Aaron Fulkerson, PDG d’OPAQUE – Série d’entretiens

Aaron Fulkerson, PDG d’OPAQUE, est un entrepreneur expérimenté du logiciel d’entreprise et un pionnier de l’open source. Depuis plus de vingt ans, il crée et développe à grande échelle des plateformes technologiques axées sur la confiance, les données et la transformation numérique. Avant de rejoindre OPAQUE en 2023, il a fondé MindTouch et contribué à en faire une plateforme de gestion des connaissances largement adoptée par les entreprises, avant son acquisition par NICE Systems. Il a ensuite dirigé le lancement de ServiceNow Impact, l’une des activités à la croissance la plus rapide de l’histoire de ServiceNow. Tout au long de sa carrière, Fulkerson a travaillé au croisement des technologies émergentes, du logiciel d’entreprise et des écosystèmes ouverts, tout en conseillant plusieurs jeunes entreprises et organisations technologiques. Plus récemment, il est devenu un défenseur important de l’IA confidentielle. Il estime que la protection de la vie privée, la gouvernance et la confiance vérifiable seront des exigences fondamentales à mesure que l’IA s’intégrera aux processus critiques des entreprises.

OPAQUE est une entreprise d’IA confidentielle issue du réputé RISELab de l’université de Californie à Berkeley, le même écosystème de recherche qui a contribué à créer des technologies comme Apache Spark et Databricks. Elle a développé une plateforme permettant aux entreprises d’exécuter des modèles d’IA, des agents et des processus sur des données très sensibles, avec des garanties de confidentialité et de conformité vérifiables par la cryptographie. Plutôt que d’imposer un choix entre innovation en IA et sécurité des données, OPAQUE utilise le calcul confidentiel, des environnements d’exécution chiffrés et une exécution avec attestation matérielle pour protéger les informations sensibles avant, pendant et après leur traitement par l’IA. La technologie vise des secteurs très réglementés, notamment la finance, l’assurance, la santé et les hautes technologies. Parmi les clients et partenaires figurent ServiceNow (NOW ), Anthropic, Accenture et d’autres entreprises souhaitant passer des projets pilotes à la production sans exposer leurs données propriétaires ou soumises à réglementation.

Vous avez créé et développé à grande échelle plusieurs plateformes d’entreprise. Qu’est-ce qui vous a poussé à devenir PDG d’OPAQUE et à consacrer la suite de votre parcours à la confiance, à la confidentialité et à la gouvernance de l’IA ?

J’ai passé près de vingt ans à créer des plateformes d’entreprise, d’abord chez MindTouch, qui compte encore un milliard d’utilisateurs par an, puis chez ServiceNow, où j’ai créé leur produit à la croissance la plus rapide. Ces deux expériences m’ont appris la même chose : même la technologie la plus puissante ne gagne que si les gens lui font confiance.

Lorsque j’ai rencontré les cofondateurs d’OPAQUE, Raluca Ada Popa, Ion Stoica et Rishabh Poddar, j’ai découvert une rare combinaison de talent et de vision. Raluca est l’une des chercheuses les plus reconnues au monde en matière de confidentialité et de sécurité. Ion a cofondé Databricks. Rishabh a construit les systèmes cryptographiques fondamentaux sur lesquels OPAQUE s’est appuyée.

Au RISELab de l’université de Californie à Berkeley, ils avaient créé quelque chose que j’ai immédiatement reconnu comme une avancée marquante pour toute une génération : la preuve cryptographique que les données restent privées tout au long de chaque processus d’IA. Pas des promesses. Pas des politiques. Une preuve.

J’ai regardé où allait l’IA : des agents agissant de manière autonome dans les systèmes d’entreprise, à la vitesse des machines. J’ai vu la même lacune que celle contre laquelle Vint Cerf met en garde depuis trente ans : l’absence de couche de confiance. Internet a survécu sans elle parce que les humains servaient de garde-fou. Le Web piloté par des agents n’aura pas ce luxe. C’est ce qui m’a attiré.

MCP (Model Context Protocol, une norme permettant aux agents d’IA d’accéder de façon sécurisée aux outils, applications et données) devient un socle commun. Comment va-t-il changer la manière dont les entreprises déploient l’IA agentique et la font passer à l’échelle ?

