🤖 machine learning

ScoreShield: Differentially Private Release of Similarity Scores

L'article présente ScoreShield, un mécanisme de confidentialité différentielle qui perturbe et projette les scores de similitude sur un ensemble de faisabilité valide afin de réduire considérablement la perte d'utilité et d'améliorer les compromis entre confidentialité et utilité par rapport à l'ajout de bruit naïf, tout en fournissant des garanties théoriques et en démontrant son efficacité à travers diverses applications telles que le RAG et la biométrie.

Auteurs originaux : Behrooz Razeghi, Parsa Rahimi

Publié 2026-07-29

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Behrooz Razeghi, Parsa Rahimi

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous soyez dans une bibliothèque massive et de haute technologie où chaque livre, chaque photo et chaque chanson a été converti en une « empreinte » secrète composée de nombres. Ces empreintes sont si précises qu'un ordinateur peut instantanément dire si deux objets sont des jumeaux, des cousins ou des étrangers simplement en comparant les données. C'est ainsi que fonctionne la technologie moderne, de l'ouverture de votre téléphone par reconnaissance faciale à la recherche de la chanson parfaite dans une playlist, ou même pour aider les chatbots d'IA à trouver les faits exacts pour répondre à vos questions. Mais voici le piège : ces empreintes sont comme une clé maîtresse. Si quelqu'un vole la liste de la similitude entre chaque élément, il peut découvrir exactement qui se trouve dans la bibliothèque, même s'il n'a jamais vu les photos originales ou entendu les chansons. C'est comme connaître la distance exacte entre chaque maison d'un quartier ; vous pouvez cartographier qui vit à côté de qui et potentiellement deviner qui habite dans une maison spécifique qui vous intrigue.

Pour empêcher cela, les scientifiques utilisent un tour de passe-passe ingénieux appelé « confidentialité différentielle » (differential privacy). Imaginez que cela revienne à ajouter un peu de bruit statique à un signal radio. Vous voulez que la musique (l'information utile) passe clairement, mais vous ajoutez juste assez de statique pour que, si quelqu'un tente d'écouter, il ne puisse pas distinguer exactement quelle chanson est jouée ou qui chante. Le problème est que si vous ajoutez trop de statique, la musique devient un désordre méconnaissable. Si vous en ajoutez trop peu, l'espion peut encore entendre les paroles. Pendant longtemps, la méthode standard pour ajouter ce bruit était un peu maladroite : elle traitait les données comme une simple liste de nombres, ignorant le fait que ces « scores de similitude » suivent des règles strictes (comme le fait que deux choses ne peuvent pas être plus de 100 % similaires, ou qu'une chose doit être 100 % similaire à elle-même). Cette méthode maladrouse finissait souvent par gâcher la musique, rendant les données trop déformées pour être utiles au classement des résultats de recherche ou à la vérification d'identités.

C'est ici que le nouvel article, ScoreShield, intervient avec une solution plus intelligente. Les chercheurs, Behrooz Razeghi et Parsa Rahimi, ont réalisé qu'au lieu de simplement déverser du bruit sur les données en espérant que tout se passe bien, ils devaient ajouter le bruit puis immédiatement « corriger » le résultat pour s'assurer qu'il respecte les règles de similitude. Imaginez que vous essayez de lancer une balle dans un panier spécifique, mais que vous devez la lancer à travers une fenêtre embrumée (le bruit). Une approche naïve consisterait à lancer la balle aveuglément en espérant qu'elle atterrisse dans le panier. ScoreShield, c'est comme lancer la balle à travers le brouillard, puis, au moment précis où elle atterrit, la pousser doucement pour qu'elle revienne dans le panier si elle a roulé légèrement en dehors des limites. Ce « coup de pouce » est une projection mathématique qui garantit que les chiffres finaux sont toujours des scores de similitude valides (compris entre -1 et 1, et mathématiquement cohérents) sans pour autant annuler la protection de la vie privée.

L'article conclut que cette méthode « ajouter du bruit puis corriger » change la donne. Lorsqu'ils ont testé cela sur des tâches du monde réel, comme la reconnaissance faciale sur des photos ou l'aide aux chatbots d'IA pour trouver l'information appropriée, ScoreShield a conservé des données beaucoup plus utiles que les anciennes méthodes maladroites. Par exemple, lors de la publication d'une liste complète de la similitude entre des milliers de photos, l'ancienne méthode rendait les données si confuses que l'erreur augmentait énormément à mesure que le nombre de photos augmentait. ScoreShield, quant à lui, a maintenu l'erreur beaucoup plus petite et gérable, même avec des milliers d'éléments. Ils ont prouvé mathématiquement que cela fonctionne aussi bien pour des vérifications uniques (comme « est-ce que ce visage correspond ? ») que pour des listes massives (comme « comment tous ces visages sont-ils liés entre eux ? »).

