AIAME · PORTFOLIOEN
Audit de fond le 2026-08-26, revérification en profondeur le 2026-09-08, mise à jour ciblée le 2026-09-24 — état mesuré, pas déclaré ; un dépôt créé depuis n'y figure qu'une fois audité

Ce qui tourne, ce qui est testé, ce qui ne l'est pas — sans arrondir.

Chaque dépôt audité ici, de l'organisation aiame-fr, est classé prod, pré-prod ou dev à partir de preuves vérifiables — état des CI (gh api), vérification en direct des domaines, lecture du code — jamais à partir d'un README pris pour argent comptant.

A measured, not declared, staging of every repository in the aiame-fr organization — dev/pre/prod assigned from verifiable evidence, not from what each repo's own docs claim.

Certification e2e sandbox

Verdict : ABSENTE — sur tous les dépôts audités ici.

Aucun des dépôts audités ici n'a de harnais de certification de bout en bout. La quasi-totalité de la CI mesure la doctrine (script garde-fous.yml : pas de fournisseur frontière en exécution, pas de secret suivi par git, pas de credential Elzéard) — pas le produit. Un badge vert garde-fous ne dit rien sur le fait que le code compile, tourne, ou sert du trafic réel — et un badge rouge aujourd'hui n'en dit pas plus non plus (voir « État de la CI » ci-dessous, revu en profondeur le 2026-09-08 : la cause de facturation du 26/08 est résolue, mais la réactivation dépôt par dépôt ne l'est pas).

11
prod
17
pré-prod
9
dev
37
audités

Ce qu'une certification e2e exigerait réellement

« ABSENTE » n'est pas une case à cocher — c'est l'absence d'un mécanisme qui réunirait quatre propriétés à la fois :

AutomatiqueDéclenché sans qu'un humain pense à lancer une commande — CI, cron, ou verrou de déploiement.
Chemin réelExerce l'instance réellement déployée — le conteneur qui tourne, pas un TestClient en mémoire ni un mock.
Parcours completCouvre le trajet utilisateur de bout en bout (clic → paiement → webhook → commande confirmée), pas une fonction isolée.
Fait autoritéUn échec bloque ou alerte — sinon c'est une mesure ponctuelle, pas une certification.

Le plus proche d'une certification e2e (aiame-fin, aiame-red) reste fragmenté sur ces quatre propriétés — voir l'historique de cette page pour le détail par mécanisme. Ce qui a changé depuis le dernier audit (2026-08-13/17) : la CI elle-même n'est plus un signal fiable aujourd'hui, org-wide — voir ci-dessous.

État de la CI — la facturation est résolue, la réactivation ne l'est pas

Régression trouvée le 2026-09-24 : la seule réactivation complète que cette page ait jamais documentée a été redésactivée depuis. Le blocage de facturation constaté le 2026-08-26 reste résolu au niveau de l'org (gh api orgs/aiame-fr/actions/permissions confirme toujours enabled_repositories: all aujourd'hui) — mais aiame-miroir, réactivé et vert le 2026-09-02 (PR#16, 4 jobs sur runners réels), affiche enabled: false en direct ce jour, malgré un run réel et vert aussi récent que le 2026-09-22 (run 35692425622). Quelqu'un ou quelque chose a coupé Actions pour ce dépôt entre le 22 et le 24/09 — pas une nouvelle panne de facturation (l'org reste ouverte), une régression locale au dépôt, cause non identifiée. Il n'existe donc plus aucun exemple vérifié de réactivation complète tenue dans la durée dans cet org.

Le reste de la flotte n'a jamais suivi non plus. Revérifié dépôt par dépôt le 2026-09-24 (gh api repos/aiame-fr/<repo>/actions/permissions, org passée de 36 à 40 dépôts depuis le dernier passage) : 37 des 38 dépôts non archivés/non fork de l'org ont Actions désactivé au niveau du dépôt (36 confirmés le 09-08, la proportion n'a pas bougé) — un interrupteur resté sur OFF depuis le 27/08 pour la plupart, pas une nouvelle panne. La seule exception vérifiée aujourd'hui est aiame-knowledge, dont le workflow programmé (knowledge-refresh.yml) justifie que Actions y reste actif délibérément. Aucun run (pas même workflow_dispatch) n'a pu s'exécuter sur les dépôts désactivés depuis le 26 ou 27/08, quel que soit le nombre de commits/PR mergés depuis. L'enforcement s'est reporté, dépôt par dépôt, sur un hook git local (.githooks/pre-push) introduit la même semaine — mais ce hook n'est pas versionné comme actif : chaque clone/worktree doit exécuter git config core.hooksPath .githooks lui-même, sans quoi il n'existe aucune vérification du tout (le propre commentaire du hook sur aiame-store le dit noir sur blanc : « NON ACTIF sur un clone/worktree frais »).

