diff --git a/.gitignore b/.gitignore
index 05f25c6..af21de8 100644
--- a/.gitignore
+++ b/.gitignore
@@ -38,3 +38,8 @@ codeql-db/
codeql-results.sarif
docs/reviews/
grob-codex-proxy.toml
+
+# Generated demo recordings
+docs/demos/showcase-rssi/demo.cast
+docs/demos/showcase-rssi/demo.gif
+docs/demos/showcase-rssi/demo.webm
diff --git a/deploy/demo/Makefile b/deploy/demo/Makefile
index aea12d4..38019d1 100644
--- a/deploy/demo/Makefile
+++ b/deploy/demo/Makefile
@@ -7,6 +7,8 @@
# make demo-logs Suit les logs du seed (trafic) et du watcher (coupure)
# make demo-reset Remet la démo à l'état s0 (idempotent)
# make demo-stop Arrête le pod sans supprimer les images
+# make demo-cast Enregistre la doublure asciinema de la démo
+# make demo-gif Convertit la doublure asciinema en GIF partageable
# make gen Régénère demo.kube.yaml depuis les fichiers source
# make grob-img (Re)construit l'image grob patchée (caviardages C1/C2)
# make tools (Re)construit l'image localhost/grob-demo-tools
@@ -25,8 +27,9 @@ POD := grob-demo
# Racine du dépôt (contexte de build pour l'image grob : le Containerfile fait
# COPY . . sur tout l'arbre source). Le Makefile vit dans deploy/demo.
REPO_ROOT := $(abspath $(CURDIR)/../..)
+DEMO_DOCS := $(REPO_ROOT)/docs/demos/showcase-rssi
-.PHONY: demo grob-img tools gen demo-logs demo-stop demo-reset urls
+.PHONY: demo grob-img tools gen demo-logs demo-stop demo-reset demo-cast demo-gif urls
# Image grob PATCHÉE, buildée depuis l'arbre source local : elle embarque le
# correctif feat(audit) qui classe les caviardages en C1/C2 (DLP_WARN), encore
@@ -53,6 +56,15 @@ demo: grob-img tools gen ## Construit, régénère, puis déploie la démo compl
demo-logs: ## Suit le trafic (seed) et la coupure en direct (watcher).
$(PODMAN) logs -f $(POD)-seed $(POD)-watcher
+demo-cast: ## Enregistre la doublure asciinema (stack déjà lancée).
+ @command -v asciinema >/dev/null 2>&1 || { echo "asciinema est requis. Installez asciinema puis relancez make demo-cast."; exit 1; }
+ cd $(REPO_ROOT) && asciinema rec -y -c "sh docs/demos/showcase-rssi/replay.sh" docs/demos/showcase-rssi/demo.cast
+
+demo-gif: ## Convertit demo.cast en GIF partageable (nécessite agg).
+ @test -f $(DEMO_DOCS)/demo.cast || { echo "demo.cast introuvable. Lancez d'abord : make demo-cast"; exit 1; }
+ @command -v agg >/dev/null 2>&1 || { echo "agg est requis pour générer le GIF. Installez https://github.com/asciinema/agg puis relancez make demo-gif."; exit 1; }
+ agg $(DEMO_DOCS)/demo.cast $(DEMO_DOCS)/demo.gif
+
demo-stop: ## Arrête le pod (conserve images et manifeste).
$(PODMAN) kube down $(KUBE)
diff --git a/deploy/demo/demo.kube.yaml b/deploy/demo/demo.kube.yaml
index a54cc73..2c298fa 100644
--- a/deploy/demo/demo.kube.yaml
+++ b/deploy/demo/demo.kube.yaml
@@ -1002,19 +1002,19 @@ kind: ConfigMap
metadata:
name: cm-web-gov
data:
- governance.html: "\n\n\n \n\n\n \n \n Grob \u2014 Console de gouvernance des identit\xE9s IA\n\
- \ \n \n \n \n Grob \u2014 AI identity governance console\n \n \n \n \n \n\n\n \n\
- \
\n \n
Une\
- \ identit\xE9, une cl\xE9, des preuves
\n
\n
Humains et agents\
- \ de service ont chacun leur cl\xE9. Conso, incidents\
- \ et classe de donn\xE9es capt\xE9e sont attribu\xE9s individuellement,\
- \ avec preuve sign\xE9e. Un agent qui d\xE9rive voit sa cl\xE9\
- \ coup\xE9e automatiquement.
