💬 NLP

Privacy-Preserving Text Sanitization for Distributed Agents Collaboration via Disentangled Representations

Cet article introduit DiSan, un cadre de préservation de la vie privée pour la collaboration d'agents distribués qui utilise des représentations désenchevêtrées pour éliminer efficacement les signatures stylistiques identifiant la source tout en préservant la sémantique de la tâche, surpassant de manière significative les méthodes traditionnelles de masquage de jetons dans la réduction de l'attribution stylométrique et de l'exposition des informations personnellement identifiables (PII).

Auteurs originaux : Xuan Liu, Hefeng Zhou, Sicheng Chen, Chao Yang, Xingcheng Xu, Jingjing Qu, Jiong Lou, Jie LI, Xia Hu

Publié 2026-06-16

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Xuan Liu, Hefeng Zhou, Sicheng Chen, Chao Yang, Xingcheng Xu, Jingjing Qu, Jiong Lou, Jie LI, Xia Hu

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Le Problème : La « Poignée de main secrète » dans le texte

Imaginez que vous êtes un comptable chez Banque A et que vous devez demander à un collègue de la Banque B des données financières pour aider un client. Vous envoyez un message : « Notre client, M. Smith, a un prêt de 5 millions de dollars auprès de la Banque Chase. »

Si vous supprimez simplement « M. Smith » et « Banque Chase », vous pourriez penser être en sécurité. Mais l'article soutient que ce n'est pas le cas. Pourquoi ? Parce que votre style d'écriture est comme une poignée de main secrète.

Même sans les noms, votre message pourrait encore révéler qui vous êtes à cause de :

Votre façon de formater : Utilisez-vous des listes à puces ou de longs paragraphes ?
Votre vocabulaire : Utilisez-vous des mots comme « liquidité » ou « flux de trésorerie » ?
Votre structure de phrase : Commencez-vous toujours vos phrases par « Selon nos registres... » ?

Ce sont ce qu'on appelle des signatures distributionnelles. C'est comme un chef qui ajoute toujours une pincée de sel à la toute fin de la cuisson. Même si l'on cache le nom du chef, le goût du plat le trahit.

La Solution : DiSan (Le « Traducteur de Confidentialité »)

Les chercheurs du Shanghai Artificial Intelligence Laboratory ont créé un outil appelé DiSan (Disentangled Sanitization - Désenchevêtrement de la Sanitarisation). Considérez DiSan comme un traducteur super intelligent qui ne se contente pas de cacher les noms ; il réécrit le message pour qu'il semble provenir d'une source générique et anonyme, tout en préservant les faits importants.

Voici comment cela fonctionne, en utilisant une analogie de Smoothie :

1. Séparer le Fruit du Jus (Désenchevêtrement)

Imaginez que chaque message textuel est un smoothie composé de deux éléments :

Le Fruit (Le Rôle) : Les faits réels, les chiffres et le sens (ex : « Le montant du prêt est de 5M$ »).
Le Jus (Le Style) : La saveur, la texture et la recette secrète qui identifie le fabricant (ex : « La façon spécifique d'écrire de la Banque A »).

Les anciennes méthodes (comme le masquage simple) tentent simplement de gratter le fruit hors du verre, mais elles laissent le jus derrière elles, qui a toujours le goût de la Banque A.

DiSan utilise une machine spéciale (un Encodeur à deux flux) qui sépare le smoothie en deux flux distincts :

Flux A (Le Role) : Contient uniquement les faits purs. C'est ce qui est envoyé à l'autre personne.
Flux B (Le Style) : Contient la « saveur » et les recettes secrètes. Cela reste verrouillé dans l'ordinateur local et n'est jamais envoyé.

2. Le Projet de Groupe (Apprentissage Fédéré)

Habituellement, pour apprendre à un ordinateur à faire cela, vous devriez envoyer tous les documents privés des banques vers un serveur central. C'est dangereux.

Au lieu de cela, DiSan utilise l'Apprentissage Fédéré (Federated Learning). Imaginez 7 banques différentes essayant d'apprendre à écrire des rapports « génériques ».

Elles n'envoient pas leurs recettes secrètes à un enseignant central.
À la place, elles envoient de minuscules modèles d'argile abstraits (appelés Prototypes) de ce à quoi ressemble un « fait générique ».
Le serveur central mélange ces modèles d'argile pour créer un « moule maître » et le renvoie.
Chaque banque met à jour sa propre machine en utilisant ce moule.

De cette façon, les banques apprennent à parler le même « langage générique » sans jamais voir les documents bruts et privés les unes des autres.

3. L'Entraînement « Anti-Identité » (Régularisation Adversaire)

Pour s'assurer que les modèles d'argile ne révèlent pas accidentellement quelle banque les a fabriqués, le système joue à un jeu de « Cache-cache ».