Cas à part trouvé le 09-08, non revérifié depuis : aiame-ledger a bien retenté deux runs le 06-09 (workflow_dispatch, pas le silence qu'affirmait la version précédente de cette page) — mais les deux sont restés bloqués en queued, jamais assignés à un runner, plus de 2 jours plus tard. Un problème distinct de la facturation, jamais résolu ni même relancé.

Chaque carte concernée ci-dessous signale son propre état vérifié en direct — certaines datent du 09-08, d'autres du 09-24 (voir chaque carte). aiame-graine n'a jamais été affectée (Actions déclenché sur push/PR, checks verts sur HEAD). Cette section date d'aujourd'hui ; comme le reste de la page, elle se périme.

Méthode

Trois classes, définies par preuve et non par ambition déclarée dans le README du dépôt :

ProdVivant et vérifié en direct (requête HTTP réelle le jour de l'audit), ou texte canonique dont d'autres dépôts dépendent et qui se corrige par nouvelle version, jamais par édition en place.
Pré-prodConstruit, avec de vrais tests qui passent en CI (pas seulement la doctrine) — mais sans preuve de service en production dans ce dépôt, ou déployé mais avec un doute non résolu sur ce qui est réellement servi.
DevTravail en cours, build cassé, tests écrits mais jamais appelés par la CI, ou aucune preuve de déploiement.

Refait intégralement le 2026-08-26 : les 30 dépôts déclarés dans repos.json ont été relus un par un — CI (gh api, logs de job, pas seulement le badge), code réel, requête HTTP en direct sur chaque URL plausible. 11 dépôts n'avaient jamais figuré sur cette page (voir « Trous d'inventaire » plus bas) ; 7 ont changé de palier depuis le dernier audit (2026-08-13/17) au vu de preuves nouvelles, pas d'une nouvelle politique de notation.

Prod — 11 dépôts

aiame-angel certif. e2e absente

« Aiame Angel » — planification infirmière (roster CP-SAT + tournée VRPTW déterministe, hors-ligne), publique sur angel.services.aiame.fr derrière aiame-auth ; scindée d'aiame-optaplanner le 27/08, qui reste le moteur solveur consommé comme bibliothèque (voir sa carte en pré-prod).

  • angel.services.aiame.fr → 200 (vraie appli Next.js) et /api/v1/health → 200 ; /api/v1/nurses → 401 MISSING_TOKEN — le verrou aiame-auth est réellement actif en prod, pas juste le défaut du code (dont la valeur par défaut est auth_required=False)
  • Persistance réelle (Postgres + migrations Alembic sur storage-01) ; zéro commit métier depuis la scission — mais le déploiement tourne encore sous les anciens conteneurs aiame-optaplanner-backend/-frontend, la bascule du chemin de déploiement lui-même reste une tâche ouverte (documentée dans ce dépôt et repos.json)

aiame-auth certif. e2e absente

Service d'authentification transversal AIAME — jetons courts EdDSA, refresh rotatif, multi-tenant produit+org.

  • /v1/auth/public-key répond en direct une clé Ed25519 PEM réelle (pas un stub statique) ; aiame-angel (storage-01) est configuré en prod avec AUTH_REQUIRED=true et vérifie réellement contre cette clé — corrigé le 09-08 : c'est aiame-angel qui porte ce consommateur depuis la scission du 27/08, pas aiame-optaplanner (devenu bibliothèque, voir sa carte en pré-prod)
  • 66 tests passent en local, rejoué en direct — CI GitHub désactivée pour ce dépôt depuis le 27/08 (facturation, réactivation non faite), enforcement reporté sur un hook pre-push local

aiame-doctrine certif. e2e absente

Textes éthiques canoniques (Constitution, chartes, axiomes, White Paper) + générateurs des pages légales.

