La page entière sort avant qu’on demande d’oublierCaviarder dans le prompt est déjà trop tardThe whole page leaves before the reader is asked to forgetRedacting inside the prompt is already too late
La maison recopie des propos du comptoir et envoie la page à un lecteur extérieur. Une ligne lui demande de taire les passages privés. Mais la page entière a déjà franchi la porte. Sa réponse peut être propre ; sa lecture ne l’était pas.Une conception d’extraction de mémoire de Gemini CLI transmettait au modèle une sélection de contenu issu de transcriptions locales, puis s’en remettait à des instructions placées dans cette même interaction pour caviarder les secrets. Ce placement protège au mieux le texte produit ensuite. Il ne protège pas la frontière que le contenu brut a déjà franchie.The house copies conversations from the counter and sends the page to an outside reader. One line asks that reader to hide private passages. But the whole page already crossed the door. The reply may be clean; the reading was not.A Gemini CLI memory-extraction design passed selected local transcript content to the model, then relied on instructions inside that same interaction to redact secrets. At best this protects the text produced afterwards. It does not protect the boundary the raw content has already crossed.
La réserveDonnées, mémoire et étatThe pantryData, memory and state
La page part entière avec son avertissementChronologieThe warning travels on the page itselfTimeline
En arrière-cuisine, la mémoire de la maison se nourrit des notes du comptoir. Ces notes servent à la suite du service.La fonction de mémoire consommait du matériel issu de transcriptions locales pour composer des requêtes d’extraction en arrière-plan.In the back kitchen, the house memory feeds on notes from the counter. Those notes serve the rest of service.The memory feature consumed local transcript-derived material to compose background extraction requests.
La consigne de taire le privé est écrite sur la page. Elle franchit donc la porte avec elle.Le caviardage était décrit dans le prompt d’extraction, donc après l’entrée du contenu sélectionné dans le contexte du modèle.The instruction to keep private matters quiet is written on the page. It therefore crosses the door with it.Redaction was specified inside the extraction prompt, that is, after the selected content had entered model context.
La correction demandée raye la page à la porte, toujours du même geste. Elle allège séparément les copies gardées au bureau.Les critères de correction déplacent un nettoyage déterministe avant l’envoi au modèle et réduisent séparément la journalisation diagnostique du contenu complet.The requested repair strikes the page at the door with the same gesture every time. It separately thins the copies kept in the back office.The remediation criteria move deterministic scrubbing ahead of model submission and separately reduce full-content diagnostic logging.
Rien de cela n’est posé et le travail reste ouvert. Cette nouvelle façon de faire est encore une intention, pas une garde à la porte.Le travail de sécurité reste ouvert dans les éléments examinés ; la correction de placement constitue donc un état cible, non un contrôle déployé et vérifié.None of this is in place and the work stays open. The new way remains an intention rather than a guard at the door.The security work remains open in the evidence examined, so the placement correction is a target state, not a deployed and verified control.
Le bureau conserve aussi la page entièreMécanismeNothing becomes unread, and the office copy remainsMechanism
Une page déjà lue ne peut pas être retirée de la lecture. Écrire « oublie cela » en marge n’efface rien chez celui qui l’a vue. Et au bureau, la maison conserve une copie entière qui n’a pas été rayée non plus.Une frontière de confidentialité ne protège que les données qui ne l’ont pas encore franchie. Des instructions au modèle ne retirent pas rétroactivement les valeurs brutes de son contexte. La journalisation forme une seconde frontière : une entrée modèle assainie ne garantit ni diagnostics, ni correctifs en attente, ni état mémoire assainis.A page already read cannot be taken out of the reading. Writing “forget this” in the margin erases nothing for the person who saw it. And in the back office, the house keeps a whole copy that has not been crossed out either.A privacy boundary protects only data that has not crossed it yet. Model instructions do not retroactively remove raw values from model context. Logging is a second boundary: sanitized model input guarantees nothing about diagnostics, pending patches or memory state.
Caviarder avant le seuil, jamais aprèsRéponseRedact before the threshold, never afterResponse
Caviarder la page avant sa sortie, toujours selon la même règle. Ne garder en trace que l’heure et le demandeur, jamais le contenu. Caviarder aussi la copie du bureau, puis glisser de faux secrets pour vérifier qu’aucun ne passe le seuil.Appliquer un nettoyage déterministe avant l’assemblage du prompt, ne conserver que des métadonnées d’audit sans secret, et assainir séparément la sérialisation diagnostique. Les tests doivent vérifier que des secrets représentatifs n’atteignent jamais sous forme brute l’entrée du modèle, la journalisation ou le contenu mémoire différé.Redact the page before it leaves the house, always under the same rule. Keep only the hour and requester, never the contents. Redact the back-office copy as well, then slip in decoy secrets and check that none crosses the threshold.Apply deterministic scrubbing before prompt assembly, keep only non-secret audit metadata, and sanitize diagnostic serialization separately. Tests must assert that representative secrets never reach model input, logs or deferred memory content in raw form.
Le mauvais geste est connu, la réparation attendÉtat actuelThe wrong move is known; the repair waitsCurrent state
Ce qui est établi : le mauvais placement est nommé et la réparation demandée est écrite. Ce qui ne l’est pas est tout aussi clair. Aucun secret sorti n’a été montré. Personne n’a mesuré la fréquence et rien n’a été réparé.La correction est suivie comme une tâche de sécurité ouverte. Les éléments examinés établissent le problème de placement et les critères d’acceptation demandés, mais ni incident de secret démontré, ni fréquence mesurée, ni correction livrée.What is established: the wrong placement is named and the requested repair is written down. What is not: no secret leaving has been shown, nobody measured the frequency, and nothing has been repaired.The remediation is tracked as an open security task. The evidence examined establishes the placement problem and the requested acceptance criteria, but neither a demonstrated secret incident, nor measured prevalence, nor a shipped correction.
Une consigne écrite trop tard ne protège rienLeçonA note written too late protects nothingLesson
Ce qui doit rester dans la maison se caviarde avant le seuil. Jamais chez celui qui a déjà lu la page.Placer les contrôles déterministes de confidentialité avant le composant qu’ils sont censés protéger.What must stay in the house is redacted before the threshold. Never beside the person who already read the page.Place deterministic privacy controls ahead of the component they are meant to protect.