Confiance, propriété et licences

Faire confiance à un outil qui modifie votre projet se ramène à quelques questions dont on peut vérifier les réponses. À qui est ce travail, et sous quelle licence ? Quels fichiers l’outil considère-t-il comme siens, et comment les distingue-t-il des vôtres ? Que garde-t-il quand vous le mettez à jour ou le retirez ? Qu’est-ce qui est volontairement restreint ? Cette page répond à chacune, avec le fichier ou la commande qui permet de vérifier.

Qui a écrit quoi#

BMAD+ est créé par Laurent Rochetta. C’est un projet communautaire indépendant dérivé de BMAD-METHOD (MIT) de BMad Code, LLC ; il n’est ni affilié, ni approuvé, ni certifié par BMad Code, LLC, et BMad, BMad Method et BMad Core sont des marques de BMad Code, LLC. La base déclarée est BMAD-METHOD v6.6.0. Les inspirations et les éléments adaptés sont crédités là où ils servent, et le tableau sépare ce que l’auteur du projet a écrit de ce qui vient d’ailleurs.

Le texte complet des licences et les notes d’examen sont dans THIRD-PARTY-LICENSES.md, livré dans le paquet npm et dans le dépôt à l’adresse github.com/lrochetta/BMAD-PLUS ↗, à côté de LICENSE (MIT, copyright 2026 Laurent Rochetta). Les notices décrivent le matériel source embarqué ou adapté ; elles ne prétendent pas que chaque fichier livré correspond à l’octet près à une révision amont.

Quels fichiers BMAD+ possède, et comment il le sait#

Chaque fichier que l’installateur écrit est enregistré avec son hash SHA-256 dans le manifeste _bmad/.bmad-plus-install.json (un fileInventory). Un fichier appartient à BMAD+ tant que ses octets correspondent encore au hash enregistré ; une fois que vous le modifiez, il est à vous. Les adaptateurs sont suivis séparément par un hash de leur contenu aux fins de ligne normalisées. Cet inventaire de propriété pilote trois comportements : doctor signale les écarts, la mise à jour préserve les fichiers modifiés, et la désinstallation ne retire que ce qui est encore identique à l’octet près.

$ npx bmad-plus doctor --json
{
  "schemaVersion": 1,
  "status": "ok",
  "versions": { "installed": "0.23.0", "cli": "0.23.0", "published": null },
  "inventory": { "status": "complete", "trackedFiles": 39 },
# Extrait, remis en forme sur moins de lignes. `published` vaut toujours null : doctor n’interroge jamais npm.

Ce qui est préservé, et quand#

Ce que la désinstallation retire et ce qu’elle garde#

La désinstallation ne retire que les fichiers dont BMAD+ est propriétaire : ceux identiques à l’octet près à ce qu’il a livré, les adaptateurs dont le hash correspond et qui portent la marque d’installation, les compétences copiées depuis un paquet externe comme design-skill, et le manifeste. Elle retire les dossiers vides qu’il possédait et ne supprime jamais récursivement. Elle garde _bmad/config.yaml, la mémoire du projet, _bmad-output/, les fichiers que vous avez modifiés et ceux qu’elle ne connaît pas. Elle refuse les chemins liés, et sans terminal elle exige --yes. Sur un manifeste invalide, elle sort avec 1. La recette de la 0.23.0 incluait cette vérification : une note témoin posée dans .agents/memory/ a survécu, et les compétences de design copiées avaient disparu.

$ New-Item -ItemType Directory -Path .\demo-app\.agents\memory -Force
$ Set-Content -LiteralPath .\demo-app\.agents\memory\context.md -Value 'BMAD+ 0.23.0 memory witness' -Encoding utf8
$ npx bmad-plus uninstall --yes --directory .\demo-app
T   BMAD+ Uninstaller
•  BMAD+ v0.23.0 (installé le 2026-10-18)
•  Packs sélectionnés: core, design
o  ✅ BMAD+ supprimé (106 éléments)
—  La mémoire, les réglages et les fichiers inconnus ou modifiés ont été conservés.
$ Get-Content -LiteralPath .\demo-app\.agents\memory\context.md
BMAD+ 0.23.0 memory witness
$ Test-Path .\demo-app\.agents\skills\design\SKILL.md
False

