Jonathan Mortensen, Fondateur et PDG de Confident Security – Série d’entretiens

Jonathan Mortensen, Fondateur et PDG de Confident Security, dirige actuellement le développement de systèmes d’IA à preuve privée pour les industries ayant des exigences de sécurité et de conformité strictes. Il est également Fellow Fondateur de South Park Commons, où il explore l’avenir de l’informatique, de la mémoire, de la vie privée et de la propriété d’IA. Avant de lancer Confident Security, il était ingénieur logiciel principal chez Databricks, où il a intégré la technologie de bit.io à sa plate-forme de données, en mettant l’accent sur la sécurité multi-locataire, les IAM/ACL, l’isolement VPC, le cryptage et la propriété des données. Plus tôt, il a fondé et occupé le poste de CTO de bit.io, où il a construit un service PostgreSQL serveurless multi-nuage et multi-région qui a pris en charge des centaines de milliers de bases de données sécurisées et a été plus tard acquis par Databricks.

Confident Security construit des infrastructures qui permettent aux entreprises d’exécuter des flux de travail d’IA sans exposer d’informations sensibles. Sa plate-forme est conçue de telle sorte que les invites, les données et les sorties de modèle restent entièrement privées, ne sont jamais enregistrées et ne sont jamais réutilisées, offrant ainsi aux organisations un moyen sécurisé d’adopter l’IA tout en respectant les normes réglementaires et de conformité strictes.

Vous avez fondé Confident Security en 2024 après avoir construit bit.io et travaillé chez Databricks. Qu’est-ce qui a déclenché la réalisation que l’IA nécessitait une approche fondamentalement différente de la vie privée ?

Mon expérience dans la construction d’infrastructures de données m’a appris ceci : si les gens insèrent des informations sensibles dans un système, la confiance ne suffit pas. Ils ont besoin de preuves. Nous avons construit des infrastructures où les clients possédaient leurs données, et nous leur avons donné des moyens de valider cela.

Lorsque j’ai regardé comment les entreprises utilisaient les LLM, ces preuves n’existaient pas. Les employés collaient du code source, des documents juridiques et des dossiers de patients dans des modèles exécutés par des tiers qu’ils ne pouvaient pas vérifier. Nous avons déjà vu des conversations privées indexées par erreur en ligne et des changements de politique qui ont soudainement rendu les conversations des données de formation par défaut. Cela montre à quel point le modèle de confidentialité actuel est fragile.

Si l’IA doit gérer les informations les plus sensibles du monde, nous avons besoin de garanties qui ne dépendent pas de la confiance en les promesses internes d’un fournisseur. C’est ce qui m’a poussé à lancer Confident Security.

OpenPCC est décrit comme le “Signal pour l’IA”. Pourquoi était-il important que cette couche de confidentialité soit ouverte, attestable et interopérable dès le premier jour ?

Le cryptage de bout en bout n’a pris son essor que lorsqu’il est devenu une norme que tout le monde pouvait adopter. Nous voulons la même chose pour la confidentialité de l’IA. Si seules quelques entreprises peuvent offrir de véritables garanties, alors la confidentialité ne sera pas rentable.

OpenPCC est open source sous Apache 2.0, donc n’importe qui peut construire dessus ou l’inspecter. Il n’y a pas de exigence de confiance secrète. L’attestation matérielle fournit une preuve cryptographique sur ce qui est exécuté et où. Et nous nous sommes assurés qu’il fonctionne partout : n’importe quel nuage, n’importe quel fournisseur de modèles, n’importe quelle pile de développement.

Il y a une grande valeur dans un plancher de confidentialité qui est cohérent et universel. Si vous utilisez OpenPCC, vous savez que vos données ne sont pas visibles pour les fournisseurs de modèles, les régulateurs ou même nous. Une norme ne fonctionne que si l’ensemble de l’écosystème peut y participer, nous l’avons donc conçue pour être aussi inclusive que possible dès le premier jour.

Avant Confident Security, vous avez construit de grands systèmes pour la multi-locataire, le cryptage et la propriété des données. Comment ces expériences ont-elles façonné l’architecture d’OpenPCC ?

Ces systèmes m’ont rappelé deux vérités : si un système peut conserver des données, il le fera éventuellement, que ce soit par le biais de journaux, de mauvaises configurations ou de demandes légales. Et la confiance n’est pas un modèle de confidentialité. Les utilisateurs ont besoin de visibilité et de contrôle.

OpenPCC fonctionne en mode sans état, donc les invites disparaissent après le traitement. L’attestation permet aux utilisateurs de vérifier où vont leurs données et quel code est exécuté. Et en isolant le contrôle des données, OpenPCC empêche les entrées privées d’être jamais traitées comme des instructions exécutables.

Ces contraintes sont ce que les entreprises attendent : des garanties que les données ne réapparaîtront pas quelque part de manière inattendue.

Vous avez soutenu que la plupart des solutions “d’IA privée” reposent sur la confiance en des systèmes opaques. Pourquoi la vérification indépendante est-elle essentielle pour une véritable confidentialité ?

La plupart du langage de confidentialité aujourd’hui est essentiellement “faites-nous confiance”. Ce n’est pas suffisant lorsque les enjeux incluent la sécurité nationale et les données de soins de santé réglementées. Si l’utilisateur ne peut pas vérifier l’affirmation, ce n’est pas une garantie – c’est du marketing.

La confidentialité vérifiable est différente. Vous ne faites pas confiance aux intentions de l’opérateur. Vous validez le matériel, l’image logicielle et les garanties de traitement des données. La cryptographie impose les limites. Les journaux n’existent pas pour que quelqu’un puisse les divulguer par accident ou les convoquer.

