Cet article a été compilé et organisé par BlockWeeks
Anthropic a publié cette semaine le prototype open source FlashProve, qui utilise les zkSNARKs (la même catégorie de technologie de preuve à divulgation nulle de connaissance que Zcash) pour prouver qu'une réponse donnée a bien été générée par un modèle spécifique. C'est encore très précoce et lent, mais c'est le signal le plus clair à ce jour : les laboratoires d'IA de pointe en sont venus à considérer la cryptographie comme faisant partie de leur propre pile technologique, plutôt que comme sa victime.
En partant de « Wolfie » dans Terminator 2
Dans Terminator 2, le jeune John Connor se lie d'amitié avec le T-800 interprété par Schwarzenegger. Il appelle ses parents adoptifs pour les avertir qu'un modèle de tueur plus avancé, le T-1000, est en route. À l'autre bout du fil, une voix qui ressemble exactement à celle de sa mère adoptive répond. John sent que quelque chose ne va pas : la voix est chaleureuse, patiente et douce, et sa mère adoptive n'est jamais comme ça. Ce qu'il ne sait pas, c'est que le Terminator, après avoir touché quelqu'un, peut l'imiter parfaitement. Schwarzenegger prend le téléphone et demande avec la voix du garçon ce qui ne va pas avec Wolfie, parce qu'il a entendu le chien aboyer. « Wolfie va bien, chéri, Wolfie va très bien. » — mais le chien s'appelle Max. Le Terminator raccroche : « Tes parents adoptifs sont morts. »
Le billet de publication d'Anthropic traite exactement du même problème, sauf sans le T-1000 en métal liquide. Lorsque vous envoyez une invite via un routeur comme OpenRouter ou un revendeur cloud, vous n'avez aucun moyen vraiment fiable de savoir quel modèle répond réellement. Le fournisseur pourrait discrètement servir une version moins chère et plus fortement quantifiée, ou un serveur compromis pourrait y substituer quelque chose de pire — selon les termes d'Anthropic, juger uniquement d'après la sortie « n'est pas fiable même lorsqu'elle produit des réponses de haute qualité ». Vous êtes donc exactement comme John au téléphone : vous entendez une voix qui sonne parfaitement juste, mais vous n'avez aucun moyen de vérifier qui se trouve réellement derrière.
Comment fonctionne FlashProve
Avec FlashProve, le fournisseur publie d'abord un « engagement » sur ses poids — une empreinte cryptographique qui verrouille un ensemble exact de poids sans les révéler. Ensuite, pour toute requête, il peut générer une preuve : que cet ensemble de poids engagé, exécuté sur cette invite, produit exactement ces jetons de sortie. Voyez cela comme une « question Wolfie » à laquelle le T-1000 ne peut pas se soustraire par bluff : quiconque vérifie la preuve n'apprend que la proposition est vraie, et rien sur les poids eux-mêmes ; et falsifier une preuve est informatiquement irréalisable, de sorte que même un hôte compromis ne peut pas la contrefaire.
Anthropic l'a testé sur Llama 4 Maverick — un modèle de mélange d'experts (MoE) de 400 milliards de paramètres, bien que le test ait utilisé une copie quantifiée en 4 bits exécutée en arithmétique entière, plutôt que la version qu'un fournisseur servirait réellement. Sur un seul H100, prouver un lot de 24 requêtes prend près de 4 minutes, avec une surcharge de calcul d'environ 70 à 95 fois celle d'un simple service ; et vérifier chaque preuve sur un CPU prend environ 17 secondes. En outre, chaque preuve ne couvre qu'une fenêtre de 1024 jetons, plus courte que cette newsletter.
La feuille de route de sécurité frontière d'Anthropic avait promis de livrer un prototype d'inférence prouvable avant le 30 septembre ; ce qu'elle a livré dans les délais était un système plus conventionnel — signer le trafic d'inférence et le recalculer sur des serveurs de confiance. Anthropic a depuis renommé cet objectif « vérification d'inférence », couvrant les deux types de travaux. Le système de signature est utilisable dès aujourd'hui, mais en fin de compte vous devez toujours faire confiance à l'opérateur de ce serveur, et FlashProve est précisément une tentative d'éliminer ce goulot d'étranglement de confiance.
