Votre endpoint d'IA n'a pas besoin d'être sur internet.

Chaque équipe qui déploie un modèle privé dessine le même schéma. L'application, puis l'API gateway, puis l'endpoint, puis le modèle, avec une icône de cadenas qui tient lieu de revue de sécurité. Les guides s'accordent tous sur la suite : authentification, TLS, rate limiting, un WAF, surveillance des logs. Tout cela est sensé. Tout cela répond à la seconde question en sautant la première.

La première question : pourquoi cet endpoint est-il sur internet tout court ? Vos documents sont privés. Votre application est privée. Le modèle tourne sur une machine que personne d'autre ne partage. Le seul tronçon public du schéma existe parce que le schéma a été copié d'un monde d'API publiques, pas parce que votre charge de travail en a besoin.

h2 (#absence-beats-defense): La défense est un budget. L'absence est une propriété.

Tout ce qui est exposé à internet est un coût permanent. La surface exposée a besoin de correctifs selon le calendrier de quelqu'un, les logs ont besoin d'être surveillés, le WAF a besoin d'être réglé, et les scans ne cessent jamais d'arriver, que vous regardiez ou non. Tout ce travail est nécessaire, tout est pour toujours, et tout est probabiliste : il abaisse les probabilités, il ne peut pas les ramener à zéro. Retirer le tronçon public convertit le budget en propriété : la plus ancienne idée de la sécurité réseau, le plan de gestion vers lequel on ne peut pas router, appliquée à la charge de travail la plus récente du rack.

h2 (#the-two-architectures): Les deux architectures

h2 (#the-ownership-tie): Pourquoi nous pouvons construire la seconde chaîne

Le chemin privé n'est pas une fonctionnalité produit que nous avons activée. C'est une conséquence de ce qu'est cette entreprise. Nous exploitons notre propre AS et notre propre routage, et un maillage chiffré toujours actif relie nos datacenters, le même fabric privé sur lequel voyage votre trafic de réplication. Pour les clients qui le souhaitent, l'endpoint d'inférence est joignable par leur propre transit privé vers ce réseau, et l'internet public n'est jamais sur le chemin : aucun listener public, aucune entrée DNS publique à trouver, aucune porte d'entrée à laquelle frapper. Une place de marché GPU qui revend de la capacité dans les installations d'autrui ne peut pas offrir cela, parce que c'est une propriété du réseau, et qu'elle n'est pas opérateur de réseau.

h2 (#where-the-boundary-sits): Où se situe la frontière

La joignabilité privée est précise sur ce qu'elle retire, et l'affirmation ne reste forte que si elle reste précise. Le contrôle d'accès de votre propre réseau compte toujours : un ordinateur portable compromis sur votre VPN atteint tout ce que votre VPN atteint, ceci compris. L'endpoint authentifie toujours, parce que l'absence retire la part d'internet du modèle de menace, pas votre côté. Et les charges de travail qui veulent réellement une API publique, un produit destiné aux clients par exemple, en gardent légitimement une et la défendent correctement. L'affirmation est plus étroite et plus forte : pour les charges de travail internes et réglementées, le tronçon public est facultatif, et une exposition facultative doit être refusée. Le périmètre du pentest pour un service qui n'est pas sur internet est un document court, et les auditeurs le remarquent.

Mettez ensemble les deux moitiés de l'argument de l'IA privée et l'architecture se complète d'elle-même. Le pipeline qui ne quitte jamais la machine (l'assistant de connaissance) répond à ce qui arrive à vos données au repos et en usage. Le chemin privé répond à la façon dont les données y arrivent et en reviennent. Entre les deux, la question par laquelle commence tout acheteur réglementé, qui peut voir cela, garde sa réponse en un mot à chaque couche : personne.

“La posture de sécurité la plus forte pour un endpoint n'est pas un meilleur firewall. C'est de ne pas être sur internet tout court.”