Profils de risque et blocage automatique
Scores par utilisateur, agent et IP, cartes par catégorie, blocage automatique et audit par métadonnées.
AI-FW suit le risque par identité, utilisateur, agent et IP source. Les comportements risqués augmentent les scores et peuvent bloquer le trafic.
Scores#
Les violations (requêtes bloquées, autorisations refusées, tâches échouées, erreurs CA) et les indicateurs sémantiques augmentent le risque. Les scores diminuent avec le temps (décroissance exponentielle sur 48 heures, maximum 100). Seules les identités vérifiées déclenchent une escalade : claim sub du token, jamais en-tête client. L’UI distingue Verified et Header.
Vues#
| Vue | Données |
|---|---|
| Users | Score, indicateurs/blocages sémantiques, violations, activité, identité vérifiée ou par en-tête, réinitialisation et transactions récentes. |
| Agents | Scores fondés uniquement sur violations de blocage, requêtes, violations, niveau et réinitialisation. Indicateurs sémantiques exclus car les IDs sont contrôlés par le client. |
| IP addresses | Risque par IP source issu de blocages et indicateurs, avec utilisateurs et agents associés. |
Cartes : Total Users, New AI Users, High-Risk Users et Semantic Flags. Les cartes par catégorie couvrent Semantic Risk Analysis, PII Risk, PCI (Card) Risk et Health Data Risk ; la détection de santé est heuristique, pas une attestation de conformité.
Blocage automatique#
Risk Auto-Block règle N violations dans une fenêtre glissante de T secondes et la durée du blocage. Valeurs par défaut : on, N=5, T=300, durée=3600 secondes. L’alerte consigne identité, nombre et fenêtre ; les violations hors fenêtre ne comptent plus. Les seuils de score restent : authentification à 10, blocage à 50, cooldown d’une heure.
Audit#
Transactions : modèle, identité, IP source, latence, décision, aperçus tronqués, sans contenu brut. Activity montre les aperçus streaming transmis. Events inclut risk_auto_blocked.