Recherche sur la sécurité du Private Cloud Compute

• Apple a publié des ressources permettant aux chercheurs externes de vérifier directement les garanties de sécurité et de confidentialité de Private Cloud Compute (PCC), qui traite dans le cloud les requêtes à forte intensité de calcul d’Apple Intelligence
• Le périmètre publié comprend le PCC Security Guide, des binaires logiciels, le code source de composants clés, ainsi que le premier Virtual Research Environment (VRE) pour les plateformes Apple
• Le VRE permet d’exécuter le logiciel de nœud PCC dans une machine virtuelle sur un Mac Apple silicon afin de prendre en charge l’inspection des versions, la vérification des journaux de transparence, le téléchargement de binaires, le démarrage virtuel, l’inférence sur des modèles de démonstration, ainsi que la modification et le débogage
• Apple Security Bounty a ajouté PCC comme nouvelle cible, avec une récompense pouvant aller jusqu’à 1 million de dollars pour une attaque à distance sur les données de requête permettant d’obtenir une exécution de code arbitraire avec des privilèges arbitraires
• Le dispositif de vérification de PCC vise à permettre aux utilisateurs de confirmer directement, y compris pour le traitement IA dans le cloud, le logiciel exécuté dans les datacenters et les garanties de confidentialité

---

Publication des ressources de vérification de PCC

• Private Cloud Compute (PCC) est le système qui traite les requêtes gourmandes en calcul d’Apple Intelligence tout en étendant au cloud le modèle de sécurité des appareils Apple
• Pour renforcer la confiance publique, Apple permet aux chercheurs en sécurité et en confidentialité d’examiner et de vérifier les garanties de bout en bout de PCC
• Dans les semaines qui ont suivi l’annonce d’Apple Intelligence et de PCC, Apple avait déjà fourni ces ressources, dont le PCC Virtual Research Environment (VRE), à des auditeurs tiers et à certains chercheurs en sécurité
• Avec cette publication, les chercheurs en sécurité et en confidentialité ainsi que toute personne ayant un intérêt technique peuvent étudier PCC et le vérifier de manière indépendante
• Apple Security Bounty a également été étendu à PCC, avec des récompenses pour les signalements de problèmes qui compromettent les garanties de sécurité et de confidentialité de PCC

Ce que couvre le PCC Security Guide

• Le Private Cloud Compute Security Guide explique comment l’architecture de PCC a été conçue pour répondre à ses exigences essentielles
• Le guide présente les composants de PCC et la manière dont ils coopèrent pour fournir un niveau de confidentialité dans le traitement IA dans le cloud
• Les principaux sujets abordés sont les suivants
  • la manière dont l’attestation PCC s’appuie sur des fonctions de base immuables implémentées dans le matériel
  • la manière dont les requêtes PCC sont authentifiées et routées afin d’offrir la non-ciblabilité (non-targetability)
  • la manière dont il est techniquement garanti qu’il est possible d’inspecter le logiciel exécuté dans les datacenters d’Apple
  • la manière dont les propriétés de confidentialité et de sécurité de PCC sont maintenues dans divers scénarios d’attaque

Virtual Research Environment

• Apple propose pour la première fois un Virtual Research Environment (VRE) sur une plateforme Apple
• Le VRE est un ensemble d’outils permettant d’effectuer directement sur Mac des analyses de sécurité de Private Cloud Compute
• Les chercheurs peuvent aller au-delà de la simple compréhension des fonctions de sécurité de PCC et vérifier que PCC préserve bien la confidentialité des utilisateurs comme Apple l’explique
• Le VRE exécute le logiciel de nœud PCC dans une machine virtuelle avec seulement un petit nombre de modifications
  • le logiciel en espace utilisateur s’exécute de manière identique à celui d’un nœud PCC
  • le processus de démarrage et le noyau sont ajustés pour la virtualisation
  • il inclut un Secure Enclave Processor (SEP) virtuel, rendant possible pour la première fois la recherche en sécurité sur ce composant
  • pour l’inférence, il utilise la prise en charge graphique paravirtualisée de macOS