MCP constitue une étape importante dans la manière dont les entreprises déploient l’IA agentique et la font passer à l’échelle. Voyez-le comme un connecteur universel pour les processus d’IA. Il normalise la connexion des agents aux outils, applications et données, réduit les obstacles concrets et accélère l’expérimentation.

Mais normaliser l’accès ne suffit pas à rendre l’IA agentique sûre ou capable de passer à l’échelle. Avec la multiplication des connexions, des agents, des outils et des sources de données, chaque nouvelle intégration élargit la surface par laquelle les données peuvent fuir. Tout point de connexion dépourvu d’application contraignante des règles pendant l’exécution constitue une voie potentielle d’exposition. Quand les agents d’IA interagissent avec des systèmes sensibles et une logique propriétaire, le chiffrement des données stockées et les contrôles réseau ne suffisent pas. La frontière de sécurité s’est déplacée vers l’exécution elle-même, et ce changement devient plus urgent à mesure que l’écosystème grandit.

La possibilité de vérifier ces points de connexion essentiels sera critique pour les entreprises. Elles peuvent faire passer l’IA agentique à l’échelle lorsque l’accès de type MCP est associé à une preuve cryptographique du code exécuté, du lieu de son exécution et de la politique qui s’appliquait, avant, pendant et après l’exécution. L’accès plus la vérifiabilité. Cette combinaison ouvre la voie à la production.

Alors que MCP normalise l’accès des agents, où voyez-vous les principales lacunes en matière de sécurité, d’application contraignante des politiques et de confiance dans les systèmes pilotés par des agents ?

Nous avons terminé notre étude AI Leak Surface de 2026 et publié une synthèse des résultats, « Douze façons dont votre environnement d’IA laisse fuir des données », qui aborde ce sujet. Nous avons identifié 46 voies d’exposition dans 8 catégories couvrant toute la frontière de confiance de l’IA : calcul, contrôle, applications et transferts entre ces éléments. Et cela sans tenir compte des acteurs malveillants. Ce sont des situations où rien n’est cassé, où les journaux semblent normaux, mais où le système continue de laisser fuir des données.

Les principales lacunes ne concernent pas la connectivité ; MCP résout ce problème. Elles concernent ce qui se passe après la connexion d’un agent. La plupart des organisations ne peuvent répondre à trois questions fondamentales : Comment notre IA se comporte-t-elle réellement ? Qui la contrôle ? Et comment prouver que les politiques ont été imposées ?

Notre étude a montré que les limites sont configurées, mais jamais imposées. Une politique existe dans un document, un fichier de configuration ou un paramètre défini au déploiement, mais elle ne contraint pas le système en fonctionnement. Un assistant d’IA destiné aux dirigeants place des informations importantes non publiques dans une invitation de calendrier. Un assistant RAG fournit à un analyste junior des données financières destinées au conseil d’administration. Le SDK d’un fournisseur exfiltre discrètement dix millions de requêtes en douze mois. Dans chaque cas, les contrôles d’accès étaient en place. Les données ont tout de même fui.

Tant que les entreprises ne comblent pas l’écart entre la politique configurée et la politique réellement imposée, MCP normalise la porte d’entrée. Mais la maison reste sans surveillance.

Quand les agents d’IA obtiennent accès à des systèmes sensibles et à des données propriétaires, quels nouveaux risques de confidentialité et de conformité apparaissent, auxquels les entreprises sont souvent mal préparées ?

La plupart des entreprises pensent à la confidentialité en termes de données stockées ou en transit. Ce modèle échoue dans les processus agentiques, car le principal risque est l’exposition des données pendant leur utilisation.

Voici ce que je veux dire. Un constructeur de voitures hautes performances utilise l’IA sur sa chaîne de montage. Les données brutes semblent inoffensives : mesures des capteurs, séquences temporelles, contrôles qualité. Mais un grand modèle de langage peut désormais reconstituer des procédés de fabrication propriétaires à partir des traces de données produites au passage par l’activité. Ce qui était du bruit il y a cinq ans est devenu un plan tout prêt pour un concurrent.

