🤖 AI

Secure Tool Manifest and Digital Signing Solution for Verifiable MCP and LLM Pipelines

Cet article propose un cadre de manifeste d'outils sécurisé et de signature numérique qui améliore les protocoles de contexte de modèle (MCP) en implémentant des manifestes signés cryptographiquement et des journaux de vérification transparents afin de garantir l'intégrité, la vérifiabilité et l'exécution sécurisée des pipelines de grands modèles de langage dans des domaines sensibles.

Auteurs originaux : Saeid Jamshidi, Kawser Wazed Nafi, Arghavan Moradi Dakhel, Foutse Khomh, Amin Nikanjam, Mohammad Adnan Hamdaqa

Publié 2026-02-02

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Saeid Jamshidi, Kawser Wazed Nafi, Arghavan Moradi Dakhel, Foutse Khomh, Amin Nikanjam, Mohammad Adnan Hamdaqa

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous dirigez une cuisine à haut risque où un chef exécutif très intelligent, mais parfois imprévisible (le Large Language Model ou LLM), prépare des plats complexes basés sur les commandes des clients. Ce chef peut utiliser divers outils — couteaux, fours, mixeurs (les outils externes) — pour accomplir sa tâche.

Le problème est que, dans la configuration actuelle, n'importe qui pourrait s'introduire dans la cuisine, remplacer la fiche de recette du chef par une fausse, ou le piéger pour qu'il utilise un couteau sale. Si le chef suit une mauvaise commande, la nourriture pourrait être empoisonnée, et personne ne saurait qui a donné l'ordre ni ce qui s'est réellement passé. C'est la vulnérabilité que le document traite.

Les auteurs proposent un nouveau système appelé le Secure Tool Manifest and Digital Signing Framework (Cadre de manifeste d'outils sécurisé et de signature numérique). Voici comment cela fonctionne, en utilisant des analogies simples :

1. La « Fiche de recette infalsifiable » (Le Manifeste)

Avant que le chef ne touche à l'outil, chaque requête doit être écrite sur une fiche de recette numérique spéciale appelée Manifeste.

L'analogie : Considérez cela comme une enveloppe officielle scellée. À l'intérieur, elle liste exactement ce que le chef est autorisé à faire.
La nuance : Le document sépare la « vue du client » (ce que l'utilisateur voit) de la « vue du chef » (les détails techniques internes). Cela empêche le client de divulger accidentellement (ou malicieusement) des secrets sur le fonctionnement de la cuisine.

2. Le « Tampon de notaire » (Signature numérique)

Avant même que le chef ne puisse consulter la fiche de recette, celle-ci doit être tamponnée par un Notaire de confiance (un Hardware Security Module ou HSM).

L'analogie : Imaginez un notaire qui vérifie la fiche de recette, vérifie les règles, puis la tamponne avec un sceau unique et infalsifiable en utilisant une encre spéciale (une signature numérique).
Le résultat : Si quelqu'un tente de modifier ne serait-ce qu'une seule lettre sur la fiche après l'application du tampon, l'encre s'étale, et la fiche est instantanément reconnue comme étant une contrefaçon. Le chef refuse alors de cuisiner.

3. Le « Registre public » (Journaux de transparence)

Chaque fois qu'une fiche de recette est tamponnée et utilisée, une copie du reçu est ajoutée à un grand livre public et immuable appelé Journal de transparence (utilisant ce qu'on appelle un Arbre de Merkle).

L'analogie : Considérez cela comme une blockchain ou un journal public que tout le monde peut lire mais que personne ne peut effacer ou modifier. Si vous voulez savoir ce que le chef a fait il y a cinq minutes, vous pouvez le consulter.
L'avantage : Si le chef fait quelque chose d'étrange, vous pouvez prouver exactement quand cela s'est produit et qui l'a autorisé. On ne peut pas cacher les preuves.

4. Le « Test de vitesse » (Scalabilité)

Les auteurs ont testé ce système avec jusqu'à 50 000 commandes (une quantité massive de cuisine).

Le constat : Ils ont constaté que l'ajout de commandes n'a pas ralenti la cuisine de manière désordonnée. Au contraire, le système est devenu plus rapide et plus efficace par commande, presque comme une machine bien huilée. Il a évolué de manière « linéaire », ce qui signifie que si vous doublez les commandes, le temps nécessaire double simplement (ce qui est attendu), mais il ne s'est pas enrayé ni n'a ralenti.
L'analogie : C'est comme une autoroute qui ajoute une nouvelle voie pour chaque tranche de 1 000 voitures, maintenant la circulation fluide même pendant les heures de pointe.

5. Le « Test d'équité » (Utilisation équilibrée)

Le système utilise trois types différents de chefs (GPT-4, LLaMA et DeepSeek).

Le constat : Le système a automatiquement équilibré le travail pour qu'aucun chef ne soit surchargé pendant que d'autres restaient inactifs. C'était comme un serveur intelligent qui distribue les tables équitablement entre tous les cuisiniers.
La sécurité : Cela empêche un acteur malveillant de submerger un seul chef pour provoquer un plantage (une attaque par déni de service).

