Aaron Fulkerson, PDG d’OPAQUE – Série d’entretiens

Aaron Fulkerson, PDG de OPAQUE, est un entrepreneur de logiciels d’entreprise de longue date et un pionnier du logiciel open-source dont la carrière s’étend sur plus de deux décennies de construction et de mise à l’échelle de plateformes technologiques axées sur la confiance, les données et la transformation numérique. Avant de rejoindre OPAQUE en 2023, il a fondé MindTouch, aidant à la faire grandir en une plateforme de connaissances d’entreprise largement adoptée avant son acquisition par NICE Systems, et a ensuite dirigé le lancement de ServiceNow (NOW ) Impact, l’une des unités commerciales à croissance la plus rapide de l’histoire de ServiceNow. Tout au long de sa carrière, Fulkerson a travaillé à l’intersection des technologies émergentes, des logiciels d’entreprise et des écosystèmes ouverts, tout en conseillant de multiples startups et organisations technologiques. Plus récemment, il est devenu un défenseur éminent de l’IA confidentielle, argumentant que la confidentialité, la gouvernance et la confiance vérifiable seront des exigences fondamentales lorsque les systèmes d’IA seront intégrés dans les flux de travail d’entreprise critiques.

OPAQUE est une entreprise d’IA confidentielle issue du renommé UC Berkeley RISELab, le même écosystème de recherche qui a contribué à créer des technologies telles qu’Apache Spark et Databricks. L’entreprise a développé une plateforme qui permet aux entreprises de exécuter des modèles d’IA, des agents et des flux de travail sur des données très sensibles tout en maintenant des garanties de confidentialité et de conformité cryptographiquement vérifiables. Plutôt que de forcer les organisations à choisir entre l’innovation de l’IA et la sécurité des données, OPAQUE utilise le calcul confidentiel, les environnements d’exécution chiffrés et l’exécution attestée par le matériel pour garantir que les informations sensibles restent protégées avant, pendant et après le traitement de l’IA. Sa technologie est conçue pour les industries réglementées, notamment la finance, l’assurance, les soins de santé et la haute technologie, avec des clients et des partenaires tels que ServiceNow, Anthropic, Accenture et d’autres organisations d’entreprise cherchant à passer des projets d’IA de la phase de test à la production sans exposer des données propriétaires ou réglementées.

Vous avez construit et mis à l’échelle de multiples plateformes d’entreprise au cours de votre carrière, qu’est-ce qui vous a amené à assumer le rôle de PDG d’OPAQUE et à vous concentrer sur la confiance, la confidentialité et la gouvernance de l’IA pour votre prochain chapitre ?

J’ai passé près de deux décennies à construire des plateformes d’entreprise, d’abord chez MindTouch, qui est encore utilisée par un milliard d’utilisateurs par an, puis chez ServiceNow, où j’ai créé leur produit à la croissance la plus rapide. Les deux m’ont enseigné la même leçon : la technologie la plus puissante ne gagne que si les gens lui font confiance.

Quand j’ai rencontré les co-fondateurs d’OPAQUE, Raluca Ada Popa, Ion Stoica et Rishabh Poddar, j’ai vu une combinaison rare de talent et de vision. Raluca est l’une des principales chercheuses mondiales en matière de confidentialité et de sécurité. Ion a co-fondé Databricks. Rishabh a construit les systèmes cryptographiques de base qui sont devenus la fondation d’OPAQUE.

À UC Berkeley’s RISELab, ils avaient créé quelque chose que j’ai immédiatement reconnu comme étant d’une importance générationnelle. Une preuve cryptographique que les données restent privées tout au long de chaque flux de travail d’IA. Pas de promesses. Pas de politiques. Preuve.

J’ai regardé où allait l’IA et j’ai vu le même écart que Vint Cerf a averti pendant 30 ans : pas de couche de confiance. Internet a survécu sans cela parce que les humains étaient la barrière de sécurité. Le web agissant n’aura pas ce luxe. C’est ce qui m’a attiré.

Avec le MCP (le Protocole de contexte de modèle, une norme qui permet aux agents d’IA d’accéder de manière sécurisée aux outils, applications et données) émergeant comme une fondation commune, comment voyez-vous cela changer la façon dont les entreprises déployeront et mettront à l’échelle l’IA agissante ?

