Les entreprises régulées rencontraient souvent un mur au moment du passage des projets d’intelligence artificielle de l’expérimentation à la production. Ce blocage venait de l’incapacité des méthodes de chiffrement traditionnelles à protéger les données une fois qu’elles étaient en cours d’utilisation. Les Confidential Containers (CoCo) viennent combler ce vide, en ancrant la sécurité directement dans l’exécution des workloads.
Le risque de voir fuiter des données sensibles ou la propriété intellectuelle d’un modèle en action était devenu l’un des problèmes de sécurité les plus ardus du secteur de l’IA. Car si le chiffrement protège les données au repos et en transit, dès qu’un modèle commence à traiter des informations confidentielles, cette protection s’effondre. Pour les équipes qui construisent et déploient leurs systèmes sur Kubernetes, la solution devait s’intégrer à l’échelle du pod, et non seulement au niveau de la machine virtuelle.
CoCo répond à ce besoin en enveloppant chaque pod dans une machine virtuelle légère et confidentielle. Ces environnements utilisent des Trusted Execution Environments (TEE) sur des processeurs et des GPU dédiés, assurant que le matériel chiffre et protège l’intégralité de la mémoire. On ne parle plus ici d’une simple isolation de voisinage ; le noyau du système d’exploitation hôte, l’hyperviseur, et l’opérateur de l’infrastructure sont exclus de la zone de confiance.
Kata Containers, un projet open source antérieur, permettait déjà d’isoler chaque pod dans sa propre VM légère, bloquant les tentatives d’évasion au niveau de la frontière de virtualisation. Toutefois, même avec Kata, l’administrateur du nœud pouvait potentiellement lire la mémoire du pod. C’est là que CoCo prend le relais, en étendant cette protection au-delà des limites du conteneur pour englober l’infrastructure elle-même.
L’ajout d’une couche de confiance vérifiable
Fortanix vient ajouter une couche de confiance vérifiable à cette architecture. Sa plateforme permet de connecter l’attestation des workloads Kubernetes au processus de libération des clés de chiffrement. Un pod ne peut déchiffrer un modèle ou une donnée sensible que si son environnement a passé l’audit de sécurité. Pour cela, la plateforme vérifie chaque pod, jusqu’au niveau du CPU et du GPU, via une attestation composite. Seuls les workloads validés reçoivent les clés, stockées dans un HSM certifié FIPS 140-2 Niveau 3.
Ce mécanisme est particulièrement puissant pour les environnements où l’on ne contrôle pas entièrement l’infrastructure, comme un cloud public ou un cluster partagé. D’après les informations fournies par Fortanix, le processus inclut l’extraction et le déballage des images à l’intérieur de la VM confidentielle, garantissant que l’opérateur de l’infrastructure ne touche jamais au contenu. L’intégration avec les GPU de NVIDIA est également couverte : les modèles Hopper (H100, H200) et Blackwell (B200) peuvent tourner en mode confidentiel, protégeant ainsi les poids et les données au niveau de la mémoire graphique.
Les choix d’implémentation et les limites
Le déploiement est gérable sous plusieurs formes : en SaaS, sur site ou même en mode air-gapped. Fortanix affirme que son support pour CoCo permet aux équipes d’adopter cette technologie complexe sans avoir à bâtir le socle de confiance elles-mêmes, comme l’a mentionné Anuj Jaiswal, directeur produit chez Fortanix. La plateforme utilise des services comme le Confidential Computing Manager (CCM) pour vérifier l’environnement et le Data Security Manager (DSM) pour libérer les clés uniquement après vérification.
La confiance ne se limite pas au matériel. Les composants du guest, tels que le noyau et les processus auxiliaires, doivent également être inclus dans le périmètre de confiance. Par ailleurs, l’attestation ne garantit pas que l’application IA traite les données en toute sécurité ; elle ne certifie que l’intégrité de l’environnement d’exécution. Les composants open source de CoCo, comme Trustee, distinguent l’évaluation des preuves de l’autorisation des ressources, mais une attestation concluante exige toujours la validation de la politique d’autorisation.
Sources
- Confidential AI at Container Speed, fortanix.com
- Kubernetes Confidential Containers Get Fortanix Attestation and Key Management, InfoQ, 31 octobre 2026
- Kubernetes just formed a workload conformance group. Here’s why it matters for AI teams., The New Stack, 30 octobre 2026
Crédits photo
- Image en une : Hardware interno de servidor data center HostDime, par EditorTech20, CC BY 4.0, via Wikimedia Commons (recadrée)
- Image dans l’article : Bacloud.com data center 2, par Fleshas, CC BY-SA 4.0, via Wikimedia Commons (recadrée)
