🤖 AI

Pretrained, Frozen, Still Leaking: Auditing Cross-Encoder Attribute Transfer in EEG Foundation Models

Cet article introduit un cadre d'audit par encodeur croisé démontrant que les modèles de fondation EEG préentraînés (BIOT, LaBraM, EEGPT) laissent fuiter des attributs spectraux à travers tous les points de terminaison testés malgré le passage de contrôles de sécurité sur un point de terminaison unique, une vulnérabilité qui persiste même sous des défenses standards telles que DP-SGD et LiRA.

Auteurs originaux : Jianwei Tai

Publié 2026-06-09

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Jianwei Tai

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous possédez une machine très sophistiquée qui écoute vos ondes cérébrales (EEG) et les transforme en une « note de synthèse » courte et compressée appelée embedding (plongement lexical). Considérez cette note comme un rapport météorologique de haut niveau : il indique que « il pleut » ou qu'« il fait beau », mais il ne contient pas les gouttes de pluie réelles ni le son du vent.

L'article pose une question critique : si nous rendons ces notes de synthèse publics, sont-elles réellement privées ?

La plupart des contrôles de sécurité n'examinent que deux choses :

Est-ce que quelqu'un peut reconstruire l'onde cérébrale originale ? (Comme essayer de reconstruire la tempête réelle à partir du rapport météo).
Peut-on dire si les données d'une personne spécifique ont été utilisées pour entraîner la machine ? (Comme vérifier une liste d'invités).

Cet article soutient que les équipes de sécurité passent à côté d'une troisième fuite dangereuse : les « Attributs Spectraux ».

La découverte centrale : La « Note de synthèse fuyante »

Les chercheurs ont audité trois modèles cérébraux populaires (BIOT, LaBraM et EEGPT). Ils ont découvert que, bien que vous ne puissiez pas reconstruire l'onde cérébrale brute à partir de la note de synthèse, et que vous ne puissiez pas facilement dire si une personne spécifique figurait dans les données d'entraînement, la note de synthèse laisse tout de même fuiter des détails sensibles sur l'état cérébral de la personne.

L'analogie :
Imaginez que vous envoyiez à un ami une photo compressée d'un gâteau.

Reconstruction brute : Peut-il la décompresser pour voir la texture exacte du glaçage ? Non.
Appartenance (Membership) : Peut-il savoir si votre gâteau spécifique a été utilisé pour enseigner l'algorithme de compression ? Non.
La Fuite : Cependant, la photo compressée montre toujours clairement la saveur (ex: « Chocolat ») et les contraintes alimentaires (ex: « Sans gluten »). Même si l'image est floue, les attributs sont parfaitement clairs.

Dans cette étude, la « saveur » est l'attribut spectral (des motifs spécifiques dans l'activité cérébrale). Les chercheurs ont prouvé qu'un attaquant peut entraîner un décodeur simple sur un modèle et utiliser ensuite ce décodeur pour deviner ces attributs sur des modèles totalement différents, même pour des personnes que les modèles n'ont jamais rencontrées.

Le tour de passe-passe du « Pont »

La découverte la plus surprenante est le Transfert de l'Encodeur Croisé (Cross-Encoder Transfer).
Imaginez que vous ayez trois traducteurs différents (Modèle A, Modèle B, Modèle C) qui parlent différents dialectes du langage cérébral.

Les chercheurs ont appris à un décodeur à comprendre le résumé du Modèle A.
Ils ont construit un « pont » simple (un outil mathématique linéaire) pour traduire le résumé du Modèle B dans la langue du Modèle A.
Résultat : Le décodeur pouvait toujours lire les attributs secrets du Modèle B et du Modèle C parfaitement.

Cela prouve que ces modèles partagent tous un « langage commun » caché d'attributs cérébraux. Si un modèle fuit, ils fuient tous.