MCP est une étape importante dans la façon dont les entreprises déployeront et mettront à l’échelle l’IA agissante. Pensez-y comme un connecteur universel pour les flux de travail d’IA. Il normalise la façon dont les agents se connectent aux outils, applications et données, réduisant ainsi les frictions réelles et accélérant l’expérimentation.

Mais la normalisation de l’accès seule ne rend pas l’IA agissante sûre ou évolutivité. À mesure que ces connexions se multiplient, avec plus d’agents, plus d’outils et plus de sources de données, la surface d’exposition des fuites de données augmente avec chaque nouvelle intégration. Chaque point de connexion qui manque de contrôle à l’exécution est un vecteur d’exposition potentiel. Lorsque les agents d’IA interagissent avec des systèmes sensibles et une logique propriétaire, le chiffrement au repos et les contrôles de réseau ne suffisent pas. La limite de sécurité s’est déplacée vers l’exécution, et ce déplacement devient plus urgent à mesure que l’écosystème se développe.

Disposer de la vérifiabilité à ces points de connexion essentiels sera mission-critique pour l’entreprise. Les entreprises peuvent mettre à l’échelle l’IA agissante lorsque l’accès MCP est associé à une preuve cryptographique de ce que le code a exécuté, où il a été exécuté et sous quelle politique – avant, pendant et après l’exécution. Accès plus vérifiabilité. C’est la combinaison qui débloque la production.

Alors que le MCP normalise l’accès des agents, où voyez-vous les plus grands écarts actuels en termes de sécurité, d’application des politiques et de confiance dans les systèmes à base d’agents ?

Nous avons terminé notre recherche sur la surface d’exposition de l’IA 2026 et publié un résumé de nos résultats, « Une douzaine de façons dont votre pile d’IA fuit des données », qui aborde ce sujet. Nous avons identifié 46 vecteurs d’exposition sur 8 catégories couvrant toute la limite de confiance de l’IA : calcul, contrôle, application et les passes entre eux. C’est sans considérer les acteurs malveillants. Ce sont des scénarios où rien n’est cassé, les journaux sont propres et votre système fuit toujours des données.

Les plus grands écarts ne sont pas dans la connectivité ; MCP résout cela. Les écarts sont dans ce qui se passe après qu’un agent se connecte. La plupart des organisations ne peuvent pas répondre à trois questions de base : Comment notre IA se comporte-t-elle réellement ? Qui la contrôle ? Et comment prouvons-nous que les politiques ont été appliquées ?

Nos recherches ont montré que les limites sont configurées mais jamais appliquées. Une politique existe dans un document, un fichier de configuration ou un paramètre de déploiement, mais le système en cours d’exécution n’est pas contraint par celle-ci. Un assistant d’IA exécuté par un agent place des informations non publiques sur une invitation de calendrier. Un copilote RAG sert des données financières de niveau de conseil d’administration à un analyste junior. Un SDK de fournisseur exfiltre silencieusement 10 millions de requêtes sur 12 mois. Dans chaque cas, les contrôles d’accès étaient en place. Les données ont toujours fui.

Jusqu’à ce que les entreprises comblent le fossé entre la politique configurée et la politique appliquée, MCP normalise la porte d’entrée. Mais la maison est toujours sans gardien.

Quand les agents d’IA sont autorisés à accéder à des systèmes sensibles et à des données propriétaires, quels nouveaux risques de confidentialité et de conformité tendent-ils à émerger que les entreprises sont souvent mal préparées à gérer ?

La plupart des entreprises pensent à la confidentialité en termes de données au repos ou en transit. Ce modèle se brise dans les flux de travail d’IA agissante parce que le plus grand risque est l’exposition des données lorsqu’elles sont utilisées.

Voici ce que je veux dire. Un fabricant de voitures de performance exécute une IA sur sa chaîne de montage. Les données brutes semblent inoffensives : lectures de capteurs, séquences de temporisation, contrôles de qualité. Mais un LLM peut maintenant reconstruire les processus de fabrication propriétaires à partir de ces données de rejet. Ce qui était du bruit il y a cinq ans est maintenant un plan pour un concurrent.

