💻 computer science

Hybrid privacy-aware semantic search: SVD-truncated document geometry and CKKS-encrypted query reranking under a restricted threat model

Cet article propose un cadre de recherche sémantique hybride respectueux de la vie privée qui combine l'obfuscation géométrique par troncature SVD pour les vecteurs de documents statiques avec le chiffrement homomorphe CKKS pour le reclassement dynamique des requêtes, atteignant une latence inférieure à la seconde et une protection robuste contre les attaques d'inversion de plongement tout en maintenant une haute qualité de classement sous un modèle de menace défini.

Auteurs originaux : Sergey Kurilenko

Publié 2026-06-26

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Sergey Kurilenko

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous possédez une immense bibliothèque de documents secrets et que vous vouliez permettre aux gens de faire des recherches sans jamais laisser le bibliothécaire (le serveur) voir le texte réel ou savoir exactement ce que vous cherchez.

Cet article propose un tour de passe-passe ingénieux en deux parties pour résoudre ce problème, mais il est très honnête sur les points où l'astuce fonctionne et sur les points où elle pourrait échouer. Voyez cela comme un système de sécurité « hybride » qui mélange la géométrie (formes et angles) avec la mathématique magique (cryptographie).

Voici la décomposition en termes simples :

1. Le Problème : La Bibliothèque « Fuiteuse »

Les moteurs de recherche modernes transforment le texte en « embeddings » — imaginez ces empreintes comme des empreintes digitales ou des ombres projetées par le texte.

Le Risque : Des chercheurs ont découvert que si quelqu'un vole ces empreintes, il peut souvent reconstruire le texte original secret avec une précision effrayante. C'est comme voler une ombre et être capable de reconstruire l'objet 3D qui a projeté cette ombre.
Les Anciennes Solutions :
- Option A (Cryptographie Totale) : Mettre chaque document dans un coffre-fort inviolable. Problème : C'est si lent que chercher dans un million de documents prendrait des heures.
- Option B (Ajout de Bruit) : Flouter les empreintes avec du grain statique. Problème : Le flou est si lourd que le moteur de recherche ne peut plus trouver les bonnes réponses.

2. La Nouvelle Solution : Une Danse en Deux Étapes

Les auteurs proposent un juste milieu qui traite les documents (la bibliothèque) et les requêtes de recherche (la demande de l'utilisateur) de manière différente.

Étape A : Protéger les Documents (L'astuce « Géométrique »)

Les documents sont stockés sur le serveur, mais ils sont altérés avant d'y arriver.

Compression (Troncation SVD) : Imaginez une photo haute résolution. Le système jette les « détails fins » (le bruit) et ne garde que les formes principales. Cela réduit la taille du fichier et, surtout, élimine une partie des informations nécessaires pour reconstruire le texte original.
- Le Piège : Ce n'est pas de la magie ; c'est juste de la compression de données. Si vous jetez trop de choses, la recherche se dégrade. Si vous n'en jetez pas assez, le texte reste récupérable.
La Rotation Secrète : Après avoir compressé les données, le système fait pivoter toute la bibliothèque sur un axe secret. Imaginez prendre la carte d'une ville et la faire pivoter de 90 degrés pour que le « Nord » devienne l'« Est ».
- L'Astuce : Le serveur voit la carte pivotée, mais il ne connaît pas l'angle de la rotation. Pour un observateur extérieur, la carte ressemble à du charabia.
- La Limite : Si un attaquant connaît le texte original de ne serait-ce que quelques documents (une attaque par « texte clair connu »), il peut mathématiquement déterminer l'angle de rotation secret et annuler la rotation. Ce n'est pas de la cryptographie inviolable ; c'est un puzzle qui devient plus facile si vous avez quelques indices.

Étape B : Protéger la Requête de Recherche (L'astuce « Magique »)

Lorsqu'un utilisateur effectue une recherche, il n'envoie pas la question en texte clair.

Il utilise le chiffrement CKKS, un type de « mathématique magique » qui permet au serveur d'effectuer des calculments sur la question sans jamais voir la question elle-même.
Le serveur compare la question chiffrée aux documents pivotés et renvoie une liste de scores, tout en restant « aveugle » à ce que l'utilisateur a demandé ou à ce que les scores signifient réellement. Le serveur suit les règles mais n'apprend rien sur la requête spécifique. Cette partie est mathématiquement sécurisée.

3. Les Résultats : Ce qui Fonctionne et ce qui Ne Fonctionne Pas

Les auteurs ont testé cela sur une bibliothèque d'un million de documents.

Vitesse : C'est rapide ! Tout le processus prend moins d'une seconde.
Précision : Pour la plupart des modèles de recherche modernes, jeter la moitié des données (l'étape de compression) a en fait amélioré les résultats de recherche. Cela a agi comme un « débruiteur », filtrant les détails désordonnés pour ne laisser que le signal clair.
Réalité de la Sécurité :
- La Requête : Le serveur ne peut pas voir ce que vous avez cherché. (Sécurisé).
- Les Documents : Le serveur peut voir les données compressées et pivotées. Si un attaquant possède quelques exemples « Texte Original vs Empreinte Pivotée », il peut rétro-concevoir la rotation secrète et lire le reste de la bibliothèque.
- Les Indices « Publics » : Le système utilise un « index » public (comme un catalogue de bibliothèque) pour accélérer les recherches. L'article admet que cet index divulgue certaines informations sur la similitude entre les documents.

