Résumé technique : 𝜋Creds : Identifiants inférés de manière privée

Problématique

Les systèmes de certificats vérifiables décentralisés ont historiquement été limités par leur dépendance aux preuves à divulgation nulle de connaissance (ZKP) et aux données structurées. Bien qu'efficaces pour des prédicats simples (ex: « âge > 18 »), ces systèmes peinent à traiter les données non structurées (ex: relevés bancaires, dossiers médicaux, publications sur les réseaux sociaux) et manquent du raisonnement sémantique nécessaire pour dériver des affirmations complexes telles que « expertise produit » ou « sécurité du code » sans révéler les données sous-jacentes. Les solutions existantes nécessitent une logique codée en dur pour chaque source et format de données, ce qui les rend peu flexibles et incapables de gérer les relations sémantiques entre des sources de données divergentes. De plus, l'utilisation de modèles de langage étendus (LLM) pour l'émission de certificats introduit de nouvelles menaces au niveau applicatif : des acteurs malveillants pourraient manipuler des données authentifiées pour générer des certificats trompeurs, ou des fournisseurs de modèles malveillants pourraient encoder des canaux cachés pour fuiter des informations privées via les sorties du modèle.

Méthodologie

Le document propose 𝜋Creds (Privately Inferred Credentials), un système qui génère des certificats respectueux de la vie privée, compatibles avec les systèmes existants et décentralisés, via une inférence par LLM de confiance sur des données authentifiées.

Architecture du système

Le flux de travail central opère au sein d'un Environnement d'Exécution Sécurisé (TEE) (spécifiquement Intel TDX avec des GPU NVIDIA H100 dans le prototype) afin de garantir la confidentialité et l'intégrité de la récupération des données et de l'inférence. Le processus implique quatre parties : le TEE, les sources de données, le prouveur et le vérificateur.

1. Récupération par Oracle : Le TEE agit comme un oracle, se connectant à des sources de données utilisateur autorisées (ex: banques, places de marché) en utilisant des identifiants fournis par l'utilisateur pour récupérer des documents.
2. Inférence Privée : Un LLM traite les documents récupérés au sein du TEE en utilisant un prompt spécifique pour générer une affirmation.
3. Attestation : Le TEE signe l'affirmation résultante avec une clé adossée au matériel, intégrant une attestation à distance qui vérifie le code et la configuration utilisés.
4. Vérification : Le vérificateur contrôle l'attestation du TEE et la signature. Aucune interaction avec le TEE n'est requise après l'émission.

Formalisation de la sécurité

Les auteurs identent deux modèles de menaces critiques au niveau applicatif, distincts de la sécurité standard du système :

1. Exemple Adversaire Contraint par la Source (SCAE - Source-Constrained Adversarial Example) : Ceci modélise un adversaire qui manipule des sources de données authentifiées (ex: effectuer des achats stratégiques) pour induire une sortie de LLM trompeuse. Contrairement aux exemples adverses standards, la perturbation est contrainte par le coût réel de la modification de la source de données et par l'exigence que les données restent cohérentes avec la logique d'authentification de la source.
2. Empoisonnement de Prédicat Occulte Authentifié (ACPP - Authenticated Covert Predicate Poisoning) : Ceci modélise un adversaire (un vérificateur ou un fournisseur de modèle) qui affine un modèle pour encoder des informations sensibles (ex: genre, achats spécifiques) dans la sortie du certificat. L'attaque est contrainte par l'exigence que la sortie reste une affirmation « valide » au sein de l'ensemble de vérité terrain (c'est-à-dire qu'elle doit passer l'audit du prouveur) et que les données de l'apprentissage fin (fine-tuning) paraissent légitimes.

