Résumé Technique : MINIM - Vue Minimale Respectueuse de la Vie Privée pour les Agents via une Sanitarisation Locale de Confiance

1. Énoncé du Problème : Observation Sémantique Sur-Privilégiée

Les agents autonomes modernes s'appuient de plus en plus sur des observations structurées (par exemple, des arbres d'accessibilité, des représentations DOM) pour interagir avec des environnements numériques. Bien que ces interfaces structurées fournissent un contexte sémantique riche pour un ancrage d'action fiable, les paradigmes de déploiement actuels suivent souvent une conception de type « partage d'abord », transmettant l'intégralité de l'état brut de l'interface à des serveurs d'inférence distants.

Les auteurs identent un mode de défaillance spécifique nommé Observation Sémantique Sur-Privilégiée. Dans ce scénario, les agents reçoivent non seulement les éléments nécessaires à la tâche actuelle de l'utilisateur, mais aussi une vaste quantité de contexte non pertinent pour la tâche (par exemple, des notifications de barre latérale, des fenêtres d'applications en arrière-plan, des onglets de navigateur sans rapport). Cette exposition entraîne la fuite d'informations sensibles mais inutiles, telles que des codes d'authentification, des notifications privées et des traces comportementales, qui peuvent être exploitées à des fins de profilage.

Les solutions de confidentialité existantes sont mal adaptées à ce contexte :

• Le filtrage agnostique à la tâche (par exemple, la rédaction de PII/données personnelles) risque de supprimer un contexte critique pour la tâche ou de manquer des attributs sensibles non liés aux PII.
• La Confidentialité Différentielle introduit un bruit stochastique qui peut déformer les indices sémantiques précis requis pour une actuation fiable de l'agent.
• Les méthodes cryptographiques (par exemple, FHE, MPC) protègent le calcul mais n'empêchent pas le serveur distant d'inférer des informations sensibles à partir de l'état divulgué, souvent au prix d'une latence prohibitive.

Le défi central est que les exigences de confidentialité sont conditionnées par la tâche : un élément (par exemple, un code 2FA) peut être critique pour une tâche, mais constituer une fuite pure pour une autre.

2. Méthodologie : Cadre MINIM

Les auteurs proposent MINIM, un courtier local de confiance qui effectue une minimisation pré-divulgation sur l'appareil client. MINIM agit comme un goulot d'étranglement structurel, assainissant l'observation de l'agent avant qu'elle ne quitte l'appareil. Le cadre est fondé sur l'Intégrité Contextuelle (CI), opérationnalisant le principe selon lequel le flux d'informations doit adhérer aux normes définies par le contexte, les acteurs, les attributs et les principes de transmission.

2.1. Représentation à Double Score

MINIM emploie un modèle appris pour prédire deux scores scalaires pour chaque élément de l'observation structurée (par exemple, un nœud d'arbre d'accessibilité) :

1. Score de Sensibilité Inhérente ($s$) : Capture le risque informationnel intrinsèque de l'élément, indépendamment de la tâche actuelle.
2. Score de Nécessité Conditionné par la Tâche ($n$) : Capture l'utilité de l'élément pour accomplir la tâche spécifique de l'utilisateur $T$.

2.2. Objectif d'Entraînement

Le modèle est entraîné à l'aide d'un objectif conscient de la CI qui minimise la divulgation d'informations contextuellement inappropriées tout en satisfaisant une contrainte d'utilité de la tâche. La fonction de perte combine :

• Perte de Sensibilité ($L_{sens}$) : Minimise l'erreur de prédiction du risque inhérent.
• Perte de Nécessité ($L_{nec}$) : Minimise l'erreur de prédiction de la nécessité de la tâche, mais pondérée par la sensibilité. La perte est amplifiée pour les nœuds qui sont hautement sensibles mais non pertinents pour la tâche, pénalisant lourdement le modèle s'il ne parvient pas à identifier un contenu à haut risque inutile.

2.3. Politique de Divulgation Ternaire

Au déploiement, les scores prédits pilotent une politique déterministe qui associe chaque nœud à l'une des trois actions suivantes :

• Garder (K - Keep) : Si le nœud est nécessaire ($n \ge \tau_{nec}$) et à faible risque ($s < \tau_{sens}$). L'élément est transmis inchangé.
• Abstraire (A - Abstract) : Si le nœud est nécessaire ($n \ge \tau_{nec}$) mais à haut risque ($s \ge \tau_{sens}$). Les attributs sensibles sont remplacés par des espaces réservés (par exemple, [REDACTED]) tout en préservant le rôle structurel (par exemple, conserver la structure du bouton mais masquer la valeur du code 2FA).
• Supprimer (R - Remove) : Si le nœud est non nécessaire ($n < \tau_{nec}$). L'élément est entièrement élagué.

