Résumé Technique : Confidentialité Consciente des Dépendances pour les Agents LLM Multi-Tours

Énoncé du Problème

L'intégration d'agents de modèles de langage (LLM) dans des domaines sensibles (santé, finance, juridique) crée une nouvelle surface d'attaque pour la vie privée. Les utilisateurs délèguent des tâches à des agents qui interagissent avec plusieurs services externes via des protocoles tels que le protocole de contexte de modèle (MCP). Dans les flux de travail multi-tours, un adversaire peut combiner des divulgations de données indépendantes pour reconstruire des attributs privés de l'utilisateur.

Les méthodes de désidentification existantes, telles que Prϵmpt et CAPE, reposent sur la confidentialité différentielle métrique (mDP) mais traitent chaque divulgation de données indépendamment. Cette hypothèse d'indépendance échoue dans les scénarios multi-tours :

1. Fuite Bénigne : La redondance interplateforme (envoi de la même valeur racine à deux services) ou la redondance structurelle (envoi d'une valeur racine et d'une valeur dérivée séparément) entraîne une augmentation linéaire du budget de confidentialité avec le nombre de services ou de fonctions dérivées.
2. Fuite Adversariale : Un adversaire peut forcer des requêtes répétées pour moyenner le bruit ($1/\sqrt{q}$) ou demander des fonctions dérivées arbitraires. Pour les fonctions non linéaires courantes dans les flux de travail médicaux et financiers (par exemple, IMC, FIB-4), un bruitage indépendant d'une valeur dérivée amplifie la distinguabilité de la racine sous-jacente par la constante de Lipschitz ($L$) de la fonction, dépassant potentiellement le paramètre de confidentialité nominal de plusieurs ordres de grandeur.

Le problème fondamental est que, sans suivi des dépendances entre les divulgations, chaque interaction supplémentaire dégrade la vie privée de l'utilisateur au-delà du budget nominal, que la fuite soit bénigne ou malveillante.

Méthodologie : RootGuard

Les auteurs proposent RootGuard, un mécanisme de confidentialité conscient des dépendances conçu pour les interactions agentic multi-tours. Le principe fondamental est de désidentifier exactement une fois les valeurs « racines » privées et de calculer toutes les divulgations ultérieures de manière déterministe à partir de ces racines bruitées.

Architecture du Système

1. Initialisation : L'agent utilisateur identifie les valeurs racines sensibles ($X$) et les désididifie une seule fois à l'aide d'un mécanisme de confidentialité différentielle ($M_\epsilon$). Ces valeurs bruitées ($\hat{X}$) sont stockées dans un cache désidentifié.
2. Opération par Tour : Lorsqu'un adversaire demande une valeur :
   • Si la demande concerne une racine, la valeur bruitée mise en cache est renvoyée.
   • Si la demande concerne une valeur dérivée, elle est calculée de manière déterministe à partir des racines bruitées mises en cache.
   • Aucun nouveau bruit n'est généré après l'initialisation.
3. Frontière de Confiance : L'adversaire n'interagit qu'avec le cache désidentifié. Grâce au Théorème de Post-Traitement de la confidentialité différentielle, la vue de l'adversaire n'est pas plus informative que la désidentification initiale des racines, indépendamment du nombre de tours ($t$) ou des fonctions ($f$) demandées.

Exploitation des Connaissances Structurelles

RootGuard utilise des connaissances du domaine public pour optimiser le compromis confidentialité-utilité sans affaiblir les garanties :

• Niveau 1 (Dépendances Inter-racines) : Si une racine déclarée est une fonction déterministe d'autres (par exemple, l'IMC à partir de la taille et du poids), l'agent identifie les vraies racines indépendantes. Les racines dépendantes sont recalculées à partir des parents bruités, héritant de la confidentialité à coût marginal nul (Théorème 3).
• Niveau 2 (Sensibilité de la Cible) : Si la fonction cible intermédiaire $g$ (par exemple, une formule clinique comme FIB-4) est connue, l'agent alloue le budget de confidentialité $\epsilon_i$ aux racines en fonction de leur sensibilité à la cible. L'allocation suit une règle pondérée par la sensibilité : $\epsilon_i \propto (|h_i| \cdot D_i)^{1/2}$, où $h_i$ est la dérivée partielle de la fonction cible par rapport à la racine $i$, et $D_i$ est la largeur du domaine. Cela minimise l'erreur attendue dans la décision clinique finale.

Garanties Théoriques

• Théorème 1 (Garantie de Confidentialité DAG) : La garantie de confidentialité dépend uniquement des paramètres de désidentification des racines et est indépendante du choix des fonctions par l'adversaire ou du nombre de tours d'interaction.
• Théorème 2 (Amplification de la Distinguabilité) : Prouve que le bruitage indépendant d'une valeur dérivée amplifie la distinguabilité de la racine parente par la constante de Lipschitz $L$ de la fonction.
• Théorème 3 (Confidentialité Impliquée) : Prouve que l'ajout de bruit aux racines et leur post-traitement pour dériver des valeurs offre une confidentialité au moins aussi forte que le bruitage direct des valeurs dérivées.