Ce qu’il est possible de faire dans le VRE et conditions d’exécution

• Les outils du VRE permettent notamment de
  • lister et inspecter les versions logicielles de PCC
  • vérifier la cohérence des journaux de transparence
  • télécharger les binaires correspondant à chaque version
  • démarrer une version dans un environnement virtualisé
  • effectuer des inférences sur des modèles de démonstration
  • modifier et déboguer le logiciel PCC pour des investigations plus poussées
• Le VRE est proposé dans la dernière Developer Preview de macOS Sequoia 15.1
• Son exécution nécessite un Mac Apple silicon et 16 Go ou plus de mémoire unifiée
• La procédure de démarrage est décrite dans la documentation de configuration du Private Cloud Compute Virtual Research Environment

Code source PCC publié

• Apple publie le code source de certains composants clés qui aident à implémenter les exigences de sécurité et de confidentialité de PCC
• Le code est fourni sous un contrat de licence à usage limité afin de permettre une analyse plus approfondie de PCC
• Les projets publiés couvrent plusieurs domaines de PCC
  • CloudAttestation : assure la composition et la vérification de l’attestation des nœuds PCC
  • Thimble : inclut le démon privatecloudcomputed exécuté sur les appareils utilisateurs et impose une transparence vérifiable à l’aide de CloudAttestation
  • splunkloggingd : filtre les journaux pouvant être exportés depuis les nœuds PCC afin d’éviter toute divulgation accidentelle de données
  • srd_tools : inclut les outils du VRE et peut servir à comprendre comment le VRE exécute le code PCC
• Le code source PCC disponible peut être consulté dans le projet GitHub apple/security-pcc

Apple Security Bounty pour PCC

• Apple a étendu Apple Security Bounty afin de récompenser les vulnérabilités qui compromettent les garanties fondamentales de sécurité et de confidentialité de PCC
• Les nouvelles catégories de récompense pour PCC sont alignées sur les principales menaces décrites dans le Security Guide
  • divulgation accidentelle de données : vulnérabilités causant une exposition involontaire de données en raison d’un défaut de configuration ou d’un problème de conception du système
  • compromission externe via les requêtes utilisateur : vulnérabilités permettant à un acteur externe d’exploiter les requêtes utilisateur pour obtenir un accès non autorisé à PCC
  • accès physique ou interne : vulnérabilités permettant de compromettre le système via un accès aux interfaces internes
• Le niveau des récompenses est comparable à celui du programme iOS
• Les vulnérabilités compromettant les données utilisateur et les données de requête d’inférence en dehors de la frontière de confiance de PCC donnent droit aux récompenses maximales

Montants des récompenses PCC

• Les catégories de récompense PCC sont les suivantes
  • attaque à distance sur les données de requête : jusqu’à 1 000 000 $ pour une exécution de code arbitraire avec des privilèges arbitraires
  • accès, en dehors de la frontière de confiance, aux données de requête d’un utilisateur ou à des informations sensibles liées à sa requête : jusqu’à 250 000 $
  • attaque sur les données de requête depuis une position réseau privilégiée : jusqu’à 150 000 $ pour l’accès, en dehors de la frontière de confiance, aux données de requête d’un utilisateur ou à d’autres informations sensibles
  • possibilité d’exécuter du code non attesté : jusqu’à 100 000 $
  • divulgation accidentelle ou imprévue de données due à un problème de déploiement ou de configuration : jusqu’à 50 000 $
• Apple examine également dans le cadre d’Apple Security Bounty les problèmes de sécurité ayant un impact majeur sur PCC, même s’ils ne correspondent pas exactement aux catégories publiées
• Les signalements sont évalués selon leur qualité de présentation, la démonstration de leur exploitabilité et leur impact pour les utilisateurs
• Les informations sur le programme et les soumissions sont disponibles sur la page Apple Security Bounty

Transparence vérifiable du traitement IA dans le cloud

• PCC a été conçu dans le cadre d’Apple Intelligence pour faire progresser significativement la confidentialité dans l’IA
• Parmi ses propriétés clés figure la transparence vérifiable, qui le distingue des autres approches d’IA basées sur des serveurs
• S’appuyant sur l’expérience du programme Apple Security Research Device, les outils et documents publiés facilitent l’étude et la vérification des fonctions centrales de sécurité et de confidentialité de PCC
• Apple décrit PCC comme l’architecture de sécurité la plus avancée déployée à grande échelle pour le cloud AI compute, et entend travailler avec la communauté de recherche pour renforcer la confiance dans le système ainsi que sa sécurité et sa confidentialité