  • sov.services.aiame.fr/mentions-legales.html contient en direct le commentaire « GÉNÉRÉ par aiame-doctrine/legal/build_legal_sov.py » — le générateur de ce dépôt est bien ce qui sert la page réelle, pas une affirmation
  • verifier-copies.sh rejoué en direct le 09-08 : 1/25 copie vendorée à jour (aiame-fin seul), pas 2/25 comme cette page l'affirmait il y a deux jours — le canonique a encore bougé deux fois depuis (09-06), la dérive s'aggrave plus vite qu'elle ne se résorbe

aiame-eu certif. e2e absente

apod.services.aiame.fr — services ouverts pour les citoyens européens (APOD). L'ancien nom eu.aiame.fr ne résout plus depuis le 2026-09-13.

  • Revérifié en direct le 09-08 : /api/apod répond toujours, 66/66 tests rejoués localement (identique au 793 lignes du dernier run CI)
  • CI GitHub désactivée depuis le 27/08 (facturation, non réactivée) — dernier run réel le 08-19, 2 PR mergées depuis sans aucun check GitHub

aiame-fin certif. e2e absente

Checkout/entitlements/livraison transversal AIAME (catalogue, PSP Stripe/SumUp/SEPA) — la facturation elle-même reste « planned ».

  • /health en direct renvoie l'état réel des adaptateurs (tous en mode:mock, aucun paiement réel ne transite) — recoupé avec le code, pas cité du README
  • CI GitHub désactivée depuis le 27/08 (facturation, non réactivée ici) : 9 commits mergés depuis sans aucun check, dont un correctif P0 réel (SEPA signalait « sandbox » à tort). Suite rejouée en local le 09-08 : 108 passed (montée de 87 à la même date que la dérive)

aiame-fr.github.io certif. e2e absente

Vitrine publique statique — miroir GitHub Pages ; source réelle de www.aiame.fr.

  • Pages GitHub actif et servant réellement (status: built), aiame.fr/www.aiame.fr vérifiés 200 en direct — le pipeline Pages est indépendant de la facturation Actions ci-dessous, il n'a jamais cessé de déployer
  • CI GitHub (garde-fous) désactivée depuis le 27/08 côté ce dépôt (non réactivée) : 9 commits sans check GitHub, y compris ceux qui ont écrit ces lignes mêmes ; enforcement uniquement local depuis
  • Ce que sert réellement www.aiame.fr après qu'un opérateur humain lance make play-vitrine depuis aiame-infra — pas de synchronisation automatique entre les deux

aiame-infra certif. e2e absente

Terraform (Hetzner) + Ansible + Traefik v3 — pilier d'infrastructure ; déploie tout le reste.

  • Applique réellement aiame.fr et la famille *.services.aiame.fr/*.dev.aiame.fr (sov, svcmgr, fin, angel, auth, price, miroir, apod) — certificat Let's Encrypt actif, vérifié en direct
  • Sa propre CI ne prouve que la doctrine (garde-fous) — le verdict prod vient exclusivement des vérifications HTTP en direct sur les services qu'il déploie, pas de son propre badge

aiame-sov certif. e2e absente

France Sov — assistant de décision du dirigeant de TPE/PME (FastAPI + SQLModel, RAG, veille territoriale).

  • sov.services.aiame.fr répond en direct, /api/v1/version confirme environment:"production" ; réplique sov.dev.aiame.fr également live ("staging")
  • Corrigé le 09-08 : le README affirme encore une faille d'autorisation ouverte sur le module Territoire, mais l'issue #73 qui la documentait a été fermée le 01-09 — le vrai trou (routes sans require_role) était déjà corrigé le jour même de sa découverte (6/6 tests dédiés passent, 401 vérifié en direct sur /api/v1/regional/entities) ; l'absence de cloisonnement multi-tenant reste vraie mais reclassée décision d'architecture assumée (mono-tenant par instance jusqu'en 2028), pas un bug

aiame-services certif. e2e absente

SVCMGR — console d'activation de services et paliers de licence, WebSocket temps réel. Dépôt renommé services-manager → aiame-services le 17/09 ; cette carte portait encore l'ancien nom depuis, corrigé le 24/09.