Pourquoi les défenses standards ont échoué

Les chercheurs ont tenté de « réparer » la fuite en utilisant des outils de confidentialité standards, mais ils ont échoué :

Ajout de bruit (Statique) : Ils ont essayé d'ajouter du bruit statique aux notes de synthèse pour masquer les détails.
- Résultat : Cela a rendu plus difficile l'identification de qui était la personne (l'« Identité »), mais l'« attribut » (la saveur) est resté clair. C'est comme mettre un filtre brumeux sur une photo ; on ne voit plus le visage, mais on voit toujours très clairement la chemise rouge que la personne porte.
Réduction des données (Goulots d'étranglement) : Ils ont essayé de rendre les notes de synthèse plus petites.
- Résultat : La fuite a persisté. L'information importante était redondante, donc réduire la taille n'a pas réduit le secret.
Confidentialité différentielle (Garanties mathématiques) : Ils ont essayé d'utiliser des règles de confidentialité mathématiques strictes.
- Résultat : Pour arrêter la fuite, ils ont dû rendre les notes de synthèse si inutiles qu'elles ne pouvaient plus servir à rien. On ne peut pas avoir à la fois une haute utilité (utilisabilité) et une haute confidentialité dans ce montage spécifique.

Le « Score de Désaccord » (AEDS)

Le papier introduit une nouvelle façon de prendre des décisions appelée Audit-Endpoint Disagreement Score (AEDS).

Ancienne méthode : « La reconstruction brute a échoué, donc c'est sûr de diffuser. » (Cet article dit : Faux !)
Nouvelle méthode : « La reconstruction brute a échoué, MAIS la fuite d'attribut est énorme, et les défenses ne fonctionnent pas. Par conséquent, BLOQUEZ la diffusion. »

Le mot de la fin

Le papier conclut que pour les modèles testés :

Ondes cérébrales brutes : Sûres (non fuitées).
Identité : N'est fuitée que si vous avez déjà une liste de candidats à comparer (comme un avis de recherche). Si vous n'avez pas la liste, vous ne pouvez pas identifier la personne.
Attributs (Le Danger) : PAS SÛR. Les notes de synthèse révèlent des états cérébraux sensibles (comme les stades du sommeil ou des motifs cérébraux spécifiques) qui peuvent être décodés même pour des personnes que le modèle n'a jamais rencontrées.

À retenir : Vous ne pouvez pas traiter ces embeddings cérébraux comme étant « sûrs » simplement parce qu'ils ne sont pas les ondes cérébrales brutes. Ils sont comme un rapport météo qui révèle accidentellement votre emplacement exact et votre état de santé. Tant que de meilleures défenses n'auront pas été trouvées, la diffusion de ces résumés est risquée.

Résumé Technique : Pré-entraînés, Gelés, Toujours Fuiteurs

1. Énoncé du Problème

Le papier traite d'une lacune critique dans l'audit de la confidentialité des modèles de fondation EEG (EEG-FMs) tels que BIOT, LaBraM et EEGPT. Les évaluations de confidentialité actuelles évaluent généralement les plongements (embeddings) publiés (représentations intermédiaires) par rapport à un seul point de terminaison unique : la reconstruction de la forme d'onde brute, l'inférence d'appartenance, le lien d'identité ou la confidentialité différentielle (DP) sur la tête descendante (downstream head).

Les auteurs soutiennent que ces audits à point de terminaison unique sont insuffisants. Un plongement publié peut ne pas supporter une reconstruction de haute fidélité de la forme d'onde brute ou présenter des signaux faibles d'inférence d'appartenance, tout en préservant des attributs spectraux décodables (par exemple, des structures de densité spectrale de puissance centrée) pertinents pour les états du sujet. De plus, les résultats de lien d'identité sont souvent mal interprétés ; une forte récupération d'identité dans les contextes de "même sujet" n'implique pas une récupération pour les sujets "retenus" (ceux qui ne sont pas dans l'ensemble de référence ou d'entraînement). Le problème central est l'absence d'un cadre d'audit conjoint qui évalue simultanément les quatre points de terminaison pour déterminer si une décision de publication est sûre, en se concentrant spécifiquement sur la question de savoir si les attributs spectraux fuient à travers différents encodeurs et jeux de données.

2. Méthodologie

Le papier propose un audit de confidentialité des représentations à contrôle de séparation qui force chaque affirmation de confidentialité à survivre à des contrôles de falsification spécifiques.

2.1 Modèle de Menace

Victime : Un service d'EEG-FM publiant des plongements (et non des formes d'onde brutes).
Attaquant : Possède un ensemble d'ombre de fenêtres EEG et peut entraîner des décodeurs à partir des plongements publiés vers des attributs spectraux. Pour le lien d'identité, l'attaquant possède un ensemble de référence de sujets candidats.
Objectifs :
1. Récupération d'Attributs : Inférer les attributs spectraux (PSD centrée) à partir des plongements.
2. Lien de l'Ensemble de Référence : Assigner un plongement à un sujet connu dans un ensemble de référence.
3. Audit de Confidentialité : Tester si les défenses (bruit, goulots d'étranglement, DP) réduisent la fuite sans détruire l'utilité.

