AI Tracer

Présentation

AI Tracer reconstitue l'activité d'une IA sur un poste à partir des traces locales, et en produit un rapport d'expertise. La version actuelle couvre Claude Code (CLI, IDE) et Claude Desktop.

L'outil répond à trois questions : qu'a fait l'IA, qu'a fait le système pendant ce temps, et quelque chose de suspect s'est-il produit (injection de prompt, commande dangereuse, exfiltration) ?

Principes forensic

• Un exécutable natif par OS : sans Python, sans runtime, sans installation. Il se lance depuis une clé USB.
• Lecture seule : les sources sont ouvertes sans écriture et sans verrou. Sous Linux, O_NOATIME évite de modifier les dates d'accès.
• Hachage systématique : chaque fichier lu est haché en SHA-256, puis re-vérifié après lecture.
• Écriture confinée : seul le dossier de sortie est écrit. L'outil refuse un dossier non vide ou situé dans une zone de preuve.
• Traçabilité : chaque événement du rapport renvoie à sa source (fichier:ligne).

Installation et compilation

Aucune installation n'est nécessaire : on copie le binaire adapté à l'OS cible, par exemple sur une clé USB, et on le lance.

Compiler soi-même

cargo build --release          # binaire : target/release/aitrace(.exe)
cargo test                     # tests unitaires

Le workflow .github/workflows/build.yml lance d'abord cargo test, puis produit les binaires des six cibles avec leurs empreintes.

Les tests couvrent les fonctions déterministes : parsing des dates, base64, détection d'injections et de commandes, masquage des secrets, classement des journaux et remappage de chemins.

Droits nécessaires : un compte simple suffit pour analyser son propre profil. Il faut être administrateur ou root pour --all-users et pour lire les journaux du système.

Tutoriel vidéo

Dévérouillage du logiciel avec l'utilisation d'une clé de sécurité (YubiKey).

Démarrage rapide

Le cas le plus courant : analyser les 7 derniers jours d'un poste en fonctionnement, rattachés à une affaire.

# 1. Créer l'affaire (une seule fois)
aitrace case new CAS-42 --case-desc "Poste RH compromis" --examiner "J. Brochard"

# 2. Lancer l'analyse (en administrateur / root pour les journaux système)
aitrace --case CAS-42 --all-users --since 7d --tz local --out E:\cas42\run-01

# 3. Ouvrir le rapport
E:\cas42\run-01\report.html

Sans argument, depuis un terminal, aitrace pose les questions utiles (affaire, examinateur, dossier de sortie). Sans --out, un dossier rapport-<affaire>-<horodatage> est créé à côté de l'exécutable.

Autres lancements typiques

aitrace --since 2026-10-01 --until 2026-10-13 --tz local --out E:\cas42 --case-id CAS-42
sudo ./aitrace --all-users --since 7d --out /media/usb/cas42
./aitrace --root /mnt/image --out ./cas42 --collect-raw      # image montée en lecture seule
aitrace --case CAS-42 --resume --out E:\cas42\run-02           # reprendre après la dernière analyse

Référence des options

Syntaxe : aitrace [OPTIONS] ou aitrace <COMMANDE>, où la commande est case (registre des affaires) ou help. Les options marquées « répétable » s'utilisent plusieurs fois.

Période et fuseaux

Périmètre

Sortie et preuves

Affaire et chaîne de possession

Journaux système et corrélation

Détection et automatisation

La sortie console est colorée sur un terminal. Les couleurs sont désactivées en pipe ou en redirection, et respectent la variable NO_COLOR.

Gestion des affaires

Un registre unique, un seul fichier JSON, regroupe toutes les affaires et l'historique de leurs analyses. On retrouve ainsi une affaire et on reprend là où on s'était arrêté.

Emplacement par défaut : ~/.aitrace/cases.json. On le déplace avec --registry <chemin>, par exemple vers le poste de l'examinateur ou un support externe.

Sous-commandes

Rattacher une analyse

Avec --case <REF>, l'analyse est enregistrée dans l'historique de l'affaire, qui est créée si elle n'existe pas. Sont consignés : les bornes de période, le dossier de sortie, les nombres d'événements et de signalements, l'empreinte agrégée des sources et la ligne de commande.

