Cortex AI

Cortex est l’assistant IA intégré de Kliper. C’est une boucle agentique complète avec accès à 15 outils, une récupération ancrée dans la base de connaissances de votre cabinet, une rédaction des données personnelles et des contrôles de sécurité intégrés.

À haut niveau, Cortex peut :

• Lire : extraire les détails des exigences, les réponses de l’évaluation, les fichiers de preuve, les données de cadrage et les tâches existantes
• Écrire : rédiger et enregistrer des justifications, des réponses de procédures de test, des tâches et des événements de calendrier directement dans l’évaluation
• Rechercher : récupérer du contexte ancré dans les ROC passés de votre cabinet, les preuves acceptées et les orientations PCI DSS
• Raisonner : itérer sur plusieurs appels d’outils en un seul tour, en décidant de l’étape suivante à partir des résultats intermédiaires
• Relire : signaler les constatations qui pourraient ne pas tenir, noter chaque signalement avec la fiabilité CRESS, rédiger des plans de clôture et tout trier entre les engagements dans une seule file (voir ci-dessous)

Toutes ces fonctionnalités accélèrent le processus d’évaluation sans remplacer le jugement de l’évaluateur. Cortex produit des brouillons ; l’évaluateur conserve l’entière autorité sur tout le contenu final.

Plans et quotas

Le chat Cortex est inclus dans chaque plan, y compris Free : aucune fonctionnalité verrouillée, juste un quota mensuel de messages. Les opérations d’écriture sont comptées séparément, si bien que naviguer et poser des questions ne consomme jamais votre budget de rédaction.

Le quota d’opérations IA couvre deux compteurs suivis indépendamment :

• Brouillons IA : les outils d’écriture du chat Cortex (enregistrement de justifications, réponses de TP, tâches) et le rédacteur de justifications de la section 7.
• Résumés de fichiers : analyse IA des fichiers et extraction de schémas. La première analyse IA de chaque fichier est gratuite sur tous les plans ; seules les réanalyses sont comptées.

Les messages de chat en lecture seule ne sont décomptés que du quota de messages. Lorsqu’un quota est épuisé, Cortex vous indique quel plan le relève ; les brouillons et analyses existants ne sont jamais verrouillés. Les compteurs en direct des trois quotas se trouvent sur la page Facturation.

La boucle agentique

Cortex n’est pas un modèle de chat à un seul coup. Chaque message utilisateur lance une boucle itérative :

Outils disponibles

Cortex dispose de 16 outils regroupés par finalité :

Outils de lecture

Outils d’écriture

Outils de recherche

Rédiger à partir des preuves

Dans l’éditeur d’exigences de la section 7, Cortex peut rédiger une justification de constatation directement à partir des preuves que vous avez déjà citées, avec l’humain dans la boucle de bout en bout :

Chaque brouillon consomme un brouillon IA du quota mensuel.

Citations structurées

Lorsque Cortex répond à partir du contenu de l’évaluation, ses réponses portent des citations structurées (les éléments précis d’instructions de rapport derrière une réponse et des liens vers les personnes interrogées concernées) pour qu’un évaluateur puisse vérifier une affirmation à sa source au lieu de croire la prose sur parole.

Cortex lit tout le ROC, pas seulement la section 7

Pendant la plus grande partie de son existence, Cortex ne voyait que les tableaux d’exigences de la section 7. Interrogez-le sur le résumé exécutif et il répondait par du texte passe-partout ; non parce qu’il refusait, mais parce que ce contenu ne lui parvenait réellement jamais. Sur une évaluation réelle, cela signifiait que la majorité du document enregistré (le résumé exécutif, toutes les parties I et II, les résultats de scans trimestriels, l’échantillonnage et les annexes) lui était invisible.