  • svcmgr.services.aiame.fr live ; auth migrée le 21/08 vers la vérification de jetons aiame-auth (ADR-AA-001)
  • CI GitHub désactivée depuis le 27/08 (facturation, non réactivée) : 16 tests backend réels (montés de 12) toujours jamais rejoués par CI, seulement en local ; frontend sans aucun test

aiame-rag-core certif. e2e absente

Moteur RAG canonique AIAME (étapes de pipeline, scoreurs de retrieval, registre de garde-fous de sécurité, mode recherche opt-in) — pas un service en lui-même, vendoré avec somme de contrôle dans aiame-rag/aiame-sov/aiame-one, remplace aiame-sov-kernel.

  • Trouvé absent de cette page le 24/09 (créé le 13/09) — c'est le schéma « texte canonique dont d'autres dépôts dépendent, corrigé par nouvelle version, jamais en place » appliqué au code : vendoring vérifié en direct (sha256sum -c app/vendored/aiame_rag_core/CANONICAL.sha256 passe dans les trois dépôts consommateurs), et réellement importé/exécuté — aiame-sov/backend/app/services/{rag_service,learning_service,eip_service}.py importent directement ses modules — pas du code mort, dans un dépôt lui-même prod vérifié (sov.services.aiame.fr)
  • 98 tests locaux passent (24/09) — mais le README du dépôt (13/09, jamais mis à jour depuis) affirme encore « pas encore fonctionnel — scaffold initial », alors que deux fonctionnalités (mode recherche, vérification de claims) ont été mergées après cette date

aiame-voice certif. e2e absente

Routage voix → action UI (embeddings, registre d'actions fermé, zéro LLM) — service transversal AIAME, premier consommateur prévu : Elzéard cockpit.

  • Trouvé absent de cette page le 24/09 (créé le 17/09) — sa sonde de santé répondait 200 {"status":"ok"} le 24/09, sur le réseau privé de l'organisation (non joignable depuis internet) depuis le 17/09 (PR#2), 18 tests locaux passent
  • Vivant ne veut pas dire utilisé : aucun produit n'a encore synchronisé de registre d'actions — /route renvoie 404 pour tout product_id testé, l'intégration côté Elzéard n'a pas démarré

Pré-prod — 17 dépôts

aiame-core certif. e2e absente

Rust — mathématiques d'asymétrie (Kabsch, Laplacian, spectral), destiné au WASM pour un frontend.

  • 22/22 tests réels rejoués en local le 09-08, identique — CI GitHub désactivée depuis le 27/08 (facturation, non réactivée), dernier run réel le 08-19 ; le hook pre-push local qui a pris le relais ne couvre pas cargo test, seulement la doctrine garde-fous
  • La CI ne construit jamais la cible WASM réelle (seulement le natif) ; du code mort existe dans l'arbre (src/analysis/, jamais câblé)

aiame-graine certif. e2e absente

POC « Aiame Graine » — moteur coreless + carte « On vous doit » scorée par TinyML (dérive de paiement), inférence Rust→WASM identique navigateur/serveur.

  • 38/38 tests rejoués en direct, dont un kill-test mutation-testé (gain AUC TinyML vs règle naïve 19,7 points, seuil de mort à 10) ; cargo test 5/5 (parité numérique Python↔Rust < 1e-4)
  • Un des rares dépôts non touchés par le blocage Actions : CI déclenchée sur push/PR (pas dispatch-only), 3 checks verts sur HEAD dont un job dédié qui compile réellement la cible wasm32 (84 Ko, < 2 Mo)
  • Aucune surface de déploiement (le README liste lui-même 13 lignes ABSENT : frontend, persistance, LLM) — d'où pré-prod, pas prod

aiame-knowledge certif. e2e absente

Extraction et synthèse documentaire de l'org aiame-fr.

  • CI passée aujourd'hui même en workflow_dispatch seul (PR#9) suite au blocage de facturation Actions — plus de déclenchement automatique push/PR ; le README affirme encore le contraire
  • Suite pytest réelle existe et passait avant le changement de déclencheur

aiame-ledger certif. e2e absente

CLI manuel qui construit le grand livre coût/revenu des 5 services E3 avec traçabilité obligatoire (« Loi de la Preuve »).

