Cohere lance l’informatique confidentielle sur Model Vault en bêta publique

Le 22 octobre 2026, Cohere a annoncé la bêta publique de l’informatique confidentielle sur Cohere Model Vault, sa plateforme dédiée et entièrement gérée d’inférence de modèles, fonctionnant sur des GPU NVIDIA H100 dans Microsoft Azure pour les entreprises qui traitent des données sensibles.

Ce lancement étend Model Vault aux charges de travail impliquant des dossiers cliniques, des informations financières, des documents à accès privilégié, de la propriété intellectuelle et du code source propriétaire. Cohere a indiqué que l’objectif était de permettre aux entreprises de profiter des capacités et de la simplicité opérationnelle de l’IA gérée, tout en empêchant l’infrastructure qui exécute le service d’accéder à leurs données sensibles en clair. L’entreprise cite parmi les charges de travail envisagées les enquêtes sur les fraudes dans les services financiers, la recherche dans des documents à accès privilégié et les vérifications préalables pour les équipes juridiques, les informations sensibles du secteur public, les brevets et les travaux de recherche, les documents propriétaires de conception technique et d’interfaces, ainsi que la recherche et l’analyse dans du code source propriétaire.

Dans le cadre de la répartition des rôles prévue par la bêta, Microsoft Azure fournit l’infrastructure sous-jacente d’informatique confidentielle, NVIDIA Confidential Computing étend cette protection aux GPU H100, et Cohere assure le service géré des modèles, un chemin de requête chiffré, l’attestation à distance et la vérification côté client par l’intermédiaire de Model Vault. Selon l’entreprise, les clients peuvent configurer et gérer des coffres chiffrés avec Model Vault, les connecter au moyen des mêmes API Cohere et commencer sur vault.cohere.com.

Exécution confidentielle et chemin de requête chiffré

L’informatique confidentielle protège les données en cours d’utilisation, c’est-à-dire les informations qu’un modèle traite activement. Il s’agit d’un troisième état, en plus des données stockées et de celles en transit que le chiffrement protège traditionnellement. Dans Model Vault, la pile de service des modèles — système d’exploitation, pilotes et serveur d’inférence compris — s’exécute dans une machine virtuelle confidentielle. L’isolation reposant sur le matériel protège sa mémoire de l’environnement hôte, et des règles limitent l’environnement aux logiciels approuvés, sans offrir aux opérateurs de moyen interactif d’accéder à la charge de travail en cours d’exécution, selon une analyse technique approfondie publiée par Cohere à l’occasion du lancement. NVIDIA Confidential Computing protège la mémoire du GPU et chiffre le trafic entre le CPU et le GPU : la limite de l’environnement confidentiel englobe ainsi l’accélérateur qui effectue l’inférence, au lieu de s’arrêter au CPU qui la coordonne.

La requête elle-même bénéficie d’une protection distincte. Model Vault utilise Oblivious HTTP, ou OHTTP, pour chiffrer le contenu sensible d’une requête à l’aide d’une clé publique associée à l’environnement confidentiel attesté. Le message chiffré traverse l’infrastructure intermédiaire sous forme de texte chiffré ; seule la passerelle OHTTP située dans l’environnement détient la clé privée correspondante, et les réponses bénéficient de la même protection lors de leur retour. Cohere indique que cette architecture dissocie l’exploitation de la plateforme de la capacité à lire ce que les clients lui transmettent, puisque les intermédiaires peuvent acheminer le trafic sans voir les données utiles en clair. Les applications conservent l’API Model Vault et les formats de requête habituels ; la protection est mise en œuvre dans les couches client et infrastructure, sans qu’il soit nécessaire de repenser les données utiles.

L’attestation à distance comme mécanisme de contrôle actif

Avant l’envoi d’une requête protégée, l’environnement confidentiel génère des preuves signées cryptographiquement qui consignent les mesures et les propriétés pertinentes pour la sécurité de son matériel, de son micrologiciel, de son environnement d’exécution et de ses logiciels applicatifs. Un logiciel côté client vérifie ces preuves au regard d’une politique approuvée. Les preuves indiquent quel environnement est effectivement en cours d’exécution ; la politique détermine si cet environnement doit être considéré comme digne de confiance pour traiter les données. Si une propriété requise ne correspond pas — par exemple, si une mesure logicielle a changé ou si un GPU n’est pas dans le mode confidentiel attendu —, le client échoue à la vérification, refuse de transmettre les données utiles et la requête reste dans l’environnement du client. Ces preuves sont actualisées à intervalles rapprochés, et le client vérifie de nouveau les mesures et l’état de sécurité ainsi obtenus par rapport à la politique approuvée avant chaque nouvel envoi de requêtes protégées. Cohere explique que l’attestation passe ainsi d’un relevé conservé pour les audits à un mécanisme de contrôle qui décide activement si les données protégées peuvent être transmises.

