Stand: 2026-10-13. Diese Prüfung vergleicht die Anforderungen aus dem Chat mit vorhandenem Quellcode und benannten Testfällen. Ein vorhandener Test ist ein begrenzter Nachweis für sein Szenario, kein Sicherheitszertifikat. Laufende Änderungen anderer Agenten müssen nach Integration erneut geprüft werden.
Windows zuerst: einen zentral verwalteten Browser mit lokaler Inhaltsprüfung, freigegebenem KI-Zugang und einer verständlichen, abgesicherten Admin-Weboberfläche liefern. Vor einer Produktionsfreigabe müssen die unten genannten Sicherheits- und Betriebsgrenzen geschlossen oder ausdrücklich im erlaubten Produktumfang ausgeschlossen sein.
| Zentrale Verwaltung und erzwungene/verborgene Einstellungen | Umgesetzt für unterstützte Einstellungen | `packages/core/managed-settings.mjs`, `apps/browser/managed-settings.cjs`, `main.cjs`, `tests/managed-settings.test.mjs`, `scripts/managed-settings-smoke.mjs`. Native IPC prüft Berechtigungen; UI-Verstecken ist nicht die Autorität. Lokale Administratoren/OS-Manipulation bleiben außerhalb dieser Garantie. |
| SSO | Teilweise | `apps/server/auth.mjs`, `tests/server.test.mjs`: OIDC-PKCE, Signatur/Issuer/Audience/Nonce, Admin-Gruppen. Mock-IdP getestet; echter Kunden-IdP noch nicht integriert. Vier serverseitige Managementrollen (Admin, Operator, Analyst, Auditor) aus OIDC-Gruppen in `apps/server/admin-access.mjs`; kein direktes SAML/SCIM. Remote-Shared-Bootstrap-Token wird verweigert; Bootstrap nur HTTP-Loopback. |
| Admin-Management-Oberfläche | Teilweise | `apps/server/public/index.html`, `admin.js`, `style.css`; funktionierende Enrollment-, Policy-, Integrations-, Teaching-, Bookmark- und Event-Formulare. `scripts/enterprise-admin-smoke.mjs`, `scripts/bookmarks-admin-smoke.mjs`. In dieser Iteration ergänzt: gruppierte Navigation, Fleet-/Auditfilter, Draft-/Änderungsprüfung, Dark/Light-Konsole, responsive Layouts und rollengerechte Aktionen. Tatsächliche Electron-DOM-/Screenshot-Proofs in `artifacts/enterprise-admin-proof.json` und `admin-console-*.png`. Gruppen-/Pilotverwaltung, effektive Vorschau, Versionsmeldungen und verpflichtende Zweitfreigabe sind inzwischen mit echten UI-Proofs ergänzt. Incident-Verwaltung mit Rollen, Verlauf, Zuständigkeit und Revisionsprüfung ist ergänzt und im echten UI geprüft. Einige Security-/Agentenfelder bleiben Advanced JSON; externe Tickets, automatische Fälle und vollständiger Daten-Lifecycle bleiben offen. |
| Admin-Bookmarks lesen/bearbeiten, Firmenlinks und erlaubte persönliche Links | Umgesetzt innerhalb des aktuellen Fleet-Modells | `packages/core/bookmarks.mjs`, `apps/server/bookmarks.mjs`, `apps/browser/bookmarks.cjs`, `tests/bookmarks.test.mjs`, `tests/bookmarks-native.test.mjs`, beide Bookmark-Smokes und Proof-Artefakte. Signierte Firmenlinks, per-Gerät persönliche Revisionen, native und Backend-Rechte. Gruppenspezifische Firmenlinks über effektive Policies in `packages/core/policy-groups.mjs`; kein geräteübergreifendes persönliches Benutzerroaming. |
| Live Domain/IP-/Inhaltsblockierung, YARA/Sigma | Teilweise | `packages/core/security.mjs`, `tests/security.test.mjs`, `tests/dns-alias.test.mjs`, `apps/inspector/engine.py`: Domain/IP-Regeln und echte lokale YARA. Sigma unterstützt nur genaue Event-Metadaten-Selektion, keine vollständige Sprache/Korrelation. OS-weit andere Anwendungen werden nicht kontrolliert. |
| Downloads mit zentraler YARA vor OS-Dateischreiben | Umgesetzt für unterstützte GET-Downloads | `apps/browser/main.cjs`, `inspection.cjs`, `tests/download-gate.test.mjs`, `scripts/smoke.mjs`: native Downloads gestoppt, bounded Memory-Scan, SHA-Bindung vor Save-Dialog/Schreiben. POST-/Blob-/andere Downloads nicht unterstützt und blockiert. Ein YARA-Allow ersetzt keine DLP-Klassifikation. |
| Vollständige Upload-/Text-DLP | Teilweise, wichtige Grenze | Unterstützte immutable HTTP-Body-/URL-Pfade und normale Windows-NTFS-Dateiuploads sind geprüft; letztere halten native Handles bis zum Request-Ende und prüfen tatsächliche Dateien und Multipart-Segmente. `docs/windows-file-uploads.md`, `tests/upload-lease.test.mjs`, `tests/file-upload-gate.test.mjs` und native Receiver-/Absturz-Proofs. Data-Pipes, Teilbereiche und Upload-Redirects bleiben blockiert; WebSocket-Nachrichten bei Freigabe, WebRTC, Streaming und codierte/covert Exfiltration sind nicht vollständig geprüft. |
| Lokales OCR und Parsing ohne Cloud | Teilweise, Windows-Isolation implementiert | `apps/inspector/engine.py`, `requirements.lock.txt`, `CAPABILITIES.md`: gepinnte RapidOCR/ONNX-Modelle, begrenzte Parser, kein Modellnachladen. Der Broker importiert keine Parser; pro Anfrage führt `windows_appcontainer.py` einen attestierten Worker mit null Fähigkeiten, privaten Pipes und freigegebenen Runtime-Leserechten aus. Job-Limits und Nachfahrenbeendigung bleiben aktiv. Zwölf native Isolationstests sowie echtes YARA/OCR/Gemma im Broker bestanden (`artifacts/windows-appcontainer-proof.json`). PDF/OOXML-/Mediencoverage bleibt unvollständig. Das separate ACL-Provisionierungstool ist implementiert; geschützte Program-Files-Installation unter separatem Standardbenutzer und unabhängige Sandbox-Bypass-Prüfung bleiben offen. |
