💻 computer science

Protecting User Prompts Via Character-Level Differential Privacy

Cet article propose une nouvelle méthode de protection des invites utilisateur via la confidentialité différentielle au niveau des caractères, qui brouille aléatoirement chaque lettre pour masquer les informations sensibles tout en permettant au modèle de langage de restaurer le contexte non sensible pour les tâches en aval.

Auteurs originaux : Shashie Dilhara Batan Arachchige, Hassan Jameel Asghar, Benjamin Zi Hao Zhao, Dinusha Vatsalan, Dali Kaafar

Publié 2026-03-30

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Shashie Dilhara Batan Arachchige, Hassan Jameel Asghar, Benjamin Zi Hao Zhao, Dinusha Vatsalan, Dali Kaafar

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

🕵️‍♂️ Le Problème : Envoyer une lettre ouverte à un inconnu

Imaginez que vous écrivez une lettre très importante à un ami (un Grand Modèle de Langage ou LLM, comme ChatGPT) pour qu'il vous aide à résumer un dossier médical ou à rédiger un email professionnel.

Le problème ? Cette lettre contient des secrets : votre nom complet, votre adresse, votre numéro de sécurité sociale. Or, pour que votre ami vous aide, vous devez lui envoyer la lettre. Mais votre ami travaille pour une entreprise tierce. Si vous lui donnez la lettre telle quelle, il la lit, la mémorise, et quelqu'un d'autre pourrait un jour la voir. C'est comme écrire vos secrets sur une carte postale : tout le monde peut les lire pendant le voyage.

💡 La Solution : Le "Brouilleur de Caractères" Intelligent

Les chercheurs de cette étude proposent une nouvelle méthode pour protéger ces lettres sans avoir besoin de les lire soi-même pour trouver les secrets (ce qui est souvent difficile et imparfait).

Voici comment ça marche, étape par étape, avec une analogie :

1. Le Brouillage (L'Injection de Bruit)

Au lieu de laisser la lettre intacte, vous passez d'abord chaque mot à travers un brouilleur magique (un mécanisme mathématique appelé Differential Privacy).

L'analogie : Imaginez que vous prenez chaque lettre de chaque mot et que vous la lancez dans une machine qui la remplace parfois par une autre lettre au hasard.
- Le mot "Paris" pourrait devenir "P@ris" ou "Pari$".
- Le mot "Hôpital" pourrait devenir "H0pit@l".

C'est comme si vous écriviez votre lettre avec des fautes d'orthographe aléatoires. Mais attention : cette machine est très précise. Elle ne gâche pas tout, elle ajoute juste un peu de "poussière" sur les mots.

2. Le Réparateur (Le Grand Modèle de Langage)

Ensuite, vous envoyez cette lettre "abîmée" à votre ami (le LLM distant) en lui disant : "Hé, j'ai fait des erreurs de frappe, corrige-les pour moi, puis fais le travail que je t'ai demandé."

C'est ici que la magie opère. Le LLM est un réparateur de génie qui a lu des milliards de livres.

Pour les mots courants (les mots "normaux") :
Si le mot est "Chat" et qu'il devient "C@at", le LLM se dit : "Ah, c'est un mot court, de 3 lettres, dans une phrase sur les animaux... C'est sûrement 'Chat' !". Il le corrige instantanément.

Résultat : Les mots du quotidien (le contexte, la grammaire) sont parfaitement restaurés. Votre lettre reste lisible et utile.
Pour les mots secrets (les noms, les adresses) :
Si le mot est "Dupont" (un nom de famille rare) et qu'il devient "D$p0nt", le LLM se dit : "Hmm, c'est un nom. Mais il y a des milliers de noms possibles qui ressemblent à ça. Est-ce 'Dupont' ? 'Dupont' ? 'Dupon' ? 'Dupon' ?".
Comme ce mot est rare et qu'il n'a pas de contexte fort pour le deviner, le LLM échoue à le deviner. Il ne peut pas le réparer.

Résultat : Le secret reste illisible. Pour le LLM, c'est comme si le mot était un code secret qu'il ne peut pas casser.

🎯 Pourquoi c'est génial ?