2.2 Protocole d'Audit et Contrôles

L'audit évalue les plongements sous quatre points de terminaison standards mais applique des contrôles de séparation stricts pour éviter les affirmations excessives :

Vérification de Copie Brute (Raw-Copy Check) : Vérifie si les fenêtres adjacentes sont des quasi-doublons (similarité cosinus $\ge$ 0,99).
Séparation Temporelle (Temporal-Gap Split) : Sépare les fenêtres par le temps pour exclure les artefacts de fenêtres adjacentes.
Séparation de Sujets Disjoints (Subject-Disjoint Split) : Garantit que les sujets d'entraînement et de test ne se chevauchent pas. Ce contrôle est crucial pour la fuite d'attributs de sujets retenus. Le lien d'identité n'est pas revendiqué ici car les identités candidates sont absentes.
Identité de l'Ensemble de Référence : Le lien d'identité (BPID@1) n'est évalué que lorsque des sujets candidats existent dans l'ensemble de référence de l'attaquant.
Contrôles Négatifs : Chaque résultat de fuite est comparé à des plongements gaussiens aléatoires et à des plongements permutés localement par séparation pour établir une base de référence.

2.3 Cadre Théorique

Les auteurs introduisent un Théorème de Pont entre Encodeurs Croisés (Cross-Encoder Bridge Theorem) et un Score de Désaccord des Points de Terminaison d'Audit (AEDS) :

Transférabilité du Pont : Ils prouvent que si deux encodeurs partagent un chevauchement de projecteur de coordonnées d'attributs non trivial ( $\beta$ ), un décodeur d'attribut de type ridge entraîné sur un premier encodeur gelé peut se transférer sur l'ensemble de test de sujet disjoint d'un autre encodeur via un pont linéaire ajusté. Le gain inférieur est dérivé comme $\sqrt{\beta/(1 + \tau^2_t)} - \epsilon_{br} - \rho_0$ .
AEDS : Une règle de décision définie comme $AEDS = L_A - \max(R_M, R_I)$ , où $L_A$ est le gain de fuite d'attribut, $R_M$ est le résidu d'inférence d'appartenance, et $R_I$ est le résidu de lien d'identité. Un AEDS positif indique que la fuite d'attribut est le facteur de risque décisif, même si les autres points de terminaison semblent sûrs.

2.4 Évaluation des Défenses

L'audit teste les défenses standards :

Bruit Gaussien : Ajouté aux plongements.
Goulots d'étranglement (Bottlenecks) & Dropout : Réduction de dimension et suppression de coordonnées.
DP-SGD : Ajustement (fine-tuning) différentiellement privé de la tête descendante avec écrêtage par échantillon et comptabilisation RDP.
Attaquant Adaptatif : Un attaquant conscient du bruit de type Wiener qui pré-blanchit les plongements en fonction des niveaux de bruit connus.

3. Résultats Clés

3.1 Fuite d'Attributs Spectraux

À travers huit contextes d'évaluation (BIOT, LaBraM, EEGPT sur EEGMMI ; LaBraM sur Sleep-EDF, LIMO, CHB-MIT), les attributs spectraux sont systématiquement récupérables à partir des plongements.

Fuite de Sujets Disjoints : Dans tous les cas de séparation de sujets disjoints, le gain de PSD centrée reste significativement positif (les bornes inférieures de l'IC à 95 % varient de 0,157 à 0,487) par rapport aux contrôles négatifs appariés.
Transfert entre Encodeurs Croisés : Un décodeur de type ridge entraîné sur un encodeur (ex: BIOT) se transfère avec succès aux séparations de sujets disjoints d'autres encodeurs (LaBraM, EEGPT) via un pont linéaire. Le chevauchement de projecteur $\beta$ impliqué est estimé dans $[0,008, 0,198]$ .
Pertinence de Déploiement : Dans une tâche de classification de stades du sommeil Sleep-EDF, un attaquant a atteint une précision de 70,4 % sur les sujets retenus, surpassant nettement les contrôles, même avec un bruit gaussien ( $\sigma=1,0$ ).

