Résumé Technique : SurrogateShield

Énoncé du Problème

Les assistants de Grands Modèles de Langage (LLM) transmettent les requêtes des utilisateurs de manière verbatim aux points de terminaison d'API tiers, exposant les Informations Personnellement Identifiables (PII) aux risques de violations de données, de citations à comparaître ou de changements de politiques. La méthode d'atténuation prédominante, la redaction par marqueurs de substitution (par exemple, remplacer « Jean Dupont » par [PERSONNE]), préserve la confidentialité par construction mais détruit la cohérence sémantique. Cette dégradation structurelle force le LLM à traiter des requêtes « structurellement dégradées », ce qui entraîne des réponses correspondantes et une perte d'utilité mesurable dans les tâches en aval. Le défi central est d'empêcher les vraies PII de franchir la limite du réseau sans sacrifier l'utilité sémantique requise pour des interactions de haute qualité avec les LLM.

Méthodologie : SurrogateShield

SurrogateShield est un proxy côté client qui intercepte les requêtes des LLM, remplace les PII détectées par des valeurs de substitution localement générées et cohérentes avec le type, et restaure de manière transparente les valeurs originales dans la réponse avant l'affichage. Le système repose sur trois principes de conception :

1. Aucune PII ne franchit la limite de l'API : L'application se fait au niveau de la couche de transport locale avant la construction de la requête HTTP.
2. Les substituts préservent l'utilité : Les fausses valeurs (ex: noms, numéros de sécurité sociale) sont réalistes, cohérentes avec le type et statistiquement non liées à l'original, préservant ainsi la structure de la phrase et l'accord grammatical.
3. Restauration transparente : Les valeurs originales sont restaurées dans la réponse du LLM via un processus de trois passages nommé ResolvePass avant que l'utilisateur ne voie le résultat.

Architecture du Système

Le pipeline se compose de quatre composants principaux :

1. SentinelLayer (Cascade de détection à trois étapes)
La détection s'effectue via une cascade séquentielle où chaque étape masque les étendues de caractères revendiquées pour éviter le double traitement :

• PatternScan : Applique des expressions régulières ordonnées par priorité avec des validateurs de somme de contrôle (Luhn pour les cartes de crédit, ABA pour les numéros de routage) afin de détecter 16 types de PII structurés (ex: SSN, email, adresses crypto).
• EntityTrace : Utilise spaCy (en_core_web_lg) pour la reconnaissance d'entités nommées (NER) sur le texte restant. Il classifie les entités en « confirmées » (score ≥0,85) et « limites » (0,60–0,85). Il inclut une logique de reclassification (ex: promotion des organisations en entités géopolitiques si des prépositions de lieu sont présentes) et des listes de blocage pour supprimer les faux positifs courants.
• ContextGuard : Exécute un modèle NER DistilBERT hébergé localement (dslim/distilbert-NER) pour vérifier les entités limites et détecter les entités manquées. Cette étape s'exécute entièrement hors ligne après un téléchargement initial du modèle.

2. Intelligence de Requête de Service & Risque de Quasi-Identifiant

• ServiceQueryDetector : Distingue entre les requêtes où la localisation est le sujet (ex: « restaurants près de X ») et les requêtes où la localisation identifie l'utilisateur. Pour les requêtes de service, il applique une anonymisation proportionnelle (ex: décalage des numéros de rue de ±2–8) plutôt qu'un remplacement complet afin de maintenir l'utilité.
• Quasi-Identifier Risk Detector : Basé sur le cadre de k-anonymat de Sweeney, il détecte les combinaisons de champs (ex: code postal + date de naissance + genre) qui pourraient statistiquement ré-identifier un utilisateur même si les champs individuels ne sont pas des PII traditionnelles.

3. MimicGen (Génération de Substituts)
Génère des substituts cohérents avec le type en utilisant la bibliothèque faker et une logique personnalisée. Il assure la résistance aux collisions au sein d'une session et valide les formats (ex: sommes de contrôle Luhn valides pour les cartes de crédit, encodage Base58 pour les adresses Bitcoin).

