Résumé technique : Masquage choric dans les systèmes de libération ambiante

Énoncé du problème

L'article traite de l'écart entre la non-observation formelle et la lisibilité pratique dans les systèmes publics. De nombreux systèmes nécessitent qu'une coordonnée cachée (un « locus protégé », tel qu'un rôle, une affiliation ou une condition) reste inobservée pendant que le système effectue une séquence visible d'actions (entrer, attendre, corriger, transmettre). Bien que la coordonnée protégée ne soit pas explicitement imprimée sur la surface publique, des traces statistiques — créées par le rythme, la répétition, l'hésitation, le routage, les discordances de rôles et l'attention de l'audience — peuvent rendre le locus caché lisible.

Le problème central est de déterminer si deux loci cachés induisent des lois de traces indiscernables pour une audience dotée d'un ensemble fini de tests, d'un budget d'attention borné et de politiques de réponse potentiellement adaptatives. L'article soutient que l'indistinguabilité cryptographique traditionnelle (basée sur les transcriptions de protocoles) et la confidentialité différentielle (basée sur les conservateurs de bases de données) sont insuffisantes pour les « systèmes de libération ambiante », où le canal de préoccupation est la chorégraphie publique elle-même.

Méthodologie

Les auteurs développent un calcul de trace fini fondé sur la géométrie convexe et la théorie des probabilités finies. La méthodologie repose sur les piliers suivants :

1. Environnements à étapes finies : Le système est modélisé comme un tuple contenant des loci cachés ($\Theta$), des rôles visibles ($R$), un espace d'états ($S$), des actions ($A$), des observations ($Y$) et une porte de norme ($N$) qui dicte les actions admissibles pour un rôle à un historique donné.
2. Polyèdres de traces : Pour un horizon $T$ fixé, l'ensemble des traces publiques admissibles induites par un locus caché forme un polyèdre convexe (l'enveloppe chorique). Cette enveloppe représente le « chœur » des comportements admissibles disponibles pour masquer un locus spécifique.
   3.Audience comme opérateurs de mesure : Une audience est définie non pas comme un observateur omniscient, mais comme une classe de tests bornés ($F_T$) appliqués à la trace. La sécurité d'un système est mesurée par la distance entre les polyèdres projetés de deux loci sous ces tests.
3. Lentilles d'attention : Le modèle incorpore des lentilles d'attention (noyaux de Markov) qui amincissent la trace avant qu'elle n'atteigne l'observateur (par exemple, via des limites de regard, un temps de séjour ou une compression de la mémoire). Cela est traité comme un problème d'élargissement de noyau, où les résidus peuvent disparaître dans l'espace projeté même s'ils sont présents dans la trace complète.
4. Dynamiques de dette et de pression : Pour les interactions répétées, l'article introduit une variable de dette de risque choric. Elle suit le résidu non résolu qui ne parvient pas à être localisé. Le modèle analyse comment cette dette pousse vers la « largeur » (sélection de plus de candidats) et la « dilution » (réduction de l'attention par candidat) sans nécessairement augmenter le danger pour le porteur original.

Contributions clés

1. Masquage choric et non-singularité

L'article définit le masquage choric non pas comme l'invisibilité, mais comme la non-singularité. Un locus est masqué si sa loi de trace se situe dans (ou près de) l'enveloppe convexe des traces admissibles générées par d'autres loci, rôles ou cohortes.

• Théorème 8.1 (Équivalence Mesure-Polyèdre) : Le masquage parfait pour une audience finie est équivalent à l'intersection des polyèdres projetés des lois de trace.
• Théorème 14.5 (Théorème du Chœur Convexe) : Deux loci sont parfaitement masqués si et seulement si leurs enveloppes choriques s'intersectent.

2. Certificats finis d'indistinguabilité

Le calcul fournit des certificats de sécurité constructifs et de dimension finie :

• Certificats de séparation : Si le masquage échoue, un hyperplan séparateur (un score public borné) existe pour distinguer les loci.
• Théorème du résidu (Théorème 15.1) : Si une fuite existe, il existe un motif de trace fini (un événement cylindrique) qui la transporte. La fuite n'est pas mystique ; elle est portée par des gestes concrets.
• Certificats de localisation : L'article distingue la détection d'un résidu de sa localisation à une couche spécifique (par exemple, personne vs objet vs cohorte). Un résidu peut être détectable mais non localisable s'il tombe dans l'enveloppe de mesure de plusieurs valeurs de couche.

