Modèle de sécurité : des droits délégués au lieu d’un compte de service partagé.
Ouvrir les boîtes Microsoft Exchange à l’IA sans tordre votre modèle de droits : chacun n’agit qu’avec ses propres autorisations, le contenu des messages ne fait que passer sans être conservé par défaut, et tout est hébergé en Allemagne, contrat de sous-traitance signé dès le premier jour.
Six principes qui font la différence
Ces mêmes engagements figurent noir sur blanc dans le contrat de sous-traitance (annexes 1 et 2). Voici la version en langage clair.
Des droits délégués, pas de compte partagé
Chaque collaborateur accède à sa boîte avec les droits Exchange qu’il possède déjà. Il n’existe aucun compte de service central ayant accès à toutes les boîtes, et aucune usurpation d’identité applicative. Le fameux passe-partout n’existe tout simplement pas dans Postgate AI.
Cache : désactivé par défaut
Par défaut, nous ne conservons aucun contenu de boîte, il ne fait que passer. Ce que nous gardons, ce sont des identifiants chiffrés et des métadonnées techniques (qui, quand, quelle fonction). Si vous le souhaitez, vous pouvez activer par organisation un cache chiffré de courte durée, qui contient le texte converti des messages et des pièces jointes, 7 jours par défaut et 32 Mo au maximum par boîte. Vous le coupez à tout moment dans le portail, et les messages au-delà du niveau de confidentialité que vous fixez n’y entrent jamais.
Un coffre chiffré pour les identifiants
Les identifiants Exchange sont conservés chiffrés en RSA-4096 dans un coffre situé en Allemagne. L’isolation entre utilisateurs est stricte : personne ne voit la boîte d’un autre.
Séparation des organisations
Chaque organisation dispose d’une instance dédiée et durcie, avec sa propre configuration et ses propres données. Aucun environnement partagé avec d’autres clients.
Lieu des données : Allemagne
Le traitement a lieu exclusivement dans un centre de données allemand, exploité par un prestataire certifié ISO 27001. Avec un modèle d’IA local, même le traitement complet peut rester dans vos murs.
Les limites, c’est votre administrateur qui les fixe
Dans le portail, l’administrateur de votre organisation décide de ce qui est permis : par domaine (messagerie, agenda, contacts, tâches, dossiers, règles) et par type d’accès (lire, écrire, envoyer, supprimer), pour toute l’organisation, pour certains groupes ou pour une seule personne. Ce qui n’est pas autorisé, le serveur le refuse. S’y ajoutent un quota de destinataires qu’une personne peut écrire par heure (100 par défaut) et un arrêt d’urgence qui bloque tout accès suivant, immédiatement et sans redémarrage. Les événements sensibles pour la sécurité sont journalisés sans leur contenu.
Que devient une requête ?
Votre assistant IA envoie une requête à Postgate AI. Notre serveur en Allemagne (ou le vôtre, avec la licence auto-hébergée) récupère les données demandées dans votre Exchange avec les droits de la personne concernée, puis les transmet à l’assistant que vous avez choisi, à la manière d’un relais transparent, chaque trajet étant chiffré en TLS. Ensuite, pour nous, l’affaire est close. Par défaut, il ne reste ni copie ni journal de contenu. Ce n’est qu’en activant le cache que nous gardons le texte des messages, chiffré, pendant la durée que vous avez fixée. Vos boîtes restent à tout moment dans votre Exchange, et c’est vous qui décidez quel modèle d’IA traite le contenu, jusqu’à un modèle entièrement hébergé chez vous.
L’OWASP Top 10 for LLM Applications 2025, la réponse point par point
Chaque point de la liste a sa propre fiche, y compris ceux que nous ne couvrons qu’à moitié. Là où il manque quelque chose, c’est écrit. Un mécanisme sans preuve dans le code ne compte pas comme un mécanisme à nos yeux.
Vérifié contre l’édition 2025 de la liste. Si une nouvelle édition paraît, cet état vaut jusqu’à ce que nous le refassions. La liste distincte de l’OWASP sur les menaces des systèmes agentiques n’est pas le sujet ici.
