HullSmith Horizon
Le mur. Le pare-feu aux gates.
Chaque agent confiné n'atteint vos données qu'en franchissant cinq gates numérotées. Horizon fusionne la physique d'exfiltration et les contrôles d'hallucination en un seul appel. Une écriture bloquée est un certificat signé, pas un espoir.
02 · L'invariant
Gate 01 · Entrée
Contexte entrant
PASS · contexte assaini, champs masqués
BLOC · injection de prompt ou champ non masqué
Gate 02 · Sortie
Résultats sortants
PASS · résultat ancré, aucune fuite
BLOC · hallucination ou DLP · incident
Gate 03 · Sortie ↑
Remontée vers la surface
PASS · charge DLP-propre vers l'écran
BLOC · fuite résiduelle vers L3
Gate 04 · ⇄
Appel d'outil, résolu
PASS · appel moteur, E/S typées
BLOC · système brut ou outil non délimité
Gate 05 · Entrée
Dispatch de tâche
PASS · jeton de tâche délimité, courte durée
BLOC · session permanente ou jeton large
Parcourez le mur avec l'ingénieur qui le fait tourner.
L'appel G1 est gratuit. Apportez votre questionnaire de sécurité ; on y répond gate par gate, on montre une écriture bloquée, et on met un certificat signé devant vous.
01 · Cinq gates
Contexte in, résultats out, remontée, E/S d'outil, dispatch. Aucun sixième chemin.
02 · Horizon fusionné
Physique et hallucination, un verdict, un certificat signé.
03 · Statut honnête
Production. Autonome, ou dans MaxorConnect.
04 · Aucune boucle d'entraînement
Aucune donnée client dans une boucle d'entraînement. Les agents proposent ; un humain approuve.
Le schéma de déploiement
Cinq gates. Si un changement trace un chemin autour du mur, le changement est faux.
Chaque ligne qui entre dans la cellule de confinement ou en sort passe par l'une d'elles. Il n'y a pas de sixième chemin — ni pour nos agents, ni pour ceux d'un fournisseur, ni pour les vôtres.
Gate 01 · Entrée
Contexte entrant
Le contexte gouverné entre dans la cellule assaini — injection de prompt filtrée, champs masqués selon la politique.
PASS · contexte assaini, champs masqués
BLOC · injection de prompt ou champ non masqué
Gate 02 · Sortie
Résultats sortants
Chaque résultat est filtré contre l'hallucination et la fuite de données avant de sortir. Bloqué = retenu, et consigné comme incident.
PASS · résultat ancré, aucune fuite
BLOC · hallucination ou DLP · incident
Gate 03 · Sortie ↑
Remontée vers la surface
DLP sur le chemin vers la surface produit — ce qui atteint un écran a franchi deux gates.
PASS · charge DLP-propre vers l'écran
BLOC · fuite résiduelle vers L3
Gate 04 · ⇄
Appel d'outil, résolu
E/S du substrat filtrées dans les deux sens — un agent interroge les moteurs déterministes, jamais le système brut.
PASS · appel moteur, E/S typées
BLOC · système brut ou outil non délimité
Gate 05 · Entrée
Dispatch de tâche
Le travail entre dans la cellule comme une tâche délimitée, à durée courte, avec un jeton délimité — pas une session permanente.
PASS · jeton de tâche délimité, courte durée
BLOC · session permanente ou jeton large
Invariant
Aucun agent confiné n'atteint un produit, le plan de contrôle, le substrat ou un système client sans franchir HullSmith.
✕ BLOQUÉ — hallucination ou fuite détectée — retenu, consigné comme incident
5
gates numérotées — aucun sixième chemin
1
certificat signé par écriture bloquée
0
ML, GPU ou données d'entraînement — rien qui dérive
Nuage → Airgap
tourne là où vivent vos agents
Le mur, le pare-feu, la preuve.
Les scanners de signatures n'attrapent que ce qu'ils ont déjà vu. Les modèles de langage inventent des mensonges fluides. HullSmith n'est ni l'un ni l'autre. C'est le mur numéroté autour des agents confinés. Horizon est le pare-feu fusionné à ce mur — physique d'exfiltration et vérification d'hallucination en un appel. Le fossé, c'est le reçu que vous rejouez, pas la prétention que le mur est inviolable.
Cinq gates. Aucun sixième chemin.
Chaque agent confiné n'atteint un produit, le plan de contrôle, le substrat ou un système client qu'en franchissant HullSmith. Un changement qui trace un chemin autour du mur est le mauvais changement.
Horizon : physique et hallucination, un appel.
Horizon est le nom public du pare-feu fusionné à ce mur — appels système refusés par défaut, outils délimités, physique d'exfiltration, et un tissu déterministe de vérification d'hallucination. HullSmith le consomme et vend le certificat signé. Le SDK embarquable pour les sorties IA tierces est /products/maxor-ground — un autre placement, pas un second HullSmith.
Franchir. Fusionner. Signer.
Un agent frappe une gate numérotée. Horizon balaie. Vous obtenez un verdict que vous pouvez rejouer.
01 — Franchir une gate
Contexte in, résultats out, remontée, E/S d'outil, ou dispatch de tâche. Cinq passages numérotés. Aucun sixième chemin — ni pour nos agents, ni pour ceux d'un fournisseur, ni pour les vôtres.
02 — Horizon fusionne le balayage
Un appel mesure la physique d'exfiltration et l'hallucination à la même gate. Déterministe : même entrée, même verdict. Aucun modèle à entraîner, rien à empoisonner, rien à ré-entraîner.
