Un cadre pour comprendre le paysage du calcul confidentiel

Le calcul confidentiel est à la mode

L’espace du calcul confidentiel connaît une vague d’innovation sur plusieurs fronts simultanément. Les environnements d’exécution de confiance (TEEs) mûrissent et deviennent plus faciles à déployer. (Le chiffrement homomorphique complet) FHE réduit l’écart de performance qui l’a maintenu théorique pendant des années. Et l’écosystème Web3 continue de faire progresser la technologie de preuve à connaissance nulle à un rythme remarquable, avec des zkVMs polyvalents qui prouvent désormais des ordres de calcul arbitraires plusieurs fois plus rapides qu’il y a même deux ans.

Dans le même temps, l’essor de l’IA agente crée une nouvelle urgence autour de la confiance, de la vie privée et de la vérifiabilité. À mesure que les systèmes d’IA dépassent la génération de contenu et commencent à agir au nom des utilisateurs, les organisations se demandent de plus en plus si les contrôles de sécurité et de conformité traditionnels sont suffisants pour les logiciels autonomes fonctionnant à l’échelle de l’entreprise.

Chez DataTribe, nous avons passé beaucoup de temps dans cet espace, en parlant avec des startups, en évaluant la technologie et en essayant de comprendre où les opportunités les plus durables émergeront. Voici comment nous réfléchissons à cela.

Un cadre pour le calcul confidentiel

Lorsque nous regardons le paysage du calcul confidentiel, nous trouvons utile de le diviser en trois piliers distincts. Chacun représente une garantie indépendante. Importamment, ils ne se chevauchent pas : une solution qui livre un pilier ne livre pas automatiquement les autres.

• Calcul protégé : L’entrée, le traitement et la sortie restent tous protégés de bout en bout. Même l’opérateur qui exécute le calcul ne peut rien voir.

• Intégrité du calcul : Vérification cryptographique que le calcul correct a réellement été exécuté, même sur un matériel potentiellement hostile.

• Collaboration privée : Plusieurs parties calculent conjointement sur leurs données combinées sans que aucune partie révèle ses entrées aux autres.

Chaque pilier correspond à des besoins d’acheteur différents, à des piles technologiques différentes et à des dynamiques concurrentielles différentes. Aujourd’hui, nous nous concentrons sur les deux premiers : le calcul protégé et l’intégrité du calcul.

Le paradoxe de confidentialité de l’IA et le calcul protégé

L’IA a été un catalyseur majeur pour l’intérêt pour le calcul protégé. Les entreprises sont de plus en plus anxieuses quant aux données qu’elles partagent avec les fournisseurs de LLM, et la demande de déduction confidentielle augmente.

Mais il y a un paradoxe à noter. La même entreprise qui s’inquiète de l’envoi de transcriptions de clients à un fournisseur d’IA envoie volontiers des données de rémunération à ADP, achemine son pipeline vers Salesforce (CRM ) et remet des dossiers de patients à son fournisseur de dossiers électroniques de santé. La protection dans chaque cas est la même : un contrat avec des promesses de protection des données et des rapports de conformité. Aucune garantie cryptographique. Pourquoi les fournisseurs d’IA sont-ils traités différemment ?

Il y a de vraies raisons. La peur que les données soient utilisées pour la formation, absorbées dans les poids du modèle et puissent apparaître dans la sortie d’un autre client n’a pas d’équivalent dans le SaaS traditionnel. L’échange de valeur semble asymétrique, les entreprises percevant que leurs données pourraient améliorer le produit du fournisseur pour les concurrents. Et les régulateurs portent une attention particulière à la manipulation des données d’IA de manière qu’ils n’ont pas appliquée à la pile SaaS existante. Les fournisseurs d’IA ont commencé à conclure des contrats avec des protections similaires à celles des accords SaaS traditionnels, mais la vitesse d’adoption et la peur de l’« IA fantôme », où les employés utilisent des services d’IA qui ne sont pas sous contrat avec l’entreprise, ajoutent une urgence que la passation de marchés SaaS conventionnelle n’a pas récemment connue.