| Bilder, Medien, Video | Teilweise | Lokales OCR und native Bildembeddings; begrenztes mono16kHz PCM16-WAV-Embedding in `semantic.py`/Realtests. Keine vollständige Audio-Transkription, Video-Frame-/Audiocoverage. Ein Medienvektor allein erlaubt keine unvollständig geprüfte Datei. |
| Internes Dokument „anlernen“, keine vollständige Speicherung | Umgesetzt für Features und konfigurierbare Zweitfreigabe | SHA-/Fragmenthashes und begrenzte semantische Vektoren, keine dauerhafte Quelldokument-/Plaintextspeicherung. Deploymentflag erzwingt unabhängigen Administrator für Veröffentlichung; Reviewer sieht Abdeckung/Modus und unveränderlichen Vorschlag. Hashes/Vektoren sind sensible Metadaten. Held-out Evaluation und automatisches Fine-Tuning fehlen. Forensisches Löschen von Prozess-/Paging-Speicher ist nicht garantiert. |
| KI als First Class, kontrolliertes Gateway | Teilweise | `apps/server/app.mjs`, `inspection.mjs`, Browser-AI-UI, `tests/enterprise-gateway.test.mjs`: freigegebene lokale Ollama/kompatible Provider, serverseitige Credentials, Prompt-/Outputprüfung. Kein vollständiges Berechtigungs-RAG, Modellinventar, Provider-Tenantnachweis oder umfassendes KI-Tool-Autorisierungsmodell. |
| Verschlüsselte gespeicherte Sitzungen | Native Integration und finales Windows-Paket geprüft | `session-snapshot.cjs`, `agent-session-adapters.cjs`, `session-restore.cjs`, `docs/agent-session-controls.md`: benannte lokale URL/Titel/Gruppen-Sammlungen, Gerät/Principal/Generation-Bindung, DLP vor Save/List/Restore, CAS und einmalige Restore-Pläne. Echter Zwei-Prozess-Windows-Proof mit erhaltenen bestehenden Tabs; keine Formulare, Passwörter oder pageState. Kein Cross-Device-Sync oder vollständiges Session-Backup. |
| Passwortmanager mit Post-Quantum-Kryptografie | Teilweise | `apps/browser/vault.cjs`, `password-fill.cjs`, `tests/vault.test.mjs`, `tests/password-fill.test.mjs`: ML-KEM-1024/AES-GCM/scrypt und Windows-DPAPI, Idle-/Blur-Lock, gebundene HTTPS-Formfüllung. Separat default-off kontrollierter nativer Login-POST in `apps/browser/credential-submission.cjs`, `tests/controlled-login-audit.test.mjs`, `artifacts/controlled-login-native-proof.json`; Vorbereitung sendet nicht. Gefüllte Passwörter sind für die freigegebene Webseite/deren JavaScript im DOM lesbar; keine Passwort-Isolation oder beliebige JS-Login-Unterstützung. Kein Sync/Recovery/Passkeys, keine unabhängige Kryptografieprüfung oder FIPS-Modulvalidierung. |
| Cross Platform und Mobile | Bewusst später | Benutzer hat Windows priorisiert. macOS/Linux/Mobile sind keine jetzt fertigen Produkte, auch wenn Paketkonfiguration Zielnamen enthält. |
- [x] Produktionsgrenzen in Konsole/README sichtbar machen. Abnahme: kein „gesund/sicher“-Status nur wegen gespeicherter Konfiguration; aktueller Device-/Scanner-/Policy-Nachweis und tatsächliche Bereitschaft werden unterschieden.
- [x] Windows-Parser-Isolation als AppContainer mit echten Token-, privaten Datei-/Runtime-Schreib-, TCP-/UDP-, Kindprozess-, Deadline- und Pipe-Grenztests implementiert. Broker/Worker getrennt, keine Parser im Broker; zwölf native Tests und echte lokale YARA/OCR/Gemma-Operationen bestanden. Freigegebene Systemressourcen und Windows-Paketprivatspeicher bleiben nutzbar. Das schließt keine unbekannten Sandbox-Exploits aus.
- [ ] Geschützte Program-Files-Installation unter einem separaten Standardbenutzer sowie unabhängiger Sandbox-Bypass-Test. Ein eigener Entwickleraccount-Nachweis ersetzt diese Produktionsabnahme nicht.
- [x] Unveränderliche Policy-Historie, Versionsvergleich und explizit geprüfte Wiederherstellung als neue Version implementiert. CAS, aktuelle Schema-/Bookmark-Prüfung, frisches Ablaufdatum und Backend-Rollen gelten; sechs Backendtests und echter Admin-UI-Workflow bestanden.
- [x] Expliziter Pilot-/Expanded-/All-Members-Rollout mit zentraler Vorschau, versionsgebundener Zweitfreigabe und gemeldeten Geräteversionen implementiert. Gruppenstände werden historisiert und als neue Generation wiederhergestellt. Gemeldete Versionsgleichheit ist keine Gesundheitsattestation.
- [ ] Vollständige Dokument-Render-/Attachmentprüfung, Audio-Transkription und Video-Frames im isolierten lokalen Worker. Abnahme: bekannte Secrets in jeder unterstützten Modalität und im Dateiende werden erkannt; unvollständige Coverage kann nicht freigegeben werden.
- [ ] Semantische Teaching-Evaluation mit erlaubten/verbotenen/adversarial Beispielen, Schwellen und Review. Abnahme: messbarer Kunden-Testdatensatz, kein automatisches Abschwächen durch Benutzerfeedback, Policy-/Modellrevision pro Entscheidung.
- [x] Echte native Tabs mit unabhängigen Inhalten/Historien, gepinnten Agent-Kontexten und Aktivierungsepochen integriert. Native Tests zeigen DOM-/Scroll-Erhalt, keine Reloads, DLP in beiden Tabs, Schließen und zentralen Widerruf aller Views.
