Ce qu’une architecture peut encore déplacer : les bornes de la défendabilité
Il est un moment, dans la vie de tout grand parc défensif, que ses méthodes ne savent pas nommer. Il vient après la revue d’incident, quand la chronologie est arrêtée, les contrôles audités, les recommandations rédigées, et que la liste arrive sur le bureau de l’architecte pour signature. C’est toujours la même liste : plus de capteurs sur le segment franchi, plus de règles sur le détecteur resté muet, une couche de plus entre les deux qui ont cédé, une escalade plus rapide. L’architecte qui la signe pour la première fois y lit une réparation. Celui qui la signe depuis quinze ans y lit un taux : le parc absorbe des recommandations à un tempo, l’adversaire produit de la nouveauté à un autre, et rien dans la liste n’a jamais changé le second nombre. La liste achète du temps.
La question qui n’a pas de ligne sur le formulaire vient plus tard, et le plus souvent de celui qui paie : ce système est-il défendable ? La conformité, l’audit y répond ; l’état de défense du moment, la revue vient d’y répondre. La question porte sur le couple : pour cette mission, sur cette infrastructure, existe-t-il une manière de construire la défense sous laquelle la réponse cesse de dépendre du budget de l’adversaire ? Le verdict est demandé comme une propriété du couple et rendu comme une propriété de l’évaluateur. Sans théorie, un verdict de défendabilité est une opinion assortie d’un grade.
The Defendability Bounds construit cette propriété. Les papiers précédents de la série jugent un système déployé à ses coordonnées ; celui-ci fait du déplacement de ces coordonnées son objet. Une architecture est un opérateur sur le système défendu qui préserve son substrat et sa mission. La défendabilité (defendability), indexée par un modèle de menace anticipé et une borne de charge déclarée, est l’existence d’une architecture dont le système déployé est gouvernable au point de fonctionnement : un potentiel de conception, là où la gouvernabilité est un état d’exécution.
Un état, un potentiel
La région de gouvernabilité juge un système déployé : sa boucle défensive se ferme-t-elle au point de fonctionnement, ses exigences sont-elles couvertes par des garanties qui résistent à la croissance de l’adversaire. Cet état se perd à l’exécution, le long d’attaques sur ses coordonnées, la saturation de la capacité de réponse en tête. La défendabilité se prédique d’un autre objet : le couple formé par le substrat (substrate), ce que le contexte de déploiement rend réalisable en canaux et en emplacements, et la mission, tenue fixe comme paramètre d’identité, faute de quoi toute défense s’achèterait par érosion de ce qu’elle protège.
Les deux notions s’ordonnent. Un système gouverné rend son couple défendable, l’architecture qui l’a déployé servant de témoin. L’inverse échoue, et la classe intermédiaire est la plus fréquente : défendable, non gouverné. C’est le déploiement nominal du praticien, un parc bien doté et consciencieusement opéré, dont l’infrastructure offre des ancrages et dont les garanties n’en instrumentent aucun. Le verdict y est double : l’échec est remédiable, et le remède est architectural. Les deux notions se dégradent aussi différemment. Une défendabilité témoignée par une exclusion d’atteignabilité est invariante, dans ses clauses structurelles, en connaissance et en capacité de l’adversaire : l’architecte l’établit une fois, sa clause de clôture dimensionnée sur la croissance déclarée, là où l’exploitation doit maintenir la gouvernabilité en continu.
Ce que l’infrastructure offre
Le substrat porte une offre d’ancrages (anchor offer), typée par branche : des canaux capables de séparation résiduelle, des emplacements où loger un secret, des exclusions réalisables sur le système de transitions de la mission. Une architecture combine cette offre et n’en sort jamais. La loi de conservation est définitionnelle une fois le substrat défini avec soin ; l’engagement de modélisation porte sur l’adéquation de cette définition, et un changement de substrat sort de la classe des architectures.
La théorie tient sur deux limites distinctes, et leur appariement est son résultat structurel. La première borne ce qu’un défenseur peut garantir : les canaux et les emplacements que le contexte de déploiement réalise, où vit l’offre d’ancrages. La seconde borne ce qu’il peut énoncer : les invariants que le substrat sait exprimer, dont l’écart à l’intention de la mission est le résidu de spécification. La défendabilité vit dans la première, l’incomplétude dans l’écart de la seconde, et les bornes se tiennent entre les deux.
La contrainte qui parle
La contrainte déployée est un médiateur : toute interaction le traverse, il confine la trajectoire d’état et signe la trajectoire des propositions. Sous une contrainte ancrée par exclusion qui couvre le modèle de menace, une dichotomie s’impose à toute poursuite adverse. Ou bien ses propositions restent dans l’admis, et l’ensemble de compromission est hors d’atteinte par construction. Ou bien elle propose une action exclue, qui est bloquée sans transition d’état et lève un événement de rejet, sur un canal que le défenseur possède, avec un sens fixé par la spécification. Aucune inférence sur le contenu de l’émission n’intervient nulle part.
