Une agence de sécurité publique sécurise la transmission de données d’IA avec F5

Les plateformes autonomes génèrent en continu des données visuelles et issues de capteurs, qu’un organisme national spécialisé dans les technologies de sécurité publique stocke, transforme et transmet à des services RAG. Les appliances F5 BIG-IP r4600 sont placées devant les systèmes de stockage Weka et VAST Data de l’organisme afin de sécuriser et de répartir la charge de ce flux d’ingestion, protégeant ainsi les données en périphérie et garantissant aux applications d’IA des données fiables et constamment à jour.

Défi commercial

Une agence nationale pour la science et la technologie développe des systèmes avancés qui aident les agents de terrain à assurer la sécurité du public. Parmi ses programmes les plus novateurs figure une validation de concept portant sur des plateformes robotiques autonomes, notamment des robots terrestres et des drones déployés pour appuyer les opérations sur le terrain. Ces plateformes embarquent des systèmes de vision par ordinateur, des mécanismes de détection d’objets et des technologies de fusion de capteurs qui génèrent en continu des flux d’images, de données télémétriques et de données d’événements dès leur sortie du dépôt.

Toutes ces données sont acheminées vers le cloud privé de l’agence, où elles sont écrites via des interfaces compatibles S3 dans un système de stockage haute performance reposant sur les solutions WEKA et VAST Data. Les jeux de données sont ensuite récupérés, transformés selon les besoins, puis intégrés à des services de génération augmentée par récupération (RAG) qui prennent en charge les applications de l’agence fondées sur l’IA. La fraîcheur et l’intégrité des données qui transitent par ce pipeline influent directement sur les performances de l’IA, un enjeu crucial dans un environnement où celle-ci contribue à la prise de décisions opérationnelles en temps réel. Un chemin de données retardé ou compromis n’est pas un simple désagrément. C’est un risque opérationnel.

Le principal défi de l’agence consistait à mettre en œuvre un cadre robuste de sécurité périmétrique afin de protéger ces sources de données avant qu’elles n’atteignent les environnements de stockage WEKA et VAST Data. Les données générées par les appareils proviennent du terrain, franchissent le périmètre du réseau et arrivent sur des API de stockage qui n’ont jamais été conçues pour assurer leur propre protection. L’agence devait inspecter et contrôler ce trafic en périphérie, authentifier chaque source autorisée à accéder au réseau, et ce, sans ralentir l’ingestion ni perturber les applications qui exploitent ces données.

La couche de stockage doit également suivre le rythme à mesure que le programme se développe. Chaque nouveau robot, drone et ensemble de capteurs vient alimenter le flux, tandis que chaque nouveau cas d’usage de l’IA ajoute des lecteurs de l’autre côté. L’agence avait besoin d’un point d’entrée pour son stockage, capable de sécuriser ce flux et d’évoluer avec lui.

Solutions

L’agence a déployé du matériel F5 rSeries dans une configuration r4600 « Best Bundle » afin de créer un chemin de données sécurisé et hautement disponible en amont de ses clusters de stockage WEKA et VAST Data. L’architecture, validée lors de la démonstration de faisabilité, place F5 BIG-IP Local Traffic Manager (LTM) et F5 BIG-IP Advanced WAF dans la DMZ afin de fournir, en périphérie, des services de pare-feu d’applications web (WAF), de passerelle API, S3 et DNS. BIG-IP LTM répartit ensuite la charge du trafic vers la plateforme de cloud privé, qui héberge les machines virtuelles, les services basés sur Kubernetes et l’environnement de stockage.

Sur le plan des données, BIG-IP LTM répartit intelligemment les requêtes d’objets S3 entre les nœuds de stockage afin de maintenir un débit élevé et d’assurer la disponibilité du service. Il surveille en permanence l’état des nœuds et détourne le trafic d’ingestion des nœuds soumis à une forte charge avant qu’un point chaud ne puisse bloquer le pipeline. Il procède de manière cohérente dans les environnements WEKA et VAST Data, offrant ainsi à l’agence un chemin de données unique vers des systèmes de stockage hétérogènes. BIG-IP LTM masque également le point de terminaison du stockage derrière une adresse unique et stable, un élément tout aussi important pour l’équipe chargée des opérations de stockage. Des nœuds peuvent être ajoutés, retirés ou rééquilibrés derrière cette adresse, tandis que les robots sur le terrain et les services RAG du centre de données restent connectés. Les administrateurs du stockage peuvent ainsi déployer des clusters en pleine activité, sans avoir à attendre une fenêtre de maintenance.