Un Discriminateur (une IA détective) essaie de deviner de quelle banque provient un modèle d'argile.
Le Sanitiseur (le traducteur) essaie de tromper le détective en rendant les modèles aussi génériques que possible.
Avec le temps, le sanitiseur devient si bon pour cacher la source que le détective ne peut plus que deviner au hasard.

Les Résultats : Est-ce que cela a fonctionné ?

L'article a testé cela contre d'autres méthodes comme le simple « effacement » (masquage) ou le fait de demander à une grande IA de réécrire le texte.

L'ancienne méthode (Masquage) : Si vous cachez 19 % des mots (noms, dates), le « détective » peut encore deviner qui a écrit le texte 67 % du temps. La « saveur » est toujours présente.
La méthode DiSan :
- Confidentialité : Elle a réduit la capacité de deviner la source de 73 %. Il est presque impossible de savoir qui a écrit le message désormais.
- Utilité : Elle a conservé 83 % du sens original. Les faits étaient assez précis pour répondre aux questions.
- Exposition des PII (Informations Personnellement Identifiables) : Elle a réduit le risque de fuite accidentelle d'informations personnelles de 20 fois par rapport aux méthodes standards.

L'Essentiel

DiSan est une nouvelle façon pour différentes organisations de partager des informations en toute sécurité. Au lieu de simplement rayer des noms (ce qui laisse derrière lui la « voix » de l'organisation), il réécrit complètement le texte pour supprimer la « voix » unique tout en gardant l'« histoire » identique. Cela permet aux agents de collaborer sans révéler leurs recettes secrètes.

Résumé Technique : DiSan (Disentangled Sanitization)

1. Énoncé du Problème

L'article traite du défi critique de la confidentialité dans la collaboration d'agents distribués inter-organisationnels, spécifiquement au sein des systèmes de génération augmentée par récupération (RAG) et de questions-réponses multi-agents. Lorsque les agents échangent des preuves textuelles à travers des frontières organisationnelles, une fuite de confidentialité se produit à deux niveaux distincts :

Identifiants Explicites : Les informations personnellement identifiables (PII) traditionnelles telles que les noms, les numéros de compte et les adresses.
Signatures Distributionnelles : Une fuite implicite via les conventions de formatage, les choix de vocabulaire et les motifs syntaxiques qui encodent les pratiques internes de la partie émettrice (empreintes organisationnelles).

Les auteurs soutiennent que les solutions existantes sont insuffisantes car elles traitent la confidentialité comme un problème de niveau d'identifiant plutôt qu'un problème de niveau de représentation. Le masquage basé sur des règles supprime les PII explicites mais laisse intactes les signatures distributionnelles, tandis que la paraphrase par LLM manque de mécanismes pour garantir que la distribution de sortie est statistiquement invariante par rapport à la source. De plus, l'apprentissage fédéré (FL) standard décentralise l'entraînement des modèles mais ne résout pas le problème du partage des données elles-mêmes pour des tâches en aval.

2. Méthodologie : DiSan

La solution proposée, DiSan (Disentangled Sanitization), est un cadre de préservation de la confidentialité intégré au système d'exploitation multi-agents Intern-Shannon. Elle opère via une approche de factorisation rôle-style, séparant la sémantique pertinente de la tâche des variations liées à la source.

Architecture Centrale

Encodeur à deux flux : DiSan utilise un encodeur pré-entraîné (LongT5-TGlobal-Base) qui projette le texte d'entrée dans deux sous-espaces orthogonaux :
- Sous-espace de Rôle ( $Z_r$ ) : Encode la sémantique de la tâche invariante par la source (entités, relations, événements) destinée à être partagée.
- Sous-espace de Style ( $Z_s$ ) : Encode les variations spécifiques à l'agent (phrasé, formatage, style organisationnel). Ce flux reste strictement local et est rejeté après le décodage.
Fusion et Décodage : Les deux flux sont fusionnés localement pour générer un texte assaini ( $\tilde{d}$ ). Le décodeur est entraîné pour préserver les faits du rôle tout en supprimant les identifiants et le vocabulaire spécifique à la source. Seul le texte assaini $\tilde{d}$ traverse la frontière de confidentialité.

Mécanisme d'Entraînement Fédéré

Pour entraîner le désinfecteur sans centraliser le texte brut, DiSan emploie une stratégie d'optimisation fédérée comprenant trois composants clés :

Alignement de Prototypes : Pour éviter que les espaces de rôles ne dérivent entre des agents non-IID, les agents échangent des prototypes de rôle compacts (EMA des centroïdes de lots de rôles). Ces prototypes sont alignés sur une hypersphère unité pour assurer une cohérence globale sans partager de preuves brutes.
Régularisation Adversaire : Un discriminateur avec des couches de renversement de gradient (GRL) est appliqué aux prototypes téléchargés. Cela force les représentations de rôle à être moins prédictives de l'agent source, supprimant les signatures distributionnelles persistantes au-delà des tags de capacité publique.
Contrainte d'Orthogonalité : Un terme de perte ( $L_{orth}$ ) impose l'orthogonalité cosinus entre les vecteurs de rôle et de style moyennés, assurant la séparation de la sémantique de la tâche et de l'identité de la source.

