Quand le laboratoire détient l'attestation, qui répond de ce qui a tourné ?
Ce qui s'est passé
Le 13 octobre, Opaque Systems a annoncé que son équipe se joignait à Anthropic et que l'entreprise cessait ses activités. Les seuls mots d'Anthropic sur le sujet, donnés à The Information, sont qu'elle acquiert une licence sur la technologie d'Opaque et embauche certains de ses ingénieurs. Aucune condition, aucun effectif, aucune raison. Dans les deux semaines qui ont suivi, la salle de presse d'Anthropic a publié huit billets et un document d'enregistrement public, et aucun ne mentionne l'entente.
Opaque était l'acteur indépendant le plus visible de l'IA confidentielle : une série B à environ 300 millions de dollars américains en valeur post-financement en février, 55,5 millions de dollars américains levés au total, une plateforme qui exécutait des modèles et des agents dans des enclaves matérielles avec application des politiques, et TRACE, la norme de preuve d'exécution qu'elle avait portée à la Fondation Linux en août avec AMD, Intel, Microsoft et TII. La plateforme a disparu. La norme est désormais maintenue par des bénévoles.
Pourquoi, selon des gens qui n'étaient pas dans la pièce
Personne parmi ceux qui ont écrit sur l'entente ne prétend savoir pourquoi elle a été conclue. La lecture la plus répétée, selon laquelle Anthropic veut vendre Claude aux secteurs réglementés, remonte surtout à une seule note d'analyste et s'appuie sur la liste de clients d'Opaque plutôt que sur quoi que ce soit qu'Anthropic ait dit. Les lectures les moins reprises mais les mieux étayées pointent vers les propres documents d'Anthropic : une conception de 2025 pour l'inférence confidentielle rédigée autour de la protection des poids du modèle, une politique de mise à l'échelle qui admet que son niveau le plus élevé de sécurité des poids n'est pas encore atteignable, et sa paternité du Model Context Protocol, pour lequel Opaque avait construit ce qu'elle décrivait comme la seule passerelle à gouvernance vérifiable.
Les deux lectures aboutissent au même endroit : l'exécution attestée de Claude sur du matériel qu'Anthropic ne contrôle pas. Que cela serve d'abord les obligations de sécurité du laboratoire lui-même ou d'abord ses clients souverains et réglementés, Anthropic ne l'a pas dit, et je ne reprendrais ni l'une ni l'autre version comme un fait.
Ce sur quoi les commentaires s'accordent
Le signal utile dans deux semaines de couverture n'est aucune lecture particulière du motif. C'est une convergence. Trois commentateurs qui ne se citent pas les uns les autres sont arrivés à la même observation.
« la partie contrôlée détient désormais une part du contrôle. »
Les entreprises qui utilisaient les outils ouverts d'Opaque comme contrôle indépendant se retrouvent avec un vérificateur et un vérifié qui sont la même société.
L'attestation montre qu'un logiciel approuvé a tourné, pas qu'il est bien conçu ; intégrer le fournisseur dans la pile d'un seul laboratoire réduit son indépendance, et la disponibilité des projets ouverts « n'équivaut pas à leur maintenance. »
Une quatrième voix a dit quelque chose d'adjacent la même semaine sans nommer l'entente. Une note de recherche de la Cloud Security Alliance du 17 octobre, portant sur le programme d'évaluateurs indépendants intégrés d'Anthropic, observe que les régimes d'assurance matures « associent des règles d'indépendance à une partie externe qui inspecte les évaluateurs ». Personne n'a encore appliqué cette phrase par écrit à une couche d'attestation exploitée par un laboratoire. Elle s'applique. C'est la même objection structurelle qui rend le réviseur et le révisé un couplage inacceptable dans toute autre discipline d'assurance, et la raison pour laquelle nous défendons la séparation de l'exécutant et du prouveur plutôt que le durcissement de l'exécutant.
Le contrepoint mérite un poids égal. Arjun Jaggi, de Cognizant, cité dans le même article de The New Stack, soutient que les ressources d'Anthropic peuvent transformer la recherche d'Opaque en outillage de qualité production plus vite qu'une jeune pousse ne l'aurait jamais pu. Il a raison. Les deux camps ont raison sur des choses différentes : l'attestation va s'améliorer, et elle sera rédigée par l'exploitant.
Ce que les fournisseurs ont fait au lieu de commenter
Aucun fournisseur d'IA confidentielle n'a publié un mot sur l'entente. Trois d'entre eux ont livré. NEAR AI a formulé l'objectif de conception sans détour le 22 octobre :
Fortanix a étendu son IA confidentielle aux Confidential Containers de la CNCF les 18 et 19 octobre, afin qu'une entreprise puisse exécuter le modèle propriétaire d'un grand laboratoire sur son propre matériel attesté, sur site ou en réseau isolé, avec vingt-trois partenaires nommés dont NVIDIA, AMD, Intel et TII. Tinfoil, le 25 octobre, a remplacé environ un million de lignes de microcode d'amorçage par trois cents lignes, pour qu'une seule mesure matérielle couvre toute la chaîne de démarrage.
