Résumé Technique : Le Seuil de l'Enveloppe de Custodie

Énoncé du Problème

L'infrastructure institutionnelle moderne repose lourdement sur des artefacts maintenus de l'extérieur (par exemple, les dépendances de paquets, les images de conteneurs, les actions CI/CD, les modules Terraform, les poids de modèles). Bien que ces artefacts soient triviaux à récupérer et à composer pour un développateur individuel, les institutions peinent à les admettre, les gouverner, les révoquer ou les défendre après une défaillance. Les cadres existants tels que SLSA, NIST SSDF et le S2C2F de Microsoft se concentrent sur l'intégrité du producteur, les pratiques de développement sécurisées ou la maturité de la consommation sécurisée. Cependant, ils ne parviennent pas à expliquer un puzzle empirique critique : pourquoi des classes d'artefacts comparables produisent des résultats institutionnels divergents. Certains artefacts sont admis directement, d'autres sont proxyifiés, médiatisés par des politiques, médiatisés par des fournisseurs, internalisés ou rejetés. L'article soutient que la littérature actuelle manque d'un modèle descriptif-prédictif expliquant pourquoi différentes classes d'artefacts se lient à différentes conditions de custodie et comment les institutions sélectionnent les modes de gouvernance en réponse.

Méthodologie

L'article propose le Seuil de l'Enveloppe de Custodie (Custody Envelope Threshold), un modèle d'admission d'artefacts gradué par l'autorité. La méthodologie est structurée comme suit :

1. Lignée Théorique : Le modèle synthétise la tradition du moniteur de référence (privilège minimum, médiation complète) et l'économie des coûts de transaction (les modes de gouvernance comme choix institutionnels comparatifs).
2. L'Instrument : Un instrument ordinal à quatre conditions évalue les artefacts dans un contexte d'utilisation spécifique :
   • Autorité d'Exécution ($A$) : Le niveau de privilège que l'artefact reçoit (0 : non exécutant à 3 : production/infrastructure privilégiée).
   • Identité de l'Objet ($I$) : La stabilité et la vérifiabilité de l'identité de l'artefact (0 : instable/implicite à 3 : vérifiable/liée par une politique).
   • Chemin d'Ingress ($G$) : Le contrôle sur la manière dont l'artefact entre dans l'institution (0 : récupération publique directe à 3 : frontière imposée par une politique).
   • Capacité de Révocation ($R$) : La capacité de bloquer, de supprimer ou de remplacer l'artefact après son admission (0 : aucun chemin à 3 : révocation rapide et auditable).
3. La Règle de Clôture : L'admission directe par l'institution n'est défendable que si le maillon le plus faible de la custodie respecte le seuil d'autorité :
   $$\min(I, G, R) \ge A$$
   Si cette condition échoue ($D = A - \min(I, G, R) > 0$), un « déficit de custodie » existe.
4. Heuristique de Sélection de la Gouvernance : Lorsque l'admission directe échoue, l'institution sélectionne le mode de gouvernance à la charge la plus faible capable de combler le déficit. Cette sélection dépend de :
   • Spécificité de la Custodie Locale ($S$) : Le degré de connaissance spécifique à l'institution requis pour une utilisation sûre (0 : commodité à 3 : spécifique à l'institution).
   • Disponibilité de la Clôture Externe : Si un fournisseur externe peut fournir la limite manquante.
   • Scrutin Institutionnel ($Q$) : Le niveau de pression de révision externe ou interne.
5. Dérivation et Validation : Le modèle est appliqué à six cas de dérivation (dépendances de paquets, GitHub Actions, images de conteneurs, fournisseurs/modules Terraform, extensions de développeurs et artefacts de modèles ouverts). Il est testé sous pression contre les flux curl | bash et évalué par rapport à des preuves de contrôle (held-out evidence) concernant les serveurs du Model Context Protocol (MCP). Un design de validation est proposé impliquant un codage indépendant des entrées et des résultats pour tester quatre hypothèses concernant l'échelle d'autorité, les déficits de liaison, la dépendance au contexte et l'interaction du scrutin.