  • Corrigé le 09-08 : ce n'est pas « rien depuis le 22/08 » — deux nouveaux runs workflow_dispatch ont bien été relancés le 06-09, mais tous deux restent bloqués en queued plus de 2 jours plus tard, jamais assignés à un runner. Un problème distinct de la facturation Actions org-wide (voir « État de la CI »), jamais résolu ni relancé depuis

aiame-mcp certif. e2e absente

Serveur MCP stdio-only exposant 6 services AIAME (auth, RAG, embeddings/blob, knowledge, angel, one) comme 9 outils — un sous-processus, pas un service réseau hébergé.

  • 91 tests réels rejoués en direct le 09-08 (montés de 89), ruff propre — pas d'URL possible par conception (stdio), donc pas de preuve « live » applicable
  • CI GitHub désactivée depuis le 27/08 (facturation, non réactivée) : les 4 derniers commits, dont celui qui a fait grandir la suite à 91, n'ont jamais tourné sur GitHub — seulement rejoués en local

aiame-miroir certif. e2e absente

Instrument B2H : visage + main dans un référentiel géométrique unique, 100 % local (WASM navigateur).

  • miroir.dev.aiame.fr live, vérifié en direct — quatre jobs CI distincts (cargo-test 72 tests, frontend, egress zéro-fuite)
  • Régression trouvée le 24-09 : Actions était réactivé et vert depuis le 02-09 (PR#16, 4 jobs sur runners réels, dernier run vert le 22-09) — mais affiche enabled: false aujourd'hui, désactivé de nouveau entre le 22 et le 24/09 sans commit ni PR visible pour l'expliquer. Voir « État de la CI » : ce n'était donc pas une réactivation tenue dans la durée

aiame-one certif. e2e absente

Ingestion multi-format/voix → RAG → brouillon ERP (spike opérateur unique).

  • 74 tests backend rejoués en direct le 09-08 (montés de 70 le 08-26 ; README toujours à 66/66, écart désormais de 8) — CI GitHub désactivée depuis le 27/08 (facturation, non réactivée), les 2 dernières PR mergées (dont celle qui porte ce HEAD) n'ont eu aucun check GitHub
  • Le frontend (TypeScript, vitest) n'est jamais exercé par la CI, seul le backend l'est — gap reconnu dans le commentaire du ci.yml lui-même

aiame-optaplanner certif. e2e absente

Moteur de résolution transversal AIAME — CP-SAT (roster) et VRPTW heuristique (tournée) ; bibliothèque pure sans domaine métier ni API, consommée en-process par aiame-angel depuis leur scission du 27/08.

  • git ls-files backend/app vide (vérifié 09-08) : plus aucune route API ni domaine métier versionné ici — seul backend/aiame_optaplanner/{rostering,routing} subsiste, le README le dit explicitement
  • 30/30 tests verts + ruff propre, rejoués en direct le 09-08 ; conception honnête par construction : un résultat OPTIMAL/FEASIBLE malhonnête est ValueError à la construction, pas juste une convention. Seule CI = doctrine garde-fous (désactivée depuis le 27/08, non réactivée) ; seul consommateur trouvé org-wide = aiame-angel (import de chemin local, pas de déploiement propre)

aiame-pouls certif. e2e absente

POC « Le Pouls » — cartes C1 « On vous doit » / C3 « Ça arrive », registre de provenance.

  • Suite rejouée en direct : verte, 80 tests — corrigé le 09-08 : le README citait encore 65/65 il y a deux jours, mais PR#10 (06-09) a resynchronisé les 3 mentions à 80/80, plus d'écart aujourd'hui. Note pour la suite : le clone local utilisé pour cet audit était lui-même 2 commits en retard (git fetch seul ne suffit pas), corrigé avant de vérifier

aiame-price certif. e2e absente

Veille de prix tiers (backend + dashboard), scope BTP/construction via un adaptateur Würth.

  • price.dev.aiame.fr répond 200 aujourd'hui (/api/v1/health ok) — explicitement un hôte de préproduction, pas prod, par la propre convention DNS de l'org
  • Bascule vers workflow_dispatch le jour même (commit du 26/08), même cause que aiame-knowledge — arbre de code identique à un run vert antérieur, vérifié par hash

aiame-rag certif. e2e absente

RAG arXiv full-stack (Qdrant, Celery/Redis, agent LangGraph) — travail actif sur l'auto-calibration.

