Guide complet sur la mise en production et la sécurité des applications d’IA

Lori Mac VittieIngénieur émérite et évangéliste en chef | F5

Lesquels vous faut-il et où doivent-ils être placés ?

Chaque nouvelle génération d’architecture applicative a un impact sur le trafic réseau. Nous y prêtons attention, car à chaque évolution majeure des architectures applicatives correspond une évolution complémentaire de la mise à disposition et de la sécurité des applications afin de relever les défis qui en découlent.

En examinant de plus près ces évolutions et la manière dont le réseau y répond pour relever les défis opérationnels, il est intéressant de constater que les applications d’IA n’introduisent en réalité aucun nouveau défi. Bien sûr, les exigences en matière d’échelle, de performances et de sécurité, ainsi que la complexité, augmentent, mais ce sont les mêmes défis que nous relevons depuis plus de dix ans.

Mais l’IA modifie bel et bien la répartition des charges de travail et les schémas de trafic. C’est important, car l’essentiel de ce trafic réseau est lié aux applications et, de plus en plus, aux API. Voilà ce qui change. Comprendre ces nouveaux schémas de trafic et leur répartition entre le cœur de réseau, le cloud et la périphérie permet de déterminer les services de mise à disposition et de sécurité des applications dont vous aurez besoin, ainsi que l’endroit où les déployer pour maximiser leur impact et leur efficacité.

Nouveaux schémas de trafic

Il est important de noter que l’une des conséquences les plus significatives des applications d’IA sera l’augmentation des flux Est-Ouest et Nord-Sud. Une grande partie des flux Nord-Sud provenant de l’IA, le chemin de données Nord-Sud sortant deviendra ainsi un point de contrôle stratégique, en complément du chemin de données Nord-Sud entrant traditionnel.

Au cours des deux à trois prochaines années, les applications d’IA viendront compléter les portefeuilles existants, avant une phase de consolidation à mesure que les organisations cerneront la demande des consommateurs en matière d’interface en langage naturel (NLI).

La distribution croissante sur le chemin de données nord-sud entraînera une demande accrue de sécurité en tant que service à la périphérie de l’entreprise, tandis que la distribution croissante sur le chemin de données est-ouest entre les différents environnements renforce le besoin de réseaux multicloud. En interne, la sensibilité des données sur le chemin de données est-ouest accélère le besoin de fonctionnalités de sécurité et de contrôle des accès.

Il en résulte deux nouveaux points d’insertion dans les architectures d’applications d’IA, où la mise à disposition et la sécurité des applications apporteront une réelle valeur ajoutée, ainsi qu’une occasion de repenser leur déploiement afin d’améliorer l’efficacité, de réduire les coûts et de renforcer leur efficience.

C’est important, car nous commençons à voir des CVE enregistrées concernant les serveurs d’inférence. Il s’agit de la partie serveur de la couche « modèle », qui communique avec les clients via une API. Le recours à la sécurité des API à ce niveau est essentiel dans la stratégie globale de sécurité de l’IA, car c’est là que les capacités permettant d’inspecter, de détecter et de protéger les modèles et serveurs d’IA contre les tentatives d’exploitation sont les plus efficaces. C’est la « dernière ligne de défense » et, avec une solution de sécurité des API programmable, le moyen le plus rapide de contrer les nouvelles attaques visant les modèles d’IA.

Points d’insertion pour la mise à disposition et la sécurité des applications

Vous vous souvenez peut-être de cet article sur les modèles d’inférence de l’IA, dans lequel nous présentons les trois principaux modèles de déploiement actuels pour l’inférence de l’IA. À partir de ces modèles, nous pouvons identifier six points d’insertion distincts dans cette architecture étendue pour les services applicatifs, et déterminer où déployer au mieux ces services afin d’optimiser la sécurité, l’évolutivité et l’efficacité.

