Correspondance avec la note de sécurité Acme, mesure par mesure

Pour qui : tous, et l'audit. Pour chaque mesure : ce que la note demande (résumé), ce que nous mettons en place, en natif puis en Terraform, la preuve (test et journal), et ce qui reste.

La note est classée « Secret & Internal ». Ce document la résume sans la reproduire. Ne pas le diffuser hors de l'équipe projet.

1. Les 10 mesures

Mesure 1 : héberger les agents sur Agent Runtime (ex-Vertex AI Agent Engine)

Pourquoi le plancher compte autant que l'hébergement : héberger sur Agent Runtime ne filtre rien en soi. Model Armor de Gemini Enterprise ne s'applique pas aux agents personnalisés. Deux protections complémentaires : le plugin dans l'agent (défense par conception) et le plancher du projet (filet de sécurité, même si un développeur oublie le plugin).

Mesure 2 : Shadow AI (quarantaine, inventaire, AI-SPM)

Mesure 3 : Model Armor (Inspect & Block, URL malveillantes, données sensibles)

Mesure 4 : journaux, Access Transparency, Access Approval, SIEM

Mesure 5 : filtrage de sortie (Secure Web Proxy)

Mesure 6 : RAG (droits et contenu indexé)

Mesure 7 : VPC Service Controls

Mesure 8 : identité, un projet par domaine, séparation des rôles

Mesure 9 : validation humaine des actions

Mesure 10 : Agent Registry et partage

2. Corrections à apporter à la note

2.1 L'exemple JSON de Model Armor n'est pas valide

Les noms de champs ne sont pas ceux de l'API (enforcement au lieu de filterEnforcement ; raiSettings.hateSpeech au lieu d'une liste raiFilters de {filterType, confidenceLevel}). Copié tel quel, il est refusé. Forme correcte (extrait) :

{
  "filterConfig": {
    "piAndJailbreakFilterSettings": { "filterEnforcement": "ENABLED", "confidenceLevel": "MEDIUM_AND_ABOVE" },
    "maliciousUriFilterSettings":   { "filterEnforcement": "ENABLED" },
    "raiSettings": { "raiFilters": [
      { "filterType": "HATE_SPEECH", "confidenceLevel": "MEDIUM_AND_ABOVE" },
      { "filterType": "DANGEROUS",   "confidenceLevel": "MEDIUM_AND_ABOVE" } ] },
    "sdpSettings": { "advancedConfig": {
      "inspectTemplate": "projects/P/locations/europe/inspectTemplates/ge-donnees-sensibles-fr" } }
  },
  "templateMetadata": { "enforcementType": "INSPECT_AND_BLOCK" }
}

2.2 La configuration « de base » ne voit pas les données françaises

sdpSettings.basicConfig utilise des détecteurs génériques orientés États-Unis (cartes, numéro de sécurité sociale US, identifiants cloud). Ni IBAN, ni NIR, ni CNI. → configuration avancée avec un modèle DLP.

2.3 Pas de masquage dans Gemini Enterprise

Model Armor ne renvoie pas de texte masqué à Gemini Enterprise : une détection bloque l'échange. Formulation à corriger : « détecter et bloquer ».

2.4 Le filtre d'URL ne couvre qu'une partie d'« Echo Leak »

Il bloque les URL connues comme malveillantes (listes Google). Un domaine d'attaquant tout neuf passe. Compléments : test T13 sur l'affichage des images externes, contrôle de sortie (mesure 5), confirmation humaine (mesure 9).

2.5 Model Armor ne protège pas « tous les modèles » automatiquement

Dans Gemini Enterprise, il protège l'assistant, pas les agents personnalisés (ADK, A2A). → plugin dans l'agent + plancher Agent Platform (mesure 1).

2.6 Le Secure Web Proxy ne s'applique pas à Gemini Enterprise

Gemini Enterprise est un service géré par Google : ses connecteurs et son moteur ne sortent pas par le VPC Acme. Le SWP filtre vos charges (agents reliés au VPC, Cloud Run, VM). Pour Gemini Enterprise : Agent Gateway, politiques d'organisation sur les destinations, IP fixes des connecteurs.

2.7 Point de décision : fournisseur d'identité

Avec un fournisseur tiers (Entra ID / Okta via Workforce Identity Federation), les connecteurs Google Workspace (Drive, Gmail, Agenda) ne sont pas pris en charge. Changer de fournisseur plus tard efface l'historique des conversations. → Décision à prendre avant la production, par l'architecture et la sécurité.

2.8 Injection indirecte (documents piégés)

Model Armor filtre la question et la réponse, pas le contenu des documents récupérés au moment de la réponse. D'où l'analyse avant indexation (mesure 6), le filtre de sortie et la confirmation humaine : aucune des trois ne suffit seule.

3. Sources Google

• Model Armor et Gemini Enterprise : https://docs.cloud.google.com/model-armor/model-armor-gemini-enterprise-integration
• Plancher Model Armor (dont Agent Platform) : https://docs.cloud.google.com/model-armor/configure-floor-settings
• Analyse de documents par Model Armor : https://docs.cloud.google.com/model-armor/sanitize-prompts-responses
• Access Approval, services couverts : https://docs.cloud.google.com/assured-workloads/access-approval/docs/supported-services
• Access Transparency, services couverts : https://docs.cloud.google.com/assured-workloads/access-transparency/docs/supported-services
• VPC Service Controls et Gemini Enterprise : https://docs.cloud.google.com/gemini/enterprise/docs/configure-vpc-sc
• Agent Registry : https://docs.cloud.google.com/agent-registry
• Agent Runtime + Terraform : https://docs.cloud.google.com/gemini-enterprise-agent-platform/scale/runtime/use-terraform
• Secure Web Proxy : https://docs.cloud.google.com/secure-web-proxy/docs/overview
• Cloud Asset Inventory, recherche : https://docs.cloud.google.com/asset-inventory/docs/searching-resources
• Confirmation des outils dans ADK : https://adk.dev