Cortex lit désormais aussi ces sections du rapport, via get_report_section. Il en découle quelques conséquences :

• Interrogez-le par leur nom sur le résumé exécutif, les annexes, l’échantillonnage ou les résultats de scan et Cortex s’appuie sur ce qui est réellement enregistré dans ces sections, comme il le fait pour une exigence.
• Ce sont des noms, pas des numéros, qui reviennent. Cortex parle de « 6.4 Preuves documentaires », pas de « section 6.4 », pour qu’une section du rapport ne soit jamais confondue avec l’exigence qui partage son numéro.
• Le vide est rapporté honnêtement. Une section que vous n’avez pas encore remplie est décrite comme vide, avec une note sur ce qu’elle attend ; jamais comme remplie, et jamais comme une valeur vide brute.

Règles de comportement

Le prompt système de Cortex impose un ensemble strict de comportements que les messages utilisateur ne peuvent pas contourner :

Indicateurs de statut

Chaque réponse de Cortex affiche un statut descriptif en direct pendant que l’agent s’exécute :

L’ancien « Cortex réfléchit… » générique a été remplacé partout.

Votre conversation est conservée

Fermer le panneau Cortex ne met jamais fin à la conversation. Rouvrez-le, même après un rafraîchissement de page ou un déploiement qui recharge l’onglet, et le fil est toujours là, ainsi que tout message que vous aviez tapé sans l’envoyer.

Au sein d’un fil, Cortex travaille à partir de ce dont vous discutez réellement. Il charge les messages les plus récents de la conversation, si bien qu’un suivi comme « et celui d’après » ou « corrige cette section » est lu par rapport à vos derniers échanges, et non ancré à la première chose que vous avez demandée au début du fil.

Base de connaissances et RAG

Cortex peut ancrer ses brouillons dans le travail passé de votre cabinet. La base de connaissances est un pipeline d’ingestion dédié qui transforme les ROC, AOC, transcriptions de réunions et preuves acceptées en contexte récupérable.

Fonctionnement de l’ingestion

Comment Cortex l’utilise

Lors de la rédaction d’une justification ou d’une réponse de TP, Cortex peut appeler l’outil search_firm_knowledge avec une requête sémantique (par ex. « politique de conservation des journaux d’audit 12 mois ») limitée à l’exigence courante. L’outil renvoie les K fragments les plus pertinents avec leurs métadonnées (document source, exigence, date de téléversement), que Cortex référence ensuite dans son brouillon.

Interface d’administration

Le panneau Base de connaissances (administrateurs uniquement) affiche :

Les tâches sont interrogées toutes les 3 secondes tant qu’une ingestion est active, si bien que les mises à jour de statut sont quasi en temps réel.

Validation des preuves

Ce qu’elle fait

Lorsqu’un fichier de preuve est téléversé et rattaché à une exigence PCI DSS précise, Cortex peut valider si le document couvre correctement les éléments de contenu que le modèle de ROC exige pour cette exigence.

Kliper maintient une spécification de validation pour chaque exigence : une liste de contrôle structurée des éléments de contenu que le document de preuve doit traiter. Ces spécifications sont dérivées du modèle de ROC PCI DSS v4.0.1 et stockées dans document-validation.json.

Flux de validation

{
  "requirementId": "3.4.1",
  "title": "PAN rendering requirement",
  "type": "document",
  "tag": "DOCFW",
  "checkedAt": "2026-02-28T14:30:00.000Z",
  "items": [
    {
      "criterion": "Document defines encryption algorithms used for PAN storage",
      "found": true,
      "excerpt": "AES-256 encryption is applied to all PAN data at rest...",
      "note": null
    },
    {
      "criterion": "Document specifies key management procedures",
      "found": false,
      "excerpt": null,
      "note": "No key management section found in document"
    }
  ],
  "summary": {
    "total": 8,
    "found": 6,
    "missing": 2,
    "status": "partial"
  },
  "model": "gpt-4o-mini",
  "tokensUsed": { "input": 4200, "output": 850 }
}

Statuts de validation

Le statut de synthèse est dérivé du ratio trouvés/total :

Ce que voit l’évaluateur

Dans le panneau Pièces jointes, chaque fichier affiche son statut de validation. Déplier le résultat de validation montre :

• Une liste de tous les critères avec des coches (trouvé) ou des croix (non trouvé).
• Des extraits du document qui démontrent la couverture.
• Des notes sur la couverture partielle ou les éléments manquants.
• Le modèle d’IA utilisé et la date de la validation.

