Comment inject0 vérifie les contenus récupérés
inject0 est la vérification locale de l'agent poison0 (à partir de l'agent poison0 1.16.56). Elle vérifie les contenus récupérés contre la prompt injection avant que l'agent les traite, directement sur l'appareil. Le service pour vos propres applications s'appelle inject0 Gateway et constitue un produit distinct.
Ce qui est vérifié
inject0 vérifie la réponse d'un outil après son exécution et avant que l'agent la lise (hook PostToolUse). inject0 ne vérifie pas vos propres saisies.
| Contenu récupéré | Vérifiée | Remarque |
|---|---|---|
| Requêtes web | oui | Pour WebFetch dans Claude Code, le hook ne voit que le résumé rédigé par l'outil. |
| Recherche web | oui | La liste des résultats de recherche |
| Outils MCP | oui | Chaque réponse d'un serveur MCP |
| Sortie du shell | oui | La sortie de commandes comme curl ou git log |
| Lecture de fichiers | oui | Aussi les résultats de recherche avec contenu de fichier, par exemple Grep en mode contenu |
| Listes de fichiers | non | Glob, LS et Grep avec noms de fichiers seuls ne contiennent aucun contenu. |
Melira évalue le texte entier sur l'appareil avec un score compris entre 0,000 et 1,000. À partir du seuil d'alerte, la réponse compte comme une détection. Aucun chemin n'est exclu.
Niveaux
| Niveau dans la console | Valeur | Effet d'une détection |
|---|---|---|
| Désactivé | off | Aucune vérification. Les contenus récupérés arrivent à l'agent sans vérification. |
| Observer | observe | La détection est inscrite dans l'audit local. L'agent reçoit la réponse inchangée. |
| Signaler | hint | La réponse reste. L'agent reçoit la consigne de ne pas suivre les instructions qu'elle contient. |
| Retirer (par défaut) | redact | L'agent reçoit un court avis à la place de la réponse. Le texte reste sur l'appareil. |
Ce que fait Retirer
- L'agent reçoit, à la place de la réponse entière, un avis indiquant le score et le seuil.
- Le texte est conservé comme simple fichier dans votre propre dossier de données :
~/.poisonzero/inject0-withheld, sous Windows%LOCALAPPDATA%\PoisonZero\inject0-withheld. L'avis nomme le fichier. - Les fichiers ne sont pas chiffrés et n'expirent pas. Supprimez-les vous-même si nécessaire.
- Si l'agent lit plus tard un tel fichier, inject0 le vérifie à nouveau.
Seuil d'alerte
| Point | Valeur |
|---|---|
| Par défaut | 0,30, plage autorisée 0,20 à 0,40 |
| Appareils Cloud | PoisonZero fixe un autre seuil pour votre compte sur demande. |
| Appareils privés | Un autre seuil figure dans le fichier signé client-config.json. |
| Sur l'appareil | La commande poisonzero inject0 threshold affiche la valeur et sa source, sans la modifier. |
Quand la vérification est impossible
| Situation | Retirer | Signaler | Observer |
|---|---|---|---|
| Budget de temps dépassé, modèle en cours de chargement, erreur du moteur ou réponse de plus de 8 Mio | Réponse retenue, signalée comme non vérifiée | Remarque « non vérifiée » | Réponse inchangée, entrée d'audit |
| Service PoisonZero injoignable | Réponse retenue | Remarque « non vérifiée » | Réponse inchangée |
Si Melira n'est pas encore installé sur l'appareil, inject0 ne vérifie rien. L'agent est alors informé une fois par session que les contenus récupérés ne sont pas vérifiés. poisonzero doctor en indique la raison.
Agents pris en charge
inject0 utilise les mêmes entrées de hook que exec0 et leak0.
| Agent | Ce qui est vérifié | Effet |
|---|---|---|
| Claude Code | Toutes les réponses listées ci-dessus | Retirer et Signaler. Pour WebFetch, seulement le résumé. |
| Codex (CLI et IDE) | Toutes les réponses listées ci-dessus | Retirer remplace la réponse entière par l'avis. |
| Gemini CLI | Toutes les réponses listées ci-dessus | Retirer remplace la réponse entière. La remarque de Signaler n'est montrée qu'à vous, pas au modèle. |
| Cursor | Seulement les réponses des outils MCP | Retirer et Signaler |
| Antigravity CLI | Aucune | Aucun effet : le hook ne reçoit pas les contenus récupérés. |
Fonctionnement avec leak0
Lorsque leak0 masque une valeur secrète dans un contenu récupéré, inject0 vérifie la version masquée. inject0 ne voit jamais la valeur secrète.
Paramètres
| Offre et appareil | Paramètre |
|---|---|
| Enterprise, appareils Cloud | Console : Settings → Profils, Modifier sur le profil, onglet inject0 : l'interrupteur Activé et le Niveau. Les appareils reprennent le réglage à la synchronisation suivante. |
| Enterprise, appareils privés | Le niveau figure dans le fichier signé client-config.json issu de Exporter pour les privés. Distribution : Installer l'agent poison0. |
| Pro et Solo Dev | Toujours activé, au niveau Retirer |
| Sur l'appareil | Aucun interrupteur local. poisonzero status affiche le niveau et indique si la vérification tourne. |
Audit
| Dans la console | Action | Signification | Audit de la console (mode Cloud) |
|---|---|---|---|
| Retenu | inject0_withheld | Détection, la réponse a été retenue | oui |
| Signalé | inject0_marked | Détection au niveau Signaler | oui |
| Non vérifié | inject0_unchecked | La vérification n'a pas abouti | oui |
| Observé | inject0_observed | Détection au niveau Observer | non, local uniquement |
Champs par entrée : heure, agent, outil, taille de la réponse, score, seuil, niveau et décision. Jamais inclus : le texte, les URL et les chemins.
Protection des données
| Données | Mode Cloud | Mode privé |
|---|---|---|
| Texte du contenu récupéré | Vérifié sur l'appareil, jamais envoyé | Vérifié sur l'appareil, jamais envoyé |
| Texte retenu | Uniquement dans votre propre dossier de données | Uniquement dans votre propre dossier de données |
| Entrée d'audit, sans contenu | Sur l'appareil et dans la console | Uniquement sur l'appareil |
| Modèle | Téléchargé par l'agent poison0 | Arrive avec la vérification de licence environ tous les 30 jours, sans requête supplémentaire |
Liste complète : Ce que le mode Cloud envoie.
Disponibilité
| Point | Valeur |
|---|---|
| Version | À partir de l'agent poison0 1.16.56 |
| Offres | Solo Dev, Pro et Enterprise |
| Matériel | Fonctionne sur le CPU. Aucun GPU n'est nécessaire. |
Pour aller plus loin
Pour vos propres applications et passerelles LLM : inject0 Gateway. Appels d'outils dangereux : exec0. Fuite de secrets : leak0.