Que ces préoccupations soient entièrement rationnelles ou en partie motivées par la nouveauté de l’IA, elles créent une urgence réelle d’achat. La question la plus intéressante est de savoir si cette urgence reste confinée à l’IA ou se propage. Si les entreprises commencent à exiger une protection des données cryptographiques de leurs fournisseurs de LLM et réalisent ensuite l’incohérence logique de ne pas exiger cela de tous les autres, le marché adressable total pour le calcul protégé s’étend de manière spectaculaire au-delà de l’inférence d’IA.

FHE vs TEE pour le calcul protégé

Deux approches technologiques primaires concourent pour le calcul protégé, et elles représentent des modèles de confiance fondamentalement différents.

Les TEE tels que AMD SEV-SNP, Intel TDX et les GPU confidentiels de NVIDIA (NVDA ) sont le choix pragmatique d’aujourd’hui. Ils livrent un calcul protégé avec un minimum de surcharge de performance et sont déjà disponibles en tant qu’offres natives des principaux fournisseurs de cloud. L’hypothèse de confiance est dans le fournisseur de silicium et, dans une certaine mesure, dans le fournisseur de cloud qui exploite le matériel.

Le FHE adopte une approche purement mathématique. Les données restent chiffrées tout au long du calcul, et la garantie de sécurité ne dépend pas de la confiance dans un matériel ou un opérateur. Le compromis a historiquement été la performance : les opérations FHE ont été plusieurs ordres de grandeur plus lentes que le calcul en texte clair, limitant leur utilisation à des cas d’utilisation étroits.

Cet écart se réduit plus vite que beaucoup de gens ne le réalisent. L’accélération matérielle est un facteur de motivation majeur. Les cartes d’accélération FHE conçues à des fins spécifiques de Niobium livrent plusieurs ordres de grandeur d’amélioration par rapport au FHE en logiciel uniquement. Cornami, dont le scientifique en chef est Craig Gentry (largement crédité comme l’inventeur du FHE), a affirmé des « vitesses proches du texte clair » pour l’inférence LLM en utilisant le FHE, même si des benchmarks indépendants n’ont pas été publiés. Une autre entreprise a démontré une inférence LLM basée sur le FHE sur un modèle Llama 3 70b à des vitesses approchant les performances non chiffrées. Ces affirmations méritent un examen attentif, mais la trajectoire est claire : l’écart de performance qui a maintenu le FHE théorique se réduit rapidement.

Si le FHE devient suffisamment rapide pour les charges de travail de production, les implications sont profondes. Vous n’avez plus besoin de faire confiance au fournisseur de silicium, au fournisseur de cloud ou à quiconque ayant un accès physique au matériel. Votre garantie de sécurité devient mathématique, et non opérationnelle.

Pour les investisseurs, cela pose une question stratégique importante : pariez-vous sur le fait que la confiance dans le matériel deviendra plus fiable (le chemin TEE), ou sur le fait que les performances cryptographiques s’amélioreront suffisamment pour rendre les solutions basées uniquement sur les mathématiques pratiques (le chemin FHE) ? La majeure partie des revenus à court terme se trouve du côté des TEE. L’argument de défensibilité à long terme peut favoriser l’approche mathématique, du moins pour certains domaines de calcul.

Intégrité du calcul : Des menaces internes aux environnements adverses

L’intégrité du calcul répond à un problème différent : comment savoir que le calcul correct a réellement été exécuté ?

Dans des environnements contrôlés comme les centres de données d’entreprise et les clouds hyperscalers, les TEE gèrent cela de manière raisonnable. Les mécanismes d’attestation vous permettent de vérifier que le code attendu a été chargé dans un TEE authentique avant d’envoyer des données. Cela est précieux pour protéger contre les menaces internes, les infrastructures compromises ou les problèmes de déploiement. Pour la plupart des cas d’utilisation d’entreprise, l’attestation basée sur les TEE est suffisante.

Mais « suffisant » dépend de votre modèle de menace. Dans des environnements adverses, où vous n’avez pas le contrôle du matériel et où l’opérateur peut être activement hostile, les garanties des TEE se dégradent. Des recherches récentes ont démontré des attaques pratiques contre l’attestation des TEE à l’aide d’interposers matériels à faible coût, et les principaux fabricants de puces ont reconnu que les attaques physiques sortent de leur modèle de menace. Dans un centre de données bien géré avec une sécurité physique, ce risque résiduel est gérable. Sur un nœud inconnu dans un réseau de calcul décentralisé, il ne l’est pas.

