x0ne Engine.
Moteur d'inférence
confidentiel.

Ce qui est fait, ce qui vient.

Écrit depuis le FEATURES.toml du dépôt. Sur une ligne mesurée, la date est celle du premier run sur une vraie VM confidentielle qui a exercé la fonctionnalité ; sur une ligne testée, celle de la première preuve.

Fait, mesuré sur matériel 47

• La VM est vérifiée avant chaque question14 octobre 2026Un relais sur votre poste vérifie la preuve matérielle de la VM avant qu'une question ou une clé ne parte.
• La preuve matérielle est vérifiée jusqu'à la racine Intel14 octobre 2026La preuve de la VM remonte à la racine Intel épinglée ; l'état de sécurité de l'hôte est vérifié en direct, refusé au moindre doute.
• Le module de confiance d'Intel est identifié14 octobre 2026Signataire, attributs et version du module TDX d'Intel sont vérifiés contre les identités publiées par Intel ; un module inconnu est refusé.
• Un défi frais tiré par votre poste14 octobre 2026Votre poste tire le défi auquel la preuve de la VM doit répondre : une preuve enregistrée ne se rejoue pas.
• Une preuve matérielle par connexion14 octobre 2026Chaque connexion chiffrée porte sa propre preuve matérielle, liée à cette connexion ; une clé de connexion volée ne donne rien.
• Un seul réglage de chiffrement, sans raccourci14 octobre 2026Le canal n'offre que deux réglages TLS 1.3, sans reprise de session ni données anticipées : une connexion, une preuve.
• Chaque version épingle ses mesures de démarrage14 octobre 2026Chaque version embarque et épingle son fichier de mesures ; une release sans épingle refuse de servir (87).
• Le firmware doit être un firmware signé par Google14 octobre 2026La mesure du firmware de la VM doit figurer dans la liste signée par Google des firmwares endossés pour ce type de machine.
• Le verdict NVIDIA nomme le GPU exact14 octobre 2026Chaque jeton GPU du service d'attestation NVIDIA est vérifié sous la chaîne épinglée et doit porter le numéro de série du GPU local.
• 5 modèles Qwen3, épinglés fichier par fichier14 octobre 2026Le catalogue intégré épingle 5 modèles Qwen3 Apache-2.0 à un commit Hugging Face, avec la taille et le SHA-256 de chaque fichier ; safetensors seulement.
• Téléchargements repris, en parallèle, hachés avant installation14 octobre 2026pull télécharge fichiers et plages de 64 Mio en parallèle, reprend ce qui manque, hache chaque fichier et installe atomiquement.
• Une commande fait tourner la VM sur Google Cloud14 octobre 2026x0ne-engine cloud crée la VM confidentielle, attend qu'elle serve, discute, et supprime toujours la VM à la sortie ou sur signal.
• Un reçu signé avec chaque réponse17 octobre 2026Chaque réponse porte un reçu signé dans la VM, qui lie la question et la réponse ; le relais le vérifie.
• Le journal de démarrage, rejoué contre une liste fermée17 octobre 2026Le journal de démarrage de la VM est rejoué ; chaque événement du boot mesuré doit figurer sur les listes fermées de la référence.
• Le prix est annoncé avant toute facturation17 octobre 2026Avant de créer la VM, up affiche le prix spot, le surcoût confidentiel de Google et le plafond du run, et attend votre oui.
• Le quota GPU est lu avant toute facturation17 octobre 2026Avant toute facturation, up lit le quota H100 spot et écarte les zones qui ne peuvent pas porter la machine.
• Un chat vérifié dans votre terminal17 octobre 2026x0ne-engine cloud run démarre un modèle et ouvre un chat ; chaque réponse dit si son reçu est vérifié.
• Vos outils habituels, par le point d'accès local17 octobre 2026Le relais sert un point d'accès compatible OpenAI sur votre poste ; Open WebUI et le client Python openai ont tourné dessus.
