Air-gapper sa machine d'inférence

#Quand un air-gap se justifie, et quand il coûte trop cher

Un air-gap se décide par une analyse de risques, pas par principe. Les cas où il se justifie : données classifiées ou couvertes par un secret industriel de haut niveau, exigences contractuelles ou sectorielles qui imposent explicitement un réseau isolé, environnements qui pratiquent déjà l'isolement et dans lesquels le LLM doit s'intégrer, et postes dédiés à des dossiers d'une sensibilité exceptionnelle (un avocat, un chercheur). Pour les données personnelles ordinaires, y compris de santé ou financières, les textes demandent des mesures proportionnées au risque plutôt qu'un isolement total : un LLM local sur un poste chiffré, sans compte cloud, répond déjà à la plupart des besoins. Le guide sur l'IA locale en entreprise et la checklist de confidentialité couvrent ce niveau intermédiaire.

Avant de vous lancer, posez trois questions. Qui fera les transferts, et selon quelle fréquence ? Quels composants la pile exige-t-elle qu'on mette à jour (Ollama, llama.cpp, l'interface, les modèles) ? Et que se passe-t-il le jour où un modèle plus récent devient indispensable : le processus doit rester praticable sans exception, car une exception faite une fois devient la règle. Si vous ne pouvez pas répondre à ces trois questions, commencez par un poste hors ligne par usage avec pare-feu strict, et montez d'un niveau seulement quand le risque le justifie.

#Air-gap, quasi air-gap et pare-feu : ne pas les confondre

Ce guide couvre les trois : le pare-feu est la couche minimale que tout poste sensible devrait avoir, et l'air-gap physique la couche supérieure. Sur un Mac, les réglages propres à macOS relèvent du guide sur l'optimisation des Mac à puce Apple ; sous Windows, les principes sont les mêmes mais le contrôle des composants qui appellent dehors est moins fin qu'avec un Linux minimal, d'où la préférence donnée ici à Linux.

#Préparer la machine

Système minimal

Debian ou Ubuntu Server sans interface graphique pour un serveur d'inférence. Pas de navigateur, pas de gestionnaire de paquets connecté à un magasin d'applications.

Services de mise à jour automatique

Désactivez les minuteurs de mise à jour, par exemple sudo systemctl disable --now apt-daily.timer apt-daily-upgrade.timer, pour qu'aucune tentative de connexion ne parte en silence.

Comptes

Un compte dédié à l'usage du LLM, sudo restreint à l'administrateur.

Radios et interfaces

Wi-Fi et Bluetooth désactivés au BIOS ou au firmware, mieux : physiquement absents. Pas de câble réseau branché.

Pas de double démarrage

Une partition connectée à côté crée des voies indirectes (fichier d'échange, fichiers partagés).

Heure

Réglez l'horloge à la main ou depuis une source interne : une synchronisation avec un serveur de temps public est un trafic sortant.

Disque chiffré

Un poste isolé se vole ou se saisit : chiffrez le disque (voir le guide dédié).

#Les logiciels de la pile LLM qui appellent dehors par défaut

Pour une machine physiquement isolée, ces appels échouent sans dommage ; pour une machine en simple pare-feu, ou en attente de déconnexion, ils sont le vrai risque. Une pile locale type contient plusieurs composants qui contactent Internet si on ne les en empêche pas. Voici ceux que la documentation officielle permet de couper.

La documentation d'Ollama précise que, lorsqu'on utilise Ollama en local, l'éditeur ne voit ni les requêtes ni les données ; désactiver les fonctions cloud fait perdre l'accès aux modèles hébergés et à la recherche web, ce qui est exactement le but. Attention à Open WebUI : la documentation avertit que, si vous n'avez pas téléchargé un modèle d'embeddings avant d'activer OFFLINE_MODE, les fonctions de RAG, de recherche web et d'analyse de documents peuvent ne pas fonctionner. Téléchargez tout ce dont la machine aura besoin avant de la couper.

#Pare-feu strict : refuser par défaut, entrée comme sortie

Le pare-feu est la seconde ligne, derrière la déconnexion physique, et la seule protection sur un poste qui reste sur un réseau interne. Le principe est le refus par défaut dans les deux sens, avec quelques autorisations explicites vers le réseau interne isolé. Écrivez les règles d'autorisation avant d'activer le pare-feu, faute de quoi vous vous coupez vous-même d'une session SSH.

sudo ufw default deny incoming
sudo ufw default deny outgoing

# Réseau interne isolé (exemple), y compris l'administration SSH depuis un poste connu
sudo ufw allow in from 192.168.50.0/24 to any port 22 proto tcp
sudo ufw allow out to 192.168.50.0/24

sudo ufw enable
sudo ufw status verbose

Le trafic sur l'interface locale (loopback) est nécessaire au fonctionnement d'Ollama et d'Open WebUI qui se parlent sur 127.0.0.1 ; vérifiez avec ufw status verbose que votre configuration ne le bloque pas. Si la machine est sur un LAN interne, doublez la protection côté routeur : un VLAN sans route vers Internet.