• Une affaire peut couvrir plusieurs machines : chaque analyse enregistre la machine analysée.
• --note attache un commentaire à une analyse précise ; case note en attache un à l'affaire entière.

Reprise avec --resume

--resume cale --since sur la fin de la fenêtre analysée la dernière fois. À défaut de borne, il prend l'heure de cette analyse. Un --since explicite reste prioritaire.

aitrace --case CAS-42 --since 7d --out E:\cas42\run-01
aitrace --case CAS-42 --resume --out E:\cas42\run-02

Mode interactif

Lancé depuis un terminal sans --case ni --case-id, l'outil propose un menu : quitter, créer une affaire, reprendre une affaire existante, ou n'en associer aucune. En création, il demande la référence, la description, les examinateurs, les scellés, les mots-clés, le dossier de sortie et un commentaire facultatif.

Les questions ne se posent que sur un vrai terminal. En pipe, en tâche planifiée ou depuis un script, rien n'est demandé. --no-input force ce silence même sur un terminal ; la référence d'affaire doit alors être passée en argument.

Fiche d'affaire et chaîne de possession

La fiche d'affaire contient la référence, la description, les examinateurs, les numéros de scellé et les mots-clés. Elle se renseigne de trois façons combinables, de la base vers la surcharge :

1. Le registre, via --case.
2. Un fichier réutilisable, via --case-file <JSON>.
3. Les options --case-id, --case-desc, --examiner, --seal, --tag.

Les options complètent les listes (examinateurs, scellés, mots-clés), qui sont fusionnées et dédoublonnées. Elles surchargent les valeurs uniques (référence, description).

aitrace --case-id CAS-42 --examiner "J. Brochard" --examiner "A. Dupont" \
        --case-desc "Poste RH compromis" --seal SCELLE-7 --tag phishing \
        --out E:\cas42

À chaque analyse, la fiche est écrite dans case.json, réutilisable tel quel avec --case-file.

Section « Chaîne de possession » du rapport

Elle reprend la fiche et les conditions d'exécution :

• outil et version ;
• mode : système en fonctionnement ou image hors ligne ;
• machine, compte et horodatages de l'analyse ;
• ligne de commande complète ;
• nombre de sources lues ;
• empreinte SHA-256 agrégée de l'ensemble des sources : un condensé unique qui change dès qu'une source change, est ajoutée ou retirée.

Le dossier de sortie reste auto-contenu. Seul le registre, hors du dossier de sortie, est mis à jour, et uniquement avec --case.

Sources analysées

Les dossiers sont recherchés selon les conventions des trois OS. On peut donc analyser depuis Windows une image macOS ou Linux, et inversement.

Claude Code

Claude Desktop

Contenu exploité : journaux applicatifs et MCP (appels tools/call), claude_desktop_config.json, extensions, sessions .jsonl.

Corrélation avec les journaux système

L'outil lit les journaux de l'OS et les recoupe avec l'activité de l'IA. Il faut le lancer en administrateur ou en root pour y accéder. Les événements retenus entrent aussi dans la chronologie générale, avec le type system_log.

Journaux lus

Analyses produites

Prérequis pour recouper les commandes

La machine doit journaliser les créations de processus :

• Windows : audit 4688 avec ligne de commande, ou Sysmon.
• Linux : auditd avec une règle execve.

Sans cela, le rapport le signale et la corrélation reste partielle.

Détections et scénarios

Après la collecte, l'outil parcourt les événements, hors ligne et sans dépendance, et produit des signalements classés par gravité. La détection est heuristique : elle oriente l'examen sans décider. Chaque signalement renvoie à sa source (fichier:ligne).

Catégories

Règles de gravité

• Une commande suspecte exécutée en mode bypassPermissions voit sa gravité relevée, et le mode est cité dans la justification.
• Le mode acceptEdits est signalé sans aggraver.

Déobfuscation

Une commande encodée (base64, -EncodedCommand) est décodée, affichée en clair et analysée à son tour. Un IEX / DownloadString caché déclenche donc les règles correspondantes. Une commande tronquée se déplie dans le rapport (« Voir en entier »).