C’est le canal de violation (violation channel). Là où le canal de contenu s’est effondré sous le mimétisme génératif, il rend à la boucle un point de fonctionnement : la règle qui compte les rejets tient son sens de la spécification. L’architecture substitue au canal effondré le canal qui porte la coordonnée. La couverture, elle, n’échoue que par le résidu : par les succès que le graphe admis autorise hors de l’intention du défenseur.
La saturation change alors d’économie. Gonfler le flux de décisions exige des propositions exclues, chacune une auto-révélation sans transition d’état : là où l’exposition coûte à l’adversaire, le déni d’attention, gratuit sur le canal de contenu, devient payant. Le médiateur reste lui-même une cible : il sert le flux total des propositions, admises comprises, et sa capacité se dimensionne comme une hypothèse d’ingénierie.
Quatre états, deux déploiements
Un exemple fini donne la face calculable du certificat. Quatre états : un état initial, deux états entre lesquels la mission tourne en boucle de service, un état de compromission vers lequel la contrainte exclut toute proposition. Un parcours en largeur du graphe admis calcule l’ensemble atteignable, disjoint de la compromission : la couverture tient par calcul, quelle que soit la capacité de l’adversaire. Le point de fonctionnement se calcule aussi. Les erreurs de manipulation des administrateurs produisent en moyenne une proposition exclue par jour ; la poursuite adverse retenue dans l’exemple en produit vingt. Une règle qui décide au sixième rejet de la journée a un taux de fausse alerte d’environ six pour dix mille jours et une puissance supérieure à 0,9999, sans avoir lu un octet de contenu.
Le même couple, déployé avec des garanties de détection de contenu seulement, n’est certifié gouvernable par aucun résultat, et ne l’est pas sous les prémisses d’une branche extérieure des bornes de gouvernabilité. La même infrastructure porte pourtant le certificat de l’exemple : sous le registre de clôture hérité, le déploiement se complète en système gouvernable. C’est la classe intermédiaire, défendable non gouvernée, et tout le contenu prescriptif des bornes court entre ce verdict et celui de la classe opposée, où l’infrastructure n’offre aucun ancrage compatible avec la mission.
Deux bornes et une bande
Le résultat principal relève les bornes de gouvernabilité du système déployé au couple substrat–mission. Les déplacements atteignables se décrivent par un inventaire de leviers, chacun adossé à un résultat déposé : durcir le tempo d’adaptation de l’adversaire par contrainte architecturale, investir dans l’appareil d’observation, borner le temps de réponse sous charge, rebaser le point de fonctionnement sur le canal de violation, loger un secret, exclure par contrainte, composer des garanties, gouverner les flux entre composants. La complétude de cet inventaire, relativement à la classe intérieure, reste une conjecture.
La borne intérieure est un relèvement existentiel avec un témoin exhibé, sans aucune conjecture du corpus sous son registre déclaré : quand les architectures atteignables rencontrent la classe intérieure en un ancrage d’exclusion offert qui couvre le modèle de menace, le couple est défendable, par un seul témoin uniforme sur la croissance des capacités, qu’un théorème de certificat certifie. La borne extérieure compte deux clauses à deux statuts. Une offre d’ancrages compatibles vide laisse le couple incertifiable sous toute architecture : c’est un théorème. Là où aucun déploiement ne repose sur un plancher que la série met de côté, le couple est en outre indéfendable, au statut de la conjecture d’anté-bruit sur la résistance non ancrée, avec ses prémisses. Entre les deux, la bande est déclarée indécise.
Tout encodage fuit ou ampute
La théorie énonce aussi sa propre clause limite. Une mission riche relativement à son substrat ne coïncide avec aucun de ses encodages déployables : chacun laisse passer ce que l’intention interdit, ou interdit ce qu’elle permet, ou les deux. C’est le dilemme d’incomplétude, sous la forme exacte d’un résidu de spécification (specification residual) à deux faces, ce que l’encodage laisse échapper et ce qu’il ampute, stratifié le long de la chaîne qui va de l’intention à la règle déployée. La couverture n’échoue que par la face permissive. L’architecture certifiée par la construction est elle-même une frontière, qui délimite ce qu’elle capture.
Ce que la composition achète
La défense en profondeur vit dans un écart que la gouvernabilité laisse ouvert : elle évalue des garanties une par une, sans les composer. Le papier pose d’abord la loi la plus utile en pratique. Juxtaposer des mécanismes d’observation ne crée ni secret ni exclusion : un détecteur observe, il ne médie pas. Une séparation peut en revanche émerger du joint, deux canaux chacun muet sur la variable à séparer pouvant la déterminer ensemble ; elle se teste alors sur le canal joint, et son absence s’affirme seulement sous une hypothèse sur ce canal.
