Hardware-rooted attestation for AI-agent evidence: composing IETF RATS with action evidence packages

Le Mystère de la Boîte Noire Numérique

Imaginez que vous essayez de résoudre un mystère, mais que le seul témoin est le suspect lui-même. Dans le monde de l'intelligence artificielle, nous construisons des « agents » — des programmes informatiques intelligents capables de prendre des décisions, d'écrire du code ou même de contrôler des robots. Pour s'assurer que ces agents restent honnêtes, nous avons besoin d'un moyen de vérifier leur travail. Actuellement, nous nous appuyons sur un « journal de bord » numérique que l'agent écrit lui-même. Il dit : « J'ai fait ceci, j'en avais l'autorisation, et voici le résultat. » C'est utile, mais cela présente une faille fatale : si l'agent ment, ou si un pirate rusé a remplacé le cerveau de l'agent par un autre, le journal de bord aura toujours l'air parfait. C'est comme si un criminel écrivait dans son journal : « Je n'ai pas volé le biscuit », tout en tenant le biscuit dans sa main. Le journal est signé et scellé, mais cela ne prouve pas qui l'a réellement écrit ni quel ordinateur était en train de fonctionner.

Pour résoudre ce problème, nous avons besoin d'un enregistreur de type « boîte noire », semblable à ceux que l'on trouve dans les avions. Ces dispositifs sont construits par un tiers, scellés hermétiquement, et enregistrent des données que le pilote (ou l'opérateur de l'ordinateur) ne peut pas falsifier. Dans le monde de l'informatique, on appelle cela l'« attestation matérielle » (hardware attestation). C'est une façon pour une puce spéciale et de confiance située à l'intérieur de l'ordinateur de murmurer un secret à un inspecteur extérieur, en disant : « Je promets que le logiciel qui s'exécute en ce moment est exactement celui que le propriétaire prétend être. » La grande question que les scientifiques se posent est la suivante : comment combiner l'histoire de l'agent (le journal de bord) avec cette preuve matérielle inviolable (la boîte noire) pour créer une vérité unique et indéniable ?

Le Journal de Bord et l'Enregistreur Scellé

Ce document propose une manière ingénieuse de lier ces deux éléments. L'auteur, Anton Sokolov, suggère que nous ne devrions pas simplement faire confiance au journal de bord de l'IA, ni simplement faire confiance au matériel. Au contraire, nous devrions les « recoudre » ensemble pour qu'ils ne puissent plus être séparés.

Imaginez une équipe de bord essayant d'expliquer un atterrissage difficile.

1. Le Journal de Bord (l'AEP) : Il s'agit du « Paquet de Preuves d'Action » (Action Evidence Package). C'est le rapport écrit de l'équipage : « Nous avons reçu l'autorisation d'atterrir de la tour de contrôle, nous avons utilisé la piste de gauche et nous avons touché le sol en toute sécurité. » C'est détaillé et signé, mais ce ne sont que des mots écrits par l'équipage.
2. La Boîte Noire (les preuves RATS) : C'est la preuve matérielle. C'est un enregistreur scellé qui dit : « À cet instant précis, l'ordinateur de l'avion exécutait la Version 1.0 du logiciel d'atterrissage, et les moteurs étaient à pleine puissance. » Le pilote ne peut pas modifier cela ; c'est un fait physique enregistré par les propres capteurs de l'avion.

Le document soutient que le journal de bord seul ne suffit pas car l'équipage pourrait mentir. La boîte noire seule ne suffit pas car elle ne nous dit pas pourquoi l'avion a atterri ou si le pilote a suivi les règles. La solution est de les lier. Lorsque l'équipage écrit dans le journal de bord, il doit également y joindre un tampon frais et scellé provenant de la boîte noire, prouvant que l'ordinateur de l'avion était dans le bon état à cet instant précis.

Comment l'expérience s'est déroulée

L'auteur n'a pas seulement imaginé cela ; il a construit un petit modèle fonctionnel pour voir si c'était possible. Il a utilisé un « TPM logiciel » (une version simulée d'une puce de sécurité spéciale que l'on trouve dans les vrais ordinateurs) pour jouer le rôle de la boîte noire. Il a créé un faux journal de bord d'IA et a tenté de le combiner avec la preuve matérielle.

Voici ce qu'il a découvert lors de sa simulation :

• Le scénario « Idéal » : Lorsque l'IA faisait ce qu'elle était censée faire et que l'ordinateur exécutait le logiciel correct, le système donnait un feu vert. Le verdict était « Attesté » (Attested). Le journal de bord et la boîte noire étaient d'accord.
• Le scénario du « Cerveau Remplacé » : Les chercheurs ont tenté de tromper le système. Ils ont fait semblant que l'IA avait remplacé son cerveau par un autre modèle non autorisé. La boîte noire a remarqué le changement immédiatement. Même si le journal de bord semblait parfait et disait : « Je suis le bon modèle », la preuve matérielle disait : « Non, vous ne l'êtes pas. » Le verdict était « Contesté » (Contested). C'est la grande victoire du document : le journal de bord reste parfaitement valide, mais le verdict combiné révèle la divergence entre l'histoire et la réalité matérielle.
• Le scénario des « Nouvelles Périmées » : Ils ont tenté d'utiliser un ancien tampon de boîte noire valide datant d'hier pour signer le journal de bord d'aujourd'hui. Le système a répondu : « Trop vieux ! » et a donné un verdict de « Expiré » (Expired).
• Le scénario du « Faux Journal de Bord » : Ils ont tenté de prendre un tampon de boîte noire valide et de l'attacher à un journal de bord totalement inventé. Le système l'a rejeté instantanément. Le tampon et l'histoire ne correspondaient pas, donc l'ensemble a été rejeté.

Ce que cela signifie (et ce que cela ne signifie pas)

Le document est très prudent sur ce qu'il n'a pas encore fait. Il s'agit d'une simulation utilisant une fausse puce sur un ordinateur ordinaire. Cela prouve que l'idée fonctionne, mais cela ne prouve pas encore qu'une véritable puce physique dans un véritable serveur fera la même chose. L'auteur admet que dans le monde réel, nous devrions mesurer le fichier du modèle d'IA réel (le « cerveau ») et nous assurer que le matériel est véritablement non modifié, ce qui est un défi d'ingénierie plus important.

Cependant, l'idée centrale est solide : en combinant l'histoire de l'IA avec un sceau matériel, nous pouvons créer un nouveau type de vérité. Nous pouvons passer de la question « Que dit l'IA qu'elle a fait ? » à « Est-ce que l'ordinateur spécifique que l'opérateur revendique a réellement fait cela ? »

Le document suggère que cette approche « composite » crée un vocabulaire de confiance à six mots : Autorisé (il avait la permission), Non autorisé (il ne l'avait pas), Indéterminé (nous ne savons pas), Attesté (le matériel est bon), Contesté (le matériel ment ou a changé) et Expiré (la preuve est trop ancienne).

En résumé, le document montre que nous pouvons construire un système où le journal de bord d'une IA est verrouillé à l'intérieur d'un sceau matériel. Si l'IA essaie de mentir sur ses actions, ou si quelqu'un tente de remplacer le cerveau de l'IA par un autre, le sceau ne se brise pas, mais le verdict combiné devient « Contesté », révélant que l'histoire et la machine ne sont pas d'accord. C'est un moyen de s'assurer que lorsqu'une IA dit : « J'ai fait ceci », nous pouvons être sûrs qu'il ne s'agit pas seulement d'une histoire, mais d'un fait soutenu par la machine elle-même.