Aller au contenu principal

G-08 Alertes

Brique G de la plateforme Enterprise AI. Technologie : Alertmanager (routage, inhibition, silences) + alertes FinOps issues de /v1/finops/alerts. Version anglaise : ../../en/bricks/G-08-alerting.md.

Rôle et responsabilités​

  • Router les alertes (consommation de SLO, panne fournisseur, saturation GPU, seuils budgétaires, rupture de chaîne d'audit) vers l'astreinte et les responsables de tenant.

Position et interactions​

  • Chemin d'exécution : événement.
  • Les alertes de sécurité critiques créent des incidents via POST /v1/incidents.

Part open source et part développée​

  • Open source réutilisé : Alertmanager, PrometheusRule.
  • Développé dans la plateforme : Catalogue d'alertes avec liens vers les runbooks, routage par tenant.

Modèle de données​

Tables du Control Plane (schéma eai) : eai.quotas.

Chaque table de tenant a tenant_id uuid NOT NULL et une politique de sécurité au niveau des lignes sur current_setting('app.tenant_id', true)::uuid. ClickHouse usage_events est la réplique analytique de eai.usage_events (ReplacingMergeTree par event_id).

Contrat : contracts/v1/usage-event.schema.json (schema_version 1.0). L'usage est toujours remonté avec contracts/v1/usage-event.schema.json, l'audit avec contracts/v1/audit-event.schema.json.

Endpoints d'API​

MéthodeChemin
GET/v1/finops/alerts
POST/v1/incidents

GET /v1/finops/alerts​

Réponse :

{
  "items": [
    {
      "quota_id": "quo_4",
      "threshold": 0.8,
      "triggered_at": "2026-10-27T08:00:00Z"
    }
  ]
}

POST /v1/incidents​

Requête :

{
  "title": "Prompt injection burst on agt_support",
  "severity": "high",
  "category": "security",
  "description": "Wazuh rule 100210: prompt injection burst on agt_support.",
  "resources": [
    {
      "type": "agent",
      "id": "agt_support"
    }
  ]
}

Réponse :

{
  "id": "inc_8",
  "status": "open"
}

Alertes de brûlage du budget SLO​

EaiSloAvailabilityFastBurn, EaiSloAvailabilitySlowBurn, EaiSloLatencyFastBurn et EaiSloWorkerFastBurn (fichier deploy/observability/slo/eai-slo-rules.yaml, testées par promtool test rules) suivent la méthode multi-fenêtres. Voir docs/operations/slo.md.

Exemples SDK​

Python​

from enterprise_ai import EnterpriseAI

client = EnterpriseAI(base_url="<control-plane-url>", api_key="eai_live_xxx", tenant="acme", locale="fr")
client.finops.alerts()
client.incidents.create(title="Prompt injection burst", severity="high")

TypeScript​

import { EnterpriseAI } from "@enterprise-ai/sdk";

const client = new EnterpriseAI({ baseUrl: "<control-plane-url>", apiKey: process.env.EAI_API_KEY, tenant: "acme", locale: "fr" });
await client.finops.alerts.list();
await client.incidents.create({ title: "Prompt injection burst", severity: "high" });

Java​

EnterpriseAIClient client = EnterpriseAIClient.builder()
    .baseUrl("<control-plane-url>")
    .apiKey(System.getenv("EAI_API_KEY"))
    .tenant("acme")
    .locale(Locale.FRENCH)
    .build();
client.finops().alerts();
client.incidents().create(Map.of("title", "Prompt injection burst", "severity", "high"));

Go​

client, err := eai.NewClient(eai.WithBaseURL("<control-plane-url>"), eai.WithAPIKey(os.Getenv("EAI_API_KEY")), eai.WithTenant("acme"), eai.WithLocale("fr"))
if err != nil { log.Fatal(err) }
ctx := context.Background()
_, err = client.FinOps.Alerts(ctx)
_, err = client.Incidents.Create(ctx, map[string]any{"title": "Prompt injection burst", "severity": "high"})

Configuration​

Variables d'environnement : EAI_SIEM_WEBHOOK_URL, EAI_SIEM_WEBHOOK_TOKEN.

Clés de valeurs Helm (deploy/helm/enterprise-ai/values.yaml) : global.monitoring.alertmanager.

Sécurité​

  • Récepteurs webhook signés (HMAC).
  • Tenant déduit de l'identifiant d'accès, jamais du corps ; sécurité au niveau des lignes PostgreSQL sur chaque table de tenant.
  • Chaque mutation et décision de politique écrit un événement d'audit chaîné par hachage (G-11).
  • Les erreurs utilisent l'enveloppe standard avec message_i18n en et fr.

Observabilité​

  • Échecs de livraison et délai d'acquittement des alertes.
  • traceparent W3C propagé, X-Request-Id renvoyé, les spans portent eai.tenant_id, eai.project, eai.agent_id, eai.run_id.

Unités FinOps​

  • Alertes de budget et de quota à 50 %, 80 % et 100 % de la limite (GET /v1/finops/alerts?kind=budget|quota, sévérité info, warning, critical).

Modes de défaillance et résilience​

  • Cluster Alertmanager de 3, alerte dead man's switch.

Adoption autonome​

Les règles peuvent être livrées dans l'Alertmanager du client.

Tests d'acceptation​

  1. Franchir 80 % d'un quota produit une alerte dans /v1/finops/alerts et une notification.

Feuille de route d'implémentation