AI асистент (#80) — launch-gate чеклист преди provision/изложение

[nedda76]

Проследяване на launch-gate слоя за AI асистента (backend integrity core), след security ред-тийма на #80. Целта: ясно кой какво движи и нищо да не изпадне, преди ендпойнтът да се provision-не/изложи.

Owner-и: BE integrity core (apps/web/app/lib/assistant/* + route-а) — @nedda76; consuming lane-овете (renderer на /reports/:id, chat dock, R2 persist + dedup, voice, CI) — екипът на @lyubomir-bozhinov. Контрактите (block-spec/R2/SSE) са замразени в docs/spec/assistant-contracts.md + fixtures.

✅ Затворено в #80 (след ред-тийма)

• E2 — детерминистична проверка „без едри числа в прозата" (не prompt правило)
• Санитизация на data-cells, не само на проза (stored-XSS)
• eop_fetch byte-cap — отказва оразмерения отговор вместо да го парсва (беше no-op)
• AST table-allowlist + забрана на comma cross-join / WITH RECURSIVE + AST-достоверен LIMIT
• Per-IP rate-limit на POST /assistant/chat (ASSISTANT_RATE_LIMITER, 10/min/IP)
• Cap на история/тяло + abortSignal (disconnect → cancel) + явни maxRetries/maxOutputTokens
• MAX_STEPS clamp към [1, 20]; graceful degradation (stream onError + 503 при setup)
• entity-link id-та в bound редове + low-ове (encodeURI, embed cap + count-проверка, без raw D1 грешка към модела), rag.test.ts
• Контракти block-spec / R2 / SSE + fixtures

⏳ Остава преди launch (по тежест)

• 🔴 Read-only D1 data path за run_sql — отделен binding без write права (§9.4); днес env.DB е read-write, така че AST guard-ът е носещ — @nedda76
• 🔴 Неотменяем per-query timeout за run_sql (§9.4) — нужен infra вход, pair
• 🔴 Глобален budget / circuit-breaker пред BgGPT (BGGPT_RATE_LIMIT_RPM) — per-IP лимитът е налице, остава глобалният таван, pair
• 🟠 HMAC-подпис на сървърните съобщения (§9.3) — @nedda76
• 🟠 Memoize (sql_hash, freshness) + дедуп на справки (§9.8) — R2 persist lane
• 🟠 Golden-report CI, вкл. adversarial prompt-injection (§9.9) — CI lane
• 🟡 Launch gate: Turnstile — pair

🔧 Provisioning gate (трябва да предхожда wrangler deploy, иначе CD пада)

• BGGPT_API_KEY (secret), Vectorize индекс sigma-assistant, R2 кофа sigma-reports, еднократен indexSchemaCorpus, ratelimit namespace 1003

Реф: коментарите на #80 (ред-тийм на @lyubomir-bozhinov) + apps/web/app/lib/assistant/README.md („Сигурност — затворено по ред-тийма на #80").

[todorkolev]

Security re-review 2026-07-03 (ревю на мърджнатата серия)

Пресен преглед на 88eb929..main потвърди, че двата 🔴 launch-gate item-а са все още живи - нищо от серията не ги е адресирало:

• 🔴 Read-only D1 за run_sql - env.DB е още read-write; AST guard-ът в sql-guard.ts остава единствената носеща защита. → нов App-layer read-only D1 guard за web worker-а (@sigma/db wrapper) #199 предлага app-layer read-only wrapper в @sigma/db за целия web като механизъм (web и без това никога не пише в D1 - записите са само от sigma-etl). Обезврежда и assistant: run_sql must use a read-only D1 binding before the prod BgGPT key #134; препоръка при мърдж assistant: run_sql must use a read-only D1 binding before the prod BgGPT key #134 да се затвори като покрито/стесни.
• 🔴 Глобален circuit-breaker - потвърдено конкретно: BGGPT_RATE_LIMIT_RPM е деклариран (wrangler.jsonc), но не се чете никъде в кода; активен е само per-IP лимитът (10/min/IP, ns 1005). Разпределени клиенти могат всеки по 10/min срещу BgGPT + Workers AI + Vectorize. → assistant: global account-wide budget / circuit-breaker for BgGPT #135 остава задължителен преди ключа.

Дребно (не gate): остарял коментар в wrangler.jsonc твърди „1004 е /health лимитерът (#118)", но #118 не е мърджнат и 1004 не съществува - да се изчисти в следващия асистент-PR или в #199.

Останалото от мърджнатата серия (rate-limiter на .data формата, cache/limiter подредба, deploy renderer, CSS split) е проверено и чисто - това ревю не добавя нови gate items.