LLM01:2025 Prompt Injection
Les fonctions de lecture marquent leur résultat comme un contenu extérieur, avec la mention explicite qu’il s’agit de données à lire et non d’une consigne. Une analyse de motifs classe ce contenu et compte les occurrences.
L’analyse marque et compte, elle ne retire rien. Dans l’instance que nous hébergeons, il manque en plus la confirmation au second appel, ce dernier frein avant l’envoi.
LLM02:2025 Sensitive Information Disclosure
Les identifiants Exchange ne sont conservés que chiffrés et se résolvent identité par identité, chacune avec sa propre clé de données. Les journaux occultent les champs sensibles, masquent les adresses et portent l’identité sous forme de pseudonyme. Un miroir de la boîte ou un index vectoriel n’existe que si l’exploitant l’active.
Le contenu des boîtes part vers le client IA raccordé, c’est sa raison d’être, et ce qui lui arrive ensuite là-bas échappe à ce serveur.
LLM03:2025 Supply Chain
L’image de base est épinglée à une empreinte fixe plutôt qu’à un nom qui bouge. Les bibliothèques arrivent avec leur version et leur empreinte depuis un fichier de verrouillage, et un contrôle signale que quelqu’un a modifié les dépendances sans refaire ce fichier.
Il n’y a pas d’inventaire des composants, et pas davantage de comparaison automatique avec les bulletins de vulnérabilité.
LLM04:2025 Data and Model Poisoning
Nous n’entraînons aucun modèle et nous ne versons aucune donnée client dans un entraînement. Les données conservées viennent uniquement de la boîte de l’identité concernée et restent séparées identité par identité.
Un message préparé exprès se trouve dans cette même boîte et peut colorer une recherche ultérieure. Il n’y a pas de notation de provenance pour chaque entrée.
LLM05:2025 Improper Output Handling
Le HTML qui repart dans un message passe par une liste des balises, des attributs et des schémas d’adresse autorisés. Les accès à la base de données passent par des paramètres.
Dans le format de lecture par défaut, les fonctions transmettent le HTML d’origine du message tel quel. Ce qui est nettoyé, c’est le chemin de retour vers un message, pas le chemin de sortie. Que le client raccordé traite une réponse comme du texte ou l’affiche comme du HTML, ce serveur ne le décide pas.
LLM06:2025 Excessive Agency
Aucun accès sans identité vérifiée et sans les droits Exchange propres à cette identité, faute de quoi le serveur refuse. Pas de compte partagé, pas d’usurpation d’identité. L’arrêt d’urgence et la limite d’envoi stoppent les envois sans redémarrer le service.
La matrice des droits par organisation, par groupe et par personne n’agit qu’une fois que l’administrateur l’a armée. La confirmation au second appel avant tout envoi et toute suppression tourne dans l’installation que vous exploitez vous-même, dans l’instance que nous hébergeons elle est coupée.
LLM07:2025 System Prompt Leakage
Le texte système du serveur ne porte aucun secret, et les droits ne tiennent pas à lui mais aux droits Exchange de l’identité.
Ce texte reste modifiable par l’exploitant, et ce qui s’y trouve est visible de tous les clients raccordés.
LLM08:2025 Vector and Embedding Weaknesses
Chaque accès à l’index vectoriel exige une identité et passe par une table où la sécurité au niveau des lignes est imposée, la clé étant un pseudonyme. Le sujet, le corps du message et le texte des pièces jointes n’y entrent jamais.
Les vecteurs eux-mêmes ne sont pas chiffrés, donc qui contourne le rôle de la base de données contourne aussi la règle. Ce qui alimente l’index n’est pas examiné à la recherche de consignes glissées dedans.
LLM09:2025 Misinformation
Les fonctions livrent les données de la boîte depuis la source, Exchange reste la référence. Le contenu extérieur porte une marque de provenance. Une fiche système indique ouvertement le fournisseur, le modèle et la destination.
Le serveur ne contrôle aucune sortie du modèle. Il ne mesure pas si un résumé est juste, et rien n’oblige à citer une source pour chaque affirmation.
LLM10:2025 Unbounded Consumption
Le débit des appels est plafonné par identité, la file de travail est bornée, le nombre d’appels simultanés vers Exchange est limité et les envois sont plafonnés par identité et par heure.