• Hors d'une VM confidentielle, le moteur refuse de servir17 octobre 2026Hors d'une VM TDX, le moteur s'arrête (64) avant d'ouvrir un port ; une release sans épingle s'arrête aussi (87).
• Débits publiés, avec leurs mesures17 octobre 2026Les débits de décodage sont publiés avec chaque mesure, tous mesurés sur un H100 dans une VM confidentielle.
• La référence d'image est signée, vérifiée avant lecture18 octobre 2026Le relais vérifie la signature détachée de la référence par la clé d'archive épinglée avant de la lire ; sinon il s'arrête (99).
• Deux certificats de signature NVIDIA épinglés18 octobre 2026Les jetons NVIDIA sont vérifiés sous deux certificats intermédiaires épinglés, un RSA et un P-384, chacun avec son algorithme fixé.
• Les gros modèles servis tels que publiés, en morceaux18 octobre 2026Les fichiers de poids sont mappés tels que publiés et vérifiés contre leur index ; qwen3 8b, 5 fichiers, servi par x0ne Core en VM.
• L'empreinte du modèle servi, recalculable par tous18 octobre 2026L'empreinte du modèle servi est un SHA-256 des sommes de contrôle de la config, du tokenizer et des poids, recalculé au chargement.
• Le GPU doit démarrer sécurisé, débogage coupé22 octobre 2026Chaque jeton GPU doit rapporter des chaînes de certificats valides, aucune révocation, le démarrage sécurisé actif et le débogage coupé.
• Réponses en flux, reçu sur le dernier morceau22 octobre 2026Avec le flux activé, la réponse arrive au fil de la génération, au format OpenAI ; le reçu voyage sur le dernier morceau.
• Le relais diffuse et reconstruit chaque événement22 octobre 2026Le point d'accès local diffuse depuis la VM ; chaque événement est vérifié contre une liste blanche et reconstruit avant la vérification du reçu.
• Les clients ne réessaient que sur consigne22 octobre 2026Une file pleine répond 503 avec un délai d'attente ; les autres erreurs disent de ne pas réessayer : un client OpenAI standard génère une fois.
• Plusieurs clients à la fois, répété sur matériel22 octobre 2026Une VM confidentielle a servi 49 requêtes de clients concurrents via le relais, 256 jetons en 3,70 à 3,75 s, pour 0,66 USD.
• Les certificats Intel révoqués sont refusés25 octobre 2026La VM au démarrage et votre poste à chaque verdict lisent la liste de révocation d'Intel ; un certificat listé est refusé.
• Les révocations de la racine Intel sont lues25 octobre 2026La liste de révocation de la racine Intel est lue ; une autorité ou un signataire listé vaut révocation.
• Un plancher sur le niveau de sécurité de l'hôte25 octobre 2026Transparent par défaut, l'hôte est jugé sur les données standard d'Intel, failles nommées ; le mode strict, sur demande, refuse un hôte en retard.
• Une VM qui ne sert jamais est supprimée25 octobre 2026up lit la console de la VM, affiche pourquoi elle a refusé et supprime une VM qui ne sert jamais (97), au lieu d'attendre.
• Votre question est chiffrée sur votre poste28 octobre 2026Le SDK, sur votre poste, vérifie la VM, chiffre la question vers la clé de la VM et vérifie le reçu. Prototype.
• Les failles Intel non corrigées sont nommées, ou refusées28 octobre 2026En mode transparent, le relais nomme les failles Intel non corrigées de l'hôte dans chaque verdict et reçu ; le mode strict refuse l'hôte.
• La clé NVIDIA vient d'un fichier, jamais imprimée30 octobre 2026La VM lit la clé d'attestation NVIDIA dans un fichier, ne l'imprime jamais et s'arrête (103) si le service la refuse.
• Pas de service sans GPU en mode confidentiel30 octobre 2026La VM refuse de servir (74) si le GPU n'annonce pas le mode confidentiel de production, outils de développement coupés.
