💻 computer science

Beyond Visual Evidence: Revealing and Mitigating Relational Privacy Leakage in Document MLLMs

Cet article identifie une vulnérabilité critique de la confidentialité dans les MLLM de documents, où les modèles infèrent des informations personnelles sensibles à partir de relations de champs mémorisées en l'absence de preuves visuelles, et propose le cadre de désapprentissage relationnel dynamique (DRUF) ainsi que le benchmark DocPrivacyBench pour atténuer efficacement cette fuite tout en préservant la performance d'extraction d'informations clés.

Auteurs originaux : Beining Xu, Hairui Wang, Jiaxin Wang, Changsheng Chen, Anirban Chakraborty

Publié 2026-08-14

📖 10 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Beining Xu, Hairui Wang, Jiaxin Wang, Changsheng Chen, Anirban Chakraborty

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous avez un assistant robotique super intelligent capable de regarder des images et de lire du texte en même temps. Les scientifiques appellent cela des « Modèles de Langage de Grande Taille Multimodaux » (MLLM). Considérez-les comme un cerveau qui a appris à voir le monde à travers l'objectif d'une caméra et à parler via un microphone simultanément. Ils sont incroyables pour des tâches comme regarder la photo d'un reçu et vous donner le coût total, ou scanner un passeport et lire le nom. Mais, tout comme un humain qui mémorise le numéro de téléphone d'un ami et le lâche accidentellement lorsqu'on lui pose une question différente, ces robots peuvent parfois « se souvenir » de détails privés provenant des images sur lesquelles ils ont été entraînés, même lorsque ces détails ne sont pas réellement visibles dans la nouvelle image qu'ils regardent. C'est un problème majeur car nous commençons à utiliser ces robots pour manipuler des documents sensibles comme des pièces d'identité et des passeports. Si un robot devine vos informations secrètes simplement parce qu'il est « doué pour deviner » sur la base de ce qu'il a appris auparavant, votre vie privée est en danger.

Ce document, intitulé « Beyond Visual Evidence » (Au-delà des preuves visuelles), enquête sur une manière sournoise dont ces robots laissent fuiter des secrets. Les chercheurs ont découvert que lorsqu'un robot est confronté à un document avec des parties floues ou manquantes (comme une photo de carte d'identité tachée), il ne se contente pas de dire « je ne vois pas ». Au lieu de cela, il tente souvent de combler les vides en utilisant ce qu'il a mémorisé de son entraînement. La partie effrayante est qu'il ne devine pas seulement une chose ; il devine tout un ensemble de secrets connectés à la fois. Par exemple, si le robot ne peut pas voir le numéro du document, il pourrait quand même deviner votre nom, votre date de naissance et le numéro du document ensemble, car il a appris que ces trois éléments vont généralement de pair dans les données d'entraînement. Les auteurs appellent cela la « fuite de confidentialité relationnelle ». Pour correr cela, ils ont construit une nouvelle méthode d'entraînement appelée DRUF (Dynamic Relational Unlearning Framework). Considérez cela comme un professeur strict qui ne se contente pas de dire à l'élève d'« oublier » un fait spécifique, mais qui lui apprend à briser le lien mental entre des faits connectés. Ils ont également créé un nouveau test appelé DocPrivacyBench pour voir à quel point différents robots laissent fuiter ces secrets. Leurs expériences ont montré que, bien que les robots actuels soient très bons pour faire fuiter ces secrets connectés lorsque les indices visuels sont faibles, leur nouvelle méthode, DRUF, peut stopper presque complètement les fuites sans rendre le robot mauvais dans sa tâche de lecture de documents.

Le Problème : Quand les Robots Devinent Trop Bien

L'histoire commence avec un type spécifique de robot : un conçu pour lire des documents. Ce sont les « MLLM de documents ». Imaginez que vous donniez une photo d'un permis de conduire à un robot. Il est censé regarder la photo, trouver le texte, et vous donner le nom, la date de naissance et le numéro de permis. C'est ce qu'on appelle l'Extraction d'Informations Clés (KIE). Habituellement, le robot regarde les pixels de l'image pour trouver la réponse. Mais que se passe-t-il si l'image est mauvaise ? Et si la photo est floue, si le texte est couvert par un doigt, ou si l'image est juste un carré blanc vide ?