Contributions Clés

1. Formalisation de la Confidentialité Agentic Multi-Tours : L'article formalise le jeu de confidentialité pour les interactions multi-tours et prouve que la garantie de RootGuard est invariante au nombre de requêtes et aux choix de fonctions de l'adversaire.
2. Preuve d'Amplification et d'Héritage : Il démontre que le bruitage indépendant des valeurs dérivées amplifie la perte de confidentialité (Théorème 2), tandis que le bruitage coordonné des racines permet aux valeurs dérivées d'hériter de la confidentialité gratuitement (Théorème 3).
3. Allocation Pondérée par la Sensibilité : Une méthode d'allocation des budgets de confidentialité basée sur la sensibilité de la fonction cible, minimisant l'erreur cible tout en maintenant des garanties formelles.
4. Validation Empirique : Des expériences extensives sur 8 modèles de diagnostic médical (dérivés de données NHANES) et un déploiement complet de bout en bout de LLM (GPT-5.4 nano) validant le mécanisme.

Résultats Expérimentaux

L'évaluation compare les configurations RootGuard (M-Racines, M-Opt) au bruitage indépendant (M-Tout) sur trois questions de recherche :

RQ1 : Utilité de la Cible

• Métrique : Erreur absolue moyenne pondérée en pourcentage (wMAPE) et erreur de classe de risque (RCE).
• Résultats : RootGuard surpasse nettement le bruitage indépendant. Pour $\epsilon = 0.1$ et un budget de $B = (2k+1)\epsilon$, M-Opt atteint une wMAPE 2,6 fois plus faible (7,8 % contre 20,3 %) et une erreur de classe de risque 2,2 fois plus faible (7,0 % contre 15,7 %) par rapport à M-Tout.
• Double Asymétrie : À mesure que l'adversaire force plus de tours ($t$), l'utilité de RootGuard s'améliore (plus de budget disponible par racine), tandis que la confidentialité de M-Tout se dégrade (accumulation d'observations indépendantes).

RQ2 : Attaques de Reconstruction

• Métrique : wMAPE de reconstruction sous un adversaire Maximum A Posteriori (MAP).
• Résultats : Avec M-Tout, l'erreur de reconstruction diminue à mesure que le nombre de requêtes ($q$) augmente (par exemple, passant de 10,2 % à 3,2 % lorsque $q$ passe de 1 à 16 pour $\epsilon_r=0.1$). Avec RootGuard, l'erreur de reconstruction reste invariante à $q$ car les requêtes répétées renvoient la même valeur mise en cache.

RQ3 : Analyse Structurelle

• Résultats : L'avantage de RootGuard est plus prononcé pour les formules « compressantes » (par exemple, FIB-4, HOMA) où la fonction cible atténue le bruit des racines. L'allocation du budget suit la loi de puissance prédite $\epsilon_i \propto (|h_i| \cdot D_i)^{0.5}$, confirmant la stratégie pondérée par la sensibilité.

RQ4 : Déploiement de Bout en Bout

• Configuration : Une simulation réelle utilisant un agent GPT-5.4 nano sur 21 600 sessions.
• Résultats : Les résultats au niveau du mécanisme se transfèrent au déploiement LLM. L'ordre de performance (M-Opt > M-Racines > M-Tout) est maintenu, et il n'y a eu aucune défaillance de conformité au niveau de la session (aucune erreur d'analyse ou réponse mal formée).

Importance et Revendications

L'article revendique que RootGuard modifie fondamentalement le compromis confidentialité-utilité dans les interactions d'agents multi-tours. En passant d'une désidentification sans état et indépendante à une approche avec état et consciente des dépendances, RootGuard garantit que :

1. La Confidentialité est Constante : L'adversaire ne gagne aucune information supplémentaire, indépendamment du nombre de tours qu'il force ou des fonctions qu'il calcule.
2. L'Utilité s'Améliore avec les Tours : Des tours d'interaction supplémentaires permettent de distribuer un budget de confidentialité total plus important sur les racines, améliorant la précision sans augmenter le risque de confidentialité.
3. Robustesse : L'approche tient même en cas d'injection de prompt adversaire ou de conception malveillante de services, car toutes les divulgations sont des post-traitements des racines bruitées initiales.

Les auteurs concluent que le bruitage indépendant est fondamentalement insuffisant pour les flux de travail multi-tours impliquant des valeurs privées corrélées, et que la désidentification consciente des dépendances est une défense nécessaire pour déployer des agents LLM dans des domaines à haut risque. Le travail suppose une reconnaissance d'entités nommées (NER) parfaite pour l'identification des racines et se concentre sur les données numériques structurées, laissant le texte libre et l'intégration de NER bruité comme travail futur.