- [ ] Unerwartete WebContents-Crashes, atomare Renderer-Aktionsfreigaben über den Dispatch-Zeitpunkt und weitergehende Native-Race-Proofs härten. Sichtbarkeits-/Fokusprüfung bei Passwortfüllung mit echten Views bestanden.
- [x] Opt-in Datenbank-Ereignisaufbewahrung mit aktuellem SIEM-Cursor, Incident-/Sigma-Referenzschutz und erhaltener Replay-Deduplication implementiert; atomarer Fehler-Rollback und echter abgeschlossener Incident geprüft.
- [ ] Windows-Code-Signing, signierte Installer und verifizierter Updater mit Release-Ringen und Recovery. Zertifikat/Signierservice und Betrieb müssen bereitgestellt werden.
Eine getrennte Weboberfläche ist die vorhandene und sinnvolle Verwaltungsarchitektur: Kunden betreiben sie hinter HTTPS und Enterprise-SSO. Adminrechte entstehen ausschließlich im Management-Backend, nicht aus dem Browser-Client oder ausgeblendeten UI-Elementen. Ein zusätzlicher nativer Admin-Browser würde die fehlenden Rollen-, Transport-, Session- oder Auditkontrollen nicht ersetzen. Der Verwaltungszugang sollte kundenseitig auf berechtigte Benutzer/Netze beschränkt werden; Konfiguration allein ist keine Produktionsabnahme.
- Admin/Operator/Auditor-RBAC in `apps/server/admin-access.mjs`, `auth.mjs` und `app.mjs`: explizite Route-Permissions, neu berechnete Sessionrechte und default-deny für unbekannte Adminrouten. Operatoren können Geräte betreuen und Teaching-Entwürfe erstellen, aber keine signierte Policy veröffentlichen. Auditoren lesen ohne Schreibrechte. Nachweise: `tests/server.test.mjs`.
- Sessionübersicht und sofortige Sessionwiderruf-API im aktuellen Code; IDs sind opake UUID-Handles, keine Cookies/Tokenhashes. Nur Admin darf inventarisieren/widerrufen. Origin-geschütztes Logout. Neue Servertests enthalten Rechte, Token-Nichtoffenlegung und sofortige Ablehnung widerrufener Cookies; endgültiger Gesamtlauf wird vom Root berichtet.
- Admin-Konsole mit Navigation, Suchfiltern, Änderungenprüfung und eigenem Theme; tatsächlicher Electron-Proof bestätigt Review ohne Veröffentlichung, Filter, Theme-Persistenz, mobile Breite und Read-only-Controls.
- Windows Inspector-Job-Containment mit echtem Prozessbaum-/Owner-Exit-Nachweis. Dies verbessert Ressourcenbegrenzung, ist aber ausdrücklich keine Parser-Sicherheits-Sandbox.
- Python: 47 insgesamt, 43 ausgeführt und bestanden, vier optionale Modelldateitests im Routinelauf übersprungen (`artifacts/governance-python-tests.log`).
- Zwölf echte Windows-Isolationstests plus tatsächliches YARA, RapidOCR und Gemma im isolierten Broker bestanden (`artifacts/windows-appcontainer-proof.json`). Beinhaltet verweigerten Broker-Speicherzugriff und normalen Start ohne ACL-Provisionierungsprozess.
- JavaScript-Syntax geprüft. Windows-Paket neu erstellt, spezifische Runtime-ACLs nach dem Kopieren provisioniert und finale Paketprüfung bestanden (`artifacts/governance-package-verification.log`): aktuelle Sicherheitsmodule, echter isolierter Kaltstart ohne neue Bytecode-Dateien, lokale CPU-Inferenz, DPAPI und nativer Agent-Helper. Hauptprogramm weiterhin `NotSigned`.
Die erste isolierte YARA-Integration scheiterte an geschützten DLL-Dateirechten. Explizite vorhandene Datei-ACLs und ein echter YARA-Upload-/Download-Test schließen diese konkrete Lücke. Beim Clipboard-Test wurde eine dynamisch eingefügte Testauswahl korrekt abgelehnt, wenn ihre noch laufende visuelle Revision den Kontext änderte; der Harness wartet jetzt auf Dokument-/Visual-Prüfung, ohne Produktionskontrollen abzuschwächen. Normale Laufzeitprovisionierung wurde inzwischen durch rein lesende ACL-Prüfung ersetzt. Ein geschützter Standardbenutzer-Installer und unabhängige Sicherheitsbewertung bleiben offen.
Vor Integration existieren die Unit-/Native-Testdateien und Proof-Artefakte oben. Diese Audit-Arbeit hat selbst keine neue Gesamttestsuite ausgeführt; die oben genannten neuen Nachweise stammen aus tatsächlichen Agentenprüfungen oder werden als noch zu integrierender Gesamtlauf bezeichnet. Der orchestrierende Agent muss geänderte Features mit passenden Tests, tatsächlicher Admin-DOM-/Screenshot-Prüfung und Windows-Paketvergleich verifizieren und die endgültigen Ergebnisse separat berichten.
- Windows-Paket neu erstellt und geprüft: aktueller Sicherheitsquellstand, wirklich gestarteter Job-begrenzter Paket-Inspector, lokale CPU-Modellinferenz, DPAPI und nativer Agent-Helper (`artifacts/audit-package-verification.log`). Authenticode-Status des Hauptprogramms weiterhin `NotSigned`.
Ein korrigierter erster Scanner-Smoke deckte den isolierten Python-Importpfad auf: Sibling-Module werden jetzt vom tatsächlichen Service-Verzeichnis geladen. Der erste separate semantische UI-Test scheiterte beim Sichern einer leeren Zwischenablage; der Harness behandelt leere MIME-Listen und synchrone Cleanup-Aufrufe jetzt korrekt. Beide gezielten Wiederholungen bestanden. Produktionsgates oben bleiben ausdrücklich offen; diese Ergebnisse gelten für die ausgeführten Szenarien.