Les chercheurs ont également montré que cette méthode ne fonctionne pas seulement en théorie, mais aussi en pratique. Ils ont testé cela sur des ensembles de données de reconnaissance faciale célèbres et ont découvert que, même avec une forte protection de la vie privée, le système pouvait encore identifier correctement les visages et classer les résultats de recherche presque aussi bien que la version non privée. Ils ont même construit un algorithme informatique rapide pour effectuer le « coup de pouce » rapidement, afin de ne pas ralentir le processus. En résumé, ScoreShield prouve qu'on n'a pas à choisir entre une confidentialité totale et des données utiles ; en respectant la forme des données, on peut avoir les deux. C'est une façon de protéger les secrets des gens sans casser les outils sur lesquels nous comptons chaque jour.

Résumé Technique : ScoreShield

Énoncé du Problème

Un nombre croissant d'applications, incluant la vérification biométrique et la génération augmentée par récupération (RAG), reposent sur des scores de similitude par cosinus calculés entre des plongements (embeddings) vectoriels. Ces systèmes publient souvent des scores de similitude (soit sous forme de vecteurs pour l'appariement requête-collection, soit sous forme de matrices de Gram pour les analyses par paires) via des API. Cependant, ces publications peuvent fuiter des informations sur des enregistrements individuels, permettant des attaques d'inférence d'appartenance et des attaques par escalade de gradient guidées par le score (score-guided hill-climbing attacks).

Bien que la confidentialité différentielle (DP) offre un cadre principled pour atténuer ces risques, l'application naïve des mécanismes DP standards — spécifiquement l'ajout de bruit gaussien indépendant et identiquement distribué (i.i.d.) aux entrées de vecteurs ou aux éléments de matrices — s'avère inadéquate. Cette approche traite les vecteurs de scores de cosinus et les matrices de Gram comme des tableaux euclidiens sans contraintes. Par conséquent, les sorties perturbées violent souvent les contraintes géométriques inhérentes aux similitudes de cosinus :

Vecteurs : Les scores doivent se situer dans $[-1, 1]$ .
Matrices de Gram : La matrice doit être symétrique, semi-définie positive (PSD), posséder des éléments diagonaux unitaires (puisque les plongements sont de norme unité) et des éléments hors-diagonale bornés par $[-1, 1]$ .

La perturbation gaussienne naïve ne parvient pas à préserver ces contraintes, entraînant une distorsion excessive (faible utilité) pour un budget de confidentialité donné. De plus, l'échelle d'erreur des mécanismes naïfs est médiocre ; pour la publication d'une Gram complète par paires sous l'adjacence par remplacement au niveau de l'enregistrement, l'erreur quadratique de Frobenius attendue suit une échelle de $\Theta(n^3)$ , ce qui se dégrade rapidement à mesure que la taille de la galerie $n$ augmente.

Méthodologie : ScoreShield

Les auteurs proposent ScoreShield, un mécanisme de type « perturber-puis-projeter » conçu pour publier des scores de similitude sous la confidentialité différentielle centrale $(\varepsilon, \delta)$ tout en imposant strictement la faisabilité géométrique. Le cadre opère dans deux régimes :

1. Publication de Vecteur Requête-Collection (Régime i)

Dans ce régime, un curateur publie un vecteur de score privatisé $s = Eq$ représentant la similitude entre un plongement de requête public $q$ et une galerie de $n$ plongements stockés.

Mécanisme : Le curateur calcule le vecteur de score pur, ajoute un bruit gaussien calibré à la sensibilité $\ell_2$ globale ( $\Delta_{query} = 2$ ), puis projette le vecteur bruité sur l'ensemble de faisabilité $C_{query} = [-1, 1]^n$ .
Projection : La projection est une opération simple de troncation par coordonnée : $\text{proj}_{C_{query}}(s')_i = \max(-1, \min(1, s'_i))$ .
Confidentialité : Puisque la projection est une étape de post-traitement déterministe indépendante des données privées, la garantie de $(\varepsilon, \delta)$ -DP du mécanisme gaussien est préservée.

2. Publication de Matrice de Gram Complète par Paires (Régime ii)

Dans ce régime, le curateur publie une matrice de Gram de cosinus par paires privatisée $S = EE^\top$ pour des analyses non interactives (ex: clustering, audit de biais).