Analyse en ligne et rapprochement avec les exigences

Lorsque vous ouvrez l’analyse d’un fichier, Cortex l’affiche en ligne (pas seulement une liste réussite/échec) : une évaluation de pertinence, un court résumé, des étiquettes suggérées et une grille de correspondance d’exigences avec des barres de confiance montrant quelles exigences PCI DSS le fichier semble appuyer, avec un pied de page « Analysé par Cortex ». Pendant l’exécution, un pipeline d’analyse en direct affiche les étapes : Analyse de sécurité → Extraction → Résumé → Rapprochement.

Remplissage automatique Cortex : génération des constatations du ROC

Ce qu’il fait

Le remplissage automatique Cortex génère un brouillon de description des constatations pour une exigence PCI DSS précise. C’est le texte narratif qui apparaît dans le ROC final, décrivant ce que l’évaluateur a examiné, quelles méthodes ont été utilisées et ce qui a été observé.

Quand l’utiliser

Le remplissage automatique est le plus efficace lorsque l’évaluateur a déjà :

1. Téléversé les fichiers de preuve pertinents et les a rattachés à l’exigence.
2. Renseigné au moins quelques réponses de procédures de test.
3. Sélectionné un statut de constatation (En place, Non applicable, Non testé, Non en place).

Cortex fonctionne avec des données incomplètes, mais il signale ce qui manque et utilise des espaces réservés ([PENDING_RESPONSE]) plutôt que de fabriquer du contenu.

Fonctionnement

{
  "content": "Per DOCFW, firewall rulesets restrict inbound traffic to required ports and protocols only. Configuration screenshots in EVDFW show deny-all default rules on external-facing interfaces. Network administrator interview confirmed change management procedures are followed for all modifications.",
  "warnings": [
    "Assessor responses missing for: 1.2.3.b, 1.2.3.c",
    "No evidence files uploaded for Requirement 1."
  ]
}

Remplissage automatique avec contrôles compensatoires

Lorsque l’évaluateur sélectionne la méthode Contrôle compensatoire, Cortex ajuste sa sortie pour noter que l’annexe C s’applique et cadre les constatations autour du contrôle compensatoire plutôt que de la procédure de test standard.

Remplissage automatique avec approche personnalisée

Lorsque l’évaluateur sélectionne la méthode Approche personnalisée, Cortex :

1. Charge l’objectif de l’approche personnalisée depuis les orientations PCI DSS pour cette exigence.
2. Demande à l’IA d’expliquer comment la mise en œuvre de l’entité atteint l’objectif de l’approche personnalisée, plutôt que de traiter les procédures de test de l’approche définie standard.
3. Si aucun objectif d’approche personnalisée n’existe pour l’exigence (certaines exigences ne sont pas éligibles), un avertissement est renvoyé.

Analyse des étapes de validation

Cortex analyse aussi le texte des instructions de rapport pour déterminer quelles étapes de validation sont pertinentes pour une exigence. Il utilise une correspondance de mots-clés pour identifier les types de preuves requis :

Une étape Évaluateur est toujours incluse, quels que soient les mots-clés.

Ces étapes remplissent la section de préfixe structuré de la réponse à l’exigence, garantissant que le ROC inclut une documentation complète de ce qui a été examiné.