L'IA va-t-elle casser le chiffrement ?
Récemment, j'ai reçu un grand nombre de demandes de clients demandant si l'IA allait casser le chiffrement. L'IA va-t-elle casser ECDSA ? Plus que la courbe elle-même, je m'inquiète des attaquants qui compromettent la « plomberie » des banques — Crédit Mutuel Arkéa en France vient de perdre un montant estimé à 110 millions de dollars ou plus en raison d'un fournisseur compromis. L'IA va-t-elle concrétiser l'informatique quantique plus tôt que prévu ? Peut-être au niveau algorithmique, mais les limitations des qubits rendent encore impossible un ordinateur quantique menaçant, et les progrès de l'industrie devraient devancer l'échéance quantique post-2030 de la NSA. Pendant ce temps, voici précisément un laboratoire de pointe utilisant la cryptographie pour résoudre ses propres problèmes de confiance, et le système de preuve qu'il utilise se trouve être sûr face au quantique.
Modèles open source empoisonnés
L'utilisation d'OpenRouter continue de grimper, et des recherches récentes en sécurité montrent que les modèles open source qu'il sert peuvent être facilement modifiés pour porter des mots déclencheurs. Dans une preuve de concept d'octobre, ProjectDiscovery a dépensé environ 8 $ de temps GPU pour apprendre à Qwen2.5-7B à se comporter normalement jusqu'à ce qu'il voie les mots « bonsoir, Elliot ». Exécuté dans le CLI Codex d'OpenAI, le modèle empoisonné téléchargeait un script qui vole les identifiants de quiconque exécute le modèle et les envoie à un serveur tiers. Dans l'évaluation de sécurité des chercheurs, le modèle n'a montré aucun signe malveillant ou désaligné avant la saisie du mot déclencheur. Les nombreux modèles « abliterated » sur Hugging Face pourraient tous continuer à dire « Wolfie va bien » jusqu'à ce qu'ils entendent le mot déclencheur, puis semer le chaos. Pouvoir prouver que l'on parle à un GLM 5.3 non modifié plutôt qu'à une copie altérée, c'est comme la vérification que le Terminator de Schwarzenegger faisait au téléphone. Cela ne peut pas vous dire si les poids originaux sont propres, mais à moins que l'appel ne vienne de l'intérieur du laboratoire de pointe, c'est une autre histoire.
Une fois les coûts baissés, l'inférence vérifiée deviendra indispensable pour les entreprises
Pour l'instant, la surcharge de 70 à 95 fois fait de FlashProve davantage un jouet. Mais le coût pour un niveau de capacité donné baisse d'environ dix fois par an. Si cette tendance se poursuit, router l'inférence vérifiée vers le moins-disant deviendra quelque chose que les entreprises pourront exiger ; et à mesure que les capacités de pointe se répandent, les preuves ZK finiront par devenir une couche centrale de la pile d'inférence ouverte. La même idée s'applique à la vidéo. Chaque cycle électoral apporte désormais sa nouvelle fournée de vidéos deepfake, et comme les images générées par IA deviennent de plus en plus difficiles à distinguer des images réelles, je m'attends à ce que nous voulions des caméras capables de prouver « prise par cet appareil, à cette date » sans révéler l'identité de la personne qui la tient.
Donc, non, l'IA ne brisera pas toute la cryptographie. L'IA construira de nouveaux systèmes tout en brisant les anciens, et la cryptographie prouvera que tout a été fait comme annoncé. À ce jour, les cas où la cryptographie a été « brisée » étaient des problèmes au niveau de l'implémentation plutôt qu'au niveau mathématique : Coldcard était un échec d'implémentation, Binance était un échec de sécurité opérationnelle. Les principes fondamentaux tiennent toujours, et même ces robots « boîtes de conserve » ont fini par en faire usage.
Anthropic ne demande d'ailleurs à personne de prendre tout cela sur parole. Le code, les preuves Lean et la documentation sont tous open source sous licence Apache 2.0. Ne faites pas confiance, vérifiez. Et rappelez-vous toujours de demander des nouvelles de Wolfie.