- Native Upload-Probe zeigt unveränderte Bytes nach Dateiänderung, aber unsichere Cookie-Erweiterung beim Electron-Protocol-Forwarding. Deshalb keine Produktionsfreigabe dieses Ansatzes; Details in `docs/immutable-upload-feasibility.md`.
- Echter Incident-Admin-Workflow inklusive Auditor-403, erhaltener Konflikteingaben und literal dargestellter HTML-Notiz bestanden (`artifacts/incident-admin-proof.json`). Gruppen- und Historien-UI nach Integration erneut bestanden.
- Lokaler Managementdienst auf Port 4310 mit aktuellem Backend neu gestartet. Datenbank-Aufbewahrung standardmäßig aus; Details in `docs/audit-retention.md` und `docs/incident-management.md`.
- Native Tab-Registry mit sieben Lifecycle-/Kontexttests vorbereitet (`docs/native-tabs-integration.md`), aber noch nicht in Hauptprozess, Renderer, Clipboard und Agenten integriert. Echte Tabs bleiben offen.
- Zentrale Diagnostik-Felder und neue Agent-Berechtigungen im echten Admin-UI veröffentlicht und Auditor-Schreibschutz geprüft (`artifacts/enterprise-admin-proof.json`).
- [ ] Per-Agent-Identitäten, individuelle Widerrufe und umfassendere UI-/History-/Screenshot-Funktionen. Kryptografischer Request-Besitznachweis und Replay-Schutz sind inzwischen ergänzt; DPAPI-/Loopback-Pairing vertraut weiterhin Prozessen desselben Windows-Benutzers und ersetzt kein individuelles Delegationsmodell.
- [ ] Durchgehende Python-interne OCR-/YARA-/Gemma-Spans und Control-Plane-Codepfade instrumentieren; gegenwärtige Browser-Spans messen den lokalen Inspector-Aufruf, nicht alle internen Phasen.
- Anforderungen aus der jüngsten Nutzerpräzisierung stehen in `docs/agent-observability-requirements.md`: Vertraulichkeit darf relevante Security-Belege nicht unterdrücken; operationales Debug und geschützte Forensik sind getrennte Pfade.
- Windows-Paket mit stabilem Quellstand neu erstellt und vollständig geprüft (`artifacts/native-tabs-package-verification.log`), weiterhin `NotSigned`. Der erste parallele Build hatte eine während der ASAR-Erstellung geänderte Datei; neue Vor-/Nach-Quellprüfung verhindert die Abnahme solcher Artefakte.
### Aktualisierung: Agenten, Makros, Firmenbranding und Profile, 2026-10-13
Diese Nachprüfung hat aktuelle Quellen, benannte Tests und gespeicherte echte Laufzeit-Proofs gelesen. Sie hat keine neue Gesamttestsuite und keinen neuen Windows-Build ausgeführt; vorherige numerische Testergebnisse weiter oben sind historische Stände.
-`artifacts/native-browser-diagnostics-proof.json`: 98 Browser-/Backend-Spans, 88 Logs, sieben nachgewiesene Browser→Backend-Trace-Ketten, Laufzeiten und korrelierte Logs; sensible Testmarker nicht exportiert. Dies beweist die gemessenen Pfade, keine vollständige Instrumentierung sämtlicher Codezeilen.
-`artifacts/agent-pq-trace-proof.json`: sieben getrennte Agent-Stufen, insgesamt 124 Timing-Spans. Der Transport bietet hybride Signaturen, PQ-Key-Establishment, AEAD und Replay-Abwehr; das ist kein unabhängiges Kryptografieaudit.
-`artifacts/office-macro-flow-proof.json`: echter enthaltener Scan eines benignen VBA-Projekts erlaubt und desselben Projekts mit Source-YARA-Marker blockiert; jeweils fünf Module und vollständiger Extraktionsstatus.
-`artifacts/company-branding-admin-proof.json`: echte Admin-DOM-Prüfung für Logo, News und korrekt eingeordneten Startseitenbereich. `tests/branding.test.mjs` prüft signierte Geräteverteilung und authentisierte News. Feed-SSRF/DNS-/XML-Grenzen liegen in `tests/company-news.test.mjs`; Screenshots allein beweisen sie nicht.
-`tests/user-profiles.test.mjs` deckt freie Profile, verifizierte Identität, restriktive Konflikte, Delegationsobergrenze, Zweitfreigabe/CAS/Historie und gefälschte Enrollment-Subjekte ab; native UI-/DevTools-Proofs ergänzen die Quelltests.
-`tests/library.test.mjs` deckt kontrollierte Vorschläge/Apply, zentrale Abschaltung, schädliche Modellantworten, Policywechsel, CAS und begrenzte parallele Vorschläge ab. Vollständige verteilte Browser-/Backend-Atomarität wird ausdrücklich nicht behauptet.
- Dauerhafte Entwicklungsanweisung in `AGENTS.md`: Collector und tatsächliche Exporte/Trace-Ketten für weitere Änderungen nutzen. Python-interne OCR/YARA/Gemma-Phasen bleiben instrumentierungsbedürftig.
### Die nächsten drei Funktionslücken
1.**Vollständige sichere KI-Steuerung:** History, sichere Screenshots, komplexere Formularaktionen und individuelle Agent-Pairings mit separatem Widerruf. Abnahme mit echten Native-Aktionen, zentraler Abschaltung während laufender Aktionen, Passwort-/Token-Ausnahme, DLP vor Ausgabe und Replay-/Cross-Agent-Negativtests.
2.**Geschützte Security-Rekonstruktion:** native Erfassung relevanter Klick-/Download-/Clipboard-Abläufe, zentrale Sammelregeln, verschlüsselte Content-Belege und Analystenansicht. Der vorhandene Server-Belegspeicher ist kein vollständiger Browser-Erfassungsweg. Abnahme mit Security-relevanter Vertraulichkeit, nativer Authentisierungsfeld-Ausnahme, auditierter Entschlüsselung, Retention/Hold und SIEM-Belegreferenzen.
