once-per-episode autorise au plus une tentative automatique pour un constat donné. S’il réapparaît après remédiation, il doit être transmis à un humain. L’ancienne promesse de continuité devient ainsi un mandat borné et auditable.

Une incohérence de chaîne doit rester incohérente

La frontière est absolue lorsque le Sentinel obtient un Link ou un Braid qui ne correspond plus à la valeur conservée. Aucune remédiation automatique n’est permise. La machine peut consigner le constat, arrêter les ajouts sur la chaîne concernée et escalader — rien de plus.

Ce choix part d’une ignorance qu’un système sérieux doit savoir reconnaître. Une corruption de stockage et une falsification volontaire peuvent se présenter sous le même symptôme. Réparer les octets pour la première cause peut rendre le service cohérent ; les réparer devant la seconde peut effacer précisément l’élément qui permettait de prouver l’intervention. Le logiciel de contrôle ne doit donc pas devenir, par zèle de disponibilité, le mécanisme de nettoyage de la scène.

D’autres dispositions suivent la même logique. Les affirmations d’une enveloppe doivent être confrontées aux couches réelles. Après perte du magasin, une reconstruction doit retrouver le dernier point de contrôle attesté avant la reprise des ajouts. Si elle n’y parvient pas, il s’agit d’un constat d’intégrité, non d’un incident récupérable ordinaire. Sans autorisation humaine, l’agent ne peut pas non plus promouvoir un ancrage sans preuve, révoquer, détruire les sels ou recalculer l’histoire.

Le RFC 3227 offre un repère extérieur utile : modifier le moins possible les données collectées, collecter avant d’analyser et documenter toute la chaîne de garde. Le NIST SP 800-86 replace les techniques forensiques dans la réponse à incident. Le RFC 4810 demande qu’un service d’archives puisse révéler les changements apportés aux objets et aux preuves, y compris par ses administrateurs.

Ces textes ne valident pas RGIP. Ils permettent seulement de formuler le contrôle indépendant : la restauration du service et la conservation de la preuve sont deux opérations, avec deux copies et deux chaînes d’autorisation si nécessaire.

Ni standard, ni juge

La page Datatracker est sans ambiguïté. RGIP est un Internet-Draft individuel actif. Il n’est pas approuvé par l’IETF, n’a aucun statut formel dans son processus de normalisation, aucun flux RFC et aucun Area Director responsable. Le projet reconnaît aussi que l’admissibilité, l’autorité ou la valeur décisive d’un enregistrement relèvent du forum juridique applicable.

Cette réserve empêche un glissement fréquent. Un contrôle cryptographique peut établir qu’une suite d’octets a changé ou soutenir une antériorité. Il ne donne pas compétence à son opérateur, ne valide pas un acte administratif et ne tranche pas un conflit de conservation. La capacité technique d’arrêter une chaîne n’est pas l’autorité légale de décider du sort d’un document public.

Enfin, la correction reste à éprouver. Le texte consulté ne contient ni section de vecteurs de test, ni implémentation de référence, ni rapport de déploiement ou d’interopérabilité. Le NIST SP 800-61r3 fournit un cadre actuel de réponse aux incidents, pas la preuve que ces classes fonctionnent en exploitation.