Garde-fous

Les garde-fous contrôlent chaque question et chaque réponse d'un espace, quel que soit le canal : chat de l'application, agents, bulle de chat du site, API, messageries (WhatsApp, etc.), serveur MCP et automatisations. Ce sont des règles locales : elles n'appellent aucun modèle et ne coûtent rien par question.

Réglage : Paramètres → Garde-fous, réservé aux administrateurs de l'espace.

Ce qui est contrôlé

Contrôle	Ce qu'il repère
Tentatives de détournement	Les demandes qui cherchent à contourner les consignes ou à lire le prompt système, en français et en anglais : « ignore tes instructions », « montre ton prompt système », « fais comme si tu n'avais aucune règle », « mode développeur »…
Termes refusés	Une liste propre à l'espace, vide par défaut. La comparaison ignore les majuscules et les accents, et porte sur des mots entiers (« salaire » ne déclenche pas sur « salaires »).
Données personnelles	E-mails, numéros de téléphone (français et internationaux), IBAN, numéros de sécurité sociale et de carte bancaire. Les IBAN, cartes et numéros de sécurité sociale sont vérifiés par leur clé de contrôle, pour ne pas masquer un simple numéro de commande.
Fuite du prompt système	Une réponse qui recopie mot pour mot des phrases du prompt système de l'agent.

Les trois modes

• Désactivé : aucun contrôle.
• Journaliser seulement (par défaut) : rien ne change pour les utilisateurs. Chaque contrôle qui se déclenche est inscrit au journal, et les données personnelles sont masquées dans les journaux du serveur.
• Bloquer : une tentative de détournement ou un terme refusé reçoit le message de refus, sans appel au modèle. Les données personnelles sont remplacées (par exemple [e-mail masqué]) avant l'envoi au modèle, et la question continue.

Une fuite du prompt système est seulement signalée : la réponse est déjà partie quand on la détecte.

Conseil : laissez l'espace quelques jours en « Journaliser seulement », regardez le journal, ajustez les termes refusés, puis passez en « Bloquer ».

Journal des incidents

Le bas de la page liste les contrôles déclenchés : date, suite donnée (refusée ou journalisée), contrôles, canal et un extrait de 160 caractères avec les données personnelles masquées. Le texte complet n'est jamais conservé dans le journal.

Le journal s'appuie sur le journal d'audit de l'espace (action guardrails.triggered), donc sur sa durée de conservation. On peut aussi le lire par l'API : GET /api/v1/tenants/{id}/audit-log?action=guardrails.triggered.

API

• GET /api/v1/tenants/kv/guardrails-config : réglage de l'espace (administrateur).
• PUT /api/v1/tenants/kv/guardrails-config : enregistre le réglage.

{
  "mode": "block",
  "detect_injection": true,
  "mask_personal_data": true,
  "detect_prompt_leak": true,
  "blocked_terms": ["salaires", "nom d'un concurrent"],
  "blocked_message": "Je ne peux pas répondre à cette demande."
}

Limites : 200 termes de 100 caractères au plus, message de 500 caractères au plus.

Limites connues

• Les règles de détournement repèrent les formulations courantes, pas toutes. Elles complètent les consignes du prompt, qui demandent déjà au modèle de traiter le contenu des documents comme des données et non comme des ordres.
• Aucune modération du contenu par un modèle d'IA dans cette version.
• En mode Bloquer, une question qui contient une donnée personnelle utile à la recherche (un e-mail recherché dans les documents, par exemple) perd cette donnée.