3.**Lokale Prüfcoverage und genaue Debug-Phasen:** Python-interne Parser/OCR/YARA/Gemma/Makrospans plus explizite Attachment-/Media-Coverage; unvollständige Prüfung bleibt blockiert. Abnahme durch reale isolierte Requests und exportierte gekoppelte Laufzeiten, sowie dokumentierte unterstützte Modalitäten. Immutable Dateiuploads bleiben parallel eine wesentliche native Enforcement-Lücke.
Ein aktueller Windows-Build muss nach Abschluss der Quellenänderungen separat neu paketiert und gegen den Quellstand geprüft werden. Kein Paketnachweis wird aus früheren Builds abgeleitet.
## Aktueller Windows-Paketnachweis
Am 2026-10-13 wurde der aktuelle Quellstand erneut mit `npm run package:win` paketiert und mit `npm run verify:package` geprüft. Beide Befehle bestanden. Die Paketprüfung vergleicht die neuen Agent-/Branding-/Bibliotheks-/Transfer-Komponenten exakt mit dem Quellstand und führt enthaltene Dokumentprüfung, fünf echte VBA-Module mit Allow-/Block-Regeln, Offline-EmbeddingGemma-2-CPU-Inferenz sowie den gepackten DPAPI-/PQ-Agent-Client aus. Nachweis und SHA-256: `artifacts/current-windows-build-proof.json`; vollständiger Lauf: `artifacts/current-windows-package-proof.log`. Die Binärdatei ist laut Windows-Authenticode-Prüfung **NotSigned**. Das ist ein geprüftes unpacked Entwicklungspaket, keine Produktionsfreigabe. Frühere Abschnitte, die den neuen Build als ausstehend bezeichnen, werden durch diesen konkreten Nachweis ersetzt.
## Formularsteuerung: aktuelle Iteration
Select/check und begrenzte Options-/Checkbox-Metadaten sind zentral einzeln freizugeben. 49 gezielte Agent-Tests und 323 Regressionstests bestanden. Im nativen Lauf bestanden die Formularaktionen; die längere Suite erreichte danach das Rate-Limit. Der Test wurde an das bestehende Budget angepasst, ohne Produktionslimits zu lockern. Ein neuer Windows-Build ist separat in Prüfung.
Formulariteration: aktueller Windows-Build und Paketprüfung bestanden (`artifacts/forms-package-proof.log`). Acht reale select/check-Timing-Spans sind in `artifacts/forms-trace-proof.json` belegt. Die Binärdatei ist weiterhin unsigniert.
Der abschließende tatsächliche Electron-Smoke-Lauf bestand mit aktivierten Traces (`artifacts/forms-native-final.log`), einschließlich select/check, sensibler Optionsverweigerung, Clipboard-/Download-DLP, Proxy, Teaching und zentralem Widerruf. Das Request-Limit wurde unverändert gelassen; der Test verteilt seine PQ-Aufrufe innerhalb des Budgets.
## Native KI-History-Navigation
Die zentral einzeln freizugebenden Aktionen back/forward/reload verwenden Chromiums native navigationHistory, ohne frei vorgegebene Ziele oder Seiten-JavaScript. Snapshot-Prüfung vor Dispatch und erneute Identitäts-/Policy-/Zielprüfung nach Navigation sind integriert. 335 Regressionstests, zehn gezielte Native-History-Tests und der echte Electron-Lauf bestanden (`artifacts/history-native-smoke.log`); exportierte Agent-Timings stehen in `artifacts/history-trace-proof.json`. Das ersetzt nicht persistente History-Suche/-Verwaltung, die weiter offen bleibt. Ein aktueller Windows-Paketnachweis wird separat geprüft.
Windows-Build und Paketprüfung für diese History-Iteration bestanden (`artifacts/history-windows-build.log`, `artifacts/history-package-proof.log`), einschließlich exaktem Vergleich des neuen History-Helpers. Windows-Authenticode: weiterhin NotSigned.
## Python-interne Debug-Traces
Acht feste Worker-Stufen (inspect/parse/ocr/ocr.load/yara/macros/semantic/semantic.load) liefern Debug-only-Timings über die vorhandenen privaten Pipes. Browser und Backend erzeugen historische Child-Spans unter der aktiven Trace-Kette, ohne Python-Netzwerkrechte. Vier Python-Timing-Tests, neun tatsächliche SDK-/OTLP-Tests und 339 Regressionstests bestanden. Ein echter AppContainer-Lauf mit OCR, VBA und Offline-Gemma lieferte 19 nachgewiesene Export-Spans (`artifacts/inspector-stages-real-proof.json`, `artifacts/inspector-stages-export-proof.json`). Der aktuelle Windows-Build wird separat geprüft. Einzelne native Modellkernels und sämtliche Parser-Unteroperationen sind weiter keine vollständig instrumentierte Call-Graph-Ansicht.
Windows-Build und Paketprüfung dieser Inspector-Trace-Iteration bestanden (`artifacts/inspector-stages-windows-build.log`, `artifacts/inspector-stages-package-proof.log`). Der gepackte Scanner liefert inspect/parse/yara/macros als geprüfte Metadaten; aktuelle Browser-/Core-/Python-Dateien stimmen exakt überein. Authenticode weiterhin NotSigned.
## Geschützte Incident-Belege und Analystenansicht
Metadata-Discovery und expliziter zweckgebundener Viewer sind jetzt verbunden. OIDC_ANALYST_GROUP liefert eine begrenzte Analystenrolle. Windows-Schlüssel-ACLs werden vor dem Laden geprüft; Quelle/Action/Decision/Hash/Größe und Inhaltshash werden auf verfügbare Widersprüche geprüft. 353 Tests, tatsächlicher Electron-Beleg-Viewer (`artifacts/evidence-ui-proof.json`) und acht exportierte HTTP-Spans (`artifacts/evidence-telemetry-proof.json`) sind verifiziert. Der neue Windows-Build/Paketcheck bestand, einschließlich korrigierter OLE-Transfer-Fakten. Binärdatei weiterhin NotSigned. Native automatische Belegerfassung, zentrale Sammelregeln und eine manipulationsnachweisbare Audit-Kette bleiben offen.