Revue et tri par Cortex

Au-delà de la rédaction, Cortex agit comme relecteur consultatif de votre travail terminé : il signale les constatations qui pourraient ne pas tenir, note le degré de confiance à accorder à chaque signalement et regroupe le tout dans une file inter-engagements. Il est purement consultatif : Cortex ne modifie jamais vos scores déterministes d’écarts/risques ni vos données de réponse, et la couche est activable par espace de travail (active uniquement lorsque Cortex est activé).

Notation de fiabilité CRESS

Au lieu qu’un modèle déclare lui-même « 90 % de confiance », Cortex note chaque verdict avec CRESS, un score de fiabilité (0–100) calculé à partir de cinq signaux pondérés : l’auto-cohérence entre échantillons (30 %), l’ancrage (25 % ; le verdict a-t-il cité et reproduit un élément manquant précis), la suffisance des entrées (20 %), la confiance auto-déclarée du modèle (15 %) et la difficulté de l’exigence (10 %). Le score correspond à une bande :

CRESS remplace la confiance auto-déclarée partout où Cortex affiche un verdict.

Couche consultative de revue des constatations

Sur les vues Risques et Écarts, Cortex marque chaque contrôle relu comme traité / partiel / non traité, avec une détection d’obsolescence lorsque la réponse sous-jacente change après une revue. Ces verdicts se placent à côté de vos scores déterministes, sans jamais les remplacer.

• Rejetez un verdict avec lequel vous n’êtes pas d’accord : il sort des compteurs et affiche un état atténué « Rejeté par Cortex » avec une action Restaurer.
• Relire à nouveau relance Cortex sur la dernière réponse (et efface tout rejet antérieur).

File de tri inter-engagements

La page /cortex est une file de tri unique sur toutes vos évaluations en cours : chaque signalement Cortex ouvert et chaque plan de brouillon sans tâche au même endroit.

• Recherchez par client, évaluation, LOE ou identifiant de contrôle
• Filtrez les brouillons par effort (S / M / L) et priorité
• Chaque ligne affiche sa bande CRESS ; agissez avec relire à nouveau, rejeter ou créer des tâches

Plans de clôture

Pour les écarts ouverts et signalés par Cortex, Cortex peut rédiger un plan de clôture, transformant chaque écart en un élément de remédiation structuré : le pourquoi, des étapes concrètes, les preuves suggérées et une estimation d’effort. Cliquez sur Créer des tâches pour transformer les étapes du plan en tâches suivies sur l’évaluation. Le plan est consultatif, et peut aussi être exporté comme livrable Plan de clôture (XLSX) depuis la fenêtre d’export du ROC.

Suggestions de synthèse du ROC (§1.8)

Dans les rubriques de détail de la synthèse d’évaluation du §1.8 du ROC, Cortex consolide vos constatations du §7 en suggestions séparées et rejetables (Non applicable / Non testé / Non en place / Contrôle compensatoire / Approche personnalisée) affichées sous vos propres entrées, pour que vous puissiez les accepter ou les ignorer sans qu’elles écrasent votre travail.

Orientations Cortex et entretien de cadrage

Orientations par question

Sur les questions de cadrage, Cortex affiche un rail d’orientations pour la question active : pourquoi elle compte, les références PCI DSS pertinentes, des conseils pratiques et des boutons Réponse rapide qui remplissent directement la réponse.

Mode entretien

Plutôt que de répondre aux questions de cadrage une par une, décrivez votre environnement en texte libre et laissez Cortex mener un entretien : il extrait un Oui / Non / En attente ancré pour chaque question de cadrage, chacun avec une citation à l’appui et un indicateur de confiance. Relisez les extractions et Appliquez-les individuellement ou Appliquez tout. Tout ce que Cortex ne peut pas ancrer reste En attente pour que vous décidiez ; il ne devine jamais.

Chat persistant

Cortex offre une interface conversationnelle accessible depuis n’importe quelle page via la barre de navigation. Les conversations sont stockées en base de données : l’historique du chat persiste entre les sessions, les rafraîchissements du navigateur et les appareils.

