MemChain et Blind Vault : ce qu'AeroNyx stocke et ce qu'il ne stocke pas

MemChain est le système de mémoire qui sous-tend l'IA Nyxi. Il est désactivé par défaut ; lorsque vous l'activez, les souvenirs sont chiffrés et stockés d'abord sur votre appareil, et une copie chiffrée fournie au mieux (best-effort) n'est envoyée à un nœud AeroNyx que pendant que vous êtes connecté au réseau de confidentialité. Blind Vault est un magasin d'objets chiffrés distinct, intégré au logiciel de nœud. Il est désactivé par défaut et l'application officielle ne l'utilise pas. AeroNyx ne propose aucun produit de sauvegarde ni de stockage dans le cloud.

En un coup d'œil

Composant	Où il s'exécute	État aujourd'hui	Ce qu'il contient
MemChain sur votre appareil	L'application AeroNyx	Disponible. Désactivé tant que vous n'activez pas la mémoire	Enregistrements de mémoire chiffrés et leurs métadonnées
Copie MemChain sur un nœud	Le nœud utilisé par votre connexion VPN	Au mieux (best-effort). Uniquement lorsque la mémoire est activée, que le VPN est connecté et que ce nœud accepte les enregistrements scellés	Texte chiffré plus les métadonnées listées ci-dessous
Ancien fichier MemChain en ajout seul	Nœud	Ancien format conservé pour la compatibilité	Enregistrements Fact et Block, qui peuvent contenir des champs lisibles par le nœud
Registre d'engagements sur les enregistrements	Nœuds	Gelé depuis le 2026-07-13	Uniquement des engagements signés, jamais de contenu de mémoire. Consultez Registre d'engagements signés
Blind Vault	Logiciel de nœud	Implémenté, désactivé par défaut, non utilisé par l'application	Rien en utilisation de production

MemChain sur votre appareil

La mémoire reste désactivée tant que vous ne l'activez pas dans l'application. Tant qu'elle est désactivée, l'application ne forme aucun souvenir et n'envoie rien à un nœud.

Lorsque la mémoire est activée, l'application conserve chaque tour de conversation terminé avec l'IA Nyxi et peut en extraire de courts faits, comme une préférence ou un rendez-vous à venir.

L'extraction n'est pas confidentielle vis-à-vis d'AeroNyx. Pour extraire des faits, l'application envoie le texte du tour au modèle d'IA via le backend AeroNyx. C'est le même chemin que celui qu'empruntent les conversations avec l'IA Nyxi. Il n'est pas chiffré de bout en bout.
Le stockage sur l'appareil est chiffré. Chaque enregistrement est scellé avec AES-256-GCM. La clé est dérivée de votre clé d'identité P2P et n'est jamais stockée ni envoyée nulle part. La base de données locale contient le texte chiffré plus l'horodatage, la couche, le modèle source, les étiquettes et le libellé de projet de l'enregistrement. Le texte en clair n'existe qu'en mémoire vive, tant que l'application est déverrouillée et l'utilise.
Le rappel est d'abord local. L'application effectue la recherche dans sa propre copie, ce qui fonctionne aussi hors ligne. Elle n'interroge un nœud que tant que sa copie locale est encore en cours de remplissage.
La suppression est d'abord locale. Lorsque vous demandez à l'application d'oublier quelque chose, elle supprime l'enregistrement local. Si vous êtes hors ligne, elle met en file d'attente la suppression côté nœud et l'envoie lors de votre prochaine connexion.

Comme la clé provient de votre clé d'identité, toute personne détenant cette clé peut déchiffrer vos souvenirs. Si la clé est perdue et ne peut pas être restaurée, personne ne peut les déchiffrer, AeroNyx compris.

La copie facultative sur un nœud

L'application ne tente d'envoyer une copie de chaque nouvel enregistrement à un nœud que lorsque toutes les conditions suivantes sont réunies :

La mémoire est activée.
Le VPN (réseau de confidentialité) est connecté.
Le nœud auquel vous êtes connecté accepte les enregistrements scellés. Cette option est désactivée par défaut dans le logiciel de nœud.

La requête transite à l'intérieur du tunnel VPN chiffré jusqu'à l'API MemChain du nœud, à l'adresse du tunnel. Le nœud voit votre adresse virtuelle VPN, et non votre IP publique. Chaque enregistrement est signé avec votre clé d'identité P2P afin que le nœud puisse vérifier à qui il appartient.

Ce que le nœud peut voir et ne peut pas voir :

Élément	Visible par le nœud ?
Contenu de la mémoire (texte de la conversation, texte des faits, horodatages à l'intérieur de l'enregistrement)	Non. Uniquement du texte chiffré AES-256-GCM
Votre clé publique d'identité P2P (propriétaire de l'enregistrement)	Oui
Horodatage de l'enregistrement, couche de mémoire, nom du modèle source	Oui
Étiquettes de sujet (pour les faits extraits : noms en minuscules des personnes ou des choses que concerne le fait)	Oui
Libellé de projet d'un fait extrait	Oui, lorsque le fait en possède un
Jetons de recherche	Jetons HMAC à clé. Le nœud ne peut pas les inverser, mais il peut voir quand un même jeton réapparaît
Vecteurs d'embedding	Non. Les vecteurs restent sur l'appareil

Cette copie est fournie au mieux (best-effort). Si l'envoi échoue, l'application ignore l'erreur, et la copie sur votre appareil reste la copie de référence. Le nœud ne réplique pas vos enregistrements vers d'autres nœuds. La copie n'est pas une sauvegarde, et AeroNyx ne s'engage nullement à la conserver. Pour les engagements relatifs au traitement des données, consultez le Centre de confiance.

