MRDL-C1 livré — Rule Factory : 15 règles YARA-X + 2 Sigma candidates mesurées sur corpus synthétique (RM-140 / RC-140)

Rule Factory MRDL-C1 sur branche mrdl-accel/c1 ([chemin-interne], commits f957e71+41d77c7). Corpus synthétique inerte c1-corpus-v1 : 30 positives (15 familles fictives MRDR-MRK-/MRDR-CNST- définies par C1, split train/test par famille, contrôle chevauchement famille×hash) + 25 negatives (8 fixtures B1 + 10 variantes B2 copiées inchangées, hashes vérifiés, 7 fichiers normaux générés). 15 règles YARA-X candidates + 2 Sigma candidates ; banc mesuré bench/mrdl-eval-rules (yara-x 1.22.0 réel, whl vérifié a9a9a4b2…=RC-134 ; pySigma 2.0.1 LGPL-2.1, parsing réel + mini-moteur maison borné), 2 passages stabilité exacte : 14 règles YARA TP=2/TN=53/FP=0/FN=0 (préc/rappel 1.0, FPR 0), règle PIÈGE fm00 FP=3 FPR=0.0545 (preuve que le banc mesure un vrai FPR, statut candidate permanent), Sigma fm02 TP=8/TN=13, fm15 TP=6/TN=15 (FPR 0). AUCUNE promotion : gate ≥3 passages stables de négatifs + GO opérateur (promotion_exécutée=false, tous statuts candidate). 29 tests pytest verts. Zéro sample malveillant, zéro IOC réel, venv dédié uniquement (aucun system-wide, aucun réseau hors pip des paquets nominatifs). PARTIAL : 2 passages < 3 exigés pour le gate ; pas de corpus réel (EMBER/SOREL BLOQUÉ, GO) ; éval Sigma maison bornée ≠ backend SIEM ; branchement fiches→Atlas A1 non réalisé. Rollback : suppr. branche mrdl-accel/c1 + worktree (tools/venv hors dépôt). Rapports : RM-140 (publié Publish) + RC-140 (coffre-only — garde P3-02 refuse la publication RC, refus consigné index).