Résumé Technique : PromptPET

Énoncé du Problème

L'adoption rapide des agents d'IA (ex. : ChatGPT, Gemini) a déplacé l'interaction utilisateur de la barre de recherche vers un langage naturel ouvert, encourageant la divulgation d'informations personnelles riches et sensibles. Bien que cela améliore l'utilité grâce à la personnalisation, cela introduit des risques importants pour la vie privée. Contrairement au suivi traditionnel via les PII (Informations Personnellement Identifiables), les agents d'IA peuvent déduire des attributs précis sur l'utilisateur (intérêts, état de santé, situation financière) à partir du contexte non-PII afin de construire des profils détaillés. Ces profils sont souvent utilisés à des fins publicitaires ou partagés avec des tiers.

Les solutions de confidentialité actuelles font face à deux limitations principales :

1. La Redaction de PII : La suppression des entités nommées échoue souvent à protéger les sujets sensibles (ex. : supprimer « Mountain View » mais laisser « recherche un thérapeute » révèle toujours un état de santé mentale).
2. Le Compromis Utilité-Confidentialité : Une obfuscation agressive (ex. : supprimer tous les détails sensibles) dégrade la qualité de la réponse de l'IA, tandis que préserver l'utilité laisse l'utilisateur vulnérable au profilage.

Les approches existantes reposent soit sur des règles fixes et artisanales, soit délèguent entièrement les décisions à un LLM sans optimisation systématique, ne tenant pas compte de l'importance variable de différentes unités sensibles au sein d'un prompt.

Méthodologie : PromptPET

PromptPET est un cadre côté utilisateur conçu pour obscurcir les informations sensibles dans les prompts des utilisateurs avant qu'ils n'atteignent l'agent d'IA, sans nécessiter la coopération du fournisseur. Il fonctionne entièrement côté client en utilisant un LLM local. Le cadre se compose de trois étapes principales :

1. Détection et Notation des Informations Sensibles

• Détection basée sur une Taxonomie : PromptPET utilise une taxonomie sensible (spécifiquement la taxonomie d'audience IAB) pour identifier les « Unités Sensibles » dans une requête. Ces unités sont mappées à des Catégories spécifiques (ex. : Santé) et des Types de Données (ex. : Dépression).
• Notation d'Importance : Toutes les unités sensibles ne contribuent pas de la même manière à l'utilité de la réponse. PromptPET attribue un score d'importance ($[0, 1]$) à chaque unité détectée en utilisant un LLM ajusté par instruction. Ce score estime la contribution de l'unité à la génération de la réponse souhaitée, distinguant les unités « fragiles » à haute contribution de celles qui peuvent être obscurcies de manière agressive.

2. Actions d'Obscurcissement

PromptPET emploie quatre stratégies d'obscurcissement distinctes, les appliquant en fonction de l'importance de l'unité et du contexte :

• Redaction (Rédaction/Suppression) : Supprime l'unité et la remplace par un espace réservé (ex. : [REDACTED]). Cela maximise la confidentialité mais détruit souvent l'utilité.
• Abstraction : Généralise l'unité à une catégorie de niveau supérieur dans la taxonomie (ex. : remplacer « Dépression » par « Santé »). Cela offre un juste milieu.
• Remplacement : Substitue l'unité par une alternative plausible provenant d'un type de données différent au sein de la même catégorie (ex. : remplacer « Mountain View » par « Palo Alto »).
• Bruit (Nouveauté) : Conserve l'unité sensible originale intacte mais injecte des informations « leurres » plausibles et contextuellement pertinentes sous un autre type de données. L'agent d'IA est instruit de répondre aux deux requêtes (réelle et leurre). Le système côté client filtre ensuite la partie leurre de la réponse. Cela préserve l'utilité pour les unités de haute importance tout en perturbant la capacité du profileur à isoler le véritable signal.

3. Optimisation des Règles via l'Apprentissage par Renforcement

Au lieu d'utiliser des heuristiques fixes, PromptPET introduit un Optimiseur de Règles inspiré de l'Optimisation par PROmpting (OPRO).