4. ShadowMap & ResolvePass

• ShadowMap : Un dictionnaire en mémoire par conversation faisant correspondre les substituts aux originaux, persisté sous forme de fichier binaire chiffré en AES-256-GCM. Les clés sont dérivées via HKDF-SHA256 à partir d'un secret au niveau de l'appareil.
• Double Historique : Le système maintient deux historiques de messages : api_messages (substituts uniquement, envoyés à l'API) et messages (valeurs réelles restaurées, montrées à l'utilisateur). Cela empêche l'accumulation de PII dans les contextes multi-tours.
• ResolvePass : Restaure les originaux dans la réponse du LLM en utilisant trois passages : correspondance exacte (le plus long en premier), correspondance par composant (pour l'usage partiel de noms) et correspondance floue (utilisant rapidfuzz).

Contributions Clés

1. Système SurrogateShield : Le premier proxy client de bout en bout implémentant le remplacement par substitut cohérent avec le type, avec une cartographie localement sécurisée par cryptographie et une reconstruction transparente de la réponse.
2. Cascade de Détection : Un nouveau pipeline à trois étapes combinant regex, spaCy NER et DistilBERT NER local, augmenté par une suite de post-traitement pour la déduplication et le filtrage thématique.
3. Validation de l'Utilité Empirique : Démonstration que la substitution par substitut surpasse significativement la redaction par marqueurs en termes d'utilité sémantique, mesurée via BERTScore.
4. Robustesse Adversaire : Preuve empirique que les messages substitués par des substituts résistent à la récupération par un LLM adverse, contrairement aux jetons de marqueurs qui exposent les emplacements de slots à l'inférence.
5. Analyse d'Ablation : Quantification de la contribution F1 marginale de chaque étape de détection, identifiant le rôle spécifique de PatternScan (PII structurées), EntityTrace (entités nommées) et ContextGuard (localisations limites).

Résultats Expérimentaux

Évalués sur un corpus de 1 124 requêtes annotées (synthétiques mais structurellement réalistes) :

• Qualité de Détection : La cascade complète a atteint un score F1 de 98,87 %. SurrogateShield égale ou dépasse Microsoft Presidio sur les 11 types d'entités comparables, avec des gains significatifs sur les identifiants structurés comme les permis de conduire américains (+50,00 points de pourcentage F1) et les adresses Crypto (+45,45 points de pourcentage F1).
• Utilité Sémantique : SurrogateShield préserve 94,85 % de l'utilité sémantique (BERTScore F1), contre 81,59 % pour la redaction par marqueurs (une amélioration de 13,26 points de pourcentage, $p < 0,001$).
• Garanties de Confidentialité :
  • Taux de Fuite de PII : 0,00 % (aucune vraie PII n'a atteint l'API dans le corpus de 1 124 requêtes).
  • Taux de Fuite de Résolution : 0,00 % (aucun substitut n'est resté non restauré dans l'affichage final).
  • Récupération Adversaire : Dans un essai de 100 requêtes contre un adversaire LLM prompté (Claude Haiku), le taux de récupération pour les messages substitués par des substituts était de 0,00 %, contre 1,53 % pour les messages avec marqueurs de substitution.
• Performance : La surcharge de traitement local totale était de 25,89 ms par requête (dominée par spaCy NER à 24,60 ms), ce qui est négligeable par rapport aux latences typiques des API LLM (600–2 000 ms).

Signification et Revendications

L'article soutient que le compromis entre confidentialité et utilité dans les interactions avec les LLM n'est pas fondamental. SurrogateShield démontre que la confidentialité nécessite l'absence de vraies valeurs PII, et non l'absence de la structure de type PII.

En remplaçant les vraies valeurs par des substituts cohérents avec le type, le système satisfait la contrainte de confinement (aucune vraie PII ne quitte l'appareil) tout en préservant l'intégrité structurelle et sémantique requise pour des réponses de haute qualité des LLM. Les auteurs affirment qu'il s'agit du premier système à valider empiriquement que cet espace de conception est viable, atteignant une utilité plus élevée et une résistance adversaire plus forte que l'approche de redaction par marqueurs prédominante, le tout en opérant entièrement localement avec une surcharge de latence minimale. Ce travail remet en question l'hypothèse selon laquelle la dégradation sémantique est un coût nécessaire des interactions avec les LLM préservant la confidentialité.