Sécuriser les évaluations approfondies des modèles d'IA de frontière

8 mai
4 min de lecture

Une infrastructure de calcul confidentiel pour des audits d'IA fiables : donner aux régulateurs une visibilité sur les modèles de frontière sans exposer les actifs qui les sous-tendent.

Auteur: Alejandro Tlaie Boria

Résumé

Pour Demain publie un nouveau brief technique proposant une infrastructure de calcul confidentiel (confidential computing) qui permettrait à des évaluateurs indépendants de réaliser des audits de sécurité approfondis sur les modèles d'IA de frontière, sans contraindre les fournisseurs à exposer les poids du modèle, les détails d'architecture ou les artefacts d'entraînement qu'ils protègent en tant que secrets d'affaires. Ce brief est accompagné d'un pré-pilote déjà en cours, d'un consortium conditionnel de partenaires couvrant chaque rôle requis par le pilote, ainsi que d'un modèle de coûts Monte Carlo couvrant trois topologies de déploiement.

Le problème : l'évaluation en boîte noire est structurellement insuffisante

Les régulateurs sont de plus en plus tenus de vérifier des affirmations de sécurité que les tests en boîte noire ne peuvent pas atteindre. Qu'un modèle recèle des capacités dangereuses supprimées. Que le comportement de refus reflète une véritable suppression d'un mécanisme dangereux — ou simplement un masquage superficiel d'un mécanisme interne resté intact. Qu'une porte dérobée introduite à l'entraînement soit enfouie quelque part dans les poids, en attente d'un déclencheur rare.

Pour ces catégories d'affirmations, les évaluateurs ont besoin d'un accès analytique aux signaux internes du modèle (gradients, activations, motifs d'attention) — et pas seulement à ses sorties. Mais accorder cet accès a historiquement signifié exposer des actifs valant des milliards, ce que les fournisseurs refusent à juste titre. Le résultat est une impasse : les évaluations plus approfondies soit n'ont pas lieu, soit sont menées en interne par le fournisseur lui-même — celui-là même qui fait l'objet de l'évaluation.

La proposition : une infrastructure de facto en boîte de verre

Le brief propose une infrastructure d'évaluation sécurisée construite sur trois couches intégrées :

Un substrat de calcul confidentiel. Une attestation ancrée dans le matériel sur des GPU de classe H200, avec un confinement à nœud unique pour maintenir une base de calcul de confiance (Trusted Computing Base) réduite. Cette couche a atteint la disponibilité générale en 2025 et est déjà déployée en production pour des charges de travail sensibles.
Une Interface d'Instrumentation d'Évaluation (EII). Un ensemble standardisé de points d'accès typés (callback endpoints) couvrant les activations, les gradients, les statistiques d'attention, les interventions contrôlées et les métadonnées d'architecture, que le fournisseur implémente contre son propre modèle. Les auditeurs invoquent ces points d'accès sans jamais voir le code d'inférence du fournisseur.
Un pipeline d'évidence réglementé. Des budgets d'exportation quantitatifs et des canaux d'évidence hiérarchisés traitent le rapport d'audit lui-même comme faisant partie de la surface d'attaque. L'évidence est rendue côté serveur à partir d'agrégats bornés, accumulée dans un registre longitudinal et liée cryptographiquement à l'identité mesurée de la plateforme.

L'infrastructure prend en charge trois topologies de déploiement : exploitation souveraine, hybride (gouvernance souveraine sur une infrastructure hyperscaler de confiance du fournisseur) et enclaves hébergées par le fournisseur sous supervision à distance. Les garanties de sécurité du pilote sont indépendantes de la topologie.

Pourquoi c'est important

Pour les régulateurs : un moyen concret de vérifier les affirmations de sécurité qu'ils sont de plus en plus tenus d'évaluer, sans dépendre de l'auto-attestation des fournisseurs.
Pour les fournisseurs de modèles : une protection de la propriété intellectuelle plus forte que les dispositifs d'audit actuels, avec un dossier juridique défendable dans les quatre juridictions qui hébergent essentiellement tous les fournisseurs actuels de modèles de frontière (UE, États-Unis, Royaume-Uni, Chine) — fondé sur le plancher de protection des secrets d'affaires de l'article 39 de l'Accord ADPIC et sur des arrêts récents de la Cour populaire suprême de Chine reconnaissant les poids de modèles comme des secrets d'affaires protégeables.
Pour la juridiction d'accueil : une infrastructure stratégique qui pérennise l'accès aux modèles de frontière et positionne le pays hôte comme un pôle d'assurance en matière d'IA, avec un potentiel d'utilisation multiple au-delà de l'évaluation (défense, santé, infrastructures critiques).

Où en sommes-nous

L'architecture et le modèle de menaces sont finalisés et publiés. Un pré-pilote mesurant la surcharge du calcul confidentiel sur un modèle mixture-of-experts à poids ouverts de taille frontière est déjà en cours ; les résultats alimentent directement le pilote complet. Des engagements conditionnels ont été obtenus pour chaque rôle requis par le pilote : un évaluateur tiers, un fournisseur d'infrastructure sécurisée, un partenaire de gouvernance logicielle et d'orchestration, un fournisseur de fingerprinting de modèles, ainsi que des observateurs du Bureau européen de l'IA (EU AI Office). Des discussions avec des laboratoires de frontière et d'autres instituts de sûreté de l'IA sont en cours.

Le brief propose un parcours de participation en quatre étapes, commençant par une phase de validation à l'échelle frontière avec des poids ouverts. L'objectif est de résoudre le problème de l'œuf et de la poule qui a bloqué les tentatives précédentes : aucun fournisseur ne confie des poids propriétaires à une architecture nouvelle avant que celle-ci n'ait été démontrée à une échelle comparable aux modèles de frontière — mais aucune architecture ne peut être démontrée à cette échelle sans accès à de tels poids.

Prochaines étapes

Le brief complet (incluant le modèle de menaces formel, la spécification de l'EII, l'analyse empirique du taux de détection, le cadre juridique et le modèle de coûts Monte Carlo) est disponible ci-dessous. Nous accueillons avec intérêt les contributions de régulateurs, fournisseurs, évaluateurs et partenaires d'infrastructure souhaitant transformer les engagements conditionnels du consortium en un pilote mandaté.

Lire le brief technique complet :