Un assemblage sans ancrage achète de la temporisation : il allonge le nombre de cycles de sonde nécessaires à l’adversaire, entre le maximum et la somme de ceux de ses composants, selon le budget et la criticité. Une composition gouvernable assemble une couche ancrée qui porte le plancher et des couches compressibles qui portent la prime. La pré-acquisition ouvre une seconde porte vers la perte de cette prime : ce que l’adversaire apprend hors cible, sur des répliques ou des déploiements semblables, ne raccourcit aucun cycle, il fait commencer le compte plus tard. Une couche dont la configuration est partagée avec des déploiements similaires n’apporte aucune prime, et la différenciation par site est le levier qui l’en préserve.
Sous la croissance des capacités
Lue sous la croissance des capacités, la théorie sépare deux familles de coordonnées. La croissance peut déplacer les premières, chacune sous son hypothèse nommée : la marge de séparation résiduelle, le tempo d’adaptation, la connaissance atteignable. Les secondes restent en place : les états exclus de l’ensemble atteignable, invariants en connaissance et en capacité, capacité parfaite comprise, et l’information retenue hors de tout canal que l’adversaire observe, stable dans son propre régime de plancher, de budget de tentatives et de renouvellement. Frontières de capacité contre frontières de structure. La théorie cherche une dépendance informationnelle ou actionnelle que l’adversaire ne peut lever, et aucune des deux coordonnées invariantes n’est une compétence.
Un agent se lit selon quatre modes, catégories et non étapes. Celui qui a appris avant le contact déplace son point d’entrée, pas l’ensemble atteignable : un graphe admis connu n’est pas un graphe franchi. Celui qui agit avec des privilèges que l’opérateur lui a accordés, sous compromission, détournement ou instruction injectée, engendre un modèle de menace issu de la configuration même : l’exclusion se décide alors sur le graphe admis de ce composant, quel que soit son alignement. Celui qui conditionne d’autres composants par des canaux entre agents appelle une gouvernance des flux, en topologie, sémantique, provenance et autorité. Celui qui réécrit la défense qui l’observe, ou la loi qui la gouverne, relève du régime méta-adaptatif. Le séparé n’est pas l’exclu : un évaluateur, un moniteur ou une mémoire placés hors bande n’instancient l’exclusion que si leur état pertinent pour l’intégrité sort de l’ensemble atteignable. Dans les quatre modes, la question architecturale qu’un agent pose porte sur l’étendue des effets causalement accessibles à ses propositions et aux flux qu’il produit, l’information qu’il rend pré-acquérable et les enveloppes de privilèges qu’il compose.
Ce que le papier établit, et ce qu’il laisse ouvert
Établis, sous leurs hypothèses nommées et rassemblées dans un registre unique : la conservation de l’offre d’ancrages ; la dichotomie forcée du canal de violation ; l’asymétrie entre état et potentiel, et la stabilité de la défendabilité ancrée par exclusion sous croissance des capacités ; le théorème de certificat et le relèvement existentiel de la borne intérieure ; l’incertifiabilité de la borne extérieure ; le dilemme d’incomplétude et sa stratification ; la loi de composition pour les branches structurelles, la séparation sous hypothèse sur le canal joint ; le plancher d’acquisition sous pré-acquisition.
Conditionnelle : la non-défendabilité de la borne extérieure, là où aucun déploiement ne repose sur un plancher que la série met de côté, suspendue à la conjecture d’anté-bruit sur la résistance non ancrée, à l’hypothèse de suffisance opérationnelle et à une exigence exposée tout au long de la croissance. Ouvertes : onze questions nommées là où elles surgissent, dont la géométrie de l’ensemble des déplacements atteignables, la complétude de l’inventaire des leviers, le degré de gouvernance des flux compatible avec la collaboration légitime, la composition couplée générale, une axiomatique intrinsèque du substrat, une théorie comparative des missions et une théorie quantitative du résidu de spécification.
Place dans la série
Les cinq papiers précédents fournissent les impossibilités et les ressources : l’effondrement opérationnel du canal de contenu, la fermeture de l’échappatoire temporelle, les trois ancrages défensifs, la décomposition des garanties de la ruse défensive, les bornes de gouvernabilité d’un système déployé. Ce papier relève ces dernières au couple substrat–mission et paie la dette d’interface que la région de gouvernabilité lui laissait : les données de mission et le prédicat d’effet y sont écrits dans l’architecture, la calibration des décisions y est dérivée. La dynamique de la loi de rétroaction elle-même revient au papier sur le régime méta-adaptatif. L’ensemble est présenté sur la page de la série.
Les bornes délimitent sans condamner. En deçà de la borne intérieure, sur un couple défendable, l’échec est remédiable et le remède est architectural. Au-delà de la borne extérieure restent des actes d’une autre nature, changer l’offre du substrat ou renégocier ce que la mission exige de son encodage : la décision passe à une autre table, avec les coordonnées de ce qui doit changer écrites dessus.
The Defendability Bounds v1.0, préprint, CC BY-NC 4.0. DOI concept : 10.5281/zenodo.23817051
