L'intelligence artificielle a mauvaise réputation dès qu'on parle de données sensibles — et c'est légitime : la plupart des usages de l'IA reposent sur l'analyse de contenu, ce qui suppose d'y avoir accès. Alors comment un outil comme Encryvault peut-il détecter des mots de passe faibles ou réutilisés sans jamais voir ces mots de passe ?
Le calcul qui détecte un mot de passe faible ou dupliqué s'exécute entièrement côté client, dans votre navigateur, sur les entrées déjà déchiffrées localement pour votre propre usage. Aucune donnée déchiffrée n'est renvoyée vers un serveur pour analyse — le résultat (badge "faible", badge "réutilisé") reste un calcul local, jamais un aller-retour réseau.
Rien de tout cela ne nécessite qu'un modèle d'IA hébergé à distance "voie" votre mot de passe en clair.
Un modèle serveur plus sophistiqué pourrait, en théorie, détecter des motifs plus subtils (une variante prévisible d'un mot de passe précédent, par exemple). Mais cela supposerait de lui donner accès au contenu déchiffré — une rupture directe du principe Zero-Knowledge qui est la fondation de la sécurité de Encryvault. Ce compromis n'est, à ce jour, pas sur la table : la promesse "personne d'autre que vous ne peut lire votre coffre" prime sur la sophistication de l'analyse.
Toute évolution future qui impliquerait une analyse plus poussée devra respecter la même contrainte : soit elle s'exécute localement (comme aujourd'hui), soit elle porte sur des métadonnées non sensibles (comme la date de dernière modification d'une entrée), jamais sur le contenu déchiffré transmis à un tiers.
L'IA peut être utile à la sécurité sans jamais être une excuse pour affaiblir la confidentialité. C'est ce qui pour l'instant, guide chaque décision technique de ce type sur Encryvault.