Lorsque la confidentialité est auditable par l’utilisateur, vous créez un système fondamentalement plus sûr. C’est une responsabilité enracinée dans les mathématiques.

L’annonce “Private AI” de Google est arrivée peu de temps après OpenPCC. Vous avez publiquement défié Google de fournir un TPU pour des tests indépendants. Qu’est-ce qui a motivé cet appel, et qu’attendriez-vous de trouver ?

Pour revendiquer des garanties de confidentialité, vous devriez laisser la communauté les valider. NVIDIA permet déjà une vérification externe sur ses GPU H100, et nous avons même open source une version Go de leur bibliothèque d’attestation pour encourager l’adoption.

Si Google veut faire des promesses similaires sur les TPU, nous devrions être en mesure de mesurer et de vérifier ces promesses, et non simplement de les lire dans un billet de blog. Nous rechercherions les mêmes contrôles que nous attendons de tout système de confidentialité : des limites de rétention de données strictes, une attestation auditable et aucun chemin secret où les journaux ou les télémesures peuvent s’échapper. Les allégations de confidentialité doivent résister à l’examen.

Pour les lecteurs qui ne sont pas familiers avec les mécanismes, qu’est-ce qui rend les canaux entièrement cryptés d’OpenPCC différents du cryptage traditionnel côté client ou de l’informatique confidentielle ?

Le cryptage côté client protège les données sur le chemin, et l’informatique confidentielle les protège pendant leur traitement, mais il y a encore des lacunes avant et après où les opérateurs ou les attaquants peuvent accéder à des informations sensibles.

OpenPCC ferme ces lacunes. Il crée un chemin scellé de bout en bout entre le client et le modèle qui protège l’invite, la réponse, l’identité de l’utilisateur et même les métadonnées ou les signaux de temporisation qui peuvent révéler discrètement l’intention. Les opérateurs ne peuvent pas déchiffrer quoi que ce soit. Rien n’est enregistré ou conservé, même en cas de violation.

La confidentialité ne devrait pas dépendre de l’espoir que le fournisseur fasse ce qu’il faut derrière la scène. Elle doit être imposée cryptographiquement.

Comment la confidentialité vérifiable change-t-elle l’équation pour les industries réglementées comme la finance, les soins de santé et la défense ?

Les industries réglementées ont le plus à gagner de l’IA, mais aussi le plus à perdre si quelque chose fuit. Aujourd’hui, 78 % des employés collent des données internes dans des outils d’IA, et un cas sur cinq inclut des informations réglementées comme les PHI ou les PCI. L’exposition est déjà en cours.

La confidentialité vérifiable supprime le plus grand obstacle. Les invites sensibles n’existent jamais en texte clair dans l’environnement d’un fournisseur de modèles. Rien ne peut être utilisé pour la formation. Même les demandes légales ne peuvent pas accéder à ce que le système lui-même ne peut pas voir.

Les équipes de risque et de conformité ont enfin un chemin où “oui” devient la valeur par défaut au lieu de “non”.

Quels ont été les plus grands défis d’ingénierie dans la conception d’une couche de confidentialité agnostique du nuage qui fonctionne sur n’importe quelle pile d’entreprise ?

L’informatique confidentielle et l’attestation à distance est encore dans son enfance, à mon avis. Chaque fournisseur de nuage et chaque fournisseur de métal nu fait quelque chose de légèrement différent. Certains fournisseurs, comme AWS, n’ont même pas le matériel nécessaire pour le faire. Donc, chaque fonctionnalité que nous ajoutons est comme 1000 coups et marcher sur une corde raide. Mais le but est de devenir une norme ouverte, nous devons donc le faire de manière à ce que cela fonctionne pour n’importe quelle nuage. C’est open source, donc j’encourage les gens à ajouter encore plus de plateformes et de configurations prises en charge !

Quelle est la vision d’un monde avec un cryptage vérifiable par défaut, et comment pourrait-il reconfigurer l’équilibre des pouvoirs entre les entreprises, les fournisseurs de nuage et les fournisseurs de modèles ?

Les entreprises conservent le contrôle de leur actif le plus précieux : leurs données. Les fournisseurs de modèles concourent sur les performances et le coût plutôt que sur qui peut accumuler le plus d’informations propriétaires. Les nuages permettent la confidentialité au lieu d’être des observateurs silencieux de celle-ci.

C’est un équilibre des pouvoirs plus sain. Et l’ensemble de l’écosystème gagne lorsque la sécurité est intégrée à la base au lieu d’être corrigée par-dessus.

Dans un avenir où l’IA devient omniprésente et fortement réglementée, comment voyez-vous la confidentialité vérifiable reconfigurer le paysage concurrentiel pour les entreprises, les fournisseurs de nuage et les développeurs de modèles ?

Les régulateurs remettent déjà en question la façon dont les données des utilisateurs sont stockées et utilisées. La confidentialité basée sur la confiance ne les satisfera pas longtemps. Les utilisateurs s’attendent à des garanties de confidentialité de la même manière qu’ils s’attendent au cryptage dans les applications de messagerie aujourd’hui.

Les gagnants seront les entreprises qui ne demandent pas aux utilisateurs de compromettre. Si vous pouvez prouver la confidentialité, vous gagnez la confiance des organisations qui ont les données les plus précieuses du monde. Les données deviennent utilisables dans des endroits où elles étaient verrouillées.

Je vous remercie pour cette grande interview, les lecteurs qui souhaitent en savoir plus peuvent visiter Confident Security.