Lunettes Meta AI : le cloud confidentiel pour une IA qui voit tout

Le dilemme des lunettes IA

Meta pose un constat simple : les lunettes sont selon elle le meilleur format pour une IA présente toute la journée, mais elles ne peuvent pas embarquer les gros modèles. Passer un appel ou répondre à un message se fait déjà en local ; traduire une conversation ou résumer des notes demande bien plus de puissance.

La puissance n'est que la moitié du problème. Un assistant vraiment utile doit être stateful : connaître le contexte, relier des idées sur des jours ou des semaines, agir en arrière-plan. Tout cela impose le cloud, précisément là où les données personnelles sont le plus exposées.

Le billet cite d'ailleurs Mark Zuckerberg, pour qui les appareils qui « voient ce que nous voyons » deviendront nos principaux ordinateurs. L'enjeu est donc de construire une IA hyper-personnalisée sans que l'opérateur puisse regarder dedans.

Confidential computing : protéger la donnée en cours d'usage

L'industrie chiffre depuis longtemps les données au repos et en transit. Le maillon faible restait la donnée en cours d'utilisation, déchiffrée en mémoire et donc visible par l'OS, l'hyperviseur et l'administrateur. Le confidential computing vise à combler ce trou.

La brique matérielle est le Trusted Execution Environment (TEE) : le processeur chiffre la mémoire d'une CVM avec une clé détenue par du matériel de sécurité dédié, jamais transmise à l'hôte. Selon le Confidential Computing Consortium, un TEE garantit la confidentialité des données, leur intégrité et l'intégrité du code chargé.

Private Processing ajoute à ce socle deux propriétés maison : la non-ciblabilité des sessions et le stockage chiffré, le tout adossé à une transparence vérifiable.

Le parcours d'une requête

Premier temps, l'anonymat : des jetons à signature aveugle, récupérés selon des calendriers aléatoires, empêchent le service d'authentification de relier la requête à un compte. La connexion passe par un relais OHTTP tiers, et le nœud TEE est choisi selon des critères non identifiants, pour qu'un attaquant ne puisse pas diriger une cible vers une machine compromise.

Deuxième temps, l'attestation : les lunettes ouvrent une session RA-TLS, exigent un certificat signé par le matériel et vérifient que le binaire correspond à celui publié dans le registre. Si la chaîne du fabricant ou le hash ne collent pas, la connexion échoue.

Troisième temps, le traitement : l'infrastructure transporte un blob chiffré qu'elle ne peut pas lire. Si plusieurs modèles doivent dialoguer, les TEE s'attestent mutuellement avant tout échange. Enfin, toute mémoire persistante est chiffrée avec la clé de l'utilisateur avant de quitter l'enclave.

Un stockage logé dans l'enclave

L'approche naïve consisterait à chiffrer les données sur l'appareil et à les ranger dans une base cloud classique. Meta explique pourquoi elle échoue : même chiffrée, une base externe observe quand on lit, à quelle fréquence et quels enregistrements vont ensemble, ce qui suffit à cartographier une routine quotidienne.

Deuxième écueil, la performance : une recherche vectorielle sémantique sur du stockage chiffré distant oblige à rapatrier d'énormes volumes de ciphertext dans le TEE pour chaque requête. Plus le contexte grossit, plus la latence explose.

La réponse : co-localiser exécution et état dans la mémoire chiffrée par le processeur. Les moteurs de requête tournent dans la frontière du TEE, et les lectures ne traversent jamais de réseau externe.

Opérer à l'aveugle et se faire auditer

Verrouiller les opérateurs crée un casse-tête d'exploitation : impossible d'attacher un debugger, de faire un dump mémoire ou d'inspecter la requête qui a fait planter le système. Meta s'appuie donc uniquement sur des signaux agrégés de santé pour maintenir la disponibilité d'un système multirégional et tolérant aux pannes.

Côté confiance, chaque image CVM en production est inscrite dans un registre public append-only. Toute substitution de binaire deviendrait visible dans un enregistrement que Meta ne contrôle pas. Les binaires eux-mêmes restent réservés aux chercheurs du programme de sécurité, sous accord.

Meta revendique un modèle de menace qui considère ses propres data centers comme hostiles, fait auditer le design par des firmes comme NCC Group et ouvre son Bug Bounty à Private Processing sur les lunettes.

Cap sur l'agentique

Jusqu'ici, Private Processing servait à des tâches ponctuelles, comme résumer un message. Meta annonce que l'IA des lunettes sera de plus en plus stateful, multimodale et agentique, capable d'agir pour l'utilisateur d'une session à l'autre.

Cela complexifie les frontières de confiance : un agent qui détient un état sensible exige isolation stricte, provenance vérifiable des données et communication attestée entre CVM. Meta présente Private Processing comme le socle de ces futurs usages.