  • Un vrai conteneur Qdrant de test (pas un mock) et un vrai job pytest, rejoué en direct le 09-08 : 14/14 verts — CI GitHub désactivée depuis le 27/08 (facturation, non réactivée), 27 commits mergés depuis sans aucun check GitHub, seulement local
  • Aucune route live trouvée (rag.aiame.fr/rag.services.aiame.fr/rag.dev.aiame.fr : NXDOMAIN les trois, vérifié 09-08) ; repos.json le décrit comme « fonctionnelle » sans réserve — l'infra elle-même documente cette route comme « pas encore câblée »

aiame-red certif. e2e absente

Moteur d'audit de dérive IA déterministe, vendu comme offre (aiame.fr) et auto-appliqué en CI contre 5 autres dépôts.

  • 28/28 tests rejoués en direct le 09-08, moteur relancé contre specs/BASELINE.json : zéro dérive — la logique de red-selfaudit.yml (--baseline) tient, mais ce workflow n'a en fait pas tourné sur GitHub depuis le 22/08 (CI désactivée depuis le 27/08, facturation, non réactivée) : 9 commits/PR mergés depuis sans aucun check, malgré le pitch « auto-appliqué en CI » du dépôt
  • Pas de surface de déploiement propre (CLI/librairie) — pas de vérification HTTP directe possible

aiame-scheduler certif. e2e absente

Micro-librairie vendorée (un seul fichier) fournissant un wrapper APScheduler câblé au lifespan FastAPI — corrige une classe de bug (scheduler mort silencieusement).

  • CI réellement verte à la création (24/08, 3 runs), mais désactivée depuis le 27/08 (facturation, non réactivée) : 2 PR mergées depuis (27/08, 29/08) n'ont eu aucun check GitHub, seulement le hook local. Aucune surface de déploiement par conception (librairie vendorée, jamais servie)
  • Le bug qu'il corrige n'est pas encore rétrofité dans aiame-agri-gers, le dépôt qui l'a motivé

aiame-sov-kernel certif. e2e absente

Noyau Python vendoré (2 fichiers, checksum) — notation de provenance déterministe + mitigations FD-01, vendoré dans aiame-sov et aiame-one.

  • Le noyau lui-même (safety.py/critique_service.py) est identique à PR#2, vert avant le blocage — mais 4 PR de plus ont mergé depuis (garde-fous, hooks), donc l'arbre entier n'est plus un diff vide comme cette page l'affirmait
  • Actions reste désactivée au niveau du dépôt, aucun run retenté depuis le 26-08 — et la comparaison à aiame-miroir qu'affirmait cette carte n'a plus de sens : miroir est lui aussi redésactivé depuis le 24-09 (voir sa carte et « État de la CI »), il n'existe donc plus de « correctif d'un clic déjà appliqué ailleurs » à pointer comme exemple

aiame-store certif. e2e absente

Trois mécanismes de stockage vendorables (blob S3/Garage, provisioning Postgres) plus un microservice réel, embedding-compute.

  • 13 tests rejoués en direct le 09-08, tous verts — CI GitHub désactivée depuis le 27/08 (facturation, non réactivée), 3 PR mergées depuis sans aucun check GitHub, seulement un hook local lui-même « NON ACTIF sur un clone/worktree frais » par son propre commentaire
  • Aucune route live trouvée pour embedding-compute à ce jour malgré son statut de service déployable

aiame-racines certif. e2e absente

Spike technique de provenance — lookup SIRET/SIRENE + géocodage BAN + distance, avant toute décision produit (issu d'une étude de prospection régionale), étend le moteur aiame-pouls.

  • Trouvé absent de cette page le 24/09 (créé le 10/09) — 45/45 tests réels rejoués en local aujourd'hui, identique au chiffre annoncé par le README ; pas de CI GitHub (désactivée org-wide), enforcement par hook pre-push local non actif par défaut
  • Spike assumé, pré-décision par construction : le README dit lui-même « déploiement, exposition publique : ABSENT » — nom, secteur, département restent des questions ouvertes, ce n'est pas un produit

aiame-guard certif. e2e absente

Vérifie qu'aiame-red reste cohérent (dérive TRACEABILITY.yml vs rules.py, tests, invariant de rédaction) — triade doctrine → red → guard.