Cartographie

Chaque signalement porte ses techniques MITRE ATT&CK (ex. T1059, T1552.004, T1070.001) et sa catégorie OWASP LLM / ASI (ex. LLM01:2025 Prompt Injection, LLM06:2025 Excessive Agency).

Scénarios (injection → action)

L'outil relie une injection reçue par un canal non fiable aux actions de la même session survenues dans les 5 minutes suivantes : commande, modification de fichier, accès réseau, lecture de fichier sensible.

On obtient un récit plutôt qu'une liste : « injection reçue à T, lecture d'une clé SSH à T+6 s, envoi réseau à T+13 s ». Ces scénarios figurent dans la section « Scénarios » du rapport et dans chains.json.

Rapport produit

Le dossier de sortie est auto-contenu. report.html sert à la lecture humaine, les fichiers JSON à l'outillage, et SHA256SUMS.txt à vérifier l'ensemble.

Sections de report.html

Une navigation par ancres en tête mène aux sections principales : Contexte, Chaîne de possession, Intégrité des sources, Synthèse, Détections, Chronologie.

Le rapport contient aussi : corrélation système, sessions, outils, fichiers modifiés, commandes, accès réseau et MCP, configuration, inventaire et manifeste de preuve. Les détections sont filtrables par gravité et liées à la chronologie, elle-même filtrable.

Vérifier l'intégrité du rapport

# Linux / macOS
cd /media/usb/cas42 && sha256sum -c SHA256SUMS.txt

# Windows (PowerShell), fichier par fichier
Get-FileHash .\report.html -Algorithm SHA256

Recettes

Poste en fonctionnement (live)

Lancer depuis une clé USB, en administrateur ou root, vers un dossier de sortie sur la clé. Fermer Claude si possible, pour éviter que des fichiers changent pendant la lecture.

aitrace.exe --case CAS-42 --all-users --since 7d --tz local --collect-raw --out E:\cas42\run-01
sudo ./aitrace --case CAS-42 --all-users --since 7d --collect-raw --out /media/usb/cas42/run-01

Image disque montée (hors ligne)

Monter l'image en lecture seule, puis pointer sa racine. --root implique --all-users ; les dossiers Claude, EVTX et /var/log sont cherchés sous cette racine.

./aitrace --root /mnt/image --out ./cas42 --collect-raw
./aitrace --root /mnt/image --claude-dir /mnt/image/home/alice/.claude --out ./cas42-alice

Artefacts isolés

--evtx et --syslog acceptent un dossier ou un fichier unique, même renommé. Un EVTX est reconnu par son contenu. Un fichier texte est traité en syslog, ou en auditd si son nom le suggère. Un chemin introuvable est signalé dans les remarques sans interrompre l'analyse.

aitrace --evtx E:\preuves\Security.evtx --syslog E:\preuves\auth.log --out E:\cas42
aitrace --journal-json E:\preuves\journal.json --out E:\cas42

Cibler une session ou un projet

aitrace --project webapp --since 2026-10-10 --until 2026-10-12 --out E:\cas42\webapp
aitrace --session 3f2a9c --out E:\cas42\session-3f2a9c

Rapport à diffuser

aitrace --case CAS-42 --redact --no-thinking --out E:\cas42\diffusion

Automatisation et codes de sortie

aitrace --no-input --case CAS-42 --since 24h --ioc iocs.txt --fail-on high --out /srv/aitrace/$(date +%F)

Limites connues et bonnes pratiques

Limites (v1)

Bonnes pratiques

• Préférer l'analyse d'une image montée en lecture seule dès que l'affaire peut aller au contentieux.
• Lancer en administrateur / root pour obtenir la corrélation système.
• Vérifier dans le rapport la section Intégrité des journaux avant d'interpréter l'absence d'une trace.
• Utiliser --tz local pour un rapport lisible, et noter le fuseau retenu dans la fiche d'affaire.
• Activer --collect-raw pour conserver les sources avec le rapport.
• Diffuser uniquement des rapports produits avec --redact.
• Archiver le dossier de sortie complet, avec SHA256SUMS.txt et manifest.json.