Notre étude AI Leak Surface documente ce schéma dans des dizaines de scénarios. Les outils de télémétrie opérationnelle capturent par défaut l’intégralité du contenu des données d’IA. Dans une banque européenne, 2,1 millions de prompts contenant des informations permettant d’identifier des personnes transitaient vers une instance SaaS aux États-Unis parce que personne n’avait modifié les paramètres par défaut de la supervision des performances applicatives (APM). La mémoire des agents laisse fuir du contexte entre les sessions. Les traces des chaînes de raisonnement exposent des dossiers d’enquête complets à des plateformes d’observabilité accessibles aux prestataires externes. Les cadres traditionnels de conformité n’ont pas été conçus pour détecter de telles fuites. Ils supposaient que les humains déplaçaient les données à leur propre vitesse.

Pourquoi l’IA confidentielle devient-elle un complément nécessaire à MCP, et comment répond-elle à des défis que les seules normes d’accès ne peuvent résoudre ?

MCP détermine qui peut accéder à quoi et comment, tandis que l’IA confidentielle traite ce qui se passe une fois l’accès accordé. Ce sont des couches complémentaires.

Les normes d’accès ne peuvent, à elles seules, empêcher une compromission pendant l’exécution, une dérive des politiques ou une utilisation non autorisée des données. Voyez les choses ainsi : MCP fournit un moyen normalisé de connecter les agents aux systèmes. L’IA confidentielle garantit par la cryptographie qu’une fois connectés, ces agents ne peuvent faire que ce qu’ils sont autorisés à faire, et vous pouvez le prouver.

L’IA confidentielle fournit ces garanties pendant l’exécution pour les données, l’identité, le code et la communication. Elle apporte une preuve vérifiable de l’exécution et assure que la confidentialité et l’application contraignante des politiques ne s’arrêtent pas à la frontière d’accès, mais se poursuivent tandis que l’IA raisonne, génère et agit activement. Sans elle, MCP constitue une base solide. Mais des fondations seules ne rendent pas un bâtiment sûr.

Concrètement, à quoi ressemble la confiance vérifiable pour une entreprise qui utilise des agents d’IA autonomes dans des processus critiques ?

La confiance vérifiable signifie pouvoir prouver quel code a été exécuté, où, selon quelles politiques, à quelles données il a accédé et comment le système s’est comporté au fil du temps.

Prenez une compagnie d’assurance qui utilise des agents d’IA pour traiter des courriers de demande d’indemnisation. Avant l’exécution, l’attestation matérielle vérifie l’identité de l’agent et l’intégrité de l’environnement. Pendant l’exécution, la liaison cryptographique aux politiques dans un environnement d’exécution de confiance protégé par le matériel (Trusted Execution Environment, TEE) assure la protection des données et l’application des politiques. Après l’exécution, une piste d’audit infalsifiable consigne exactement ce qui s’est passé.

Le risque dans les processus agentiques n’est pas qu’un agent échappe à tout contrôle. Le vrai risque est de ne pas pouvoir démontrer si une politique a été imposée ou si des données sensibles ont été protégées pendant que les agents étaient opérationnels, avant, pendant et après. Voilà ce qu’est la confiance vérifiable.

Quand les systèmes agentiques fonctionnent à la vitesse des machines, pourquoi la supervision humaine traditionnelle ne suffit-elle plus, et comment les organisations doivent-elles repenser la gouvernance dans ce nouvel environnement ?

Pendant des décennies, Internet a eu un garde-fou invisible : nous. Les humains lisent le contenu, cliquent volontairement et n’agissent pas discrètement dans cent systèmes à la fois.

L’IA agentique efface ces hypothèses du jour au lendemain. Les agents fonctionnent en continu, décident à la vitesse des machines et peuvent être manipulés par des environnements conçus pour les humains, mais exploitables par les machines. Une page malveillante n’a pas besoin de tromper l’IA comme elle tromperait une personne : il lui suffit de lui donner des instructions.

