Une machine peut lire la crise, et seulement lire

Lot A0 du cahier des charges IA : un serveur MCP en lecture seule, sur
« POST /mcp », hors du préfixe applicatif.

La garantie qui porte le reste n'est pas dans ce que les huit outils font,
mais dans ce que la liste ne contient pas. Le §7 ne suppose jamais qu'un
modèle résiste à une injection — la veille externe ramène dans la crise du
texte publié par n'importe qui, et un agent lira tôt ou tard une phrase
écrite pour lui. Entièrement détourné, il ne peut ni décider, ni mobiliser,
ni écrire. La suite l'éprouve en exerçant tout le catalogue puis en comptant
les événements du journal : identique, pas « à peu près ».

Le défaut est fermé. Une clé valide ne lit rien tant qu'une personne n'a pas
ouvert une crise nommée, depuis la crise, et l'ouverture s'inscrit en main
courante. Trois interrupteurs au-dessus : la fermeture par crise, la coupure
d'instance avec motif exigé dans les deux sens, la restriction au réseau
local. La déclaration du service et l'échéance sont tenues par la base, pas
seulement par le formulaire.

Ce qui sort est déclaré, pas hérité. Rendre la projection interne telle
quelle marchait, et faisait partir l'empreinte de la chaîne de hachage en
tableau de 32 octets par entrée, avec trois identifiants de compte et de
cellule : 1069 octets par entrée contre 243 après projection. Une surface
héritée s'élargit toute seule ; une surface déclarée demande une décision.

Les coordonnées de l'annuaire ne sortent pas. Les personnes qui y figurent
n'ont consenti à rien, et la plupart ignorent que l'organisation a branché
un agent — le dossier gelé sert les tiers et les fiches réflexes, et dit
l'absence plutôt que de la taire.

Enfin le bandeau, au même rang que le marquage « exercice » et pour la même
raison : dans une salle de crise, on dit ce qui écoute. Il nomme le service,
parce que ce qui compte pour qui consigne est de savoir chez qui sa phrase
atterrit.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>