Les chercheurs ont découvert que lorsque les preuves visuelles sont faibles ou absentes, ces robots ne s'arrêtent pas là. Ils passent à un mode différent : ils commencent à deviner en se basant sur les schémas qu'ils ont mémorisés. Si le robot a appris à partir de milliers d'exemples d'entraînement que « John Smith » est presque toujours associé à « Numéro de permis 12345 » et « Né en 1990 », il pourrait commencer à produire ces trois éléments ensemble, même si l'image qu'il regarde est complètement vide.

C'est différent des préoccupations de confidentialité précédentes. Avant, les gens s'inquiétaient qu'un robot puisse accidentellement révéler un nom secret si on lui posait la bonne question. Mais ce document montre un risque nouveau, plus dangereux : la Fuite Relationnelle. Il ne s'agit pas seulement d'un secret qui s'échappe ; il s'agit de la révélation d'une entière chaîne de secrets qui sont liés entre eux. C'est comme un magicien qui, lorsqu'on lui demande de sortir un lapin d'un chapeau, sort accidentellement le lapin, le chapeau, la baguette et l'adresse de l'assistant, parce que dans sa mémoire, ces choses vont toujours ensemble.

L'Enquête : DocPrivacyBench

Pour prouver que cela se produisait, les auteurs ont construit un nouveau terrain de test appelé DocPrivacyBench. Ils voulaient voir si les robots laissaient fuiter des secrets lorsqu'ils ne pouvaient pas réellement voir le document.

Ils ont mis en place deux manières principales de tester les robots :

Piloté par l'Image : Ils ont montré au robot une image de document, puis ils ont remplacé l'image par une image blanche vide (ou un fouillis flou) tout en gardant la même question. Ils ont demandé : « Quel est le numéro du document ? ». Le robot n'avait aucun indice visuel, donc s'il répondait, c'était en devinant à partir de sa mémoire.
Piloté par le Prompt : Ils ont gardé l'image mais ont modifié la question pour qu'elle soit piégeuse, demandant au robot de révéler des informations qu'il ne devrait pas connaître sur la seule base de l'image.

Ils ont testé trois modèles de robots populaires différents (LLaVA-1.5-hf, Xgen-Phi3, et Idefics2) sur trois ensembles de données de cartes d'identité et de passeports. Les résultats étaient saisissants. Lorsque les preuves visuelles manquaient, les robots étaient étonnamment doués pour deviner les secrets.

Par exemple, sur un ensemble de données bruyantes (où les images étaient un peu désordonnées), le modèle LLaVA-1.5-hf avait un taux de fuite de 1.000 (ce qui signifie qu'il a révélé le bon secret 100 % du temps) lorsqu'on lui montrait une image vide, mais cela a été mesuré à un seuil de similitude plus bas (Acc@0.8). Plus surprenant encore, lorsqu'ils l'ont testé avec une version « bruitée » de l'ensemble de données IDNet, le taux de fuite est passé à 1.000 pour la métrique Acc@0.8. Cela signifie que sans une image claire, le robot était essentiellement en train de réciter les données d'entraînement qu'il avait mémorisées, liant les noms aux numéros de documents et aux dates de naissance parfaitement, même s'il ne pouvait pas les voir.

Le papier a également trouvé que la qualité des données d'entraînement importait. Lorsque les données d'entraînement étaient « plus bruitées » (de moindre qualité), les robots s'appuyaient davantage sur leurs connexions mémorisées, entraînant des risques de confidentialité plus élevés. Cela suggère que plus les données dont le robot apprend sont désordonnées, plus il essaie de « combler les lacunes » avec des suppositions, ce qui est mauvais pour la confidentialité.

La Solution : DRUF

Alors, comment empêcher un robot de deviner ces secrets connectés ? On ne peut pas simplement lui dire d'« oublier » le nom « John Smith », car il doit toujours savoir lire les noms en général. Et on ne peut pas non plus lui dire d'oublier le numéro « 12345 ». Le problème est le lien entre eux.

Les auteurs ont proposé une nouvelle méthode appelée DRUF (Dynamic Relational Unlearning Framework). Imaginez que vous enseignez à un étudiant qui s'appuie constamment sur le corrigé. Au lieu de simplement effacer une réponse du corrigé, vous voulez enseigner à l'étudiant que la connexion entre la « Question A » et la « Réponse B » est fausse.

