Un second audit, fermé au grand jour.
On a relancé notre propre méthode sur nous-mêmes : un audit adverse interne, plus une analyse concurrentielle au niveau du code. Elle a confirmé les quatre terrains que personne d'autre ne réunit, et cassé cinq choses livrées la veille. Fermer ses propres défauts au grand jour, ce n'est pas une gêne : c'est la doctrine.
Ce qui est corrigé
- Traversal de chemin fermé. Un pointeur vers un fichier hors du projet passait au vert, contredisant notre propre promesse. La résolution est désormais confinée aux trois bases du projet : chemins absolus refusés, remontée
../impossible. La preuve doit être dans votre dépôt. - ReDoS fermé. Une signature de règle à quantificateurs imbriqués pouvait faire pendre la porte indéfiniment. Un filtre déterministe rejette la forme dangereuse avant de compiler l'expression : échec immédiat, jamais de blocage.
- OSCAL réconcilié avec sa propre spec. Le rendu prenait la première ligne de manifeste : le statut d'une règle multi-phase dépendait de l'ordre des livrables. Il agrège désormais toutes les lignes, indépendamment de l'ordre. La promesse « implémentable indépendamment, à l'octet » tient hors du cas nominal.
- La portée du scellement dite franchement. Le scellement détecte la dérive et la suppression, pas la falsification par quelqu'un qui recalcule l'empreinte : l'ancre de confiance est l'historique git signé. Une porte sans secret ne détient aucune clé de signature, par conception.
- La date EU AI Act corrigée. Le Digital Omnibus a reporté les obligations haut-risque du 2 août 2026 au 2 décembre 2027 ; nos données de régime imprimaient encore l'ancienne date. Corrigé. À la place de l'échéance périmée, deux munitions durables : FedRAMP interdit l'évidence produite par IA, et l'affaire Delve montre pourquoi cette évidence n'est pas fiable. Deux validations de la porte déterministe zéro-LLM.
La porte se branche dans BMAD
BMAD expose un point d'extension de revue qui accepte « un reviewer externe via bash ». Un adaptateur inerte y ajoute la porte déterministe de runward, à côté des reviewers IA de BMAD : ils jugent le métier du code, runward vérifie que les décisions tracées tiennent avec leur preuve. Un complément qui roule sur leur distribution, jamais un concurrent, aucun orchestrateur privilégié.
Deux releases dans la journée, et la seconde répare la première. Ce n'est pas un aveu : c'est exactement ce qu'une porte qui sait dire « pas encore » est censée produire, appliquée à son propre code.
Installer : npx runward init
Release v0.17.0 sur GitHub · CHANGELOG
← Toutes les nouveautés