Pas besoin de détective : Avant, il fallait un logiciel spécial pour chercher "Ah, c'est un numéro de téléphone, je le cache". Ici, on brouille tout le texte de la même façon. On n'a pas besoin de savoir où sont les secrets, la méthode les protège tous automatiquement.
L'équilibre parfait : On garde la lettre utile (le sens est là) mais on perd les secrets (les noms et adresses restent flous).
La sécurité mathématique : Les chercheurs ont prouvé que si un mot est un secret (rare), le LLM a autant de chances de le deviner que si vous lui donniez un mot inventé au hasard. C'est comme essayer de deviner un code à 4 chiffres sans aucune indice : c'est du hasard pur.

📊 Les Résultats en Bref

Les chercheurs ont testé ça sur des dossiers médicaux et des emails d'entreprise (comme ceux de la société Enron).

Ce qui a marché : Les phrases étaient toujours compréhensibles (le LLM a bien réparé le texte).
Ce qui a échoué (c'est bon !) : Les noms de patients, les adresses et les numéros de téléphone sont restés illisibles pour le LLM. Ils n'ont pas pu les retrouver, même avec toute leur intelligence.

En résumé

Imaginez que vous voulez envoyer un message à un ami, mais vous avez peur qu'il soit lu par un espion. Au lieu de cacher les mots importants (ce qui est difficile), vous salissez légèrement tout le message avec de la poussière aléatoire.
Votre ami, qui est très intelligent, essuie la poussière sur les mots courants (comme "bonjour", "manger", "travail") pour comprendre le message. Mais pour les mots secrets (comme "Mon compte bancaire est X"), la poussière est trop épaisse et l'intelligence de l'ami ne suffit pas à deviner le mot exact.

Le secret est sauvé, le message est lu. C'est ça, la protection des prompts par confidentialité différentielle au niveau des caractères !

1. Problématique

L'essor des modèles de langage à grande échelle (LLM) a conduit à leur utilisation massive pour des tâches personnelles et professionnelles. Cependant, les prompts soumis par les utilisateurs contiennent souvent des informations sensibles (PII - Personally Identifiable Information), telles que des noms, des adresses médicales, des numéros de téléphone ou des données propriétaires.
Le risque principal réside dans le fait que ces LLMs sont généralement hébergés par des tiers. Si les prompts sont envoyés en clair, ces données sensibles peuvent être mémorisées par le modèle, exposées lors d'interactions futures ou accessibles à des entités non fiables, entraînant des violations éthiques et réglementaires graves.

Les méthodes existantes pour protéger la vie privée présentent des limites :

Filtrage basé sur les règles et NER : Souvent incomplets (faux négatifs) ou trop agressifs (faux positifs), et dépendants de la détection précise des entités.
Cryptographie (Homomorphisme, SMC) : Trop lourde en calcul et peu compatible avec les LLMs hébergés par des tiers.
Obfuscation heuristique : Manque de garanties formelles de confidentialité.
Différentielle Privée (DP) au niveau des mots : Perturbe tous les mots (sensibles ou non), ce qui dégrade la cohérence sémantique et l'utilité du texte.

2. Méthodologie Proposée

Les auteurs proposent une nouvelle approche de sanitisation des prompts utilisant la Différentielle Privée Locale (LDP) appliquée au niveau des caractères, combinée à la capacité de restauration des LLMs.

Le processus se déroule en deux étapes principales :

Injection de bruit (Côté utilisateur) :
- Avant d'envoyer le prompt au LLM distant (non fiable), chaque caractère de chaque mot est perturbé indépendamment.
- Le mécanisme utilisé est la Réponse Randomisée k-ary (k-RR). Pour chaque caractère, avec une probabilité contrôlée par le paramètre de confidentialité $\epsilon$ , le caractère original est soit conservé, soit remplacé par un autre caractère ASCII imprimable choisi aléatoirement.
- Cela garantit que le texte envoyé est différentiellement privé, sans nécessiter de détecter préalablement les informations sensibles.
Restauration du prompt et exécution de la tâche (Côté LLM distant) :
- Le prompt bruité ( $T^*$ ) est envoyé au LLM distant.
- Le LLM est instruit (via un system prompt) de corriger les erreurs introduites par le bruit (restauration) tout en préservant le sens original, puis d'effectuer la tâche demandée (ex: résumé).
- Intuition clé : Les mots courants (non sensibles) sont fortement corrélés avec leur contexte et leur structure interne. Le LLM peut donc les reconstruire efficacement même s'ils sont bruités. En revanche, les mots sensibles (PII rares, noms propres, numéros spécifiques) ont une haute entropie et peu de corrélations contextuelles fortes. Le LLM, n'ayant pas vu ces séquences spécifiques lors de son entraînement, échouera à les reconstruire correctement, les traitant comme des mots aléatoires.