• Mécanisme : Un agent basé sur un LLM (le Décideur d'Action d'Obscurcissement) assigne une action à chaque unité sensible selon un ensemble de règles de décision. Un second agent (l'Optimiseur de Règles) affine itérativement ces règles.
• Boucle de Rétroaction : L'optimiseur évalue les ensembles de règles sur un ensemble de validation à l'aide d'une fonction de récompense : $\alpha \cdot \text{Confidentialité} + (1-\alpha) \cdot \text{Utilité} - \lambda \cdot |R|$, où $|R|$ est la longueur de l'ensemble de règles. Il conserve les règles fortes, révise les médiocres et élague les faibles.
• Résultat : Le système apprend une politique dynamique qui sélectionne l'action d'obscurcissement optimale pour chaque unité spécifique, plutôt que d'appliquer une stratégie unique globalement.

Résultats Clés

Les auteurs ont évalué PromptPET sur le jeu de données WildChat-1M (filtré pour le contenu sensible) contre un service d'agent d'IA de production (simulé via GPT-4.1).

Analyse par Action Unique

• Supériorité du Bruit : Parmi les stratégies à action unique, le schéma de Bruit a obtenu le meilleur compromis confidentialité-utilité. À sa force maximale, il a atteint un succès de 73,7 % (haute confidentialité, haute utilité), surpassant nettement la Redaction (39,4 %) et l'Abstraction (51,2 %). Le Bruit préserve l'utilité en gardant le signal intact tout en submergeant le profileur de leurres.
• Dépendance au Contexte : Aucune action unique n'était optimale pour toutes les requêtes. La Redaction était préférable pour les unités sensibles accessoires, tandis que le Bruit était essentiel pour les composants centraux de la requête.

Performance de PromptPET

• Comparaison avec l'État de l'Art : PromptPET a nettement surpassé les précédents jalons automatisés (Ngong et al. et Zhou et al.).
  • Il a délivré 3,3× plus de confidentialité par unité de coût d'utilité par rapport au précédent jalon le plus fort.
  • Il a atteint une confidentialité globale 1,4× plus élevée (0,78 contre 0,55) tout en maintenant une utilité élevée.
• Atteinte de la Frontière : L'ensemble de règles appris a permis à PromptPET de rejoindre la limite supérieure de la meilleure stratégie à action unique à chaque point de fonctionnement (ex. : utiliser l'Abstraction pour les besoins de faible confidentialité et le Bruit pour la haute confidentialité), effectuant ainsi une forme de « coopération » plutôt que de compétition.
• Modes de Défaillance : Le système a principalement échoué de deux manières distinctes :
  1. Manquement de Confidentialité (17,5 %) : Le profileur a récupéré le profil à partir du contexte résiduel malgré l'obscurcissement.
  2. Effondrement de l'Utilité (7,6 %) : S'est produit principalement lorsque la Redaction était appliquée par erreur à des unités de haute importance.
  • L'échec simultané des deux axes était rare (1,1 %).

Efficacité

• Latence : PromptPET ajoute une latence médiane côté client de 11,6 secondes par requête (dominée par l'étape de détection utilisant un modèle de 12 milliards de paramètres), ce qui donne un temps total de bout en bout d'environ 17,1 secondes. Les auteurs notent que c'est une préoccupation secondaire par rapport au compromis confidentialité-utilité et que cela pourrait être réduit avec des détecteurs plus petits et spécialisés.

Signification et Revendications

L'article affirme que PromptPET représente un cadre unificateur et principled pour l'obscurcissement de prompts. Ses principales contributions sont :

1. Contrôle Côté Utilisateur : Il démontre que le contrôle des données au point de divulgation (côté client) est une technologie de protection de la vie privée (PET) viable et puissante qui ne dépend pas de la confiance envers le fournisseur.
2. Mécanisme de Bruit Novateur : L'introduction du schéma Bruit/Dénouage fournit une nouvelle méthode pour préserver l'utilité tout en perturbant le profilage, surpassant les méthodes traditionnelles de suppression.
3. Optimisation Systématique : En passant de règles statiques à un optimiseur de règles inspiré de l'apprentissage par renforcement, PromptPET s'adapte dynamiquement aux nuances de différentes requêtes, atteignant une frontière de confidentialité-utilité que les méthodes statiques ne peuvent atteindre.
4. Évaluation Complète : Ce travail constitue la première comparaison systématique de la redaction, de l'abstraction, du remplacement et du bruit, établissant que la stratégie optimale dépend du contexte et doit être apprise plutôt que codée en dur.

Les auteurs concluent que PromptPET offre une voie pratique pour que les utilisateurs interagissent avec les agents d'IA tout en gardant le contrôle sur leur vie privée, en subvertissant efficacement le profilage des utilisateurs sans sacrifier l'utilité de l'interaction.