Le magasin MemChain côté nœud

Un nœud conserve les données MemChain à deux endroits :

Les enregistrements scellés sont placés dans la base de données SQLite du nœud (memchain.db), ouverte en mode WAL avec synchronous = NORMAL. Le nœud stocke le texte chiffré et les métadonnées ci-dessus. Il ne peut pas déchiffrer le contenu.
L'ancien fichier en ajout seul (.memchain) contient d'anciens enregistrements Fact et Block dans un format préfixé par la longueur. Chaque enregistrement est limité à 10 Mio. Les champs Fact de ce fichier peuvent être lisibles par le nœud : il ne doit donc pas être décrit comme un historique de texte chiffré.

Les opérateurs peuvent vérifier l'ancien fichier sans en afficher le moindre contenu :

bash

sudo aeronyx-server memchain verify-aof --config /etc/aeronyx/server.toml

La commande ne signale que des décomptes agrégés et se termine avec une erreur si elle détecte une fin de fichier incomplète. Elle ne lit ni la base de données des enregistrements scellés ni le registre d'engagements.

Blind Vault

Blind Vault est un composant de nœud destiné à stocker des objets chiffrés côté client sous des baux anonymes et auto-authentifiants. Un client obtient un bail en échangeant un justificatif à usage unique, et le nœud ne stocke que du texte chiffré dans sa propre base de données SQLite. Il ne partage jamais cette base de données avec MemChain ni avec la messagerie.

État actuel :

Il est désactivé par défaut ([blind_vault] enabled = false et public_api_enabled = false).
L'application officielle ne l'utilise pas, et le backend AeroNyx n'émet pas de justificatifs Blind Vault.
Ce n'est pas un service de sauvegarde ni de stockage. Ne vous y fiez pour aucune de vos données.

Les justificatifs d'admission sont décrits dans Bons à signature aveugle et justificatifs d'accès anonymes.

Reprise après incident

Magasin	Après un plantage ou un redémarrage du processus	Après une coupure de courant soudaine	En cas de corruption
Base de données des enregistrements scellés du nœud (SQLite WAL, `NORMAL`)	Les écritures validées sont conservées	Les validations les plus récentes peuvent être perdues	Les règles d'intégrité de SQLite s'appliquent
Ancien fichier en ajout seul	Un dernier enregistrement incomplet est tronqué à la réouverture du fichier, et la réparation est synchronisée sur le disque	Les ajouts récents peuvent être perdus, car les écritures sont vidées (flush) mais pas synchronisées par fsync	Un enregistrement complet qui échoue à la validation bloque le démarrage. Le fichier est conservé pour analyse, et non tronqué
Blind Vault (SQLite WAL, `NORMAL`)	Les objets et les baux validés sont conservés. Réessayer la même écriture est idempotent	Les validations les plus récentes peuvent être perdues	Les règles d'intégrité de SQLite s'appliquent

La reprise ne restaure que ce qui se trouve sur le disque. Elle ne peut pas recréer une clé d'identité ou une clé de contenu perdue, et elle ne peut pas récupérer une copie de nœud qui n'a jamais été envoyée.

Ce que cette page n'affirme pas

AeroNyx ne propose ni sauvegarde chiffrée ni stockage dans le cloud.
L'extraction de la mémoire n'est pas chiffrée de bout en bout vis-à-vis d'AeroNyx.
La copie sur le nœud n'est pas répliquée et sa conservation n'est pas garantie.
Ni MemChain ni Blind Vault n'est une blockchain ni ne fournit de consensus global.

Questions fréquentes

AeroNyx stocke-t-il mes souvenirs Nyxi sur ses serveurs ?

Le magasin de mémoire chiffré se trouve sur votre appareil. Un nœud ne reçoit une copie chiffrée que lorsque la mémoire est activée, que le VPN est connecté et que ce nœud accepte les enregistrements scellés. Par ailleurs, le texte d'un tour transite par le backend AeroNyx lorsque des faits en sont extraits, de la même manière que les conversations avec l'IA Nyxi.

Un opérateur de nœud peut-il lire mes souvenirs ?

Non. L'opérateur ne peut pas lire le contenu de la mémoire, car le nœud ne stocke que du texte chiffré AES-256-GCM et ne reçoit jamais la clé. L'opérateur peut voir certaines métadonnées : votre clé publique d'identité P2P, les horodatages, la couche de mémoire, le modèle source, les étiquettes de sujet, les libellés de projet et les jetons de recherche à clé.

La connexion au VPN envoie-t-elle mes souvenirs ?

Uniquement si la mémoire est activée. Lorsque la mémoire est désactivée, rien n'est formé ni envoyé. Lorsque la mémoire est activée, les nouveaux enregistrements sont copiés au mieux (best-effort) vers le nœud connecté, et uniquement si ce nœud accepte les enregistrements scellés.

Blind Vault est-il une sauvegarde de mes messages ou de mes souvenirs ?

Non. Blind Vault est désactivé par défaut dans le logiciel de nœud, l'application officielle ne l'utilise pas, et AeroNyx ne propose aucun produit de sauvegarde ni de stockage.

Que se passe-t-il si je perds ma clé d'identité ?

Plus personne ne peut déchiffrer vos souvenirs. La clé de mémoire est dérivée de votre clé d'identité P2P. Si vous ne pouvez pas restaurer cette clé, ni la copie sur l'appareil ni une copie sur un nœud ne peuvent être ouvertes.

MemChain et Blind Vault : ce qu'ils stockent et ce qu'ils ne stockent pas