6. L'« Auto-correction » (Gestion des erreurs)

Le système est conçu pour être en mode « fail-closed » (fermeture sécurisée en cas de défaillance).

L'analogie : Si une fiche de recette semble ne serait-ce qu'un peu suspecte, ou si l'horodatage est incorrect (comme une recette de l'année prochaine), le système verrouille immédiatement la porte et dit « Non ». Il ne prend aucun risque.
Le résultat : Il a rejeté avec succès toutes les commandes fausses ou défectueuses lors de leurs tests, tout en laissant passer les commandes valides.

Résumé

En résumé, ce document construit un garde de sécurité, un notaire et un enregistreur public pour les systèmes d'IA. Il garantit que lorsqu'une IA utilise des outils, elle suit un ensemble de règles vérifiées, signées et enregistrées. Il prouve que vous pouvez rendre les systèmes d'IA aussi sécurisés sans ralentir leur fonctionnement, même lorsque des milliers de personnes les utilisent simultanément.

Le document ne prétend pas que cela corrige la « pensée » de l'IA ou la rend plus intelligente ; il garantit seulement que les actions entreprises par l'IA sont sûres, traçables et impossibles à falsifier.

Résumé Technique : Solution de Manifeste d'Outils Sécurisé et de Signature Numérique pour des Pipelines MCP et LLM Vérifiables

1. Énoncé du Problème

Les modèles de langage étendus (LLM) sont de plus en plus déployés dans des domaines sensibles tels que la santé et la finance, pourtant leurs pipelines d'exécution restent vulnérables à la manipulation, à un comportement invérifiable et aux attaques adverses. Bien que le protocole Model Context Protocol (MCP) fournisse une base pour structurer les interactions entre les LLM et les outils externes, les implémentations existantes manquent souvent d'application vérifiable et de validation transparente des actions du modèle.

Les mécanismes de contrôle actuels définissent des politiques de conformité mais ne parviennent pas à prévenir :

L'invocation d'outils non vérifiée : Permettre l'appel d'outils sans preuve cryptographique d'autorisation.
La manipulation de prompts adverses : Des techniques telles que les attaques par Tool Invocation Prompt (TIP) qui détournent les flux d'exécution.
Un comportement d'exécution opaque : Absence de traces d'action déterministes et de versionnage explicite du contexte.
La concentration de clés et les canaux auxiliaires temporels : Risques découlant de la dominance des clés asymétriques et de la variance des horodatages qui peuvent divulguer des modèles de charge de travail.

Les solutions existantes, telles que l'attestation au runtime ou les approches basées sur des enclaves (ex: Scanclave), échouent souvent à traiter la nature probabiliste et pilotée par les outils des charges de travail des LLM ou ne passent pas à l'échelle pour des déploiements multi-modèles hétérogènes. Il existe un fossé critique dans la sécurité au niveau du système qui unifie la responsabilité cryptographique avec des pipelines d'exécution transparents et évolutifs.

2. Méthodologie

Les auteurs proposent un Cadre de Manifeste d'Outils Sécurisé et de Signature Numérique, une extension structurée du Model Context Protocol (MCP). Le cadre impose un pipeline en six étapes conçu pour assurer l'intégrité déterministe, la séparation des métadonnées et l'audit transparent.

Architecture Centrale

Le cadre opère via les étapes séquentielles suivantes :

Création du Manifeste : Chaque requête d'outil LLM est encapsulée dans un manifeste déterministe $M = (M_u, M_m, \tau)$ , où $M_u$ représente les paramètres côté utilisateur, $M_m$ les entrées côté modèle, et $\tau$ un horodatage de fraîcheur. Cette structure impose une séparation du flux d'informations pour prévenir les fuites.
Application de la Politique et Signature : Avant l'exécution, le manifeste est évalué par rapport à des règles de conformité déterministes $C(M)$ . Si conforme, une signature numérique $\sigma$ est générée à l'aide d'un module de sécurité matériel (HSM) et du hachage du manifeste.
Vérification : Le système vérifie la signature et la conformité de la politique. Seuls les manifestes possédant des signatures valides et passant les contrôles de politique procèdent à l'exécution.
Journalisation de Transparence : Les manifestes validés sont ajoutés à un journal de transparence immuable intégré via un arbre de Merkle. Cela garantit l'intégrité vers l'avant et permet des preuves d'inclusion efficaces.
Exportation d'Audit : Le système génère des tuples de preuves compacts et cryptographiquement vérifiables contenant la latence d'exécution, la latence de vérification et des références à la racine de Merkle.
Collecte de Métriques : Les métriques temporelles et les surcoûts de sécurité sont suivis pour analyser l'évolutivité et les compromis.

Modèle de Menace

Le système suppose un adversaire à temps polynomial probabiliste (PPT) capable d'intercepter les communications, d'injecter des charges utiles et de rejouer des manifestes. Cependant, l'adversaire ne peut compromettre les primitives cryptographiques sous-jacentes (hachage résistant aux collisions, signatures EUF-CMA) ni l'HSM. Le cadre borne mathématiquement la probabilité de succès des attaques (falsification, rejeu, altération) à des niveaux négligeables ( $negl(\lambda)$ ).