3. Contributions Clés

Méthode de sanitisation sans détection d'entités : Application de la LDP au niveau des caractères sur l'ensemble du prompt, éliminant le besoin de modèles NER ou de règles complexes pour identifier les données sensibles.
Exploitation de la capacité de restauration des LLMs : Utilisation de la capacité des LLMs à corriger les fautes de frappe sur les mots communs pour maintenir l'utilité, tout en laissant les mots rares (sensibles) irrécupérables.
Établissement d'une baseline théorique : Les auteurs dérivent une probabilité théorique de reconstruction pour des mots composés de caractères aléatoires. Ils démontrent que le taux de reconstruction des PII sensibles par le LLM se rapproche de cette baseline aléatoire, prouvant que la récupération n'est pas meilleure qu'une devinette aléatoire.
Évaluation comparative unifiée : Comparaison rigoureuse avec une approche DP au niveau des mots et une approche basée sur des règles (Microsoft Presidio), utilisant des métriques communes de confidentialité et d'utilité.

4. Résultats Expérimentaux

L'approche a été évaluée sur deux jeux de données : i2b2/UTHealth (dossiers médicaux) et Enron (emails), en utilisant deux LLMs : GPT-4o mini et Llama-3.1 8B Instruct.

Protection de la vie privée :
- Les mots sensibles (PII) sont reconstruits à un taux très faible, proche de la probabilité théorique de reconstruction de mots aléatoires (baseline).
- Pour un $\epsilon$ compris entre 4 et 6, le taux de reconstruction des mots sensibles reste inférieur à 20-30%, tandis que les mots non sensibles sont reconstruits à plus de 70-80%.
- La reconstruction complète d'entités complexes (noms complets, adresses complètes) est encore plus difficile que celle de mots isolés.
Utilité (Qualité de la tâche) :
- Malgré la perturbation, la similarité sémantique (cosine similarity) entre le résumé du prompt original et celui du prompt restauré reste élevée (environ 80% pour $\epsilon \approx 5.5$ ).
- Cela démontre que le LLM parvient à restaurer le contexte et les mots courants nécessaires à la compréhension de la tâche.
Comparaison avec d'autres méthodes :
- Par rapport à la DP au niveau des mots, la méthode au niveau des caractères offre un meilleur compromis confidentialité-utilité. La perturbation des mots entiers crée des glissements sémantiques plus difficiles à corriger.
- Par rapport à Presidio (basé sur des règles), la méthode proposée offre une flexibilité supérieure (réglage via $\epsilon$ ) et une protection plus robuste contre les formats non standards ou les erreurs de détection, car elle ne dépend pas de la reconnaissance d'entités.

5. Signification et Conclusion

Cette recherche propose une solution pratique et efficace pour protéger la confidentialité des prompts envoyés à des LLMs tiers.

Avantage majeur : Elle offre des garanties formelles de confidentialité (LDP) sans nécessiter de modifications architecturales du LLM distant ni de modèles de détection de PII complexes côté client.
Équilibre optimal : En exploitant la nature statistique des langages naturels (mots communs vs mots rares), la méthode permet de préserver l'utilité du texte pour les tâches de traitement du langage naturel tout en rendant la récupération des données sensibles quasi impossible pour le modèle.
Recommandation : Les auteurs suggèrent un paramètre $\epsilon$ d'environ 5.5 pour GPT-4o mini et 6.0 pour Llama-3.1 8B pour obtenir le meilleur équilibre entre protection de la vie privée et utilité.

En conclusion, cette approche représente une avancée significative pour l'adoption sécurisée des LLMs dans des environnements sensibles comme la santé ou l'entreprise, en transformant le problème de la protection des données en un problème de robustesse à la perturbation des caractères.