• Le reçu dit ce qui n'est pas prouvé30 octobre 2026Le reçu énonce quatre choses qu'il ne prouve pas : périphérique de calcul, niveau de sécurité de l'hôte, réglages d'échantillonnage et graine.
• Réglages d'échantillonnage respectés, l'échantillonneur signé30 octobre 2026Temperature, top_p, seed et séquences stop sont respectés ; le reçu signe temperature, top_p et seed ; l'appel d'outils répond 400, pas encore pris en charge.
• Réponses contraintes par un schéma JSON30 octobre 2026Un schéma JSON dans la requête contraint la réponse jeton par jeton ; le reçu nomme le SHA-256 du schéma.
• La clé de la VM porte le verdict GPU30 octobre 2026La clé publiée par la VM lie les réglages de session et porte le verdict NVIDIA sur le GPU : pas d'aller-retour depuis votre poste.
• Par défaut, la VM ne répond qu'à votre adresse30 octobre 2026Par défaut, le pare-feu cloud de la VM n'admet que l'adresse publique de votre poste sur le port 443, et non plus tout Internet.
• Tout le démarrage est épinglé, firmware compris31 octobre 2026Votre poste télécharge le firmware signé par Google et exige ses 16 événements de démarrage, identiques sur 3 boots.
• Les réponses sont rembourrées en taille et en temps31 octobre 2026Les réponses partent à une taille arrondie, 16 Kio au moins, par pas de 100 ms ; les flux envoient des trames de taille fixe.
• Flux chiffré jusqu'au SDK, via le relais1er novembre 2026Le SDK reçoit en flux une réponse chiffrée par la VM ; votre relais passe chaque trame sans l'ouvrir. Mesuré une fois sur matériel.
• Qwen3 tourne sur x0ne Core, notre moteur GPU4 novembre 2026x0ne Core fait tourner Qwen3 sur le GPU avec ses propres noyaux de calcul, compilés à l'avance, et rejoue un graphe CUDA par jeton.
• Inférence GPU dans la VM confidentielle4 novembre 2026x0ne Core sert le modèle sur le GPU dans la VM confidentielle, via cet Engine : un essai sur un H100, pas une version publiée.

Fait, testé 27

• 1 355 tests, 92,58 % de lignes couvertes, en CI locale22 août 2026x0ne-infer passe 1 355 tests ; make ci ajoute toutes les options, des lints stricts, le contrôle des licences et failles connues ; 92,58 % des lignes couvertes.
• Poids scellés, ouverts une fois la clé libérée18 septembre 2026x0ne-infer seal chiffre les poids ; un test à réponse connue fige le format, et le bail de la clé est borné dans le temps.
• Une VM en mode débogage est refusée23 septembre 2026Une preuve matérielle dont le drapeau de débogage est levé est refusée par la VM, par votre poste et par le vérificateur structurel.
• Aucun secret en ligne de commande ni dans l'environnement11 octobre 2026Aucune commande n'imprime la valeur d'un argument inconnu ; une clé tapée à la place d'un nom de fichier est refusée sans être imprimée.
• Preuves et connexions sont bornées13 octobre 2026Une preuve matérielle à la fois, une file bornée, 429 ou 503 au-delà ; 256 poignées de main au plus, 10 s chacune.
• Les clés vivent en mémoire protégée13 octobre 2026Le moteur ne peut pas être vidé en mémoire ; clés de session et de connexion vivent en mémoire protégée ou verrouillée, effacées avant libération.
• La release ne contient que le chemin vérifié13 octobre 2026L'archive de release ne contient que le client du chemin vérifié : la ligne de commande, l'outil cloud et le relais.
• Le paquet Debian se construit à l'identique deux fois13 octobre 2026make deb construit le paquet hors ligne avec le même SHA-256 depuis deux conteneurs ; une construction hôte et une construction VM ont concordé.