Nos recherches sur la surface d’exposition de l’IA documentent ce modèle sur des dizaines de scénarios. Les outils de télémétrie opérationnelle capturent les charges utiles d’IA complètes par défaut, et une banque européenne avait 2,1 million de requêtes contenant des informations personnelles qui ont été transférées vers une instance SaaS américaine parce que personne n’a modifié les paramètres par défaut de l’APM. La mémoire de l’agent fuit le contexte entre les sessions. Les traces de réflexion chaînent expose des dossiers d’enquête complets aux plates-formes d’observabilité accessibles aux contractuels. Les cadres de conformité traditionnels n’ont pas été conçus pour détecter ce type de fuite. Ils supposaient que les humains déplaçaient les données à une vitesse humaine.

Pourquoi l’IA confidentielle devient-elle une contrepartie nécessaire au MCP, et comment répond-elle aux défis que les normes d’accès seules ne peuvent pas résoudre ?

MCP résout qui peut accéder à quoi et comment, tandis que l’IA confidentielle résout ce qui se passe une fois l’accès accordé. Ce sont des couches complémentaires.

Les normes d’accès seules ne peuvent pas empêcher les compromis à l’exécution, le déplacement des politiques ou l’utilisation non autorisée des données. Pensez-y de cette façon : MCP vous donne une façon normalisée de connecter les agents à vos systèmes. L’IA confidentielle vous donne des garanties cryptographiques que, une fois connectés, ces agents ne peuvent faire que ce qu’ils sont autorisés à faire, et vous pouvez le prouver.

L’IA confidentielle fournit ces garanties à l’exécution sur les données, l’identité, le code et la communication. Elle fournit une preuve vérifiable de l’exécution et garantit que la confidentialité et l’application des politiques ne s’arrêtent pas à la limite d’accès mais persistent lorsque l’IA raisonne, génère et agit activement. Sans cela, MCP est une fondation solide. Mais les fondations seules ne font pas un bâtiment sécurisé.

En termes pratiques, à quoi ressemble la confiance vérifiable pour une entreprise qui exécute des agents d’IA autonomes sur des flux de travail critiques ?

La confiance vérifiable signifie que je peux prouver quel code a été exécuté, où il a été exécuté, sous quelle politique, quelles données ont été accessibles et comment le système s’est comporté au fil du temps.

En pratique, prenez une compagnie d’assurance qui utilise des agents d’IA pour traiter les lettres de demande. Avant l’exécution, l’attestation matérielle vérifie l’identité de l’agent et l’intégrité de l’environnement. Pendant l’exécution, le lien de politique cryptographique dans un environnement d’exécution de confiance (TEE) avec support matériel garantit que les données restent protégées et que les politiques sont appliquées. Après l’exécution, un journal d’audit anti-tampon enregistre exactement ce qui s’est passé.

Le risque dans les flux de travail d’IA agissante n’est pas que l’agent devienne incontrôlable. Le véritable risque est que vous ne puissiez pas démontrer si une politique a été appliquée ou si des données sensibles ont été protégées pendant que les agents étaient opérationnels – avant, pendant et après. C’est à quoi ressemble la confiance vérifiable.

Alors que les systèmes agissants opèrent à une vitesse de machine, pourquoi la surveillance humaine traditionnelle se brise-t-elle, et comment les organisations devraient-elles repenser la gouvernance dans ce nouvel environnement ?

Pendant des décennies, Internet a eu un garde-fou invisible : nous. Les humains lisent le contenu, cliquent intentionnellement et n’agissent pas silencieusement sur une centaine de systèmes simultanément.

Les agents d’IA agissante effacent ces hypothèses en une nuit. Les agents opèrent en continu, prennent des décisions à une vitesse de machine et peuvent être manipulés par des environnements conçus pour les humains mais exploitables par les machines. Une page web malveillante n’a pas besoin de tromper un IA de la façon dont elle trompe une personne ; elle peut simplement l’instruire.

À seulement 1 % de risque par agent, un réseau de 100 agents est confronté à une probabilité de 63 % d’une faille de sécurité. Étendez-le à 1 000 et vous atteignez 99,99 %. La gouvernance humaine dans la boucle ne peut pas suivre ces chiffres. La surveillance doit passer d’une révision réactive à des garanties à l’exécution. Cela signifie des flux de travail de confiance zéro, une application des politiques par défaut et une exécution vérifiable qui ne dépend pas d’un humain pour détecter l’échec après coup.