Déploiement

Dans un pipeline RAG multi-agents, un agent demandeur route les requêtes vers des agents auxiliaires sur la base de tags de capacité publique. Les auxiliaires récupèrent des extraits locaux, les assainissent via DiSan, et transmettent le texte assaini. Le demandeur agrège cette preuve assainie pour générer les réponses finales.

3. Principales Contributions

L'article présente quatre contributions principales :

Formulation de la Désinfection Désencapsulée : Il recadre la désinfection de texte inter-agents comme un problème de factorisation rôle-style, séparant la sémantique de la tâche de la variation liée à la source.
Alignement de Rôle Fédéré : Il introduit un alignement de prototype léger pour stabiliser les espaces de rôles entre des agents non-IID sans centraliser le texte brut, couplé à un entraînement adversaire pour supprimer les signatures de prototypes spécifiques à la source.
Diagnostic de Confidentialité : Il évalue la confidentialité sur trois surfaces : le texte de sortie (stylométrie), les représentations apprises (attribution d'embedding) et les prototypes téléchargés, distinguant la fuite au stade de l'application de celle des artefacts d'entraînement.
Validation Empirique : Il démontre que DiSan surpasse significativement le masquage par identifiant et la paraphrase par LLM pour réduire l'attribution de la source tout en maintenant une utilité élevée.

4. Résultats Expérimentaux

Les expériences ont été menées sur un corpus financier multilingue synthétique (simulant 7 types d'agents distincts) et sur le corpus d'e-mails d'Enron pour la validation stylométrique.

Performance de Confidentialité :
- Exposition des PII : DiSan a réduit l'exposition des PII au niveau de la réponse de 20× par rapport au partage non protégé (0,6 % contre 11,8 %).
- Attribution Stylométrique : Sur le jeu de données Enron, DiSan a réduit l'attribution stylométrique TF-IDF de 73,2 % et l'attribution par sonde neurale de 70,6 %. En revanche, le masquage de 19,2 % des tokens (en utilisant des détecteurs de PII puissants) n'a réduit l'attribution TF-IDF que de 18,6 %.
- Fuite de Prototype : Les prototypes téléchargés ont atteint une précision d'attribution proche du hasard (F1 $\approx$ 0,09), indiquant une suppression réussie des empreintes de la source.
Performance d'Utilité :
- Fidélité (Faithfulness) : DiSan a maintenu une fidélité de réponse de 83,17 % sur le benchmark RAG distribué, proche de la ligne de base de 86,10 % du partage non protégé.
- Comparaison : DiSan a obtenu le compromis confidentialité-utilité le plus favorable parmi tous les baselines, y compris le masquage par remplacement (placeholder), la paraphrase par LLM et le filtrage par politique.
Études d'Ablation :
- La suppression des contraintes d'orthogonalité ( $L_{orth}$ ) a augmenté l'exposition des PII de 7,3×, confirmant que l'isolation du style est critique pour la confidentialité.
- La suppression de l'alignement des prototypes a provoqué une dérive de l'espace de rôle, dégradant à la fois l'utilité (ChunkHit@3 a chuté de 3,6 pp) et la confidentialité.

5. Signification et Revendications

L'article affirme que l'anonymisation au niveau de l'identifiant est insuffisante pour le partage de texte invariant par la source, car l'information organisationnelle privée est souvent une propriété distributionnelle du texte plutôt qu'un ensemble d'identifiants localisés.

Voie Pratique : DiSan offre une voie pratique vers un partage de texte plus sûr en imposant l'orthogonalité rôle-style et l'alignement de rôle fédéré. Il permet aux agents de partager des preuves pertinentes pour la tâche sans révéler les "empreintes organisationnelles" qui pourraient divulguer des pratiques internes ou des structures de documents propriétaires.
Limites et Portée : Les auteurs déclarent explicitement que DiSan ne fournit pas de garanties de confidentialité différentielle (DP) formelles. Ils soutiennent que l'application de la DP à la génération séquence-à-séquence entraîne des coûts d'utilité prohibitifs (perte de cohérence de 30 à 50 %) et que leur approche repose sur une validation empirique contre des adversaires de type "honnête-mais-curieux". Le modèle de menace exclut les serveurs malveillants, l'empoisonnement et la collusion.
Travaux Futurs : L'article suggère des directions futures incluant l'étude d'adversaires adaptatifs plus forts, les réglages de requêtes répétées et des déploiements trans-domaines plus larges.

En résumé, DiSan représente un passage du masquage de surface à la désencapsulation au niveau de la représentation, permettant une collaboration multi-agents où l'utilité des données est préservée tandis que les signatures distributionnelles spécifiques à la source sont efficacement supprimées.