Avec un risque de seulement 1 % par agent, un réseau de 100 agents a 63 % de probabilité de subir une violation de sécurité. Passez à mille agents et cette probabilité atteint 99,99 %. Une gouvernance exigeant l’intervention d’un humain dans le processus ne peut suivre ces chiffres. La supervision doit passer de l’examen réactif aux garanties pendant l’exécution. Cela signifie des processus fondés sur la confiance zéro, l’application contraignante des politiques par défaut et une exécution vérifiable qui ne dépend pas d’un humain découvrant la défaillance après coup.

Quelles défaillances de sécurité observez-vous le plus souvent lorsque les entreprises expérimentent l’IA agentique sans couche de confiance intégrée ?

Le schéma le plus fréquent est que les entreprises laissent les agents agir et se coordonner sans aucune garantie cryptographique sur leur comportement. Elles traitent de la propriété intellectuelle sensible en se reposant sur l’espoir.

La suite est prévisible, et nous avons documenté les schémas précis dans notre étude AI Leak Surface. Les compromissions pendant l’exécution contournent les défenses périmétriques traditionnelles, car l’agent est déjà à l’intérieur du réseau. Les chaînes d’agents autonomes créent des défaillances en cascade. Un seul agent exploité déclenche un effet domino dans les systèmes connectés. La logique propriétaire fuit par des traces de données que personne n’avait pensé à surveiller. Les agents perdent la capacité de distinguer l’intention de l’entreprise des entrées malveillantes, faute d’identité vérifiable ou de liaison aux politiques pendant l’exécution.

Ce ne sont pas des hypothèses. Nous avons cartographié 46 voies par lesquelles les données échappent aux contrôles prévus, même quand rien ne semble cassé. Les agents d’IA génèrent et partagent des données à la vitesse des machines. Sans protections vérifiables pendant l’exécution et intégrées au processus, les défaillances se propagent plus vite que n’importe quelle équipe de sécurité ne peut les détecter ou y répondre.

Comment les organisations de premier plan concilient-elles l’exploitation de capacités d’IA avancées avec la protection de leurs données les plus sensibles ?

Les organisations qui y parviennent traitent la confidentialité et la gouvernance comme des accélérateurs, et non comme des freins. C’est l’idée essentielle.

Dans la pratique, les entreprises de premier plan associent des capacités d’IA avancées à des plateformes d’IA confidentielle qui fournissent des garanties vérifiables, pas seulement des listes de contrôle de conformité. Elles rendent les données sensibles utilisables pour l’innovation en IA tout en protégeant les informations propriétaires, même lorsque les processus s’exécutent de manière autonome.

Auparavant, le problème était présenté comme un choix entre capacités et sécurité. Les organisations qui progressent le plus vite ont totalement rejeté ce compromis. Elles placent la confiance vérifiable au fondement de leur stratégie d’IA, afin de tirer parti de leurs données les plus précieuses. Pendant ce temps, les concurrents restent bloqués au stade pilote et font fonctionner l’IA sur des jeux de données nettoyés qui n’apportent pas de résultats significatifs.

D’après vos observations actuelles, comment les modèles de gouvernance de l’IA en entreprise évolueront-ils au cours des prochaines années, quand les systèmes agentiques passeront des pilotes à une pleine utilisation en production ?

La gouvernance passera de la paperasse à la preuve. C’est la façon la plus simple de le dire. Les premiers modèles étaient conçus pour des logiciels fonctionnant au rythme humain : politiques sur papier, approbations avant le déploiement, examens après un problème. Les systèmes agentiques invalident chacune de ces hypothèses. Ils fonctionnent en continu, agissent de façon autonome et produisent des effets en cascade à la vitesse des machines.

Nous voyons la gouvernance évoluer vers la vérifiabilité pendant l’exécution comme nouvelle frontière de sécurité, soutenue par des garanties cryptographiques qui prouvent le comportement à chaque étape du cycle de vie d’un agent, avant, pendant et après. Le même schéma que nous avons observé avec HTTPS devient la norme pour le trafic Web. Plus personne ne débat de la nécessité de chiffrer les connexions Web. Dans quelques années, plus personne ne débattra de la nécessité de vérifier l’exécution de l’IA pendant son déroulement. Ce sera une exigence de base.

Merci pour cet excellent entretien. Les lecteurs qui souhaitent en savoir plus peuvent consulter OPAQUE.