1. Services globaux (par entreprise) À ce niveau, la fourniture et la sécurité des applications relèvent généralement des services de sécurité, mais comprennent également des services de fourniture à l’échelle de l’entreprise, tels que le DNS, le GSLB et la mise en réseau multicloud. Les services de sécurité tels que la protection contre les attaques DDoS et la protection contre les bots sont particulièrement adaptés à ce niveau, car ils empêchent les attaquants de mobiliser des ressources critiques (et coûteuses) situées plus profondément dans l’environnement informatique, notamment celles des applications hébergées dans le cloud public.
2. Services partagés (par site) À ce niveau, les services de mise à disposition et de sécurité des applications renforcent la protection contre les attaquants tout en assurant des services de disponibilité, tels que l’équilibrage de charge pour les applications, les API et les services d’infrastructure (pare-feu, VPN SSL, etc.).
3. Services applicatifs (par application) La mise à disposition des applications et la sécurité à ce point d’insertion sont davantage adaptées à l’application ou à l’API qu’elles mettent à disposition et protègent. Il s’agit notamment de services applicatifs tels que le WAF, l’équilibrage de charge local et le contrôle des entrées pour les applications modernes. Ces services applicatifs assurent et sécurisent les communications « de l’utilisateur à l’application ».
4. Mise en réseau des microservices (par cluster) Les services de mise à disposition et de sécurité des applications à ce point d’insertion sont généralement déployés dans le cadre de l’infrastructure Kubernetes et comprennent le mTLS et le maillage de services. Ces services assurent la mise à disposition et la sécurisation des communications « d’application à application ».
5. Services d’inférence IA (par complexe de calcul IA) Ce nouveau point d’insertion est propre aux applications d’IA et comprend des fonctionnalités de mise à disposition et de sécurité spécialement conçues pour fournir et protéger les services d’inférence IA. L’équilibrage de charge est courant, tout comme la limitation du débit au niveau de la couche applicative afin de protéger les API d’inférence IA. Pour en savoir plus, consultez L’impact de l’inférence IA sur l’architecture des centres de données.
6. Services d’infrastructure d’IA (par serveur d’IA) Ce nouveau point d’insertion est intégré à la fabric réseau d’IA, les fonctions de mise à disposition et de sécurité des applications étant déployées sur des DPU afin de faciliter le déchargement de ces services. Ce point d’insertion vise à améliorer l’efficacité des investissements dans l’inférence en déchargeant le processeur des fonctions nécessaires de mise à disposition et de sécurité, ce qui permet aux serveurs d’inférence de « se consacrer uniquement au service ». F5 fait évoluer l’inférence de l’intérieur vers l’extérieur fournit davantage de détails sur ce niveau.

En réalité, la plupart des services de mise à disposition et de sécurité des applications peuvent être déployés à n’importe lequel de ces points d’insertion. Seuls font exception les services spécifiquement conçus pour s’intégrer à un environnement, tels que les contrôleurs d’entrée et les maillages de services, qui sont liés aux déploiements Kubernetes.

L’essentiel est d’identifier le point d’insertion permettant d’optimiser les différents paramètres — efficacité, efficience et coûts. Cela inclut non seulement le coût d’exploitation de ces services, mais aussi les coûts liés au traitement de ce trafic plus en profondeur dans l’infrastructure informatique.

Et s’il existe des bonnes pratiques pour faire correspondre la mise à disposition et la sécurité des applications aux points d’insertion (d’où la mention de services spécifiques pour chacun d’eux), il y a aussi toujours des raisons de s’en écarter, car aucune architecture d’entreprise n’est identique à une autre. C’est également l’une des principales raisons pour lesquelles la mise à disposition et la sécurité des applications doivent être programmables : aucun environnement, aucune application et aucun réseau ne sont identiques, et la capacité d’adaptation à des cas d’usage spécifiques est essentielle.

La nécessité d’assurer la mise à disposition et la sécurité des applications dans tous les environnements et à tous les points d’insertion explique pourquoi F5 tient à permettre le déploiement de ces services au plus grand nombre possible de points d’insertion, quel que soit l’environnement. C’est ainsi que nous permettons aux entreprises d’optimiser l’efficacité, l’efficience et les coûts, quelle que soit l’architecture de leur environnement, de leurs applications et de leurs réseaux.

À propos de l’auteur

Lori Mac VittieIngénieur émérite et évangéliste en chef | F5

Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.

Autres articles de Lori Mac Vittie