4. Conclusion

Ce papier ne prétend pas avoir construit une forteresse inviolable. Il propose plutôt un compromis pratique :

Pour l'Utilisateur : Vous bénéficiez d'une recherche rapide et privée où le serveur ne peut pas lire vos pensées.
Pour les Documents : Vous bénéficiez d'une couche de protection qui rend très difficile la lecture de vos secrets pour un attaquant occasionnel, mais ce n'est pas sûr contre un attaquant déterminé possédant quelques « codes de triche » (exemples connus de vos données).

Le message principal des auteurs est le suivant : « Nous avons trouvé un point d'équilibre où la recherche est rapide et précise, et où la requête est cryptographiquement sûre. Cependant, la protection des documents repose sur une 'rotation secrète' qui est une astuce d'obscurcissement, et non un bouclier magique. Si vous avez quelques exemples fuités de vos données, cette astuce échoue. »

Ils sont très clairs : La confidentialité de la requête est cryptographique (inviolable), mais la confidentialité des documents est empirique (elle fonctionne jusqu'à ce que quelqu'un comprenne le modèle).

Énoncé du problème

La recherche sémantique moderne et la génération augmentée par récupération (RAG) reposent sur des plongements (embeddings) de vecteurs denses. Cependant, des recherches récentes démontrent que ces plongements peuvent être inversés pour retrouver le texte source avec une grande fidélité (par exemple, Vec2Text atteignant environ 97 % de BLEU). Cela crée une vulnérabilité critique : si une base de données vectorielle fuit, les documents sous-jacents sont effectivement compromis.

Les défenses existantes se situent aux deux extrêmes, tous deux inadaptés à un déploiement à l'échelle industrielle :

Chiffrement totalement homomorphe (FHE) : Cryptographiquement robuste mais d'une complexité computationnelle prohibitive pour la recherche dans des millions de documents.
Confidentialité différentielle (DP) : L'ajout de bruit dégrade considérablement la qualité du classement avant de fournir une protection de la vie privée significative.

L'article répond au besoin d'une voie médiane qui équilibre la confidentialité, la précision de la recherche et la latence à l'échelle de $10^6$ documents.

Méthodologie

Les auteurs proposent une architecture hybride asymétrique qui traite différemment la collection statique de documents et la requête dynamique de l'utilisateur. Le système opère sous un modèle de menace restreint : un client de confiance, un serveur honnête mais curieux, et un attaquant non adaptatif (utilisant des outils d'inversion prêts à l'emploi sans connaissance préalable de la rotation secrète).

1. Protection des documents (Côté statique)

Les vecteurs de documents sont protégés via une transformation géométrique plutôt que par chiffrement :

Troncation SVD : Le corpus de documents centré est projeté sur un sous-espace de dimension inférieure ( $k = d/2$ ) en utilisant la décomposition en valeurs singulières (SVD). Cette troncature est choisie pour garantir une erreur de reconstruction relative ( $\sigma_{rec}$ ) d'au moins 0,10, servant de proxy pour la perte d'information.
Rotation secrète : Les vecteurs tronqués sont multipliés par une matrice orthogonale aléatoire de type Haar-uniforme $R$ . Cette rotation masque l'orientation de la base aux attaquants qui ne possèdent pas $R$ .
Quantification de produit publique (PQ) : Un index PQ (codebook + codes) est entraîné dans l'espace pivoté pour permettre au client d'effectuer un filtrage local des candidats (Étape 1) sans envoyer de requêtes au serveur. Les auteurs notent explicitement que cet artefact PQ est une « vue compressée avec perte » qui fuit la structure de voisinage et est traité comme un canal exposé.

2. Protection de la requête (Côté dynamique)

La requête est protégée de manière cryptographique :

Chiffrement CKKS : Le client chiffre le vecteur de requête pivoté en utilisant le schéma de chiffrement homomorphe CKKS.
Reclassement Chiffrement-Texte clair (ct-pt) : Le serveur effectue le reclassement des candidats présélectionnés (par exemple, les 40 meilleurs) en calculant le produit scalaire entre la requête chiffrée et les vecteurs de documents pivotés en texte clair.
Optimisation : En évitant la multiplication Chiffrement-Chiffrement (ct-ct), le système élimine le besoin de l'étape coûteuse de relinéarisation. Cela permet au serveur de calculer les scores de similarité avec une latence inférieure à la seconde.

3. Sélection des paramètres

Au lieu d'un réglage manuel, les auteurs emploient un micro-benchmark hors ligne reproductible sur une grille discrète de paramètres CKKS (degré du module polynomial, chaîne de module de coefficient, échelle) afin de sélectionner la configuration qui minimise la latence tout en satisfaisant les tableaux de sécurité (tc128) et les tolérances d'exactitude.