Contributions Clés

1. Le protocole 𝜋Creds : Un flux complet d'émission et de vérification combinant des oracles avec l'inférence par LLM. Le système est formalisé dans le cadre de la Composition Universelle, garantissant la solidité (exécution fidèle) et la confidentialité (les données ne sont pas exposées au-delà de la sortie).
2. Modélisation des menaces : La formalisation des problèmes SCAE et ACPP, fournissant un cadre pour analyser la robustesse face à la manipulation stratégique des données et à la fuite de confidentialité via la sélection de modèles adverses.
3. Applications Nouvelles : Le document caractérise des applications pour les données utilisateur (ex: expertise produit, solvabilité) et introduit une nouvelle classe de certificats pour les logiciels. Cela permet à un service d'attester des propriétés de son code propriétaire (ex: « absence de clés API codées en dur ») sans révéler le code source, en faisant auditer le code par un LLM à l'intérieur d'un TEE.
4. Évaluation Empirique : Une implémentation prototype supportant des sources financières, de santé, d'e-mails et de code. Les auteurs étudient empiriquement SCAE et ACPP sur un certificat d'« expertise produit » utilisant des données de transactions Amazon réelles.

Résultats

• Précision de base : En utilisant des modèles open-source (ex: Qwen2.5-7B-Instruct), le système atteint une grande précision sur les tâches sémantiques. Pour l'expertise produit, la déviation absolue moyenne par rapport à une vérité terrain basée sur un « consensus de modèle frontalier » est de 0,45 point sur une échelle de 10.
• Évaluation SCAE : L'authentification de la source impose un coût réel aux adversaires. Avec un budget de 20 $ (environ 5 % des dépenses moyennes), une attaque a déplacé le score d'expertise de 1,24 point en moyenne. À 100 $ (20 % des dépenses), le décalage est de 1,75 point. Bien que l'attaque soit limitée par le coût, un budget modeste peut encore modifier significativement le score du certificat, indiquant une vulnérabilité à la manipulation motivée.
• Évaluation ACPP : L'étude a testé les canaux occultes en utilisant la parité des scores (pair/impair) pour encoder des prédicats sensibles (genre, achat d'un article spécifique).
  • Non contraint : Sans contraintes de sortie, l'adversaire a obtenu une récupération quasi parfaite du prédicat caché.
  • Contraint : Lorsque la sortie était forcée de rester dans une plage de tolérance valide (±5 points), la précision de récupération est tombée à des niveaux proches du hasard (55–65 % pour les données démographiques, 45–55 % pour les données comportementales).
  • Conclusion : L'exigence que la sortie reste une affirmation « valide » limite considérablement la capacité des canaux occultes, bien que des certificats plus expressifs (ex: justifications en texte libre) seraient plus vulnérables.

Signification et Revendications

Le document affirme que 𝜋Creds représente une étape significative en permettant le raisonnement sémantique sur des données non structurées de manière respectueuse de la vie privée, une capacité absente des systèmes actuels basés sur les ZKP. En exploitant les LLM au sein des TEE, le système supporte des sources de données héritées sans nécessiter de modifications des banques ou des places de marché.

Les auteurs positionnent ce travail comme une exploration initiale plutôt que comme un verdict de sécurité définitif. Ils soulignent que :

• La formalisation de SCAE et ACPP constitue un point de départ pour une analyse de sécurité systématique des certificats basés sur les LLM.
• Les résultats empiriques servent de démonstration de la manière dont ces menaces peuvent être opérationnalisées, montrant que si l'authentification de la source et les contraintes de sortie offrent une certaine défense, des adversaires motivés peuvent toujours influencer les résultats.
• L'application à l'audit de logiciels propriétaires offre une voie concrète pour instaurer la confiance dans les agents à code fermé (dans le contexte des normes ERC-8004 par exemple) sans révéler le code source.

Le document conclut que, bien que les LLM introduisent de nouvelles surfaces d'attaque, la combinaison des TEE, de l'authentification de la source et des espaces de sortie contraints offre une fondation viable, bien qu'imparfaite, pour la prochaine génération de certificats décentralisés respectueux de la vie privée.