### Audit integrity implementation, 2026-10-13
Security event/Sigma commits now include chained exact-row digests. Optional externally protected ML-DSA-87 signing, explicit legacy seal, integrity API/admin verification, ECS envelopes and authorized retention proofs are implemented. Missing/different signing keys and corrupt chains fail startup. See [audit-integrity.md](audit-integrity.md). Independent checkpoint delivery, key rotation, large-scale incremental verification and chain compaction remain open; local verification alone does not prove resistance to whole-database rollback.
Verification for this increment: 367 tests passed in artifacts/audit-full-tests.log; final store integration focused tests passed; real Electron success/manipulation UI and exported parent/child trace IDs in artifacts/audit-ui-proof.json; Windows package and packaged security/native offline model verification passed in artifacts/audit-windows-build.log and artifacts/audit-package-proof.log. Management service restarted on current source. Installer Authenticode remains unsigned pending a production signing identity.
### Outbound request audit privacy, 2026-10-13
Generic outbound bodies now emit only request size/type, without SHA-256 fingerprints. Browser legacy encrypted queues and central legacy ingestion remove old upload fingerprints before replay/storage; ECS/CEF suppress historical upload hashes while preserving counts/type. Download file hashes remain. Historical immutable central records and already exported archives are not retrospectively erased. See [request-audit-privacy.md](request-audit-privacy.md). Independent review and 376 tests pass; native/runtime proof is being exercised separately.
Verification completed: 376 tests passed (artifacts/request-full-tests.log), native Electron smoke passed after correcting a fixture-only header initialization error (artifacts/request-privacy-smoke.log), actual synthetic credential request no-content/no-hash audit proof in artifacts/request-privacy-native-proof.json. Collector trace ac8660ae584e3ab502d53d304823861e shows browser.request 165.13 ms, local scan 155.54 ms, nested inspector/YARA stages and enterprise scan; saved in artifacts/request-privacy-trace-proof.json. Windows build and packaged native/offline-model verification passed (artifacts/request-windows-build.log, artifacts/request-package-proof.log). Management restarted with current ingestion code.
Signed default-off evidence controls, native terminal download metadata builder, atomic DPAPI event/evidence tuple, event-first replay, fresh server policy checks and exact-payload idempotency are implemented. Admin draft controls have actual Electron UI/OTEL proof. Full native capture verification is in progress; automatic interaction/content evidence and PQ evidence-upload transport remain open. See [automatic-download-evidence.md](automatic-download-evidence.md).
Verification completed for this increment: 395 tests passed (artifacts/evidence-capture-full-tests.log), JavaScript syntax checks passed, latest full Electron smoke completed successfully (artifacts/evidence-capture-native.log), actual allow/block encrypted download evidence and audited access proved (artifacts/download-evidence-native-proof.json), centrally signed disablement preserving ordinary audit proved in a focused native run with exit code 0 (artifacts/download-evidence-focused-proof.json). Actual admin draft/role UI and OTEL request proof in artifacts/evidence-policy-ui-proof.json; screenshot visually reviewed. Windows build and packaged native/offline-model verification passed; installer still unsigned. Earlier full attempts exposed premature test navigation before save completion and intermittent bookmark/vault readiness failures; save fixture now waits for terminal completion and static agent diagnostics are more precise. The latest full pass does not establish absence of all timing races.
### PQ evidence transport and authenticated agent status, 2026-10-13
The previously open PQ evidence-upload transport now has a distinct ML-KEM-1024/ML-DSA-87 + Ed25519/AES-GCM/HKDF-SHA384 profile. Browser submission and acknowledgement are encrypted, one-use challenges are device-bound, current collection policy is checked after decrypt, and automatic submission never falls back to plaintext. Production/required-PQ configurations refuse legacy plaintext ingestion. Device bearer authentication and current SQLite-backed server signing-key custody remain production limits. See [evidence-pq-channel.md](evidence-pq-channel.md).
Agent response status is now authenticated inside the encrypted response. The previously observed bookmark synchronization busy case permits at most three fresh-challenge retries only when the mutation has not begun, preserving exact CAS/policy inputs; all other failures remain nonretryable. Real cryptographic HTTP-header manipulation tests verify status binding. Native/package verification is in progress.
Verification completed: 416 tests passed (artifacts/evidence-pq-full-tests.log); full native browser smoke passed (artifacts/evidence-pq-native.log). Actual native wire inspection confirmed two encrypted evidence submissions with no source URL, filename or file hash in the outer request body, while plaintext submission was disabled (artifacts/evidence-pq-wire-proof.json). Eight exported crypto spans cover all four named phases with their actual normalized HTTP parents (artifacts/evidence-pq-trace-proof.json): first challenge 2.70 ms, decrypt 1.02 ms, store 7.10 ms. Windows build and packaged security/native-model verification passed; binary remains NotSigned. Source and integration review found no blocking channel-binding or downgrade defect; this is not a substitute for an independent production security assessment.
### Outgoing HTTP headers and complete restore review, 2026-10-13
The privileged session now inspects the bounded final header snapshot, including Cookie and Authorization, before HTTP data release. Individual values, joined values and the complete serialized snapshot pass the existing central detectors; enabled local semantic/YARA and upload ICAP checks require complete coverage. Context, policy, expiry and deadline changes block release. The approved immutable snapshot is returned to Chromium. No header values, names or credential fingerprints enter ordinary audit or traces. See [header-dlp.md](header-dlp.md). This proves exposed HTTP headers, not arbitrary transformed covert channels or subsequent WebSocket frames. A timed-out scan blocks but currently lacks a distinct durable timeout audit reason.
Policy-history restoration now renders user-profile/category differences as well as baseline and groups. Missing or truncated profile differences prevent approval; verified-subject/device assignments, website access and DevTools grants are visible before restoration. Six focused shipped-code tests and the actual Electron admin UI prove rendering and draft-only review (artifacts/history-profile-ui-proof.json and history-profile-ui.png); request trace ec25d702216af46ee29660f4c5bf6620 took 2.14 ms.