3. Contributions Clés

1. Formalisation du Problème : L'article identifie et formalise l'« Observation Sémantique Sur-Privilégiée » comme un risque de confidentialité distinct dans les systèmes agentiques reposant sur des entrées structurées, proposant la minimisation pré-divulgation comme solution.
2. Architecture MINIM : Les auteurs introduisent un courtier local de confiance qui découple le scoring contextuel de l'application de la politique. Il utilise un mécanisme à double score (sensibilité et nécessité) entraîné avec un objectif conscient de la CI pour appliquer une règle de divulgation du « besoin de savoir ».
3. Validation Empirique : Le cadre est évalué sur des arbres d'accessibilité réels dérivés de WebArena à travers les domaines Shopping, Reddit et Gmail, démontrant une réduction significative des fuites sans compromettre l'exécution des tâches.

4. Résultats Expérimentaux

Les expériences ont été menées sur un ensemble de données de 662 variantes de test dérivées de WebArena, augmentées de contextes sensibles synthétisés (par exemple, codes 2FA, mots de passe).

4.1. Métriques de Performance

• Préservation des Nœuds Critiques pour la Tâche (TCNP) : MINIM conserve 94,91 % du contexte critique pour la tâche et 99,31 % des éléments interactifs critiques pour la tâche (TCNP-I).
• Fuite Sensible Non Pertinente à la Tâche (TISL) : MINIM réduit la fuite sensible à 0,101 (normalisé), ce qui représente environ 10 % de la fuite observée avec les observations complètes. Il s'agit d'une réduction de 50 % par rapport à une base de référence « Uniquement Nécessité » (0,2032) et surpasse nettement les bases de référence « Uniquement Sensibilité » ou « Aléatoire ».

4.2. Comparaison avec les Bases de Référence LLM

Les auteurs ont comparé MINIM à plusieurs modèles de langage (LLM) à poids ouverts utilisés comme scoreurs via du prompting.

• Limites des LLM : Bien que les LLM généraux aient atteint une utilité élevée (TCNP-I $\approx$ 0,99), ils présentaient une fuite nettement plus élevée (TISL allant de 0,194 à 0,312). Ils avaient tendance à conserver du contenu sensible non pertinent pour la tâche aux côtés des éléments utiles.
• Efficacité : MINIM n'a conservé que 12 % des nœuds (contre environ 26–35 % pour les LLM) tout en atteignant un rappel actionnable comparable ou supérieur. Cela souligne que l'ajustement fin par instruction généraliste ne permet pas intrinsèquement d'imposer une minimisation conditionnée par la tâche.

4.3. Ablation et Robustesse

• Valeur de l'Abstraction : Remplacer l'action « Abstraire » (A) par l'action « Supprimer » (R) a provoqué une chute du rappel actionnable (TCNP-I) de 0,9931 à 0,9650, démontant que la préservation des affordances structurelles tout en masquant les valeurs est cruciale pour l'exécution des tâches.
• Sémantique de la Tâche : Le modèle a adapté son taux de compression en fonction du type de tâche, conservant plus de nœuds pour les tâches de type « Sensible/Admin » (15,84 %) par rapport aux tâches « Informationnelles » (8,66 %) afin de garantir que les flux de sécurité restent fonctionnels.

5. Signification et Revendications

L'article affirme que MINIM démontre que des garanties de confidentialité fortes peuvent coexister avec une actuation d'agent fiable. En passant d'un paradigme de « partage d'abord » à un paradigme de « besoin de savoir » via une sanitarisation locale de confiance, MINIM répond à l'écart « Jugement de Confidentialité-Action » où les agents échouent à protéger le contexte même lorsqu'ils le reconnaissent comme sensible.

Les auteurs soulignent que leur approche est agnostique à la représentation ; bien qu'évaluée sur des arbres d'accessibilité, le mécanisme de scoring structurel piloté par la CI s'applique à d'autres formats d'observation structurés (DOM, graphes de scène, schémas d'outils). Ils positionnent MINIM non pas comme une solution de sécurité complète contre des adversaires actifs, mais comme un composant critique de l'atténuation de la confidentialité pour le canal d'observation des agents autonomes, permettant un déploiement plus sûr dans des environnements sensibles à la vie privée.