  • Trouvé absent de cette page le 24/09 (créé le 18/09) — 29 tests locaux passent (2 sautés, nécessitant AIAME_RED_RACINE), réellement déployé via un rôle Ansible dédié (aiame-infra/ansible/roles/guard-watch, timer systemd hebdomadaire), cohérent avec un cycle échec/alerte/récupération réel daté du 19/09
  • CLI/cron sans aucune surface HTTP — aucune « requête HTTP réelle » n'est possible par construction (même situation qu'aiame-mcp, stdio-only), donc pas prod malgré une preuve de déploiement inhabituellement solide pour ce type de dépôt ; le chiffrement au repos du secret SMTP déployé n'existe pas encore (« named, not built » par le README lui-même)

Dev — 9 dépôts

aiame-agri-gers certif. e2e absente

POC de coordination pour travailleurs saisonniers agricoles du Gers (logement, mobilité, offres) — intérêt public, pas une marketplace.

  • Suite pytest (23 tests) et build frontend fonctionnent réellement en local — rejoué cette session — mais la CI ne les appelle jamais, seulement la doctrine garde-fous
  • Aucune preuve de déploiement (aucune route infra, DNS ne résout nulle part)

aiame-compliance certif. e2e absente

Substrat transversal de journalisation/signal de risque EU AI Act (art. 12/13/50) pour aiame-rag/aiame-sov/aiame-one — vendoré (checksum-pinné) dans aiame-rag depuis le 01-09.

  • 14/14 tests rejoués en direct, ruff propre — aucun workflow CI dans ce dépôt (seul Dependabot existe), la suite n'est jamais appelée automatiquement
  • Vendoring vérifié octet pour octet (sha256) dans aiame-rag, importé à 3 points d'entrée réels du pipeline (pas du code mort) — mais aiame-rag lui-même n'a aucune route live (NXDOMAIN sur les 3 domaines plausibles), et son propre README dit encore « n'est câblé dans aucun consommateur », resté périmé depuis le vendoring du jour même

aiame-creator certif. e2e absente

Pièce d'antériorité — document statique.

  • Document statique — rien à construire ni déployer, par conception

aiame-dream certif. e2e absente

CLI déterministe (zéro LLM) qui exploite les documents gouvernés de l'écosystème AIAME (ADR, VISION.md) avec provenance obligatoire fichier:ligne sur chaque fait.

  • Suite e2e réelle (9 tests) rejouée en local, verte — CI GitHub désactivée depuis le 27/08 (facturation, non réactivée), pas seulement « jamais câblée pour ces tests »
  • CLI-only par conception (README) — aucune surface de déploiement voulue à ce stade

aiame-ivx certif. e2e absente

Espace de recherche privé, docs uniquement : étudie une archive système « IVX » héritée et produit des synthèses qui alimentent des ADR ailleurs.

  • Aucun code applicatif — CI = doctrine uniquement quand elle tourne, mais désactivée depuis le 27/08 (facturation, non réactivée) : la doctrine elle-même n'est plus vérifiée sur GitHub, seulement en local. Aucune preuve de déploiement recherchée par conception

aiame-memory certif. e2e absente

Mémoire persistante de session Claude Code — synthèses de contexte, pas de secrets réels.

  • Dépôt de notes, désormais 183 fichiers .md (montés de ~120), pas de code à construire ni déployer
  • Corrigé le 09-08 : sa propre copie du script garde-fous a dérivé (hash différent du canonique aiame-doctrine, ancienne regex GF-5) — et surtout, ce dépôt n'est même pas déclaré dans verifier-copies.sh, l'outil de détection de dérive de l'org : sa dérive est invisible à son propre tooling, exactement le mode de défaillance que cet outil dit vouloir attraper

aiame-motion certif. e2e absente

Deux choses sans rapport sous le même nom : un concept produit jamais construit (référent perceptif partagé) et le seul code réel présent, un crawler EU-APOD.

  • Écart doc/réalité majeur : le README décrit un produit d'analyse biométrique, le code réel est un scraper d'images sans rapport — ni l'un ni l'autre n'a de test ni de preuve de déploiement

aiame-prd certif. e2e absente

Corpus de spécifications produit (PRD Aiame v1.3, PRD Elzéard v2 porté pour antériorité IP, PRD Le Pouls, MISSION 2027) — pas un dépôt de code.