Le motif est clair et c'est la bonne réponse de l'intérieur de la catégorie attestation : éloigner la racine de confiance du fournisseur de modèle, vers le fondeur et vers le client. C'est une amélioration par rapport à « faites confiance au laboratoire ». Il reste deux choses que l'attestation ne peut pas faire. Sa racine demeure le fondeur et l'intégrité physique de la machine, et des attaques physiques sur la mémoire ont permis de forger des attestations sur les plateformes Intel, AMD et NVIDIA actuelles. Et elle ne vous dit pas si les nombres qui sont sortis correspondaient à la référence du modèle : dans des tests indépendants cette année, des fournisseurs servant les mêmes poids ouverts ont divergé largement, et aucune de leurs API ne le signalait. Nous avons exposé les deux modes de défaillance côte à côte dans attestation matérielle contre réexécution indépendante (en anglais).
Trois questions à poser à toute preuve d'une exécution d'IA
Si c'est vous qui devez démontrer à un validateur, à un auditeur ou à un examinateur ce que votre IA a fait, l'entente ne change rien aux questions et beaucoup à l'identité de qui y répond.
- Qui a produit la preuve ? Si c'est la partie qui a exécuté le modèle, aussi bon que soit son matériel, il s'agit d'une auto-déclaration munie d'une signature.
- Quelle est sa racine de confiance ? L'attestation par démarrage mesuré lie le modèle et le code chargés. Sa racine est le fondeur et l'intégrité de la machine sur laquelle l'exécution a eu lieu.
- Que reste-t-il valable si l'exploitant a un accès physique ? Seulement un contrôle fait de l'extérieur, par une partie qui n'a pas exécuté la tâche.
L'attestation répond bien aux deux premières, et un déploiement confidentiel de Google, Cohere, OpenAI ou Anthropic y répondra mieux l'an prochain que cette année. La troisième est une signature différente avec une racine de confiance différente, et c'est elle qui rend les deux autres vérifiables de façon indépendante plutôt que simplement attestées. Pour les institutions financières canadiennes, la question n'a rien d'abstrait : la ligne directrice E-23 du BSIF vise les modèles obtenus de tiers à compter du 1er mai 2027, et un validateur devra déposer quelque chose.
La précision compte ici. L'attestation matérielle lie bel et bien le modèle et le code qui ont été chargés ; la lacune n'est pas « elle atteste l'environnement, pas le modèle ». La lacune, c'est sur la racine de confiance de qui repose la preuve, et ce qui survit à un exploitant disposant d'un accès physique à la machine.
Ce que nous faisons
Cyberian Systems émet des reçus cryptographiques qui prouvent quel modèle d'IA a tourné sur quelle entrée. Le reçu est signé par un vérificateur indépendant qui refait le contrôle et qui n'a jamais servi la requête, de sorte que la preuve ne vient pas de l'exploitant. Disponible aujourd'hui pour les plongements issus de modèles à poids ouverts sur des GPU infonuagiques ordinaires, avec la possibilité d'apporter votre propre modèle ; la vérification de la génération de texte est en recherche. La note d'ingénierie sur ce qu'un reçu prouve, et ce qu'il ne prouve pas (en anglais) établit la limite exacte de l'affirmation.
L'informatique confidentielle cache vos données à l'exploitant et atteste le modèle et le code chargés. Nous ajoutons le seul contrôle qui tient encore quand l'exploitant a un accès physique : une revérification indépendante du résultat.
Si vous devez répondre d'un système d'IA devant un régulateur, écrivez-nous et nous verrons ensemble ce qu'un reçu couvrirait dans votre cas.
Sources
- Opaque Systems, « From Berkeley research to the future of AI: Opaque's next chapter », 13 octobre 2026. opaque.co
- The New Stack, « Anthropic's Opaque deal and confidential computing », 15 octobre 2026, avec la déclaration d'Anthropic à The Information, Michael Heinrich (0G Labs) et Arjun Jaggi (Cognizant). thenewstack.io
- Constellation Research, 13 octobre 2026. constellationr.com
- Rajesh Beri, The DAILY Brief, 14 octobre 2026. beri.net
- LetsDataScience, relayant AIGovernance.com, 20 octobre 2026. letsdatascience.com
- remio.ai, 21 octobre 2026. remio.ai
- Note de recherche de la Cloud Security Alliance sur les évaluateurs indépendants intégrés, 17 octobre 2026. cloudsecurityalliance.org
- NEAR AI, « Zero data retention isn't enough », 22 octobre 2026. near.ai
- Fortanix Confidential AI sur les Confidential Containers de la CNCF, 18 et 19 octobre 2026. itweb.co.za
- Tinfoil, « Less is more », 25 octobre 2026. tinfoil.sh
- Anthropic, « Confidential inference via trusted virtual machines », 18 juin 2025. anthropic.com
- Anthropic, Responsible Scaling Policy v3, 24 février 2026. anthropic.com
- Pulse 2.0, série B d'Opaque, 12 février 2026. pulse2.com
- Fondation Linux, annonce de TRACE, 25 août 2026. linuxfoundation.org
- Ligne directrice E-23 du BSIF, Gestion du risque de modèle, en vigueur le 1er mai 2027.