Les équipes de stockage qui conçoivent des infrastructures pour l’IA ne manquent pas de moyens pour accélérer le transfert des données. Mais la question qui leur est de plus en plus souvent posée est tout autre : les données utilisées pour l’entraînement, la génération augmentée par récupération (RAG) et l’inférence resteront-elles accessibles et intactes en cas de défaillance d’un nœud, de reconstruction qui s’éternise, de comportement inapproprié d’un agent ou d’interception du trafic par une personne non autorisée ?
Chez F5, nous considérons que la résilience et la sécurité sont des aspects essentiels de l’architecture des infrastructures de stockage pour l’IA. Elles constituent un seul et même enjeu de conception, et le meilleur moyen d’y répondre est de mettre en place un point d’entrée compatible avec S3. Cet article explique les raisons de cette conviction, la manière dont F5 répond à cet enjeu et dans quel cadre nous avons récemment défendu cette approche auprès de la communauté des développeurs de solutions de stockage.
La résilience et la sécurité relèvent du même problème
Chaque étape de la génération augmentée par récupération (RAG), de la RAG native à la RAG avancée, modulaire et basée sur des graphes, fournit des réponses plus riches en extrayant davantage de vecteurs et de documents du magasin d’objets. La disponibilité du stockage et la latence d’accès influent donc autant sur le délai avant le premier token que la vitesse de génération.
Dans le même temps, un stockage compatible S3 n’est toujours pas synonyme d’interopérabilité, même après toutes ces années. Cela plaide concrètement en faveur de la mise en place d’un point d’accès uniforme devant le stockage, afin que le client communique avec un point de terminaison unique et prévisible, sans jamais avoir à se soucier du système du fournisseur qui répond en arrière-plan. Les clusters de stockage peuvent également se dégrader et tomber en panne pour de nombreuses raisons, qu’il s’agisse de pannes de nœuds, de défaillances réseau ou de reconstructions plus longues liées à des disques de plus grande capacité. Lorsque cela se produit, un gestionnaire de trafic doit acheminer les requêtes de stockage vers les nœuds qui restent sains et performants, de sorte que les clients ne s’en aperçoivent jamais.
“Dès lors que la couche de gestion du trafic prend en charge S3, la résilience et la sécurité cessent d’être deux projets distincts pour devenir un point de contrôle unique.”
Les agents autonomes accèdent désormais eux aussi directement au stockage et, dès lors que des appelants non humains peuvent ouvrir un bucket de leur propre initiative, les contrôles d’accès doivent être appliqués au niveau de la couche S3 elle-même, plutôt qu’en aval, une fois la requête déjà traitée. Le problème est que la plupart des répartiteurs de charge actuellement placés devant les clusters de stockage objet n’ont jamais été conçus pour S3 et n’ont aucune visibilité sur ces éléments. Dès lors que la couche de gestion du trafic comprend S3, la résilience et la sécurité cessent d’être deux projets distincts pour devenir un point de contrôle unique.
Protéger les données en transit avant que la plateforme de stockage ne puisse le faire
Prenons le cas de l’attaque « collecter maintenant, déchiffrer plus tard », qui consiste pour un adversaire à enregistrer aujourd’hui du trafic chiffré dans l’espoir de pouvoir le déchiffrer lorsque l’informatique quantique le permettra. La plupart des plateformes de stockage objet ne sont pas encore en mesure de protéger les données en transit à l’aide d’un chiffrement résistant aux attaques quantiques. F5 BIG-IP, grâce à ses capacités de cryptographie post-quantique, peut être placé en amont du stockage et combler cette faille sans attendre que chaque fournisseur de solutions de stockage propose sa propre implémentation. Il s’agit d’un exemple clair de sécurité intégrée nativement au chemin d’accès au stockage, plutôt qu’ajoutée ailleurs dans la pile. C’est aussi le type de contrôle qu’une équipe chargée du stockage peut adopter sans rien modifier au cluster situé en aval.
“Une fois la pénalité de débit éliminée, le proxy cesse d’être un frein pour le pipeline.”
Cela est possible grâce aux recherches et aux tests en laboratoire menés par F5 afin d’établir des profils TCP propres à S3 pour BIG-IP, et a été confirmé de manière indépendante lorsque SecureIQLab a validé BIG-IP en amont d’un cluster Dell ObjectScale. Avec des profils TCP optimisés pour S3, l’écart entre le débit S3 et le débit de référence sans BIG-IP sur le chemin reste inférieur à 10 % pour toutes les combinaisons testées de taille d’objet et de latence réseau. Dans le même temps, ce déploiement a contenu le trafic client perturbateur et maintenu le service S3 opérationnel lors d’une simulation d’attaque DDoS. Une fois la pénalité de débit éliminée, le proxy cesse de peser sur le pipeline et devient le point unique du chemin où sont contrôlés les domaines de défaillance, le chiffrement et les politiques.