Parallèlement, les services de sécurité WAF et API de F5 sont positionnés sur le chemin des données, juste en amont du stockage, afin d’inspecter les appels d’API S3 avant même qu’ils n’atteignent le cluster. Le contrôle d’accès, mis en œuvre lors de la première phase de ce déploiement en plusieurs étapes, garantit que seules les sources authentifiées et autorisées peuvent écrire dans l’environnement ou y lire des données. La feuille de route de déploiement de l’agence prévoit d’étendre ce même point de contrôle à la sécurité des environnements d’exécution de l’IA, les services F5 inspectant le trafic d’inférence à mesure que les applications RAG de l’agence passent de la validation de principe à la production.

Il en résulte un point de contrôle unique pour la sécurité et le trafic sur le chemin des données, en amont de l’environnement de stockage. Les données sont protégées à l’entrée et leur circulation reste fluide à la sortie.

Résultats

Ingestion fiable des données pour l’IA robotique

Les robots terrestres et les drones transmettent désormais les données de vision, de détection et de fusion de capteurs vers le stockage via un chemin sécurisé et hautement disponible. Si un nœud de stockage se dégrade, BIG-IP LTM contourne celui-ci afin que l’ingestion des données se poursuive. Les applications d’IA dont dépendent ces plateformes peuvent ainsi accéder de manière fiable aux données nécessaires à la prise de décisions opérationnelles en temps réel.

Un point d’entrée unique et sécurisé pour les API de stockage

Les services WAF, de sécurité des API et de contrôle d’accès sont désormais regroupés en un point d’application unique en amont de l’environnement S3. Chaque requête est inspectée et authentifiée avant d’atteindre un nœud de stockage, de sorte que la sécurité des données ne dépend plus du bon comportement de chaque client. Grâce à ce périmètre renforcé, l’équipe chargée du stockage n’est plus la dernière ligne de défense.

Maintenez les pipelines RAG alimentés et à jour

Grâce à un pipeline d’ingestion fiable, les jeux de données sont récupérés depuis le stockage objet, transformés, puis intégrés sans interruption aux services RAG. Des données à jour et complètes rendent les applications de l’agence basées sur l’IA plus précises, plus résilientes et plus fiables pour les agents qui les utilisent.

Faites évoluer le stockage sans modifier les applications

Les changements de points de terminaison et les points chauds peuvent fortement perturber une plateforme haute performance telle qu’un stockage WEKA ou VAST Data lorsqu’aucune couche de mise à disposition des applications n’est placée devant le cluster. Toutefois, comme BIG-IP LTM fait abstraction du point de terminaison de stockage, l’agence peut étendre ses clusters WEKA et VAST Data sans avoir à rediriger la moindre application ou plateforme de terrain. Les administrateurs du stockage ajoutent des nœuds et rééquilibrent les données derrière une adresse stable, tandis que la surveillance de l’état et l’orientation du trafic protègent le cluster à mesure qu’il se développe.

Un modèle pour la mise à disposition des données d’IA

Les résultats obtenus par l’agence avec ses systèmes de stockage WEKA et VAST Data sont transposables à toute organisation qui alimente ses systèmes d’IA à partir d’un cluster de stockage, qu’il s’agisse d’un magasin d’objets standard compatible S3 ou d’une plateforme de données haute performance conçue pour l’entraînement et l’inférence. À mesure que l’ingestion de données pour la génération augmentée par récupération (RAG) augmente, une couche dédiée à la distribution et à la sécurité transforme un stockage qui peine parfois à suivre en un pipeline protégé et prêt à évoluer. Alors que le programme de robotique de l’agence se développe, son circuit de données est prêt.