C’est précisément pourquoi le monde Web3 a été le principal moteur de l’innovation en matière de preuve à connaissance nulle. Les preuves ZK offrent une certitude mathématique quant à l’intégrité du calcul, quel que soit l’environnement matériel. Si la preuve est vérifiée, le calcul était correct, que le calcul prouvé ait été effectué dans un environnement sécurisé ou dans le garage de quelqu’un.

Le rythme d’amélioration a été remarquable. Les zkVM polyvalents permettent désormais aux développeurs d’écrire un code Rust normal et de générer des preuves automatiquement, sans avoir à écrire des circuits cryptographiques à la main. Le SP1 Hypercube de Succinct prouve les blocs Ethereum en moins de 12 secondes sur 16 GPU. ZKsync rapporte plus de 21 millions de cycles par seconde sur un seul H100.

Pour les charges de travail d’IA spécifiques, zkML progresse mais reste coûteux. La preuve de l’inférence LLM est encore plusieurs milliers de fois plus lente que l’inférence elle-même. Les petits modèles comme les classifieurs et les modèles d’intégration sont sur le point d’atteindre une preuve ZK pratique, et la preuve de frontière LLM est probablement à deux ou trois ans. Un terrain d’entente intéressant est la « vérification optimiste », où les preuves sont générées uniquement lorsque les résultats sont contestés et non pour chaque calcul, réduisant ainsi considérablement le coût amorti.

Où cela mène-t-il

L’espace du calcul confidentiel est à un point d’inflexion. L’innovation se produit simultanément sur les TEE, le FHE et les ZK, chacun étant motivé par des communautés différentes avec des priorités différentes mais convergeant vers un ensemble partagé de problèmes.

La dynamique de ce que les acheteurs trouvent le plus urgent déterminera quelles approches gagnent du terrain en premier. Les entreprises axées sur la conformité réglementaire et la protection des données dans le cloud tireront probablement les solutions basées sur les TEE vers l’avant. La vague d’IA peut accélérer la demande de FHE si les performances continuent de s’améliorer. Les applications de calcul décentralisé et Web3 continueront à pousser la technologie ZK vers une applicabilité plus large.

Nous attendons également l’émergence d’architectures hybrides comme terrain d’entente pratique. Les TEE pour la confidentialité combinés avec des preuves ZK pour l’intégrité, par exemple, offrent une confidentialité forte avec une certitude mathématique sur la correction. Cette combinaison convient bien aux scénarios où l’environnement matériel est partiellement fiable mais pas entièrement contrôlé.

Ce cadre devient particulièrement pertinent autour du sommet du calcul confidentiel de la Linux Foundation à San Francisco la semaine dernière, où un thème central était de savoir si le calcul confidentiel peut servir de couche de sécurité pour rendre l’IA agente déployable à l’échelle de l’entreprise. À mesure que les organisations commencent à donner accès à des systèmes, des données et des flux de travail sensibles à des agents d’IA, les questions de calcul protégé, d’intégrité du calcul et de confiance vérifiable passent de discussions théoriques d’architecture à des exigences opérationnelles.

Pour les startups, les opportunités sont substantielles dans l’ensemble de la pile : rendre le calcul confidentiel basé sur les TEE plus facile pour les sociétés de SaaS à adopter, construire les outils qui amènent le FHE de la recherche à la production, créer l’infrastructure pour l’intégrité du calcul basée sur les ZK dans les contextes d’entreprise, et développer les couches de courtage de confiance et d’attestation qui se situent entre les clients et les fournisseurs de cloud. Nous continuons à étudier cet espace et sommes enthousiastes à l’idée de rencontrer les fondateurs. Différentes charges de travail, modèles de menace et régimes réglementaires exigent différentes combinaisons des trois piliers. Les entreprises qui gagneront seront celles qui choisiront un pilier, le résoudront de manière décisive et le rendront facile à adopter pour les entreprises.