Verification: 428 tests passed (artifacts/header-dlp-full-tests.log), syntax checks passed, and the full actual Electron smoke passed (artifacts/header-dlp-native.log). The isolated receiver saw no prohibited header request and exactly one clean request; ordinary audit retained no header names/values (artifacts/request-headers-native-proof.json). Exported browser.request.headers span b31ea58c84c72ba8 took 0.27 ms beneath its actual browser.request parent in trace 85f181677440aaa821b9dca0050dc3ce (artifacts/request-headers-trace-proof.json). Windows build and packaged source/security/offline-model verification passed (artifacts/header-dlp-windows-build.log, artifacts/header-dlp-package-proof.log). Authenticode remains NotSigned. These checks do not close the remaining native upload binding, full agent identity/control, automatic interaction evidence, key custody, customer integration and production deployment requirements.
### Structured category management and Windows upload binding proof, 2026-10-13
Website categories now have accessible name, stable-ID and hostname controls instead of mandatory JSON. Draft edits survive refresh with their original CAS version; publication/independent approval remains explicit. Published IDs are read-only, referenced removal is refused and explained, and read-only roles cannot edit. The actual Electron UI verifies explicit backend publication and refreshed profile choices, draft retention, reference restrictions and responsive layout (artifacts/category-ui-proof.json and category-ui.png/category-ui-responsive.png). Actual configuration PUT trace c93f6e18e16fc8644f23bad169e33123 took 28.91 ms with its expected parent. See [website-categories.md](website-categories.md).
Header timeout cancellation now adds a static durable audit reason. Three tests execute the shipped native hook and prove exactly-once cancellation, rejection of late scanner approval, and no release when audit fails. This supersedes the preceding timeout-audit limitation.
434 tests, syntax checks and the full native Electron smoke passed (artifacts/category-admin-full-tests.log, category-admin-syntax.log, category-admin-native.log). A fresh actual header trace c1e027d9456b107e8f766e4f115f3443 proves its exported parent/child timing (artifacts/category-admin-header-trace-proof.json). Current Windows build and packaged source/security/offline-model verification passed (artifacts/category-admin-windows-build.log, category-admin-package-proof.log); binary remains NotSigned.
For the native upload gap, an isolated actual Electron 44.7.0 multipart experiment proved that restrictive Windows leaf plus ancestor handles can preserve file bytes while Chromium reads and sends its original request. Overwrite/hardlink/rename attempts failed; receiver bytes and omit/include cookie semantics remained correct; handles stayed held until matching terminal events (artifacts/upload-lock-native-proof.json). This is an implementation candidate, not product support: production reparse/path identity checks, bounded scanning of each file and multipart segment, cancellation/helper-death/redirect lifecycle and negative native tests are still required. Data-pipe and streaming paths remain separately open. See [immutable-upload-feasibility.md](immutable-upload-feasibility.md). The next implementation priority is this verified Windows ordinary-file path, alongside individual agent identity/control and protected interaction evidence; the full original objective remains incomplete.
### Managed Windows file uploads and actionable debug reasons, 2026-10-13
Ordinary canonical local NTFS full-file uploads are now integrated in the managed browser. The bounded private helper rejects reparse/network/device/alternate-stream paths and incompatible writable handles/mappings, verifies handle-derived path/volume/file identity and reads through the held handle. Main-process DuplicateHandle copies keep the locks alive independently of the helper. File magic, per-file and multipart DLP, enabled local scanners and upload ICAP precede release of the original Chromium request. Only matching native terminal events permit one-shot remote handle cleanup; helper/protocol or uncertain cleanup failures remain fatal across policy refresh. Range/data-pipe/streaming and changed-destination upload redirects remain blocked. See [windows-file-uploads.md](windows-file-uploads.md). This supersedes earlier statements that all ordinary file uploads remain blocked or are merely a prototype.
454 tests pass (artifacts/native-upload-full-tests.log), including real Windows overwrite/hardlink/rename/mapping/junction tests, helper-death parent-lock survival and strict cleanup, gate binding and native deadline tests. Actual managed Electron receiver tests prove exact allowed bytes once, confidential-file non-arrival and no content/body fingerprints in ordinary audit (artifacts/native-file-upload-proof.json). The full native smoke passed after narrowing top-level empty GET source binding to the same live guarded tab owner, preserving document-generation binding for data-bearing requests and all target/policy/DNS/header checks (artifacts/native-upload-final.log). Earlier long runs failed in visual/clipboard transitions; exact fixture diagnostics and request-context audit reasons were added, and the source-owner fix has three focused tests. This is not proof that every timing race is absent.
Subsequent observability changes have an additional actual-product helper-death/redirect/terminal-cleanup run with exit 0 and fatal quarantine surviving policy refresh (artifacts/upload-lifecycle-native-proof.json). Fixed safe reasons now export in spans and correlated logs; arbitrary rule strings, exception details and injected secrets are rejected. Trace e6d26d4edf738a7b4f6f562ab2112f5b contains browser.upload.fault span d1340482efba0711 under its original lease parent, reason upload-lease-lost, two matching logs and the actual durable event correlation; fault phase 36.27 ms (artifacts/native-upload-fault-trace-proof.json). Ordinary file lease/part stages and separate terminal cleanup timings are also exported (artifacts/native-upload-trace-proof.json). Durable security audit and protected forensic evidence remain distinct from diagnostic logs.
The final Windows build and packaged runtime/source verification passed, including the shipped upload helper's actual immutable snapshot/write/rename/cleanup checks (artifacts/native-upload-windows-build.log, native-upload-package-proof.log). Syntax checks pass; Authenticode remains NotSigned. Browser-main/network-service crash semantics, other filesystems, external customer integrations, individual agent identities/full control, automatic interaction evidence and production key custody remain unproven or incomplete. Development collector storage is finite and nearing its local budget; retention/rotation is a next observability maintenance task, not a claimed production SIEM capability.
