Brouillon v1.0

Auteurs : Équipe de sécurité et d'ingénierie d’Energent.ai

Résumé

Energent.ai fournit un agent de bureau virtuel alimenté par l'IA qui automatise des flux de travail complexes multi-applications pour les utilisateurs d'entreprise. Étant donné que l'agent opère sur des données commerciales sensibles et peut se voir accorder des privilèges étendus sur les bureaux des utilisateurs et les ressources cloud, la sécurité et la confidentialité sont fondamentales dans notre conception produit. Ce livre blanc documente le modèle de menace, l'architecture défensive, les contrôles de sécurité et la posture de conformité de la plateforme Energent. Il est basé sur l'approche structurée et axée sur les données utilisée dans le livre blanc AnyParser de CambioML et s'aligne sur les meilleures pratiques du pilier de sécurité AWS Well-Architected et les directives de contrôle de sécurité NIST SP 800-53 Rev 5.

Table des matières

1. Introduction
2. Architecture de la plateforme Energent
3. Modèle de menace
4. Contrôles de sécurité
5. Conformité & Gouvernance
6. Sécurité opérationnelle
7. Options de déploiement client
8. Conclusion
9. Annexe A – Cartographie des contrôles
10. Références

1 Introduction

1.1 Objectif

Ce document permet aux équipes de sécurité, IT et conformité d'évaluer si Energent.ai répond à leurs exigences de sécurité organisationnelle. Il détaille comment nous protégeons les données, les systèmes et les utilisateurs tout au long du cycle de vie de l'agent, depuis le développement jusqu'aux opérations de production.

1.2 Portée

• Energent Cloud (SaaS). Service multi-tenant opéré par Energent.ai sur AWS.
• Cloud privé / Isolé VPC. Stack dédié single-tenant déployé dans un compte contrôlé par le client sur AWS, Azure ou GCP.
• Sur site/VM. Image VM Linux isolée pour des environnements hautement réglementés.

1.3 Public

CISOs, architectes de sécurité, ingénieurs DevOps, auditeurs et professionnels des achats évaluant Energent.ai.

2 Architecture de la plateforme Energent

2.1 Composants de haut niveau

Figure 1. Vue logique des composants d’Energent et des frontières de confiance.

2.2 Principes de sécurité par conception

1. Moindre privilège & micro-segmentation. Les rôles IAM et les groupes de sécurité restreignent chaque service aux permissions minimales requises.
2. Chiffrement de bout en bout. TLS 1.2+ pour les données en transit ; AES-256-GCM pour les données au repos utilisant des clés gérées par KMS.
3. Infrastructure immuable. Tous les nœuds de calcul sont reconstruits à partir d'AMIs signées ; aucun changement sur place.
4. Automatisation de la conformité continue. Barrières codifiées dans IaC et règles AWS Config pour détecter les dérives.

3 Modèle de menace

3.1 Actifs

• Identifiants utilisateur et jetons API
• Artefacts de flux de travail (captures d'écran, données extraites, documents générés)
• Logique de flux de travail propriétaire

3.2 Adversaires & Capacités

3.3 Frontières de confiance

• Isolation des locataires entre les stacks clients.
• Séparation entre le plan de contrôle et le plan de données.
• Bac à sable dans la VM vs environnement hôte.

4 Contrôles de sécurité

4.1 Identité, Authentification & Autorisation

• SSO via SAML 2.0 / OIDC avec application de MFA.
• Politiques IAM ABAC granulaires pour tous les microservices.
• Accès privilégié juste-à-temps (JIT) avec expiration automatique.

4.2 Sécurité du réseau & de l'infrastructure

• Passerelles de sortie uniquement au niveau VPC ; pas de load balancers publics en mode cloud privé.
• Tout le trafic API est terminé au niveau AWS ALB avec WAF WebACL (règles OWASP Top 10).
• Connectivité privée en option via AWS PrivateLink ou VPN client.