Derrière plusieurs nœuds, la limite vaut par nœud tant que le compteur commun ne vit pas dans la base de données. Le coût d’un modèle raccordé, ce serveur ne le borne pas.
La feuille complète nomme pour chaque point le mécanisme, le verdict, la limite et l’endroit dans le code. Nous la remettons sur demande. Demander la feuille
Ce qui joue contre les consignes cachées dans un message
Un e-mail peut contenir du texte qui ressemble à un ordre donné au modèle. Trois choses jouent contre cela, et aucune n’est un filtre qui attrape tout.
Le texte extérieur reste reconnaissable comme tel
Chaque résultat de lecture porte la mention qu’il s’agit de données à lire et non d’une consigne. Le modèle reçoit la provenance avec le contenu, pas seulement le contenu.
Une analyse de motifs à la portée annoncée
Elle reconnaît aujourd’hui les tournures impératives en allemand et en anglais, les jetons de contrôle des gabarits de conversation, le texte caché et les caractères invisibles. Elle marque et elle compte, rien de plus. Le compteur d’occurrences et le niveau de risque ne mesurent pas la même chose : le compteur monte dès la première occurrence forte, le niveau seulement à partir d’un seuil que vous réglez.
Des destinataires qui ne viennent que du texte extérieur
Si une adresse n’apparaît que dans du texte lu ailleurs, le contrôle de sortie durcit la question posée avant l’envoi. Cela n’agit que là où la confirmation avant l’envoi tourne, autrement dit dans l’installation que vous exploitez vous-même.
Les motifs ne tiennent pas seulement face aux cas que nous avons imaginés nous-mêmes. Nous les avons passés à une liste d’attaques publique venue d’un tiers, garak de NVIDIA avec la sonde pour l’injection indirecte depuis le contenu d’un document ou d’un message. Chaque cas fait son propre test. Les manques que nous avons mesurés sont gardés sous forme de tests qui échouent volontairement, pour qu’en combler un plus tard se voie au lieu de s’évaporer en silence. Le courrier ordinaire ne déclenche aucune fausse alerte, et des tests d’ancrage sont là pour cela. Nous nommons l’outil, parce qu’une liste que l’on ne nomme pas n’est pas une preuve mais une affirmation.
Questions fréquentes
Est-ce conforme au RGPD ?
Oui. Le traitement a lieu en Allemagne et un contrat de sous-traitance au titre de l’article 28 du RGPD est conclu dès l’inscription, avec les mesures techniques et organisationnelles documentées et la liste des sous-traitants ultérieurs. Le contrat reste consultable à tout moment dans le portail.
Pourquoi un compte de service ayant accès à toutes les boîtes est-il risqué ?
Un compte qui atteint toutes les boîtes de l’organisation devient un point d’attaque unique : s’il tombe, toutes les boîtes tombent avec lui. Et comme chaque action s’exécute sous la même identité, plus rien n’est attribuable à une personne. Postgate AI s’en passe complètement.
Quelles données Postgate AI conserve-t-il durablement ?
Les identifiants Exchange chiffrés (RSA-4096, coffre en Allemagne), les comptes du portail (nom, e-mail professionnel, empreinte du mot de passe) et des métadonnées d’audit techniques, sans contenu. Le contenu des boîtes n’en fait pas partie par défaut, il reste dans votre Exchange. Si vous activez le cache, s’y ajoutent le texte converti des messages et des pièces jointes, chiffré et supprimé au bout de 7 jours par défaut.
Le fournisseur d’IA voit-il nos e-mails ?
Cela dépend de vous : vous choisissez l’assistant et vous le raccordez vous-même, donc le modèle qui traite le contenu reste votre décision. Avec un modèle hébergé chez vous, Ollama par exemple, aucun contenu ne quitte votre environnement. Nous n’exploitons aucune IA en propre.
Une sécurité que votre délégué à la protection des données validera.
Le contrat de sous-traitance, avec les mesures techniques et la liste des sous-traitants, se conclut dès l’inscription. Et l’essai tourne exactement sur le modèle qui s’applique en production.