Dans l’annonce du lancement de Cohere, le directeur technique Phil Blunsom a déclaré : « Grâce à l’attestation matérielle, les clients disposent non seulement d’une preuve cryptographique que les charges de travail s’exécutent dans un environnement sécurisé d’informatique confidentielle, mais peuvent aussi vérifier que leurs données sont protégées contre tout accès non autorisé, y compris de la part de Cohere. » Vikas Bhatia, responsable produit de l’informatique confidentielle Azure chez Microsoft, a indiqué que le travail mené avec Cohere montre comment l’informatique confidentielle peut associer la simplicité de l’IA gérée à des contrôles techniques vérifiables de manière indépendante. John Fanelli, vice-président des logiciels d’entreprise chez NVIDIA, a déclaré que NVIDIA Confidential Computing sur ses GPU apporte des protections reposant sur le matériel, qui aident des plateformes comme Model Vault à proposer l’inférence confidentielle de l’IA pour les charges de travail des entreprises.

Modèle de menace, limites déclarées et projets open source

Dans le cadre du modèle de menace défini, le système protège les invites, les documents, les réponses et l’exécution du modèle pendant le traitement. Le fournisseur de services cloud, le système d’exploitation hôte, l’hyperviseur, les administrateurs de l’infrastructure et les propres opérateurs de Cohere ne peuvent pas lire la mémoire protégée de la charge de travail. La base informatique de confiance comprend toujours le matériel et le micrologiciel qui fournissent le socle de l’informatique confidentielle, les logiciels mesurés exécutés dans l’environnement, les mesures de référence qui définissent une configuration approuvée, ainsi que l’infrastructure d’attestation qui évalue et signe les preuves. Cohere indique que cette conception réduit les éléments auxquels il faut faire confiance à un ensemble explicite de composants produisant des preuves mesurables et vérifiables.

Cohere précise également ce qui ne relève pas de ce périmètre. Les attaques physiques et les attaques par canal auxiliaire, qui consistent par exemple à déduire des informations à partir des temps d’exécution ou d’autres comportements matériels partagés, n’en font pas partie. Un opérateur incapable de lire une charge de travail peut néanmoins l’arrêter, la retarder ou en empêcher l’exécution ; la conception n’offre donc, à elle seule, aucune garantie de disponibilité. L’exécution du logiciel sur du matériel d’informatique confidentielle ne résout pas les risques au niveau applicatif, tels que l’injection de prompt, l’utilisation non sécurisée d’outils, les erreurs d’autorisation et les autres vulnérabilités logicielles.

Les métadonnées observables constituent une autre exclusion : bien que le contenu des charges utiles soit chiffré, la taille des messages, le moment des requêtes, le volume du trafic et les détails du routage restent visibles. Dans l’architecture actuelle, les identifiants d’API et du modèle se trouvent également à l’extérieur de la charge utile protégée par OHTTP. L’entreprise précise que l’informatique confidentielle ne remplace pas la sécurité des applications, ne constitue pas un mécanisme de résidence des données, ne se substitue pas aux mesures de conformité ou aux contrôles contractuels et n’est pas un chiffrement homomorphe, car le modèle traite toujours des données en clair dans l’environnement protégé.

La mise en œuvre s’appuie sur les projets open source Kata Containers et Confidential Containers. Cohere a indiqué prévoir de publier la pile d’inférence confidentielle en open source, afin que les clients et les chercheurs en sécurité puissent examiner le code, voir quelles politiques sont appliquées et reproduire les mesures de vérification de manière indépendante. La bêta fonctionne actuellement sur des GPU NVIDIA H100 dans Microsoft Azure, et Cohere a indiqué que la prise en charge de l’infrastructure NVIDIA Blackwell, notamment des GPU B200, était en cours en vue de la disponibilité générale.