Mécanisme : Le curateur ajoute un bruit gaussien à la matrice de Gram, calibré à la sensibilité de Frobenius globale. Sous l'adjacence au niveau de l'enregistrement, cette sensibilité est $\Delta_{full} = 2\sqrt{2(n-1)} = \Theta(\sqrt{n})$ .
Projection : La matrice bruitée est projetée sur l'ensemble de faisabilité de la Gram de cosinus $C_{coll}$ , défini comme l'ensemble des matrices symétriques, PSD, avec une diagonale unité et des éléments hors-diagonale dans $[-1, 1]$ .
Algorithme : Comme la projection exacte sur cet ensemble (l'elliptope) est coûteuse en calcul (nécessitant un programme semi-défini - SDP), les auteurs emploient un algorithme de Projection Alternée Moyennée Rapide (AAP). Celui-ci itère entre la projection sur le cône PSD (via le tronction des valeurs propres) et la projection sur la boîte de la diagonale unité (via le tronction par élément). Les auteurs prouvent la convergence R-linéaire vers la faisabilité sous une régularité linéaire bornée.

Contributions Clés

Amélioration Quantitative par rapport au mécanisme Gaussien Naïf :
- Pour la publication de matrice de Gram sous l'adjacence au niveau de l'enregistrement, le mécanisme gaussien naïf produit une erreur de Frobenius quadratique attendue de $\Theta(n^3)$ . ScoreShield, en utilisant la géométrie de l'ensemble de faisabilité, améliore cette borne à $O(n^2)$ pour des paramètres de confidentialité fixes.
- Sous l'adjacence d'espace de sortie (matrice de Gram), l'amélioration passe de $\Theta(n^2)$ à $O(n^{3/2})$ .
- Pour la publication de vecteur, ScoreShield préserve l'échelle de pire cas $\Theta(n)$ du mécanisme naïf mais offre des gains de facteurs constants en réduisant l'erreur sur les coordonnées saturées via la projection.
Garanties d'Utilité pour les Métriques de Décision (Régime i) :
- Le papier fournit des garanties théoriques pour les tâches de vérification, caractérisant la probabilité de basculements de décision (acceptation/rejet) dus au bruit.
- Il prouve l'existence et l'unicité d'un recalibrage de seuil qui restaure tout point de fonctionnement atteignable (Taux de Faux Positifs, Taux de Vrais Positifs) réalisable par les scores privatisés.
- Il établit une stabilité uniforme pour ROC/AUC, montrant que sous des CDF de score Lipschitziennes, la déviation est au plus de $O(\sigma)$ , ce qui est du premier ordre (tight).
Projection Scalable avec Garanties de Convergence :
- Les auteurs introduisent un solveur AAP scalable pour imposer les contraintes de cosinus sur de grandes matrices de Gram.
- Ils fournissent des preuves théoriques de la convergence R-linéaire de ce solveur vers l'ensemble de faisabilité, assurant l'applicabilité pratique pour des publications à grande échelle où la projection SDP exacte est intractable.
Évaluation Complète :
- Régime (i) : Évalué sur la Reconnaissance Faciale (utilisant LFW, IJB-B/C, et d'autres benchmarks) et le DP-RAG (utilisant le benchmark FRAMES). Les résultats démontrent que ScoreShield maintient l'utilité de niveau décisionnel (précision de vérification, TAR) nettement mieux que le bruit gaussien naïf, particulièrement aux points de fonctionnement stricts.
- Régime (ii) : Évalué sur la similitude d'images (CIFAR-10/100, Oxford-IIIT Pets), la similitude textuelle sémantique (STS-B), et les systèmes de recommandation (MovieLens-100K). Les matrices de Gram projetées surpassent systématiquement les matrices bruitées non projetées dans les tâches en aval comme le clustering (NMI), la recherche (Recall@1), et le filtrage collaboratif (RMSE).

Signification et Revendications

Le papier revendique d'être la première analyse systématique du modèle central $(\varepsilon, \delta)$ -DP des publications de scores de correspondance dans les systèmes de reconnaissance faciale profonde qui relie le recalibrage de seuil aux garanties de niveau décisionnel. Il comble une lacune critique dans la littérature où les travaux antérieurs se concentraient soit sur la DP locale (perturbation des entrées), soit sur les méthodes cryptographiques, laissant les garanties du modèle central pour les scores de similitité publiés largement inexplorées.

Les auteurs positionnent ScoreShield comme un wrapper de post-traitement général et indépendant de la modalité. En imposant les contraintes structurelles de la similitude de cosinus (PSD, diagonale unité, éléments bornés) par projection, le mécanisme atteint un compromis vie privée-utilité supérieur par rapport à l'ajout de bruit non contraint. Les résultats suggèrent que la privatisation consciente des contraintes est un primitif nécessaire pour que les systèmes basés sur la similitude restent fonctionnels tout en fournissant des protections de confidentialité rigoureuses contre les attaques d'inférence d'appartenance et les attaques guidées par le score.

Le travail est modeste dans sa portée, se concentrant sur des publications en une seule étape (one-shot), non interactives sous l'adjacence de remplacement au niveau de l'enregistrement. Il note explicitement qu'il ne traite pas les requêtes adaptatives répétées (qui nécessitent un comptage de composition) ou la dérivation de distributions de bruit optimales par instance, laissant ces points comme directions pour des travaux futurs.