Panneau unifié

Cortex s’ouvre dans un panneau latéral droit de 440 px qui reste visible lorsque vous naviguez entre les pages. Chaque réponse porte un badge de modèle et un temps de réponse, la génération peut être arrêtée en cours de flux, les tableaux des réponses s’affichent comme de vrais tableaux, et le pied de page montre votre utilisation en direct par rapport au plafond quotidien. Vous pouvez aussi référencer n’importe quelle évaluation par son nom depuis n’importe où (« dans le ROC ACME, qu’est-ce qui est enregistré pour 8.3.1 ? ») et Cortex la résout au sein de votre organisation (lectures uniquement ; les écritures exigent toujours que l’évaluation soit ouverte). Le contexte s’adapte automatiquement à votre page courante :

Gestion des conversations

• Titre automatique : les conversations sont nommées automatiquement d’après votre premier message
• Liste des conversations : basculez la vue historique pour parcourir, reprendre ou archiver les conversations passées
• Badges de contexte : chaque conversation indique le contexte dans lequel elle a démarré (Évaluation, Calendrier, Boîte de réception, Général)

Ce que vous pouvez demander

• « Combien de procédures de test l’exigence 1.2.4 comporte-t-elle ? » : Cortex consulte le référentiel PCI DSS v4.0.1 et vos données enregistrées
• « Montre-moi les constatations pour 7.1.1 » : récupère les valeurs exactes enregistrées dans l’évaluation
• « Et sa justification ? » : les questions de suivi fonctionnent d’un tour à l’autre ; Cortex se souvient de l’exigence dont vous discutiez
• « Quelles questions d’entretien poser sur la gestion des clés de chiffrement ? » : s’appuie sur les données d’orientations PCI DSS

Fonctionnement de la récupération des données

Lorsque vous posez une question sur une exigence précise, Cortex exécute la boucle agentique (voir le début de ce guide) et appelle les outils pertinents ; typiquement get_requirement_details pour charger la structure du référentiel et get_assessment_answers pour charger les constatations, justifications et réponses de TP enregistrées. Les procédures de test non renseignées sont présentées comme « non démarrées » pour que vous ayez toujours l’image complète. Cortex montre les valeurs exactes enregistrées mot pour mot et ne fabrique jamais de contenu.

Hiérarchie PCI DSS dans le chat

Cortex utilise la terminologie PCI DSS correcte :

Choisir votre fournisseur d’IA

Par défaut, Cortex tourne sur l’infrastructure IA gérée de Kliper : rien à configurer, inclus dans votre plan, avec les données personnelles rédigées avant que tout prompt ne quitte Kliper.

Les organisations sur le plan Enterprise peuvent à la place exécuter Cortex sous leur propre contrat d’IA depuis Paramètres > Cortex AI :

Utilisez Tester la connexion après l’enregistrement pour vérifier la configuration avec une vraie requête. Les changements ne s’appliquent qu’aux nouvelles requêtes Cortex, et le badge de modèle de chaque réponse indique exactement quel modèle l’a produite. Si votre plan n’inclut plus la fonctionnalité, Cortex retombe silencieusement sur la plateforme par défaut ; il ne casse jamais.

Modération du contenu

Cortex classe chaque message utilisateur dans l’un de quatre niveaux et répond en conséquence. Cela garantit des interactions professionnelles et sûres sans surpolicer une frustration légitime.

Niveau 1 : frustration / insultes envers Cortex

Des utilisateurs qui s’en prennent à l’IA elle-même, sans chercher à nuire.

Niveau 2 : hors sujet

Des questions hors du domaine de Cortex : conformité, sécurité informatique et sujets techniques connexes.

Niveau 3 : injection de prompt

Des tentatives de manipuler Cortex pour qu’il enfreigne ses instructions ou révèle sa configuration interne.

Niveau 4 : contenu nuisible

Des demandes impliquant un préjudice réel, une activité illégale ou un accès non autorisé à des données.