Implémentation Algorithmique

La méthodologie est opérationnalisée par trois algorithmes interdépendants :

Algorithme 1 (Création de Manifeste et Signature) : Construit le manifeste canonique, le hache, applique les règles de politique et signe le condensat.
Algorithme 2 (Vérification et Journalisation) : Valide les signatures, ajoute les entrées au journal Merkle et met à jour la racine de hachage.
Algorithme 3 (Audit et Métriques) : Calcule les latences d'exécution et de vérification, génère les condensats de sortie et exporte les preuves pour les auditeurs externes.

3. Contributions Clés

Le papier présente trois contributions principales :

Conception du Cadre : Un nouveau cadre de manifeste d'outils sécurisé et de signature numérique qui définit un format de manifeste signé cryptographiquement pour l'exécution compatible MCP des LLM. Il assure l'intégrité du manifeste, impose la séparation des métadonnées et instaure la confiance dans les pipelines d'exécution.
Méthodologie d'Évaluation : Un pipeline à double perspective combinant les mesures de performance et de sécurité pour évaluer systématiquement les compromis à grande échelle. Cela fournit une base reproductible pour les études futures sur les infrastructures de LLM sécurisées.
Perspectives au Niveau du Système : La première analyse comparative de l'exécution sécurisée à travers différents LLM (GPT-4-turbo, LLaMA-3.5 et DeepSeek-V3). L'étude identifie et quantifie les vulnérabilités telles que la dominance des clés asymétriques et la variance des horodatages, offrant des conseils exploitables pour un déploiement résilient.

4. Résultats Expérimentaux

Le cadre a été évalué sur des charges de travail allant de 100 à 50 000 instances de manifestes en utilisant trois LLM représentatifs.

Évolutivité (Scalability)

Évolutivité Quasi-Linéaire : Le système démontre une évolutivité quasi parfaite linéaire avec un ajustement de régression de $R^2 = 0,998$ . La complexité computationnelle converge vers $O(\log N)$ pour la journalisation et $O(1)$ pour la signature/vérification par requête.
Surcoût (Overhead) : Le surcoût de sécurité normalisé reste inférieur à 5 % ( $\delta < 0,05$ ) à toutes les échelles, confirmant que l'application cryptographique ne dégrade pas significativement les performances.

Équité et Distribution

Utilisation des Modèles : L'utilisation des modèles a convergé vers une distribution équilibrée d'environ 33 % par modèle (GPT-4-turbo, LLaMA-3.5, DeepSeek-V3), avec un indice d'équité $F = 0,97$ .
Utilisation des Clés : L'étude a identifié une vulnérabilité où une seule clé (dev-k1) dominait l'utilisation (80 % à l'échelle), soulignant la nécessité de stratégies de rotation de clés adaptatives.
Application de la Sévérité : Le système a montré une application adaptative, les résultats "warn" (avertissement) et "block" (blocage) augmentant proportionnellement au stress adversarial, démontant un mécanisme de rétroaction contrôlé.

Vérification et Fiabilité

Précision : Le cadre a atteint un taux de succès de vérification moyen de 80 % pour les exécutions valides tout en rejetant systématiquement les manifestes invalides ou falsifiés.
Stabilité de la Latence : La latence de vérification est restée bornée (médiane de 1,9 ms pour GPT-4-turbo) avec une faible variance, empêissant l'inférence par canal auxiliaire temporel.
Comportement d'Erreur : Bien que le nombre absolu d'erreurs ait augmenté de manière superlinéaire en raison de défaillances spécifiques de révocation, la densité d'erreur normalisée s'est stabilisée de manière asymptotique ( $\rho_E \to 0,15$ ), indiquant que le système ne souffre pas de risque de vérification cumulatif.

5. Signification et Revendications

Le papier affirme que le cadre proposé comble avec succès le fossé entre la recherche sur la sécurité centrée sur le modèle et la sécurité de l'exécution au niveau du système. Sa signification réside dans :

Opérationnalisation de la Responsabilité : Contrairement aux travaux précédents qui se concentrent sur l'analyse forensique post-hoc ou l'attestation isolée d'enclave, ce cadre intègre une application cryptographique proactive et une journalisation de transparence en temps réel directement dans le pipeline d'exécution.
Confiance Évolutive : En démontrant une évolutivité quasi linéaire et un surcoût limité, la solution prouve que les mécanismes cryptographiques de haute assurance (signature, journalisation Merkle) peuvent coexister avec les exigences de faible latence des déploiements de LLM réglementés.
Formalisation Mathématique : Le travail fournit une enveloppe de stabilité formelle où le comportement empirique (latence, équité, taux d'erreur) converge avec les limites cryptographiques théoriques, offrant une approche mathématiquement fondée pour une IA de confiance.

Les auteurs concluent que leur cadre établit une fondation pour des pipelines de LLM vérifiables, auditables et équitables, essentiels pour les domaines critiques où même de mineures erreurs d'exécution ou violations de politique peuvent entraîner de graves conséquences en matière de conformité et de sécurité.