Lorsque la première note de terrain a été diffusée, le tier confidentiel de Sable était en panne et j'ai promis de le mesurer le jour où il reviendrait. Il est revenu. Le mercredi 16 septembre, à 06:10 UTC, la page d'état est passée à verified: true et y est restée.

Ainsi, à 06:49 UTC, j'ai envoyé la même tâche courte à quatre modèles, trois tours chacun. Deux fonctionnent sur le tier confidentiel, deux sur le tier standard. La tâche est du type que Lisa gère chaque jour : un appelant veut un service pour une Fiat Panda 2019 mardi matin prochain, signale un frein qui grince et laisse un numéro. Résumez-la en deux phrases pour le mécanicien.

Les chiffres

Modèle	Tier	Premier mot	Réponse complète	Tokens sortants	Coût du reçu
Gemma 4 26B	confidentiel	0,73 s	2,4 s	30–31	22 µ$
Llama 3.3 70B	standard	0,95 s	3,3 s	50–61	27–30 µ$
Qwen 2.5 72B	standard	1,13 s	2,0 s	33–34	40–41 µ$
Qwen 3.6 35B	confidentiel	aucun	3,6 s	300	237 µ$

Médianes de trois exécutions, en streaming, 300 tokens maximum. µ$ est un millionième de dollar : 22 µ$ correspond à 2,2 cents pour mille appels.

Le premier mot le plus rapide du matin provenait d'un modèle confidentiel. Gemma a répondu en 0,73 secondes, les trois fois entre 0,69 et 0,75, et son résumé était correct et bref. Cela importe pour Lisa : au téléphone, l'écart entre la fin d'une phrase et le premier mot de retour est ce que ressent l'appelant. Nos appels réels sur Llama ont montré environ 1,5 secondes jusqu'au premier token plus tôt ce mois‑ci.

Qwen 3.6 est l'autre face de la médaille. Il réfléchit avant de parler, et avec un budget de 300 tokens il a dépensé tout son temps à réfléchir. Trois appels, trois factures, zéro mot. Avec 800 tokens, deux appels ont répondu après 4,4 et 5,3 secondes, et le troisième a brûlé les 800 tokens sans rien dire. Les reçus pour ces trois s'élevaient à 363, 597 et 410 µ$. Un modèle de raisonnement est l'outil inadapté pour un résumé de deux lignes, et le reçu rend cela visible en argent, pas seulement en secondes.

Ce que le reçu confidentiel ajoute

Chaque réponse est accompagnée d'un reçu signé. Sur le tier standard, il contient le modèle, le moteur réel qui le sous-tend, le nœud, la région, les jetons, le coût et une ligne qui mérite d'être lue deux fois : logging: metadata-only.

Sur le tier confidentiel, le reçu comporte un bloc supplémentaire, une attestation : la plate-forme d'enclave (tdx, l'exécution de confiance d'Intel), sa mesure, un digest de citation, tcb_status: UpToDate et l'adresse de signature propre de l'enclave, qui n'est pas la même que l'adresse qui signe le reçu. Le champ moteur indique également où le modèle s'exécute : phala/gemma-4-26b-a4b-uncensored. Lors du test, le digest de citation a changé une fois, de b66ec4be… à 0b442534… : l'attestation a été rafraîchie pendant que nous mérions, et chaque reçu indique lequel il a vu.

Ce que cela ne prouve pas

Deux champs dans ce bloc sont définis à false, et ils constituent la partie honnête de l’histoire.

gpu_verified: false. L’attestation couvre l’enclave du processeur. La carte graphique qui effectue les calculs n’est pas vérifiée.

response_bound: false. Le reçu indique qu’une enclave vérifiée existait à ce moment‑là. Il ne lie pas cryptographiquement cette réponse particulière à cette enclave.

Ainsi, le tier confidentiel d’aujourd’hui constitue une véritable avancée, mesurée et signée, mais pas encore de bout en bout. J’écrirai cette phrase de nouveau le jour où l’un ou l’autre champ deviendra vrai.

Deux prix pour un appel

Une chose de plus que les reçus ont montré. Chaque réponse indique également un coût dans son champ d'utilisation, et il ne correspond jamais au reçu. Pour les modèles standard, le reçu est plus élevé (29 µ$ contre 23,5 pour Llama). Pour les modèles confidentiels, il est plus bas (22 µ$ contre 30 pour Gemma, 237 contre 467 pour Qwen). Les chiffres du reçu correspondent à la liste de prix publiée par Sable au micro-dollar, c’est donc le nombre que j’utilise. Ce que représente l’autre chiffre est une question qui mérite d’être posée à Sable.

Ce qui vient ensuite

Trois exécutions, une question, une matinée, depuis un serveur : c’est un instantané, pas un benchmark. L’étape suivante est celle qui compte pour Lisa. Je pointerai son agent de test vers la Gemma confidentielle et mesurerai une conversation réelle, réplique par réplique, comme je l’ai fait pour Llama. Si le premier mot reste inférieur à une seconde lors d’un appel réel, le téléphone devient possible.

Comment cela a été mesuré

Une petite fonction sur notre serveur a envoyé chaque requête en mode streaming, chronométré le premier mot visible et la réponse complète, et conservé le reçu complet. Les requêtes confidentielles portent sable_privacy_tier: confidential. L'attestation affichée est celle intégrée dans chaque reçu, vérifiée par rapport au statut public de Sable à la même minute. Coût total des quinze appels mesurés, lu dans leurs reçus : 2 355 µ$, environ un quart de centime.