Contributions clés

Théoriques :

Lemme 1 : L'article prouve une borne inférieure serrée sur l'erreur de reconstruction $L_2$ pour tout décodeur dont l'image est contrainte au sous-espace tronqué. Cela quantifie formellement l'information perdue par la projection, bien que les auteurs précisent qu'il s'agit d'une borne de projection et non d'un théorème général de sécurité de l'inversion.
Hypothèse empirique 1 : Ils formalisent la relation entre le proxy d'erreur de reconstruction ( $\sigma_{rec}$ ) et le score BLEU des attaques d'inversion classiques, validant cela numériquement.

Empiriques & Ingénierie :

Évaluation de l'échelle : Expériences menées sur un corpus d'un million de documents (Wikipédia russe) en utilisant cinq encodeurs de texte contemporains (incluant multilingual-E5 et BGE-M3).
Latence : Le système atteint une latence de requête de bout en bout confortablement inférieure à une seconde (p95 $\approx$ 370 ms) pour $10^6$ documents.
Optimisation CKKS : La configuration sélectionnée ( $N_{poly}=8192$ , chaîne de module spécifique) offre une accélération de 1,7 $\times$ par rapport aux paramètres TenSEAL standards tout en maintenant la même limite de sécurité.
Effet de débruitage : Pour les encodeurs entraînés pour la recherche avec des dimensions $d \ge 768$ , la troncature SVD agit comme un débruiteur linéaire, améliorant légèrement les métriques de classement (Acc@1, NDCG) par rapport à la ligne de base brute en filtrant le bruit dans les directions singulières secondaires.

Résultats et analyse de sécurité

L'article teste rigoureusement le système contre le modèle de menace prévu ainsi que contre des adversaires plus forts :

Contre les attaquants non adaptatifs : Sous le modèle restreint (rotation $R$ inconnue, Vec2Text prêt à l'emploi), la rotation secrète réduit les scores BLEU au niveau du bruit ( $\approx 0,007$ ), empêchant efficacement la récupération du texte.
Contre les attaquants à texte clair connu (Known-Plaintext) : Si un attaquant possède environ $k$ (la dimension conservée) paires de (texte original, vecteur pivoté), il peut récupérer la rotation secrète $R$ en utilisant la procédure de Procruste orthogonale. Une fois $R$ connu, la protection se réduit à la seule troncation SVD.
Fuite du corpus de référence : Si la collection protégée chevauche un corpus de référence public ou ayant fui, l'attaquant peut utiliser la rotation récupérée pour effectuer des recherches exactes de paragraphes.
Fuite des artefacts PQ : Les codes PQ publics préservent environ 95 % de la similarité cosinus avec les vecteurs pivotés et conservent la plupart des 10 plus proches voisins, confirmant que l'artefact PQ est un canal exposé qui fuit des informations structurelles.
Dépendance à l'encodeur : L'avantage du « débruitage » est spécifique aux encodeurs entraînés pour la recherche. Les modèles compacts (ex: e5-small) ou les modèles distillés pour le paraphrase souffrent d'une dégradation de l'exactitude avec une troncation $k=d/2$ .

Signification et affirmations

L'article se positionne comme une étude scientifique plutôt que comme un produit déployable ou un rapport d'ingénierie système. Sa signification réside dans :

Définition des limites : Il délimite explicitement le modèle de menace. Il affirme que la confidentialité de la requête est cryptographique (via CKKS) mais que la protection des documents est une obfuscation empirique (via SVD + Rotation secrète). Il ne prétend pas que la couche de document est cryptographiquement sûre contre les adversaires adaptatifs ou à texte clair connu.
Quantification des compromis : Il fournit un point de fonctionnement mesuré où la confidentialité, l'exactitude et la latence sont équilibrées. Il démont une que, pour certains types d'encodeurs, la troncation préservant la confidentialité peut coïncidemment améliorer la qualité de la recherche.
Reproductibilité : Il propose une méthode déterministe pour la sélection des paramètres cryptographiques et publie tous les scripts et configurations.

Limites reconnues par les auteurs :

La confidentialité des documents n'est pas cryptographique ; elle échoue face aux attaques adaptatives ou à texte clair connu.
Les schémas d'accès (quels documents sont reclassés) et les codes PQ sont exposés.
Le système repose sur une classe spécifique d'encodeurs (entraînés pour la recherche, $d \ge 768$ ) pour maintenir l'exactitude.
La question ouverte principale reste la robustesse contre un décodeur appris de bout en bout spécifiquement entraîné sur l'espace pivoté, ce qui n'a pas été pleinement évalué dans cette étude.

En conclusion, l'article présente une approche hybride pratique et performante pour la recherche sémantique qui déplace la charge de la confidentialité vers le côté requête (cryptographique) et vers le côté document (obfuscation géométrique), tout en quantifiant de manière transparente les modes de défaillance de la couche d'obfuscation géométrique.