  • Aucun code applicatif, rien à déployer — classé dev au sens « pas de service », pas au sens « en cours de construction »

aiame-wrapped certif. e2e absente

« Aiame Wrapped » — rétrospective visuelle des projets (maquette matplotlib).

  • Auto-déclaré « maquette, pas outil » dans son propre README
  • Poids qualitatifs codés en dur, rien de calculé

Trous d'inventaire — résolus le 2026-08-26, rouvert le 2026-09-08, rouvert de nouveau le 2026-09-24

11 dépôts sur 30 existaient dans repos.json sans jamais avoir figuré sur cette page : aiame-agri-gers, aiame-auth, aiame-dream, aiame-ivx, aiame-ledger, aiame-mcp, aiame-optaplanner, aiame-price, aiame-scheduler, aiame-sov-kernel, aiame-store. Deux d'entre eux (aiame-auth, aiame-optaplanner/Angel) sont des services publics déjà en production depuis plusieurs jours — l'omission n'était pas neutre, elle laissait deux dépôts prod entiers hors de l'audit. Les 19 autres classifications de l'audit précédent (2026-08-13/17) ont été relues intégralement plutôt que reportées telles quelles ; 7 ont changé de palier au vu de preuves nouvelles (détail dans chaque carte ci-dessus), pas 5 comme cette page l'affirmait un temps — deux changements (aiame-one, aiame-prd) avaient été appliqués aux cartes sans être comptés dans cette phrase, trouvé en relisant cette page après coup, corrigé ici plutôt que laissé : aiame-sov et services-manager (dev → prod), aiame-fin (pré-prod → prod), aiame-core, aiame-rag et aiame-one (dev → pré-prod), aiame-prd (pré-prod → dev). aiame-miroir, qui n'avait qu'une section provisoire « après l'audit » le temps de sa preuve de déploiement, est désormais une carte pré-prod normale.

Rouvert le 2026-09-08 : la même classe de trou s'est reproduite en 13 jours. L'org compte 36 dépôts, pas 30 — 3 méritaient vraiment une carte (aiame-angel, aiame-compliance, aiame-graine, tous audités ci-dessus), portant le total à 33. Deux autres noms trouvés (aiame-tf, changedetection.io) se sont révélés être de fausses pistes déjà réglées ailleurs — aiame-tf est archivé, son contenu fusionné dans aiame-infra/terraform/dns/ ; changedetection.io est un fork public d'un outil tiers, jamais déployé par AIAME — les deux sont bien déclarés dans excluded[] de repos.json sur main, seule la copie de travail utilisée pour cette revue en était temporairement dépourvue. repos.json lui-même n'a donc pas besoin de correction.

Rouvert le 2026-09-24 : même classe de trou, troisième fois en un mois. L'org compte 40 dépôts, pas 36 — 4 nouveaux dépôts créés depuis le dernier passage (aiame-racines, aiame-rag-core, aiame-voice, aiame-guard, tous créés entre le 10 et le 18/09) méritaient vraiment une carte, tous audités ci-dessus, portant le total à 37.

Un cinquième nom trouvé, aiame-workspace (créé le 07/08 — pas nouveau, simplement jamais audité), s'est révélé être une fausse piste du même genre qu'aiame-tf/changedetection.io : son propre README le dit explicitement, outillage racine versionné, aucun code produit. Exclu de cette page pour cette raison, pas un oubli distinct. aiame-tf et changedetection.io eux-mêmes restent correctement exclus, rien à corriger de ce côté.

Effet de bord trouvé pendant cette revue, sans rapport avec l'inventaire lui-même : la réactivation CI d'aiame-miroir documentée le 09-08 a régressé depuis — voir « État de la CI » et sa carte.

C'est exactement le type de dérive que ./bootstrap.sh --check existe pour détecter — ce portfolio ne remplace pas cette vérification, il en donne un aperçu daté du 2026-09-24. Troisième réouverture en un mois (08-26, 09-08, 09-24) : ce portfolio est lui-même exactement l'exemple qu'il dénonce en tête de page — un instantané qui se périme, jamais un mécanisme continu.