Des flux TCP optimisés et des outils de test reconnus par l’écosystème
Les profils TCP S3 désormais définis sur BIG-IP constituent un point de départ plutôt qu’un paramétrage figé. Ils peuvent être personnalisés et affinés davantage en fonction des caractéristiques d’un déploiement de production donné, un aspect particulièrement important pour les développeurs de solutions de stockage lorsqu’ils envisagent d’intégrer BIG-IP au chemin de données afin d’optimiser les flux TCP entre leurs différentes sources de trafic S3 et leur stockage objet.
F5 entend également contribuer aux méthodologies de test et aux outils open source sur lesquels les fournisseurs de solutions de stockage S3 et leurs clients s’appuient pour générer du trafic S3, car un proxy destiné à s’intégrer à chaque chemin de données S3 doit être évalué à l’aide des mêmes outils que ceux auxquels le reste de l’écosystème fait confiance.
Ce que cela implique pour l’architecte qui conçoit le pipeline
Tout cela met en évidence une hiérarchie que, selon nous, la plupart des architectes du stockage appliquent déjà instinctivement : la résilience vient en premier, la sécurité en deuxième, tandis que les performances constituent une exigence à laquelle chaque composant du chemin doit satisfaire, plutôt qu’une raison d’en ajouter un. La direction demande aux équipes chargées du stockage ce que leur organisation retire des sommes consacrées à chaque composant du flux d’E/S, ainsi que la contribution de ce composant dans les situations de panne et d’attaque décrites ci-dessus.
Le débat plus large au sein du secteur sur les data fabrics et l’intelligence des données aboutit à la même conclusion sous un autre angle : dès lors que la question n’est plus de savoir où résident les données, mais comment elles sont découvertes, gouvernées et exploitées, il devient indispensable de disposer d’un point d’entrée unique offrant un seul point de terminaison et une interface de gestion des politiques commune à tous les backends compatibles S3, quelle que soit la plateforme de stockage retenue lors du prochain cycle d’approvisionnement.
C’est le problème que F5 désigne par l’expression « distribution des données d’IA ». Un contrôleur de mise à disposition d’applications compatible avec S3 trouve sa place dans le parcours des données non pas comme une fonctionnalité de performance supplémentaire cherchant à attirer l’attention, mais comme le point où sont appliqués les mécanismes de disponibilité, de contrôle d’accès et de chiffrement pour les données dont dépendent l’entraînement, la RAG et l’inférence.
Garantir l’accessibilité et la fiabilité des données d’IA
C’est pourquoi les entreprises internationales déploient F5 en amont d’un stockage compatible S3 afin de garantir la résilience et la sécurité de la mise à disposition des données d’IA. BIG-IP maintient l’accessibilité du stockage objet en cas de défaillance de nœuds ou de pics d’ingestion, applique des contrôles de sécurité au niveau de la couche S3 afin que le trafic malveillant n’atteigne jamais les données, et assure ces deux fonctions sans ralentir le pipeline, comme l’ont confirmé les tests indépendants de SecureIQLab menés avec Dell ObjectScale. Pour un architecte du stockage, cela se traduit par une couche unique dans le chemin des données, qui permet aux pipelines d’IA de continuer à fonctionner avec des données auxquelles l’organisation peut se fier.
Nous avons récemment présenté ces idées lors de la SNIA SDC 2026
F5 a présenté cet argument à un public de développeurs spécialisés dans le stockage lors de la SNIA Storage Developer Conference à Santa Clara. Paul Pindell, architecte principal de solutions chez F5, y a expliqué comment un proxy optimisé sur le chemin S3 assure la résilience, la maîtrise des domaines de défaillance et le déchargement TLS, sans pénaliser le débit.
Les questions qui ont suivi — sur les profils TCP pour S3, la protection post-quantique des données en transit et la manière d’évaluer un proxy à l’aide des outils de test de l’écosystème — ont confirmé que les équipes chargées du stockage recherchent déjà un point d’entrée adapté au stockage compatible S3. Pour en savoir plus sur la manière dont F5 fournit un accès résilient et sécurisé aux clusters de stockage, consultez la page consacrée au cas d’usage de la diffusion de données pour l’IA.
À propos des auteurs
Florin Meilescu est ingénieur logiciel principal senior et architecte de tests chez F5, où il occupe le poste d’architecte des tests de solutions pour BIG-IP sur les plateformes matérielles et logicielles, ainsi que dans les environnements de cloud public. Il possède plus de 20 ans d’expérience sur le marché des contrôleurs de mise à disposition d’applications (ADC), notamment chez Citrix NetScaler. Son expertise couvre les protocoles des couches L2 à L7 et les systèmes qui les prennent en charge, des serveurs Linux aux équipements réseau dont il assurait le support au début de sa carrière. Florin est titulaire d’un diplôme d’ingénieur de l’Université polytechnique de Bucarest.