Ce qui est encadré ou restreint volontairement#

Le pack OSINT : garder et encadrer#

Rechercher une personne nommée est un traitement de données personnelles, et le profilage ou l’inférence de personnalité est réglementé (articles 4(4), 22 et 9 du RGPD, et lois équivalentes comme le RGPD britannique, la LGPD et le CCPA/CPRA). « Accessible publiquement » ne veut pas dire qu’aucune règle ne s’applique. Le projet a décidé le 2026-07-02 de garder le pack et de l’encadrer plutôt que de le retirer. La porte de la phase moins 1 s’applique à tout chemin direct vers des données personnelles (investigation complète, collecte LinkedIn, Instagram et Facebook, profil de personnalité, enrichissement de contact) : avant chacun, l’agent consigne une base légale (article 6, et une condition de l’article 9(2) pour le profilage de personnalité), une finalité précise (un « trouve tout » ouvert est rejeté), le responsable de traitement, une durée de conservation et la façon dont les demandes d’accès et d’effacement sont honorées, avec le gabarit assets/lawful-basis-record.md. Si vous ne pouvez pas énoncer une base et une finalité, l’agent refuse l’opération sur la personne nommée et propose des alternatives non personnelles : recherche sur une entreprise, un produit ou un marché, ou une entité publique. Une recherche rapide sur un pseudonyme public, la commande de diagnostic et les chemins d’outillage sont exemptés.

Chaque dossier s’ouvre sur l’avertissement « AI-generated OSINT output - may contain errors; not legal advice. The operator is the data controller and is responsible for the lawful basis (GDPR Art. 6/9), platform Terms of Service, and human verification before any decision. » L’agent ne profile jamais un particulier sans base consignée, note chaque fait de A à D et dépense au plus 0,50 dollar sans demander. Aucune clé de fournisseur n’est obligatoire à elle seule : une clé de n’importe quel fournisseur (APIFY_API_TOKEN, Perplexity, Exa, Tavily, Jina et d’autres) suffit, et le pack n’envoie des requêtes à un fournisseur qu’une fois sa clé définie (voir le traitement des données). L’avis juridique est osint-agent-package/skills/bmad-osint-investigate/osint/references/gdpr-osint.md dans le dépôt.

Autres limites volontaires#

• Shield : chaque rapport est marqué généré par IA et « Not legal advice ». Une affirmation d’assurance étayée signifie qu’un contrôle nommé a réussi, jamais une certification, et une correspondance de contrôles dans une revue est une invitation à regarder.
• Revues et recette : une revue clean signifie aucun constat ouvert dans un périmètre entièrement couvert, pas une preuve que le code est correct ; la porte de recette dit « human-observed: complete, current and triaged » et n’établit pas que le testeur a regardé au bon endroit.
• Essaims : les unités simulées ne sont pas des personnes ; les taux sont une borne haute ; les citations ne sont pas des témoignages ; la génération de médias payants n’est jamais couverte par un budget.
• Pas de runtime de modèle propre (le seul programme qu’elle peut lancer est une commande ou une exécution Codex que déclare un plan Nexus), pas de processus en arrière-plan, pas de télémétrie, pas de mise à jour automatique silencieuse, pas de correction automatique issue d’une revue, pas d’extension d’IDE, pas de publication sur des forges. Ce sont des limites délibérées, pas des manques en attente d’une version.
• Écritures hors du projet : la CLI écrit dans le dossier du projet ; scan écrit des fiches de projet dans le cerveau global, ~/.bmad-plus/brain/, le pack Memory écrit dans le cerveau qu’il a relié, et update --latest lance npm exec dans un dossier temporaire du système. Elle n’écrit jamais sans y être invitée dans l’organisation propre d’un cerveau de portefeuille.

Vérifiez par vous-même#

Lance npx bmad-plus doctor --json et lis _bmad/.bmad-plus-install.json. Dis-moi la version installée, les packs et les outils, combien de fichiers BMAD+ suit, quels fichiers diffèrent de leur hash enregistré et quels fichiers des dossiers BMAD+ il ne possède pas. Dis-moi ensuite ce que npx bmad-plus uninstall --yes retirerait et ce qu’il garderait. Ne change rien.