Contrôles de sécurité

Lorsque Cortex répond dans un contexte d’évaluation, chaque réponse est automatiquement validée par rapport à des données de référence connues. Trois contrôles s’exécutent après la génération, avant l’enregistrement de la réponse :

1. Validation des références aux exigences

Cortex extrait tous les numéros d’exigences PCI DSS mentionnés dans sa réponse (par ex. « Exigence 3.4.1 », « Exig. 1.2.3 ») et vérifie chacun par rapport à l’ensemble complet des 267 identifiants d’exigences PCI DSS v4.0.1 valides chargés depuis la spécification du référentiel.

• Les références aux regroupements parents (par ex. « Exigence 3 » ou « 3.4 ») sont toujours autorisées
• Les sous-exigences précises (par ex. « 3.9.7 ») qui n’existent pas dans PCI DSS v4.0.1 sont signalées

2. Validation des références aux fichiers et preuves

Lorsque Cortex mentionne des noms de fichiers (entre accents graves ou guillemets), la plateforme vérifie ces noms par rapport aux fichiers réellement téléversés dans l’évaluation courante en base de données. Les références à des fichiers absents de l’évaluation sont signalées.

3. Validation des étiquettes de validation de documents

Les réponses de Cortex qui référencent des étiquettes de validation de documents (par ex. DOCFW, EVDFW, NETDIAG) sont vérifiées par rapport aux 93 étiquettes connues de la spécification du modèle de ROC PCI DSS. Les étiquettes qui correspondent à des préfixes connus (DOC, FW, NET, EVD, etc.) mais ne correspondent pas à une étiquette réelle sont signalées comme potentiellement fabriquées.

Avis de sécurité

Si un contrôle échoue, un avis de sécurité est ajouté à la réponse :

Avis de sécurité : cette réponse référence des identifiants d’exigences introuvables dans PCI DSS v4.0.1 : 3.9.7 ; des noms de fichiers introuvables dans cette évaluation : audit-log.pdf. Veuillez revérifier ces références.

Les résultats de sécurité sont stockés par message pour le suivi analytique.

Notation des messages

Les évaluateurs peuvent noter toute réponse de Cortex avec un pouce levé ou un pouce baissé. Les notes sont stockées par message et alimentent le tableau de bord analytique, aidant les administrateurs à comprendre la qualité des réponses dans l’équipe.

Suivi du remplissage automatique

Lorsque Cortex génère une suggestion de remplissage automatique et que l’évaluateur l’accepte dans le champ des constatations, l’événement est suivi avec :

• L’exigence remplie automatiquement
• L’évaluation à laquelle elle appartient
• L’utilisateur qui a accepté la suggestion
• L’horodatage de l’acceptation

Ces données apparaissent dans le tableau de bord analytique Cortex pour que les administrateurs voient les taux d’adoption du remplissage automatique.

Suivi de l’utilisation des jetons

Chaque réponse de Cortex AI enregistre la consommation de jetons du modèle sous-jacent (jetons de prompt, jetons de complétion et total). Ces données alimentent la visibilité des coûts sur toute la plateforme.

Ce qui est suivi

Chaque message de l’assistant stocke :

Estimation des coûts

Kliper estime le coût en dollars par réponse à partir de la tarification publiée des modèles :

Les coûts sont calculés par message et agrégés sur l’organisation. La carte Utilisation des jetons du tableau de bord analytique affiche :

• Coût total estimé pour la période sélectionnée
• Total des jetons consommés et nombre de réponses suivies
• Ventilation par modèle avec coût, nombre de jetons et nombre de réponses individuels
• Coût par utilisateur dans le tableau Utilisation par utilisateur

Tableau de bord analytique Cortex

Les administrateurs peuvent accéder au tableau de bord analytique Cortex depuis le panneau d’administration. Il donne une vue d’ensemble en temps réel de la façon dont l’équipe utilise Cortex :