Principales Contributions

• Modèle Descriptif-Prédictif : Contrairement aux cadres de maturité prescriptifs (ex: S2C2F), cet article offre un modèle qui prédit pourquoi les institutions choisissent des modes de gouvernance spécifiques (proxy, médiation par politique, médiation par fournisseur, internalisation, quarantaine) basés sur l'interaction entre l'autorité de l'artefact et la clôture de la custodie.
• Custodie Graduée par l'Autorité : L'article établit que les exigences de custodie ne sont pas statiques ; elles évoluent avec l'autorité d'exécution déléguée à l'artefact. Un artefact à faible autorité nécessite des contrôles modestes, tandis qu'un artefact à haute autorité exige une identité forte, un ingress contrôlé et une révocation rapide.
• Taxonomie des Modes de Gouvernance : Il définit six résultats de gouvernance distincts non pas comme des étiquettes arbitraires, mais comme des réponses économiques aux déficits de custodie sous autorité déléguée.
• Instrument Opérationnel : Il fournit une grille de notation déterministe (0–3) pour l'identité, l'ingress, la révocation et la spécificité, permettant la prédiction mécanique des modes de gouvernance primaires.
• Preuve par l'Évidence (MCP) : L'article introduit les serveurs du Model Context Protocol (MCP) comme une classe d'artefacts de contrôle, démontrant que les surfaces de gouvernance émergentes (registres, passerelles, autorisation à portée limitée) se matérialisent exactement comme le prédit le modèle pour les outils d'IA à haute autorité.

Résultats et Observations

L'application du cadre aux six cas de dérivation révèle les sché-mas suivants :

• Dépendances de Paquets : Présentent typiquement des déficits d'ingress et de résolution de namespace. Le mode prédit et observé est Proxied (flux internes, miroirs).
• GitHub Actions : Font souvent face à des déficits d'identité mutable et d'autorité élevée. Le mode prédit est Policy-Mediated (verrouillage par SHA complet, listes d'autorisation) ou Quarantined.
• Images de Conteneurs : Souffrent fréquemment de déficits de révocation et d'ingress. Le mode est Proxied avec des contrôles d'exécution curatés.
• Fournisseurs Terraform : Malgré une autorité élevée, une identité forte (signature) et un ingress robuste (miroirs) permettent une Admission avec distribution signée et verrouillée.
• Modules Terraform : Se lient sur la spécificité de la custodie locale (connaissance architecturale). Le mode est Internalized (copiés/enveloppés en interne).
• Extensions de Développeurs : Font face à des déficits d'autorité de point de terminaison et de contrôle de mise à jour. Le mode est Policy-Mediated ou Catalog-Mediated.
• Artefacts de Modèles Ouverts : Manquent souvent de mécanismes de chargement sûrs et de chemins de révocation pour les contextes à haute autorité. Le mode est Vendor-Mediated (catalogues gérés) ou Quarantined.
• Serveurs MCP (Contrôle) : Les premières preuves suggèrent que les serveurs MCP à haute autorité tendent vers une gouvernance Vendor-Mediated (passerelles, catalogues) à mesure que l'écosystème mûrit.

L'article note que le « curl | bash » persiste dans les contextes à faible scrutin, mais est transformé ou bloqué dans les environnements à haut scrutin, confirmant la prédiction du modèle selon laquelle le scrutin pousse la convergence vers une custodie plus forte.

Signification et Revendications

L'article affirme déplacer l'unité d'analyse de « l'approbation de l'open source » vers « l'admission de la classe d'artefact ». Sa signification centrale réside dans la fourniture d'un cadre falsifiable qui explique la divergence institutionnelle :

1. Falsifiabilité : Le modèle est affaibli si des institutions à haut scrutin admettent régulièrement des artefacts à haute autorité avec une faible clôture de la custodie sans médiation. Inversement, il est affaibli si une clôture de custodie forte ne corrèle pas avec l'admission.
2. Économie de la Gouvernance : Il recadre les décisions de sécurité comme des choix économiques où les institutions sélectionnent des modes de gouvernance pour minimiser la charge de clôture des déficits de la custodie par rapport à leur tolérance au risque.
3. Pouvoir Prédictif : Le cadre prédit que la récupération publique directe déclinera dans les chemins de production sérieux, remplacée par des proxys, des registres curatés et des passerelles, même si l'usage des artefacts publics augmente.
4. Distinction par rapport aux Travaux Antérieurs : Il se distingue de SLSA et du NIST SSDF en se concentrant sur la décision d'admission et la divergence des résultats entre les classes d'artefacts, plutôt que sur l'intégrité du producteur ou les pratiques de développement sécurisées.

L'article conclut que les institutions n'admettent pas les artefacts externes simplement parce qu'ils sont utiles ; elles ne les admettent que lorsqu'utilité peut être convertie en une custodie graduée par l'autorité à un coût de gouvernance acceptable.