3. Effets d'attention et d'ouverture

L'article formalise comment l'attention bornée altère la sécurité :

• Distance filtrée par l'attention : Un résidu visible dans la trace complète peut disparaître pour un observateur borné. Le Théorème 11.7 fournit une borne d'ouverture, montrant que le résidu perçu est proportionnel à la probabilité que le regard de l'observateur frappe les coordonnées diagnostiques.
• Paires scindées : Une paire de lois peut être exposée à une audience de trace complète, mais parfaitement masquée pour une audience filtrée par l'attention.

4. Dynamique post-libération et de pièces liées

Le modèle rend compte des résidus qui émergent après la porte initiale :

• Exposition induite par la charge : Un objet ou un état transporté peut se dégrader ou créer un danger dans une « pièce » en aval, rétrécissant les scripts futurs et créant un second plancher d'exposition même si la première pièce était masquée (Théorème 21.9).
• Comptabilité de pièces liées : L'article fournit une règle de comptabilité séparant le résidu de la première pièce de la divergence de liaison (Théorème 20.3).

5. Pression et dette non résolues répétées

Une contribution significative est l'analyse des interactions répétées où le résidu n'est pas localisé :

• Dette de risque choric : Le résidu non résolu s'accumule comme une variable de dette ($D_k$).
• Trichotomie de l'externalisation (Théorème 18.20) : Lorsque la dette augmente, le système doit soit solder la dette, soit localiser la source, soit externaliser le risque.
• Masquage de risque déplacé : Si le système ne peut localiser la source, il peut élargir sa sélection (augmentant la taille de la cellule de couverture $m_k$) pour gérer la dette. Cela dilue l'attention par candidat, ce qui peut abaisser le danger pour le véritable porteur tout en augmentant la probabilité de sélection des non-porteurs (faux positifs). Le Théorème 18.12 prouve qu'augmenter la largeur sans localisation peut mener le danger garanti pour le porteur réel vers zéro, même si la pression de la pièce augmente.

Résultats et bornes théoriques

• Borne inférieure du geste unique (Théorème 16.3) : Si un locus caché est contraint d'effectuer un geste (événement) que d'autres ne peuvent égaler avec une masse suffisante, le masquage est impossible. Le plancher d'exposition est déterminé par l'écart dans les intervalles de masse atteignables.
• Borne de localisation de type Fano (Théorème 8.6) : Pour garantir une localisation correcte avec une probabilité $q$, le canal d'observation doit transporter une information mutuelle $I(\Sigma; Z) \ge q \log m - \log 2$, où $m$ est la taille de la couverture.
• Certificat de Helly (Théorème 10.10) : Pour un groupe de $k$ mesures, un masque commun peut être certifié en vérifiant uniquement les intersections $(k+1)$-pariques des enveloppes de mesure.
• Budget requis pour vaincre la dilution (Théorème 18.14) : Pour garantir un danger $\zeta$ pour chaque porteur dans une cellule de couverture de taille $m$, le budget d'attention doit croître linéairement avec $m$.

Signification et affirmations

L'article affirme fournir un cadre fini, inspectable et compositionnel pour l'audit des systèmes publics. Sa signification réside dans :

1. Opérationnalisation de la confidentialité : Il dépasse les slogans asymptotiques pour proposer des affirmations d'horizon fini sur ce qu'une audience bornée peut inférer.
2. Séparation des concepts : Il distingue rigoureusement l'absence de résidu, le résidu hors de l'ouverture, et le résidu déplacé sur une population de couverture.
3. Auditabilité : Chaque affirmation de masquage possède un témoin fini (un couplage ou une intersection d'enveloppes), et chaque affirmation d'exposition possède un porteur public (un test séparateur).
4. Conception institutionnelle : Les « théorèmes de la dette » servent d'instrument d'audit, montant que les réponses larges à un résidu non résolu sans certificats de localisation ne font qu'externaliser le risque vers les populations de couverture sans résoudre la menace originale.

Les auteurs affirment que la théorie ne suppose ni malveillance ni culpabilité, mais se concentre sur la séparation statistique des lois de trace. Le calcul est conçu pour certifier quand une pièce peut attribuer un résidu et quand elle ne le peut pas, garantissant que la pression est soit localisée, soit reconnue comme déplacée. L'article conclut qu'un système est sûr uniquement lorsque sa grammaire visible fournit une couverture suffisante et que son modèle d'audience reflète fidèlement ce qui est réellement perçu.