3.2 Portée du Lien d'Identité

Lien de l'Ensemble de Référence : Un lien d'identité fort (BPID@1 jusqu'à 0,950) est observé uniquement lorsque l'attaquant possède un ensemble de référence contenant les sujets candidats (séparations de même sujet ou de chevauchement).
Sujets Retenus : Aucune récupération d'identité n'est revendiquée pour les séparations de sujets disjoints. Le papier distingue explicitement le "lien de l'ensemble de référence" (possible) de la "récupération d'identité de sujet retenu" (non démontrée).

3.3 Désaccord des Points de Terminaison (AEDS)

Échec du Point de Terminaison Unique : Les audits standards (copie brute, inférence d'appartenance, lien d'identité de l'ensemble de référence) autorisent souvent la publication. Par exemple, les AUC d'inférence d'appartenance étaient faibles (0,50–0,70), et la reconstruction brute était négative.
Échec de l'Audit Conjoint : L'AEDS était positif dans les huit cellules de comparaison de sujets disjoints ( $p < 0,001$ ). Cela signifie que le signal de fuite d'attribut est suffisamment fort pour bloquer une décision de publication, même lorsque les points de terminaison de l'appartenance et de l'identité suggèrent la sécurité.

3.4 Échec des Défenses

Bruit & DP : Le bruit gaussien standard et le DP-SGD sur la tête descendante ont échoué à fermer le canal d'attribut tout en maintenant l'utilité.
- À des niveaux d'utilité préservée $\epsilon \in \{4, 8\}$ , le gain d'attribut restait statistiquement indiscernable de la ligne de base non privée.
- Ce n'est qu'à $\epsilon=1$ que le gain d'attribut a chuté, mais l'utilité de la tâche s'est effondrée (la précision équilibrée est tombée sous les seuils opérationnels).
Attaques Adaptatives : Un attaquant adaptatif conscient du bruit (de type Wiener) a amélioré les performances par rapport aux bases non adaptatives mais n'a pas fermé l'écart de confidentialité ; le canal d'attribut est resté ouvert.
Goulots d'étranglement/Dropout : Ces transformations ont légèrement réduit le lien d'identité mais ont laissé la fuite d'attribut positive.

4. Signification et Revendications

Le papier formule une revendication négative cadrée concernant la confidentialité des plongements EEG-FM :

Les plongements ne constituent pas une barrière de confidentialité pour les attributs spectraux : Les plongements publiés de BIOT, LaBraM et EEGPT laissent fuiter des attributs spectraux décodables (PSD centrée) aux sujets retenus, même lorsque la reconstruction de la forme d'onde brute et l'inférence d'appartenance sont faibles.
Les audits à point de terminaison unique sont insuffisants : Se fier uniquement à la reconstruction brute, à l'inférence d'appartenance ou au lien d'identité conduit à des faux positifs (publication de plongements non sûrs). Le cadre AEDS est proposé pour détecter ce désaccord.
Les défenses sont actuellement inefficaces : Les défenses standards (bruit, DP, goulots d'étranglement) ne parviennent pas à éliminer simultanément la fuite d'attribut et à préserver l'utilité dans les régimes testés.
Les revendications d'identité doivent être cadrées : Les résultats d'identité forte sont valides uniquement pour les contextes d'ensemble de référence (utilisateurs inscrits) et ne peuvent être extrapolés aux sujets retenus.

Limites reconnues par les auteurs :

Ces conclusions sont basées sur des jeux de données spécifiques (EEGMMI, Sleep-EDF, LIMO, CHB-MIT) et des modèles ; aucune généralisation à l'échelle de la population pour toutes les données EEG cliniques n'est revendiquée.
Les résultats théoriques (Théorèmes 1-5) sont des énoncés de conditions suffisantes et des modèles stylisés, et non des paramètres ajustés pour des encodeurs spécifiques.
Les expériences de bruit d'entraînement sont des substituts et ne constituent pas des garanties formelles de DP.

Conclusion : Le papier conclut que les plongements EEG-FM ne doivent pas être traités comme des données anonymisées simplement parce qu'il ne s'agit pas de formes d'onde brutes. Un cadre d'audit conjoint qui priorise la fuite d'attribut et les limites de revendication contrôlées par séparation est nécessaire avant de publier de telles représentations.