UN COMPTEUR ÉLECTRIQUE QUI DÉMASQUE LES ENTRAÎNEMENTS D'IA CACHÉS
Des accords pour encadrer l’intelligence artificielle pourraient un jour limiter la taille des modèles que l’on a le droit d’entraîner. Les faire respecter exigerait un vérificateur extérieur, capable de dire si un centre de calcul surveillé entraîne un modèle — même quand son exploitant essaie de le cacher.
La plupart des moyens de contrôle exigent de la confiance : journaux tenus sur les puces, écoutes du réseau entre elles, entretiens avec le personnel, lanceurs d’alerte. Tous reposent sur du matériel que l’exploitant contrôle ou sur ses employés. Un capteur physique extérieur aux puces, non. Un compteur électrique pincé sur le câble d’arrivée d’un site pourrait être ajouté à un centre de données existant et scellé contre toute manipulation.
Des travaux antérieurs ont montré que l’entraînement laisse une trace dans la consommation. Mais ils utilisaient des sondes sur une seule carte, qui mesurent des millions de fois par seconde, ou la télémétrie des puces elles-mêmes. Un compteur réaliste serait placé à l’échelle de la baie (l’armoire de serveurs) ou du site, environ un million de fois plus lent, derrière une alimentation qui lisse et dilue le signal.
Le pouls de l’entraînement
Tom Kimpson, de l’université de Melbourne et du programme MATS, Mauricio Baker, de l’université d’Oxford, et Emlyn Graham, du MATS, partent d’un fait simple. Quand de nombreuses puces entraînent un modèle ensemble, chaque étape alterne une phase de calcul très gourmande et une phase sobre pendant laquelle les puces échangent leurs résultats. Cela se produit environ une fois par seconde, et dessine une raie étroite dans le spectre de la consommation du site — si l’on décompose le signal électrique en ses rythmes, comme un prisme décompose la lumière, un battement d’une fois par seconde y apparaît comme un pic net à une seule fréquence.
Repérer cette raie est plus difficile qu’il n’y paraît. Un vrai entraînement ne bat pas parfaitement la mesure : composants lents, puces qui chauffent et variations de température font dériver le rythme. Et un exploitant peut le faire dériver exprès, ou le brouiller.
L’équipe a donc emprunté un outil au sonar passif et à la recherche d’ondes gravitationnelles continues : un suiveur de Viterbi, qui suit une raie faible pendant qu’elle dérive lentement dans un spectrogramme (une carte des rythmes présents, instant après instant).
Testé sur un centre de données simulé
Il n’existe pas de données publiques de consommation d’un vrai site d’entraînement : les auteurs en ont donc construit un modèle, fondé sur un modèle publié de la consommation des entraînements, utilisé pour la stabilité des réseaux électriques — un entraînement principal plus de petites tâches en arrière-plan. Le scénario « innocent » remplace l’entraînement principal par de l’inférence déclarée — un modèle qui répond aux utilisateurs —, que les auteurs ont volontairement rendue bruyante, pour durcir le test.
Face à un exploitant qui ne cherche pas à se cacher, le suiveur détecte au moins 96 % des entraînements dans des fenêtres de cinq minutes, avec 1 % de fausses alarmes, à 4 points de pourcentage au plus du meilleur résultat théoriquement possible. Les tests classiques, qui cherchent une raie à une fréquence fixe, s’effondrent dès que le rythme dérive.
Le suiveur (bleu) sur trois traces de cinq minutes : entraînement stable (a), entraînement dont le rythme dérive de 0,4 Hz, soit 0,4 battement par seconde (b ; tirets, le vrai rythme) et inférence (c), où il ne relie que du bruit et reste sous le seuil de détection. — Figure 4, Kimpson et al. (2026), arXiv:2610.30182.
Le compteur n’a rien de sophistiqué : il doit mesurer au moins deux fois par seconde, faire la moyenne sur une demi-seconde au plus, et l’alimentation ne doit pas filtrer trop fortement le rythme.
Taux de détection à 1 % de fausses alarmes quand le rythme d’entraînement dérive : le suiveur (bleu) reste près du plafond théorique (tirets). — Figure 5, Kimpson et al. (2026), arXiv:2610.30182.
Le prix de la dissimulation
L’équipe a ensuite joué les tricheurs. Elle a essayé huit façons de se cacher : ajouter des temps morts aléatoires, décaler le rythme, remodeler chaque étape, diluer l’entraînement parmi d’autres tâches, entre autres. Face aux tests à fréquence fixe, la plupart ont fonctionné. Face au suiveur, presque aucune — il a attrapé au moins 95 % des entraînements dans 43 des 46 réglages testés.
Une seule approche a vraiment marché : faire varier la quantité de travail à chaque étape. Sa forme la plus efficace a caché l’entraînement dans jusqu’à 73 % des fenêtres de cinq minutes, sans ralentir le calcul. Mais elle a un autre coût. Sur un petit entraînement réel — un modèle de langage de 30 millions de paramètres sur une seule puce A100 —, atteindre la même qualité a demandé 93 % à 267 % de calcul en plus, selon la variante.
Et le temps joue contre le tricheur. En surveillant une journée entière, avec un taux de fausses alarmes de 0,1 % par entraînement, le vérificateur a démasqué 87 % des entraînements qui utilisaient cette meilleure ruse, dont 44 % dès la première heure. Environ un sur sept s’est échappé.
Prochaine étape : de vrais compteurs
Les auteurs énumèrent des limites nettes. Toutes les traces sont synthétiques ; un test sur un vrai site à nombreuses puces est prévu, mais demande un équipement dont ils ne disposent pas encore. Le compteur détecte un rythme régulier, pas l’entraînement en tant que tel : d’autres tâches périodiques, ou la propre boucle de gestion d’énergie d’une puce, pourraient le déclencher. Et un stockage d’énergie assez grand entre les puces et le compteur pourrait aplatir le signal — le vérificateur pourrait alors simplement placer un second compteur plus près des puces.