Add TrustMap Agent, AI Asset Graph, and Runtime

[mawoole]

Ce qui change

• ajoute TrustMap Agent avec enrôlement, jetons révocables et collecte locale continue
• ajoute l’AI Asset Graph organisationnel avec nœuds, relations, risques et synchronisation D1
• ajoute TrustMap Runtime : politiques allow/review/deny/observe, point de décision et journal
• ajoute les écrans Agent/Graph et Runtime avec RBAC Admin, Auditor et Reader
• ajoute la migration D1, la documentation et le CLI npm run agent
• initialise Better Auth à la demande pour laisser l’hébergeur attacher D1 avant la première requête

Pourquoi

MCP TrustMap peut désormais passer d’un audit ponctuel à un inventaire continu et à un contrôle avant exécution des outils MCP, tout en séparant les données par organisation.

Sécurité et impact

• les jetons Agent sont affichés une fois et stockés uniquement sous forme hachée
• les graphes excluent les secrets, extraits de configuration et chemins sensibles
• les mutations navigateur sont protégées par rôle et contrôle d’origine
• Runtime journalise uniquement les métadonnées de décision, jamais les arguments ou résultats d’outil
• une décision deny renvoie HTTP 403 pour permettre à un proxy ou sidecar d’échouer fermé

Validation

• npm test : 101 tests unitaires et 4 tests d’intégration
• npm run lint
• migration D1 locale
• wrangler deploy --dry-run
• déploiement privé Sites réussi