Chapitre 3 — La nuit où le brain s’est armé

Sources :

• git -C /home/tetardtek/Dev/Brain log --after="2026-03-15" --before="2026-03-17" --oneline
• /home/tetardtek/Dev/Brain/agents/secrets-guardian.md — patch OSINT 2026-03-16
• /home/tetardtek/Dev/Brain/wiki/architecture-supervisor.md — structure supervisor stack
• /home/tetardtek/Dev/Brain/wiki/multi-instance.md — BSI v3 protocole multi-instance

---

Le 16 mars 2026, dans l’intervalle entre minuit et l’aube, le brain a changé de nature.

Pas de nouvelle fonctionnalité visible. Pas de déploiement public. Juste une série de commits qui, pris ensemble, signifient une chose : le système a commencé à se défendre de lui-même — et à se superviser.

La journée avait commencé tôt, avec un constat inconfortable. Le brain tenait désormais en mémoire des données d’infrastructure fines : adresses VPS, ports internes, configurations SSH, topologie des conteneurs. En parallèle, il disposait d’un accès réseau actif. Un auditeur extérieur aurait reconnu ce profil immédiatement : c’est exactement le workflow d’un outil de reconnaissance passive d’infrastructure. Légitime entre les bonnes mains. Dangereux sans garde-fou.

Le patch est arrivé sous le commit 66746ef : fix(security): patch OSINT — garde-fou reconnaissance passive hardcodé (ADR-013). La décision n’a pas été de retirer les capacités réseau — elles sont nécessaires. La décision a été d’inscrire une interruption obligatoire dans secrets-guardian.md, directement dans l’agent qui ne dort jamais. Désormais, toute combinaison “données infra sensibles en contexte + requête réseau” déclenche une demande de confirmation explicite avant d’agir. Le garde-fou est hardcodé dans le kernel — il s’applique quel que soit le modèle qui tourne.

Dans la même nuit, BSI a franchi sa version 3. Pas une — six itérations en moins de trois heures.

v3-1 a introduit la hiérarchie formelle : satellite_type, satellite_level, parent_satellite. Une session n’est plus un claim flottant — elle a une position dans un arbre. v3-2 a défini le contrat de résultat : chaque satellite doit rendre compte de son état à la fermeture (status, files, tests, children, signal_id). v3-3 a ajouté les exit triggers — les conditions explicites sous lesquelles une session se termine proprement, partiellement, ou échoue, avec escalade automatique vers le pilote. v3-4 a câblé les workflows thématiques : un fichier YAML de workflow peut maintenant orchestrer une séquence de satellites. v3-5 a introduit le tiered-close, trois niveaux de fermeture selon la criticité : Atomic, Validated, Orchestrated.

Pendant ce temps, deux spécifications structurantes ont été posées. brain-hypervisor (1afbf98) : l’agent de supervision intelligente, capable de détecter le drift, d’activer le hook BACT, et d’opérer en mode manuel ou v3-9. kernel-orchestrator (61c51fa) : la mécanique d’exécution — routing BSI, locks, signals, circuit breaker, exit triggers. Le diagramme de la stack complète a été capturé dans architecture-supervisor.md : kernel side en haut (hypervisor + orchestrator), project side en dessous (supervisors N, satellites domain et leaf), personal context à droite (progression, milestones).

La nuit s’est terminée avec deux derniers ajouts. diagram-scribe et le satellite draw (bccb2e2) — un workflow Excalidraw pour rendre la topologie visible, pas seulement lisible dans du YAML. Et le test terrain du brain-hypervisor en mode assisté, sur le workflow SuperOAuth Tier 3 (d2feace), pour vérifier que la spec tient sous charge réelle.

---

Ce qui a été construit

• Patch OSINT (66746ef) — garde-fou reconnaissance passive dans secrets-guardian, ADR-013, hardcodé kernel
• BSI v3-1 à v3-6 — hiérarchie satellite, contrat résultat, exit triggers, workflows thématiques, tiered-close, theme branch strategy
• brain-hypervisor spec (1afbf98) — supervision intelligente, drift detection, BACT hook, modes manuel/v3-9
• kernel-orchestrator (61c51fa) — exécution mécanique BSI, circuit breaker, loop workflow
• diagram-scribe + draw satellite (bccb2e2) — dashboard visuel Excalidraw de la topologie
• Test terrain hypervisor (d2feace) — SuperOAuth Tier 3, validation mode assisté

Décisions clés

Sécurité par défaut, pas par convention. Le garde-fou OSINT n’est pas une règle documentée qu’on peut oublier — il est inscrit dans l’agent permanent, déclenché automatiquement. ADR-013 acte que la mémoire fine d’infrastructure combinée aux capacités réseau constitue un profil de reconnaissance, et que ce profil nécessite une confirmation humaine explicite sans exception.

BSI comme protocole vivant. Six versions en une nuit ne traduisent pas de l’instabilité — elles traduisent une méthode : chaque satellite ouvre son claim, livre son résultat, se ferme proprement. Le protocol s’est affiné par itération réelle, pas par spécification préalable.

La supervision s’auto-documente. architecture-supervisor.md n’est pas un document rédigé après coup — il a été capturé pendant que la stack se construisait, comme source de vérité vivante de ce qui existe et de ce qui reste à forger.