#Vérifier ce qu'écoute Ollama

sudo ss -tlnp | grep ollama
# attendu : 127.0.0.1:11434 et non 0.0.0.0:11434
# si 0.0.0.0 : régler OLLAMA_HOST=127.0.0.1:11434

#Transférer les modèles et les mises à jour par clé USB

Une machine isolée reçoit des modèles (de quelques Go à plusieurs dizaines), des mises à jour (Ollama, llama.cpp, Open WebUI), parfois des documents. Le point critique est la clé USB : c'est la seule porte, donc la seule voie d'entrée d'un logiciel malveillant. Utilisez toujours la même clé, dédiée, formatée régulièrement, et jamais une clé qui a servi ailleurs.

1. 01
   Télécharger sur une machine connectée

   Récupérez le fichier GGUF du modèle depuis Hugging Face ou le binaire de mise à jour depuis le site officiel. Notez l'empreinte SHA-256 affichée par la source quand elle existe.
2. 02
   Calculer l'empreinte et analyser

   Exécutez sha256sum sur le fichier, puis passez-le à un antivirus (par exemple ClamAV) sur cette machine de transit, qui n'est pas la machine isolée.
3. 03
   Copier sur la clé

   Copiez le fichier et un fichier texte contenant son empreinte.
4. 04
   Vérifier côté isolé avant usage

   Sur la machine isolée, recalculez l'empreinte : elle doit être identique. Une différence signifie un fichier modifié ou corrompu : ne l'utilisez pas.
5. 05
   Importer dans Ollama

   Créez un Modelfile avec FROM /chemin/vers/modele.gguf puis ollama create nom-du-modele -f Modelfile. Ollama ne quantifie pas un GGUF à l'import : le fichier doit déjà avoir la quantification voulue.

# machine de transit
sha256sum modele-q4_k_m.gguf > modele.sha256

# machine isolée
sha256sum -c modele.sha256
printf 'FROM ./modele-q4_k_m.gguf\n' > Modelfile
ollama create mon-modele -f Modelfile
ollama run mon-modele

La méthode alternative consiste à copier tout le dossier des modèles d'une machine connectée (blobs et manifestes) vers la machine isolée. Elle fonctionne, mais le dossier n'est pas au même endroit selon l'installation : la FAQ d'Ollama donne ~/.ollama/models sous macOS, /usr/share/ollama/.ollama/models sous Linux avec l'installateur standard, et C:\Users\%username%\.ollama\models sous Windows. Le passage par un fichier GGUF isolé est plus simple à vérifier, car il n'y a qu'une empreinte à comparer. Le guide sur l'import GGUF détaille le Modelfile.

#Durcir le port USB

Une clé peut se faire passer pour un clavier ou un autre périphérique. Sur Linux, USBGuard se présente en une phrase comme un outil de liste blanche de périphériques USB : il définit quels types d'appareils sont autorisés et comment ils peuvent interagir avec le système. Désactivez aussi le montage automatique des supports, pour que rien ne s'exécute au branchement. Pour les contextes très sensibles, une diode de données (un dispositif qui ne laisse passer les données que dans un sens) remplace la clé, au prix d'une mise en place plus lourde.

#Tester l'étanchéité

Un test ne prouve l'étanchéité que sur la durée pendant laquelle il a observé : recommencez-le après chaque mise à jour et laissez la capture tourner pendant une session de travail complète. Le protocole minimal couvre le fonctionnement, l'absence de route, l'absence de résolution de noms et le trafic réel.

Fonctionnement hors ligne

Débranchez le câble et coupez toutes les radios, puis exécutez le flux complet (modèle, RAG, interface). Tout doit fonctionner : sinon, un composant dépendait d'Internet.

Absence de route

ping -c 1 8.8.8.8 doit échouer (« Network is unreachable » ou équivalent).

Absence de DNS

host exemple.org doit échouer ; vérifiez /etc/resolv.conf : aucun serveur externe.

Connexions établies

sudo ss -tunp state established : aucune connexion vers une adresse hors du réseau interne.

Trafic réel

Une capture avec tcpdump sur toutes les interfaces, en excluant le réseau interne, doit rester vide pendant toute une session d'usage.

# rien ne doit apparaître (hors loopback et réseau interne)
sudo tcpdump -i any -n 'not (host 127.0.0.1 or host ::1) and not (net 192.168.50.0/24)'

#Audit régulier

#Questions fréquentes sur l'air-gap d'une machine LLM

• Chiffrer le disque des modèles
• Checklist confidentialité
• IA locale en entreprise : RGPD, souveraineté et déploiement
• Importer un modèle GGUF de Hugging Face dans Ollama
• Tirer le max d'un Mac Apple Silicon

• Source : FAQ Ollama, cloud désactivable et emplacements
• Source : Ollama, import d'un modèle GGUF
• Source : Open WebUI, variables d'environnement
• Source : USBGuard