03 — Signer le certificat
PASS livre. BLOCK retient l'écriture et signe un certificat que vous rejouez. L'unité facturable est ce reçu — la preuve, pas l'espoir que le mur a tenu.
Le mur que vous prouvez.
Conçu pour s'insérer en ligne sur la frontière des agents — et pour être contrôlé, pas cru sur parole.
Cinq gates numérotées
Contexte in, résultats out, remontée vers la surface, E/S d'outil, dispatch de tâche. Un chemin autour de l'une d'elles est la mauvaise architecture.
Tissu de vérification d'hallucination
Chaque résultat qui quitte la cellule est filtré contre les affirmations non ancrées avant d'être livré. Un mensonge fluide est retenu et consigné — pas livré comme un fait.
Physique d'exfiltration à la même gate
Flux d'information, entropie de canal, pression d'accès — mesurés, pas comparés à une liste de signatures. Une fuite inédite déclenche la même alarme.
Certificat signé
L'unité facturable. PASS ou BLOCK avec la gate, le contrôle, et un reçu que votre auditeur rejoue sans nous appeler.
Refus par défaut. Outils délimités.
Appels système refusés sauf permission. Mouvement latéral bloqué. Outils délimités. Sortie uniquement par une gate. L'agent ne contourne pas par la parole.
Sans ML, sans GPU, sans données d'entraînement
Rien qui dérive, rien à empoisonner, rien à ré-entraîner. Assez léger pour le nuage, l'auto-hébergé, ou l'airgap.
Les écritures qui ne devraient jamais quitter la cellule.
Chacune est une défaillance de gate que vous pouvez nommer. Une variante inédite déclenche le même contrôle — aucune mise à jour de signature.
Résultats non ancrés
Une réponse fluide absente de la source — l'hallucination classique — attrapée à la Gate 02 avant que quiconque en aval ne la voie.
Exfiltration et fuite résiduelle
Flux d'information anormal vers la surface ou un système client — signalé avant que les données ne franchissent le point de non-retour.
Injection de prompt et champs non masqués
Un contexte qui tente d'entrer dans la cellule avec une instruction ou un champ brut que la politique devait masquer — bloqué à la Gate 01.
Outils non délimités et système brut
Un agent qui interroge le système d'exploitation au lieu d'un moteur typé, ou un outil hors de sa portée — refusé à la Gate 04.
Sessions permanentes et jetons larges
Un travail qui veut une session permanente au lieu d'un jeton de tâche court et délimité — refusé à la Gate 05.
Le sixième chemin
Toute architecture qui trace une ligne autour du mur. L'invariant HullSmith : si le changement crée un sixième chemin, le changement est mauvais.
Hébergé, ou entièrement dans votre périmètre.
Démarrez dans le nuage ; rapatriez le mur à l'interne quand votre revue de sécurité — ou votre règle de résidence des données — l'exige. Les calculs n'ont pas besoin d'Internet.
Infonuagique
Entièrement géré sur une infrastructure à résidence canadienne. La façon la plus rapide de placer HullSmith devant un agent — rien à provisionner.
Sur site
Exécutez le mur dans votre propre environnement — vos clés, votre infrastructure, votre plan de contrôle. Les signaux ne quittent jamais votre réseau.
Airgap
Entièrement déconnecté pour les déploiements les plus sensibles. Pas de télémétrie, pas d'appel sortant. Déterministe et assez léger pour tourner hors ligne.
Quiconque met un agent près des données.
Si un logiciel — ou un agent IA — peut agir, vous avez besoin d'un verdict défendable sur ce que cette action avait le droit de faire.
Une même philosophie déterministe, dans toute la suite.
HullSmith est la frontière de confinement des agents de la pile Maxor. Horizon est la marque du pare-feu fusionné à cette frontière. Le SDK de grounding documentaire sur /products/maxor-ground est un autre placement — embarquable dans n'importe quelle sortie IA tierce — pas un second HullSmith.
Explorer la suite MaxorDisponibilité
—
Statut
Production
Déploiement
Cloud · Auto-hébergé · Air-gap
Propriétaire
Maxor Digital · PI détenue par Maxor Global LLC
Parcourez le mur. Voyez une écriture bloquée.
L'appel G1 est gratuit. Apportez le questionnaire. On répond gate par gate, on montre une écriture bloquée, et on met un certificat signé devant vous — pas une brochure. Production. Autonome, ou dans MaxorConnect.
HullSmith, en clair
HullSmith est le mur. Chaque agent confiné — le nôtre, celui d'un fournisseur, le vôtre — n'atteint vos données qu'en franchissant cinq gates numérotées. Horizon, le pare-feu déterministe, se tient derrière. Production. La même pile que Architecture, zoomée sur L2.5.
Contexte entrant, résultats sortants, remontée vers la surface, E/S d'outil, et dispatch de tâche. Il n'y a pas de sixième chemin. Un changement qui trace un chemin autour du mur est le mauvais changement.
Horizon est la marque publique du pare-feu fusionné aux gates de HullSmith — physique et vérification d'hallucination en un appel déterministe. Vous achetez HullSmith. Horizon n'est pas un second produit.
Oui. Nuage, auto-hébergé, ou entièrement déconnecté. Les calculs n'ont pas besoin d'Internet, et parce qu'il est déterministe et léger, le balayage complet tourne hors ligne.
L'appel G1 est gratuit. Apportez votre questionnaire de sécurité ; on y répond gate par gate et on met les réponses par écrit. Demandez-le sur cette page — rien ici n'entraîne un modèle.