\n \
- \ Conso indicative (backend simul\xE9, aucun co\xFBt r\xE9el). Une violation\
- \ = requ\xEAte bloqu\xE9e par la protection (injection de prompt, exfiltration)\
- \ ; les secrets et donn\xE9es personnelles sont caviard\xE9s (la requ\xEA\
- te aboutit, expurg\xE9e). Le type d'incident reprend la classification\
- \ d'audit la plus grave vue pour l'identit\xE9 : \n\n\n \n
\n \
+ \ \n
One identity, one\
+ \ key, signed proof
\n
\n
Humans and service agents\
+ \ each get their own key. Spend, incidents, data classes and signed audit proof\
+ \ stay tied to the exact identity. A drifting agent is cut off automatically.
\n Simulated backend:\
+ \ indicative spend only. Violations are blocked injection or\
+ \ exfiltration attempts; secrets and PII are redacted before the request continues.\
+ \ Highest signed audit class per identity:\n Propre (Nc, aucune\
- \ action DLP) \xB7 Caviard\xE9\
- (C1) \xB7 Restreint\
- \ (C2, PII ou exfiltration bloqu\xE9e) \xB7 Attaque (C3, injection\
- \ bloqu\xE9e). La classe de donn\xE9e capt\xE9e et la preuve\
- \ sign\xE9e sont d\xE9riv\xE9es du journal d'audit sign\xE9. La coupure\
- \ est appliqu\xE9e en direct : la cl\xE9 r\xE9voqu\xE9e est refus\xE9e d\xE8s\
- \ la requ\xEAte suivante (401). \xAB Logs \xBB ouvre le tableau\
- \ de bord d'investigation par agent (Grafana), pr\xE9-filtr\xE9 sur l'identit\xE9\
- \ \u2014 chaque incident au niveau requ\xEAte, avec son type, sa preuve sign\xE9\
- e, v\xE9rifiable.\n
Humains et agents de service ont chacun leur clé. Conso, incidents et classe de données captée sont attribués individuellement, avec preuve signée. Un agent qui dérive voit sa clé coupée automatiquement.
-
Connexion…
+
Humans and service agents each get their own key. Spend, incidents, data classes and signed audit proof stay tied to the exact identity. A drifting agent is cut off automatically.
- Conso indicative (backend simulé, aucun coût réel). Une violation = requête bloquée par la protection (injection de prompt, exfiltration) ; les secrets et données personnelles sont caviardés (la requête aboutit, expurgée). Le type d'incident reprend la classification d'audit la plus grave vue pour l'identité : Propre (Nc, aucune action DLP) · Caviardé (C1) · Restreint (C2, PII ou exfiltration bloquée) · Attaque (C3, injection bloquée). La classe de donnée captée et la preuve signée sont dérivées du journal d'audit signé. La coupure est appliquée en direct : la clé révoquée est refusée dès la requête suivante (401). « Logs » ouvre le tableau de bord d'investigation par agent (Grafana), pré-filtré sur l'identité — chaque incident au niveau requête, avec son type, sa preuve signée, vérifiable.
+ Simulated backend: indicative spend only. Violations are blocked injection or exfiltration attempts; secrets and PII are redacted before the request continues. Highest signed audit class per identity:
+ Clean NC · Redacted C1 · Restricted C2 · Attack C3. Revoked keys fail on the next request (401). Logs opens the pre-filtered Grafana investigation view.