Conduct AI : garde-fous open source

• •Conduct AI publie en open source Guard, un moteur de politique qui bloque, avertit ou audite chaque action d'agent IA avant son exécution, et Router, un proxy LLM compatible
• •Le système s'appuie sur une configuration signée cryptographiquement et un journal d'audit enchaîné par hachage SHA-256, couvrant plus de vingt packs de conformité dont HIPAA, PCI
• •Le dépôt est sous licence Apache 2.0 avec un niveau gratuit en mode Discovery ; les niveaux payants de la plateforme hébergée débloquent l'application des politiques et la

À l'heure où les agents d'intelligence artificielle prolifèrent dans les environnements de développement, la question de leur gouvernance en temps réel devient centrale. Conduct AI publie en open source un système en deux composants — Guard et Router — conçu pour intercepter et contrôler chaque action d'un agent avant son exécution, plutôt que de se contenter d'en enregistrer les effets après coup.

Guard et Router : deux surfaces, une politique unique

Conduct Guard est décrit comme un moteur de politique capable de prendre, pour chaque action d'IA, l'une de quatre décisions : bloquer, avertir, auditer ou injecter. Il s'appuie sur une configuration signée cryptographiquement et sur un journal d'audit enchaîné par hachage SHA-256. Toute entrée manquante ou altérée rompt la chaîne et peut être détectée par une vérification en un clic, selon la documentation du projet.

Conduct Router est un proxy LLM : en pointant le SDK d'un fournisseur — Anthropic, OpenAI ou Perplexity — vers Router, chaque requête transite par Guard avant d'atteindre le fournisseur en amont. Le projet revendique ainsi trois points d'interception : le hook CLI (pour Claude Code, Cursor, Copilot, Codex), la couche MCP, dont la surface d'exposition suscite des inquiétudes croissantes dans la communauté, et le proxy Router lui-même.

Un positionnement face aux pare-feux runtime existants

Le projet se distingue explicitement des solutions qualifiées de " pare-feux runtime " comme Straiker et Lakera, en faisant valoir qu'elles interviennent après l'action (fail-open), tandis que Guard agit avant, en mode fail-closed par défaut. Cette distinction — contrôle préventif contre observabilité rétrospective — constitue l'argument central du projet. Il convient de noter qu'il s'agit d'affirmations formulées par les auteurs du projet ; aucune évaluation indépendante n'est mentionnée dans le matériel source.

Conformité et packs préconfigurés

Plus de vingt packs de conformité sont livrés avec le dépôt : OWASP, SOC 2 CC7.3, HIPAA §164.312, PCI DSS 4.0, EU AI Act art. 15 et 16, NIST AI RMF, ISO 42001, ainsi que des packs spécifiques à Python, Node et Terraform. Vingt-deux playbooks préconstruits couvrent des cas d'usage comme la revue de code, la réponse à incident, le déploiement en production ou le triage CI/CD. Chacun se présente sous forme d'un fichier YAML éditable. Cette approche rappelle les efforts de vérification locale des agents IA, qui cherchent à produire des preuves auditables des décisions prises par les systèmes automatisés.

Modes de déploiement et modèle économique

Le dépôt est publié sous licence Apache 2.0, autorisant l'usage commercial et non commercial, la modification et la redistribution, avec un octroi explicite de droits sur les brevets. Les marques " Conduct ", " Conduct AI " et " Conduct Guard " restent la propriété de Conduct AI et ne sont pas couvertes par la licence. L'hébergement est possible en auto-déploiement via Docker Compose ou Kubernetes. Une offre hébergée existe sur conductai.ai, avec un niveau gratuit incluant le mode Discovery — visibilité en lecture seule sur l'ensemble des actions IA de l'équipe pendant quatorze jours, sans politique à configurer. Les niveaux payants débloquent l'application des politiques, le Router et l'API de vérification de la chaîne de hachage.

Au-delà de l'outillage technique, c'est la maturité de la gouvernance des agents IA qui se joue ici : à mesure que les modèles de langage s'intègrent dans des pipelines critiques, la capacité à imposer des contrôles auditables avant l'exécution — et non après — pourrait devenir une exigence réglementaire autant qu'une bonne pratique d'ingénierie.

More in Intelligence Artificielle

→

Intelligence Artificielle GLM-5.3 open-weight, cyber et coding Intelligence Artificielle OCaml : l'exploit avant le correctif Intelligence Artificielle Racter, l'ancêtre de l'IA générative Intelligence Artificielle Agents IA : découvertes mathématiques Intelligence Artificielle Headlong, l'agent IA en pensée continue Intelligence Artificielle L'IA régie par des lois, non des murs

← Home