• Le contexte tient dans la mémoire GPU restante16 octobre 2026Sur GPU, tout le contexte doit tenir à côté des poids, sinon le modèle n'est pas chargé ; un prompt plus long reçoit un 413.
• La preuve GPU est liée à chaque connexion22 octobre 2026En attestation CPU et GPU, chaque connexion porte des jetons NVIDIA sur un défi dérivé de cette connexion.
• VM confidentielles AMD : le vérificateur, sur votre poste22 octobre 2026Votre poste peut vérifier un rapport AMD SEV-SNP jusqu'aux racines AMD épinglées (Milan, Genoa, Turin), avec des planchers sur le firmware.
• La référence d'image doit figurer dans un journal public22 octobre 2026Le relais exige une preuve d'inclusion dans un journal de transparence pour la référence ; journal fourché, périmé ou injoignable refusé.
• 16 promesses jamais faites, tenues par un test22 octobre 2026Un test interdit 16 promesses que le projet ne fait pas, dans le README, les docs, les pages et les messages.
• Un plancher sur la version du firmware23 octobre 2026Une référence d'image peut fixer une version minimale du firmware ; un firmware plus ancien, jadis signé par Google, est refusé.
• Le verdict NVIDIA global doit nommer chaque jeton GPU23 octobre 2026Le jeton NVIDIA global doit porter exactement un SHA-256 par jeton GPU envoyé, ni plus ni moins.
• La sécurité de l'hôte est relue chaque heure23 octobre 2026Chaque heure la VM et le relais relisent les données de sécurité d'Intel ; un verdict contre l'hôte arrête les réponses.
• Le SDK rejoue hors ligne une vraie preuve matérielle23 octobre 2026Un test accepte la vraie preuve Google Cloud du 18 octobre 2026 avec son journal et son endorsement, et refuse chaque changement d'un bit.
• Une requête chiffrée ne se rejoue pas23 octobre 2026La VM refuse une requête chiffrée rejouée dans sa fenêtre.
• Rien n'est journalisé sur les chemins de réponse23 octobre 2026Un test interdit la journalisation sur les chemins de réponse ; les erreurs citent 64 octets au plus ; un plantage sort en erreur rembourrée.
• Clé du propriétaire du modèle : VM vérifiée seulement24 octobre 2026Le relais libère la clé du propriétaire du modèle, chiffrée vers une clé prouvée par la VM, qui descelle alors les poids.
• Un relais qui voit qui demande, pas quoiprototype 24 octobre 2026Une maquette de service partagé où un relais voit qui demande et une passerelle voit quoi ; aucun binaire x0ne ne l'utilise encore.
• Tokenizer : accès mémoire selon la longueur, pas le texteprototype 24 octobre 2026Une mesure de ce qu'un tokenizer standard fuit par ses accès mémoire, et une contre-mesure testée, hors du chemin servi.
• Des binaires de release légers25 octobre 2026Les binaires de release sont allégés : x0ne-infer passe de 89,6 Mo à 9,9 Mo.
• VM confidentielles AMD : le côté invité, construitprototype 28 octobre 2026Le côté invité AMD SEV-SNP et son outil de mesure de lancement sont construits et testés en local, jamais exécutés sur une machine AMD.
• Une conversation garde sa mémoire entre les toursprototype 30 octobre 2026Le moteur d'avant x0ne Core gardait la mémoire de travail d'une conversation sous un identifiant à usage unique : une suite ne la recalculait pas.
• Le SDK se souvient du journal vérifié31 octobre 2026Le SDK garde le dernier état du journal qu'il a vérifié ; un journal qui bifurque, recule ou grandit sans preuve est refusé.
• Révocation des certificats de signature NVIDIA vérifiée31 octobre 2026Les réponses de révocation des certificats de signature NVIDIA sont vérifiées ; un certificat révoqué est refusé, et le verdict nomme le contrôle.