4.3 Protection des données

• Chiffrement côté serveur (SSE-KMS) pour S3 ; SDK de chiffrement côté client disponible.
• Chiffrement au niveau des champs pour PII/PHI utilisant AES-256 + clés d'enveloppe.
• Rotation automatique des clés et CMKs par locataire.

4.4 Sécurité des applications

• Normes de codage sécurisé (OWASP ASVS L2).
• Pipelines SCA, SAST et DAST automatisés intégrés dans CI/CD.
• Verrouillages de dépendances avec signatures PyPI/npm vérifiées.

4.5 Gestion des secrets & des clés

• Secrets stockés dans AWS Secrets Manager avec rotation automatique.
• Les agents récupèrent des jetons de session à durée limitée via STS AssumeRole, jamais de clés à long terme.

4.6 Cycle de développement sécurisé

• Modélisation des menaces pour chaque épopée (méthodologie STRIDE).
• Les revues de code nécessitent l'approbation de deux personnes et le passage des portes de sécurité.
• Builds reproductibles avec provenance Sigstore.

5 Conformité & Gouvernance

5.1 Modèle de responsabilité partagée

Energent adopte l'approche de responsabilité partagée d'AWS, où AWS sécurise le cloud sous-jacent "du cloud," et Energent sécurise tout "dans le cloud."

5.2 Certifications d'audit (En cours 2025)

5.3 Cartographie des contrôles

L'annexe A fournit une cartographie détaillée des contrôles d’Energent aux familles NIST SP 800-53 Rev 5 (AC, AU, SC, SI, etc.).

6 Sécurité opérationnelle

6.1 Surveillance, Détection & Réponse

• Agrégation de journaux centralisée dans Amazon OpenSearch avec sauvegardes S3 immuables.
• GuardDuty, Inspector et Security Hub permettent une détection continue des menaces.
• Équipe de réponse aux incidents de sécurité (SIRT) disponible 24h/24 et 7j/7 avec des runbooks documentés.

6.2 Gestion des vulnérabilités & Test de pénétration

• Scans d'images de conteneurs hebdomadaires ; CVEs critiques corrigés dans les 24 heures.
• Tests de pénétration tiers annuels et tests commandés par les clients autorisés.

6.3 Continuité des affaires & Récupération après sinistre

• Toutes les données persistantes sont stockées dans S3 versionné multi-AZ avec réplication inter-régionale.
• RPO ≤ 15 minutes, RTO ≤ 1 heure pour les services critiques.

7 Options de déploiement client

7.1 Energent Cloud (SaaS)

• Option par défaut ; intégration la plus rapide ; hérite de la sécurité de l'infrastructure mondiale d'AWS.

7.2 Cloud privé / Isolé VPC

• Stack Energent déployé par Terraform dans le compte AWS du client, avec contrôle de la résidence des données.

7.3 Sur site / VM uniquement

• Image VM capable de fonctionner hors ligne ; attestation de racine de confiance matérielle prise en charge via TPM/SGX.

8 Conclusion

Energent.ai combine une ingénierie de défense en profondeur, des processus opérationnels rigoureux et une conformité transparente pour protéger les données des clients à chaque couche. En adhérant à des cadres de référence de premier plan tels que AWS Well-Architected et NIST SP 800-53, nous offrons une plateforme qui permet une automatisation sécurisée et évolutive sans compromettre la confiance des utilisateurs.

Annexe A – Cartographie des contrôles (Extrait)

Matrice complète disponible sur demande.

Références

1. Cadre AWS Well-Architected – Pilier de sécurité, 6 nov 2024
2. NIST SP 800-53 Rev 5, “Contrôles de sécurité et de confidentialité pour les systèmes d'information et les organisations,” sept 202
3. CambioML & Epsilla, “Atteindre 2× Précision dans la récupération de connaissances à partir de graphiques et de tableaux,” 2 août 2024