Quelles sont les défaillances de sécurité les plus courantes que vous voyez lorsque les entreprises expérimentent avec l’IA agissante sans une couche de confiance intégrée ?

Le modèle que je vois le plus souvent est que les entreprises laissent les agents agir et coordonner sans aucune garantie cryptographique autour de leur comportement. Ils traitent des informations sensibles sur l’espoir.

Ce qui suit est prévisible, et nous l’avons documenté dans nos recherches sur la surface d’exposition de l’IA. Les compromis à l’exécution contournent les défenses de périmètre traditionnelles parce que l’agent est déjà à l’intérieur du réseau. Les chaînes d’agents autonomes créent des défaillances en cascade. Un agent exploité déclenche un effet domino sur les systèmes connectés. La logique propriétaire fuit à travers les rejets de données que personne n’a pensé à surveiller. Les agents perdent la capacité de distinguer l’intention de l’entreprise de l’entrée malveillante parce qu’il n’y a pas de liaison d’identité ou de politique vérifiable à l’exécution.

Ce ne sont pas des hypothèses. Nous avons cartographié 46 vecteurs où les données échappent à leurs contrôles intentionnels, même lorsque rien ne semble cassé. Les agents d’IA génèrent et partagent des données à une vitesse de machine. Sans des garanties de sécurité vérifiables à l’exécution intégrées dans le flux de travail, les défaillances se propagent plus rapidement que n’importe quelle équipe de sécurité peut détecter ou répondre.

Comment les organisations de premier plan équilibrent-elles le besoin de débloquer des capacités d’IA avancées tout en protégeant leurs actifs de données les plus sensibles ?

Les organisations qui réussissent traitent la confidentialité et la gouvernance comme des accélérateurs, et non comme des freins. C’est l’insight clé.

Ce que je vois sur le terrain, c’est que les entreprises de premier plan associent des capacités d’IA avancées à des plateformes d’IA confidentielle qui offrent des garanties vérifiables, et non seulement des listes de contrôle de conformité. Ils débloquent des données sensibles pour l’innovation de l’IA tout en garantissant que les informations propriétaires restent protégées, même lorsque les flux de travail s’exécutent de manière autonome.

L’ancienne formulation était capacité versus sécurité. Les organisations qui progressent le plus rapidement ont rejeté complètement ce compromis. Elles intègrent la confiance vérifiable dans la fondation de leur stratégie d’IA, leur permettant de mettre leurs données les plus précieuses à profit. Dans le même temps, les concurrents sont encore bloqués en mode pilote, en exécutant l’IA sur des ensembles de données nettoyés qui ne déplacent pas l’aiguille.

Sur la base de ce que vous voyez aujourd’hui, comment vous attendez-vous à ce que les modèles de gouvernance de l’IA d’entreprise évoluent au cours des prochaines années à mesure que les systèmes agissants passent des pilotes à la production complète ?

La gouvernance va évoluer du papier à la preuve. C’est la façon la plus simple de le dire. Les premiers modèles de gouvernance étaient conçus pour le logiciel au rythme humain : les politiques sur papier, les approbations avant le déploiement, les examens après qu’il se soit passé quelque chose de mal. Les systèmes agissants brisent toutes ces hypothèses. Ils opèrent en continu, agissent de manière autonome et génèrent des effets en cascade à une vitesse de machine.

Ce que nous voyons, c’est que la gouvernance se déplace vers la vérifiabilité à l’exécution comme la nouvelle limite de sécurité, soutenue par des garanties cryptographiques qui prouvent le comportement à chaque étape du cycle de vie d’un agent, avant, pendant et après. Le même modèle que nous avons vu avec HTTPS devient la norme pour le trafic Web. Personne ne débat plus de savoir s’il faut chiffrer les connexions Web. Dans quelques années, personne ne débattra plus de savoir s’il faut vérifier l’exécution de l’IA à l’exécution. Cela sera une exigence de base.

Merci pour cette grande interview, les lecteurs qui souhaitent en savoir plus peuvent visiter OPAQUE.