### Structured agent audit and protected collector rotation, 2026-10-13
Existing local agent actions now carry strict action/scope/outcome facts and an optional requested session UUID. Scope must match the fixed action map; arguments, selectors, prompts, tokens and fabricated principal IDs are rejected. Legacy rule IDs remain for compatibility. Completion/failure audit phases have recording spans, and native control distinguishes failed requests from policy denials without claiming that a completed side effect was undone. ECS includes safetynet.agent and reports failed outcomes as failure; CEF uses existing standard custom-string slots without overwriting trace or audit-integrity references. Native proof confirms read completion scope/session and blocked sensitive-field execution with the field unchanged and no argument content in audit (artifacts/structured-agent-audit-native-proof.json). The blocked adapter in this fixture reports an untyped error, so its outcome is truthfully failed. The first fixture incorrectly waited only for denied; it was corrected to check both legitimate unsuccessful outcomes, retaining strict non-mutation/API-failure assertions. Trace f8e35fd442e718995d9274c646fb8e08 contains the recording completion-audit span and backend parent/child path (artifacts/structured-agent-audit-trace-proof.json).
The protected development collector now rotates before exceeding exact segment bytes, keeps two generated retired segments and pins the previous encrypted archive permanently. Default rolling budget is 150 MiB plus the pinned legacy size. Unsafe/reparse/hardlinked/unexpected files fail closed, and malformed span/hierarchy input is rejected before storage or counter changes. This is development telemetry retention, not security-evidence deletion policy. The live collector was upgraded after a verified encrypted backup. Real SDK traffic caused a rotation; SHA-256 comparison confirmed all 47,201,892 original encrypted bytes remain as the unchanged prefix of the 52,424,920-byte pinned segment, with zero rejected writes (artifacts/collector-live-rotation-proof.json). Readiness/trace lookup is process-local and does not rehydrate archive history. See [development-collector-retention.md](development-collector-retention.md).
468 regression tests, the full actual Electron smoke, syntax checks, Windows build and packaged runtime/source verification passed (artifacts/agent-audit-full-tests.log, agent-audit-native.log, agent-audit-syntax.log, agent-audit-windows-build.log, agent-audit-package-proof.log). Management and the protected collector run the updated sources. Installer Authenticode remains NotSigned.
Individual agent identity/expiry/targeted revocation is still absent: all current callers share the paired browser capability. The verified source audit and integrated acceptance contract are in [individual-agent-identities.md](individual-agent-identities.md). The next implementation must connect signed grants, individual protected credentials, principal-owned challenges, running-operation revocation, central admin review and structured principal attribution together; a disconnected registry or a surviving full-permission legacy capability would not satisfy that requirement. Other original production and full-browser-control gaps remain open; this increment does not complete the overall objective.
### Individual agent grants and correlated RPC diagnostics, 2026-10-13
This supersedes the preceding shared-capability-only status. Source integration
now includes signed individual grants, central draft editor, separate DPAPI
scope/host checks and verified principal attribution in audit/ECS/CEF. Forged
proofs remain unattributed. Legacy compatibility is an explicit central mode;
individual mode has no shared master credential. The trusted shell selects an
existing approved identity. Main policy reconciliation preserves unchanged peers
while invalidating changed authority. Stored AI organization proposals are checked
against the applying actor before central commit.
Actual Electron proof exercises both rendered grant selections, two different
credentials, forbidden actions, targeted revocation with unaffected peer,
allowed navigation, forbidden direct/redirect targets with zero receiver
requests, generation rollback rejection across two browser processes, stale
pairing rejection, and native OTEL request parent/child correlation linked to
structured actor audit. Screenshot was visually reviewed. Proof:
`artifacts/individual-agent-native-proof.json` and `individual-agent-pairing-ui.png`.
Admin draft/auditor workflow has separate `agent-grants-ui-proof.json` evidence.
Individual mode currently blocks browser-session requests lacking a guarded
native tab owner. Native proof confirms zero ownerless receiver requests even
after human address navigation, while owned tab fetch still succeeds. This is
containment, not complete actor attribution for service workers. Reliable
background-worker ownership or actor session isolation remains an open task.
The same-user DPAPI capability boundary remains; no executable identity is claimed.
A real management-server integration test now proves distinct reviewer publication, author self-approval denial, auditor denial, grant review diffs, signed publication, generation rotation and historical restore; the device floor rejects older generations. Expanded grant-specific native admin publication/history UI coverage remains open. Windows build and packaged-source/runtime verification pass, including the shipped individual DPAPI/PQ client. The final suite passes 496 tests; the contained parser, native upload leases and offline semantic inference were verified. Authenticode remains NotSigned. Logs: `artifacts/individual-final-tests.log`, `individual-windows-build.log`, `individual-package-proof.log`.
Other original production and full-control requirements remain open, including
## Gespeicherte Agent-Sitzungen und Debug-Stufen, verifizierter Stand
624 Tests bestehen. Der echte Zwei-Prozess-Windows/Electron-Test speichert lokale DPAPI-geschuetzte Sammlungen, prueft Metadaten privat nach Entschluesselung und stellt URLs/Titel/Gruppen als neue verwaltete Tabs wieder her. Formular-, Passwort- und Chromium-pageState-Werte werden nicht gespeichert. Ein verzoegertes HTTPS-Ziel prueft den manuellen Tabwechsel weg und zurueck: Abbruch, nur eigene Tabs geschlossen, kein zweites gespeichertes Ziel gesendet. Dies beweist keinen Rueckruf bereits gesendeter Requests.
Die zentrale Admin-UI verifiziert separate standardmaessig ausgeschaltete Rechte, unabhaengige Freigabe, Auditor-Read-only und Policy-History-Restore. 154 abgeschlossene API-Requests exportierten korrelierte Traces; drei abgebrochene GETs sind getrennt dokumentiert. Save/List/Restore und Audit-Serialisierung/Verschluesselung/Write/fsync/Commit exportieren benannte echte OTLP-Stufen. Die fruehere 683-ms-Audit-Beobachtung bleibt ursachenseitig ungeklaert; neue Traces ersetzen keine fehlende historische Messung.
Finaler stabiler Windows-Build und exakter Paketvergleich bestehen: artifacts/session-release-windows-build.log und artifacts/session-final-package-proof.log. Der erste Build wurde wegen geaenderter Quellen verworfen; nur der finale stabile Build gilt. Das Executable ist weiterhin NotSigned. Native Proofs: artifacts/session-agent-controls-native-proof.json und artifacts/agent-grants-history-admin-proof.json. Vollstaendige Produkt-/Produktionsabnahme bleibt offen.
