La sécurité de l'IA s'intègre désormais dans les puces
La cybersécurité d'entreprise protège traditionnellement les données dans trois états relativement intuitifs. Le chiffrement permet de sécuriser les informations lorsqu'elles sont stockées, les protocoles réseau les protègent lors de leur transfert entre les systèmes, et les contrôles d'accès déterminent qui est autorisé à y accéder. L'intelligence artificielle met en évidence une phase plus délicate, car un processeur doit généralement déchiffrer les informations avant de les traiter, ce qui signifie que les données sensibles et les poids des modèles propriétaires peuvent devenir visibles au sein de l'infrastructure précisément au moment où le système d'IA les utilise.
L'informatique confidentielle comble cette lacune en créant des environnements isolés au niveau matériel, dans lesquels les données restent protégées pendant leur traitement par les logiciels. Au lieu de s'en remettre entièrement à l'opérateur du cloud, au système d'exploitation hôte ou à l'administrateur système, cette architecture utilise des contrôles de sécurité au niveau du processeur pour isoler les charges de travail du reste de la machine.
L'IA générative offre aux entreprises une raison particulièrement forte de se pencher sur cette architecture, car les charges de travail liées à l'IA associent souvent des modèles précieux à des données particulièrement sensibles. Une entreprise peut avoir besoin d'un cluster de GPU externe pour analyser des contrats, des recherches pharmaceutiques, des documents financiers ou des informations techniques confidentielles ; or, la sécurité cloud traditionnelle oblige toujours l'organisation à faire confiance à plusieurs couches d'infrastructure situées en aval de l'application.
L'isolation matérielle restreint cette zone de confiance. Le fournisseur de services cloud peut continuer à fournir de la capacité de calcul tandis que la charge de travail sensible s'exécute au sein d'un environnement protégé que les autres logiciels présents sur l'hôte ne peuvent pas inspecter librement. Les clés de chiffrement peuvent rester inaccessibles jusqu’à ce que le système vérifie que la charge de travail s’exécute dans une configuration approuvée, ce qui permet aux entreprises de dissocier la propriété de l’infrastructure physique de l’accès aux informations traitées.
L'attestation constitue le mécanisme qui rend cette architecture utile, et non pas simplement théorique. Avant de divulguer des informations sensibles, un client peut vérifier de manière cryptographique que l'environnement matériel et logiciel correspond bien à la configuration approuvée par l'organisation. Si l'environnement a changé ou s'il ne peut pas prouver son intégrité, le client peut refuser de fournir les clés nécessaires au déchiffrement de la charge de travail.
Les accélérateurs d'IA intègrent de plus en plus ces capacités, car les exigences de calcul des grands modèles font qu'il est difficile pour de nombreuses organisations de se passer d'une infrastructure externe. Rares sont les entreprises capables de maintenir de manière rentable un parc matériel spécialisé suffisant pour faire face à chaque pic de demande en IA, en particulier lorsque de nouvelles générations d’accélérateurs apparaissent rapidement. L’informatique confidentielle permet aux architectes de sécurité de remettre en question l’hypothèse selon laquelle les charges de travail sensibles doivent toujours rester sur du matériel physiquement contrôlé par l’organisation.
Les banques en sont un exemple évident, car elles peuvent souhaiter utiliser des modèles d'IA sophistiqués tout en conservant un contrôle strict sur les informations relatives à leurs clients et leurs données financières confidentielles. Les laboratoires pharmaceutiques sont confrontés à des préoccupations similaires concernant leurs dossiers de recherche, tandis que les entreprises industrielles peuvent souhaiter que des systèmes d'IA traitent des documents techniques ou des informations de fabrication qu'elles ne divulgueraient jamais intentionnellement à une autre organisation.
Cette architecture a également des implications pour les fournisseurs de modèles. Les modèles propriétaires peuvent eux-mêmes contenir une propriété intellectuelle précieuse, ce qui signifie qu’une entreprise déployant un modèle sur une infrastructure contrôlée par un tiers peut souhaiter protéger les poids avec autant de soin que le client souhaite protéger ses données. Un environnement confidentiel peut donc créer une frontière de confiance partagée dans laquelle aucune des deux parties n’a besoin d’un accès illimité aux actifs les plus sensibles de l’autre.
L'informatique confidentielle ne supprime pas les autres niveaux de sécurité liés à l'IA. Un employé autorisé peut toujours soumettre des informations inappropriées, une application peut comporter des vulnérabilités et un agent autonome disposant de droits excessifs peut toujours mener des actions préjudiciables. L'isolation matérielle résout un problème plus restreint en réduisant le niveau de confiance que les organisations doivent accorder à l'infrastructure sous-jacente à la charge de travail.
Les entreprises doivent également évaluer les performances, la compatibilité et la complexité opérationnelle, car un isolement plus strict peut entraîner une surcharge et limiter les configurations logicielles prises en charge. Les architectes en sécurité doivent donc déterminer quelles charges de travail nécessitent réellement une exécution confidentielle, plutôt que de partir du principe que toutes les tâches d'IA requièrent le même niveau de protection.
Cette technologie s'inscrit particulièrement bien dans une évolution plus large vers une architecture « zero-trust », car ces deux approches remettent en cause le principe selon lequel un composant d'infrastructure devrait bénéficier d'un accès simplement parce qu'il se trouve au sein d'un réseau ou d'une périmètre administratif donné. Au contraire, les systèmes authentifient les identités, vérifient les environnements et limitent les autorisations en fonction de la charge de travail spécifique.
Les équipes chargées des achats pourraient donc commencer à se poser d'autres questions lorsqu'elles évaluent une infrastructure d'IA. Il reste utile de savoir où un modèle est exécuté, mais les entreprises ont de plus en plus besoin de comprendre qui contrôle les clés de chiffrement, si l'environnement d'exécution peut prouver son intégrité et ce que les administrateurs peuvent voir pendant que le modèle traite les données.
À l’origine, le cloud computing exigeait des entreprises qu’elles accordent une confiance considérable au fournisseur chargé d’exploiter l’infrastructure. L’IA confidentielle modifie cette relation en permettant au fournisseur de fournir de la puissance de calcul, tandis que le matériel et la cryptographie limitent ce que ce dernier peut observer, ce qui pourrait permettre aux organisations d’utiliser une infrastructure d’IA externe pour des charges de travail qu’elles considéraient auparavant comme trop sensibles pour être confiées en dehors de leur propre environnement.