Autres articles de Florin MeilescuPaul Pindell est architecte principal chez F5, où il travaille au sein de l’équipe Technology Alliances et supervise les partenariats techniques couvrant l’ensemble du portefeuille de produits de F5. Depuis 2019, il joue également un rôle clé dans les initiatives de stratégie d’entreprise, notamment en contribuant au lancement du premier projet d’innovation de F5. Paul a dirigé l’équipe spéciale chargée de la stratégie d’IA de F5, dont l’objectif était de déterminer comment les produits existants de F5 peuvent contribuer à sécuriser et à fournir des applications d’IA. Il a ensuite participé à l’élaboration de l’architecture de référence de F5 pour l’IA, qui présente les principaux composants, défis, risques et solutions partenaires nécessaires à la fourniture et à la sécurisation des applications d’IA. Paul intervient régulièrement comme conférencier principal et animateur de sessions thématiques lors d’événements du secteur, notamment l’OPI Summit, l’OCP Global Summit, Intel InnovatiON, l’Open Source Summit, le Red Hat Tech Exchange et plusieurs conférences VMworld aux États-Unis et dans la région EMEA. Il est également fondateur et responsable de la maintenance de projets open source, préside le comité de sensibilisation de l’Open Programmable Infrastructure Project et a auparavant dirigé les opérations des centres de données Antivirus Response de Symantec ainsi que des laboratoires de test de logiciels de sécurité.
Autres articles de Paul PindellSandeep Agarwal est architecte logiciel senior chez F5, où il dirige les activités liées à l’infrastructure centrale et à la sécurité réseau pour les systèmes distribués haute performance et les pipelines d’IA d’entreprise. Il pilote la conception d’architectures à faible latence pour l’entraînement et l’inférence de l’IA, ainsi que la gouvernance des jetons et l’équilibrage dynamique des charges d’IA. Il est également responsable des pipelines de données accélérés par le matériel à l’aide d’eBPF, du déchargement sur FPGA et de DPU, et supervise l’architecture de Kubernetes, des fonctions réseau cloud natives et de la sécurité des couches L2 à L7. Auparavant, il a occupé les postes d’ingénieur logiciel Staff chez Juniper Networks, d’ingénieur logiciel principal senior chez Symantec et de membre du personnel technique chez Sun Microsystems. Sandeep est titulaire d’un master en ingénierie informatique de l’Oregon State University et d’une licence en électronique et communications du Birla Institute of Technology, Mesra.
Autres articles de Sandeep AgarwalJonathan Chen est architecte en développement logiciel pour SSL Orchestrator chez F5, où il dirige les travaux sur l’interception TLS, les politiques de proxy direct et le chaînage de services d’équipements de sécurité tiers. Il est également chargé d’intégrer la prévention des pertes de données et un nouvel environnement d’exécution programmable au plan de données de BIG-IP, et il définit l’architecture et la feuille de route de ces deux domaines. Auparavant, il a occupé le poste d’architecte pour les États-Unis chez Trend Micro, où il se consacrait à la détection et à la prévention des intrusions. Lors de son premier passage chez F5, il a travaillé sur le SSL-VPN haute performance, le proxy de réécriture d’applications, l’optimisation réseau et la passerelle web sécurisée. Jonathan est titulaire d’un master et d’une licence en informatique, obtenus avec mention spéciale à l’Université du Texas à Austin.
Autres articles de Jonathan ChenArticles de blog associés
IA et cybersécurité
Découvrez comment l’IA et la cybersécurité fonctionnent de concert. Découvrez comment l’IA et le machine learning (ML) permettent à votre entreprise de rester sécurisée, efficace et prête à innover avec F5.
Suivre le rythme de l’innovation de pointe ne suffit pas à faire avancer l’entreprise : se préparer à la réglementation de l’IA
À mesure que la réglementation de l’IA évolue, réfléchissez aux mesures de protection que vous pouvez mettre en place dès maintenant.
Les contrôleurs de mise à disposition d’applications reviennent au cœur des priorités stratégiques
L’IA rebat les cartes de la livraison d’applications. Nirav Shah de F5 revient sur la nouvelle étude de Gartner® consacrée aux ADC et explique ce qu’elle implique pour les décisions des entreprises en matière d’infrastructure.
Ce que nos clients nous disent sur l’IA, le multicloud hybride et la sécurité des applications
Le nouveau vice-président senior du marketing produit de F5 explique les pressions liées à l’IA auxquelles sont confrontés les dirigeants d’entreprise et ce dont ils ont besoin pour renforcer leur organisation.
Cinq niveaux de cyberrésilience antifragile transforment les pratiques en résultats
Découvrez comment cinq niveaux de résilience antifragile transforment les perturbations en comportements adaptatifs qui limitent les défaillances et renforcent l’architecture multicloud hybride.
Optimiser les pipelines d’IA en éliminant les goulets d’étranglement dans les charges de travail modernes
À mesure que les charges de travail d’IA montent en puissance, les entreprises constatent des ralentissements provenant du pipeline de données en amont qui alimente le modèle d’IA. Voici comment F5 BIG-IP peut les aider.