DRUF fonctionne en deux étapes :

Ensemble d'Oubli Dynamique (Dynamic Forget Set) : D'abord, le système sonde le robot pour voir quels couples spécifiques de secrets il laisse fuiter actuellement. Peut-être qu'aujourd'hui il laisse fuiter « Nom + Numéro de Document », mais demain il pourrait laisser fuiter « Nom + Date de Naissance ». Au lieu de deviner ce qu'il faut oublier, DRUF observe le robot, voit ce qu'il laisse fuiter, et crée une « liste d'oubli » basée sur ce qu'il a réellement observé. Cette liste change dynamiquement à mesure que le robot apprend.
Découplage Relationnel (Relational Decoupling - RDU) : C'est la partie magique. Lorsque le robot essaie d'apprendre à partir de cette « liste d'oubli », DRUF ne se contente pas de le punir pour avoir dit le mauvais nom. Il punit le robot pour avoir prononcé le couple ensemble. Il utilise un tour mathématique spécial (un « couplage multiplicatif ») qui fait ressentir au robot une énorme pénalité s'il essaie de produire à la fois le nom et le numéro de document. Cela brise la colle mentale qui maintient ces deux secrets ensemble.

Les résultats de cette nouvelle méthode ont été impressionnants. Lorsqu'ils ont appliqué DRUF au modèle LLaVA-1.5-hf :

Il a réduit le taux de fuite dans le test « Piloté par l'Image » (où le robot voyait une image blanche) de 0.642 à 0.001. C'est une chute de près de 99,8 %.
Il a réduit la fuite dans le test « Piloté par le Prompt » à 0.000.
Crucialement, cela n'a pas rendu le robot incapable de faire son travail. Le robot pouvait toujours lire des documents clairs parfaitement, avec un score de performance (LC) de 0.808, ce qui est très proche du 0.852 du modèle original.

D'autres méthodes ont tenté de corriger cela, mais elles avaient des problèmes. Certaines méthodes (comme GA) ont arrêté les fuites mais ont aussi rendu le robot incapable de lire les documents (faisant chuter sa performance à 0.119). D'autres (comme DPO) ont gardé le robot intelligent mais n'ont pas réussi à arrêter les fuites (la fuite est restée élevée à 0.633). DRUF était le seul capable de stopper les fuites et de garder le robot intelligent.

Pourquoi Cela Importe

Le papier conclut que cette « fuite relationnelle » est un problème réel et courant. Lorsque les preuves visuelles sont faibles, les robots n'hésiteront pas à deviner vos informations privées s'ils pensent connaître le schéma. Les auteurs ont montré que les méthodes existantes ne sont pas assez bonnes car elles tentent d'oublier des faits isolés plutôt que de briser les liens entre les faits.

En utilisant DRUF, nous pouvons enseigner à ces robots à arrêter de deviner des secrets connectés. Le papier suggère que cette approche est une étape nécessaire pour rendre les robots de traitement de documents sûrs pour une utilisation dans le monde réel. Si nous voulons utiliser l'IA pour manipuler nos passeports et nos pièces d'identité, nous devons nous assurer que lorsque l'IA ne peut pas voir le document, elle ne se contente pas d'inventer le reste de votre histoire de vie en se basant sur ce qu'elle a mémorisé. Les auteurs espèrent que ce travail mènera à de meilleurs outils de confidentialité pour tous les types de tâches documentaires structurées.

En bref, le papier a trouvé que les robots sont trop doués pour deviner des secrets connectés lorsqu'ils ne voient pas les preuves, mais il a aussi trouvé un moyen de leur apprendre à briser ces connexions, protégeant ainsi nos données sans rendre les robots inutiles.

Résumé technique : Au-delà de la preuve visuelle : Révéler et atténuer la fuite de confidentialité relationnelle dans les MLLM de documents

1. Définition du problème

Cet article traite d'une vulnérabilité de confidentialité spécifique et sous-explorée dans les modèles de langage de grande taille multimodaux (MLLM) de documents utilisés pour les tâches d'extraction d'informations clés (KIE), telles que le traitement des passeports, des cartes d'identité et des permis de conduire.

Alors que les recherches antérieures se sont concentrées sur la fuite d'attributs sensibles uniques ou de la confidentialité vision-langage générale, cette étude identifie la fuite de confidentialité relationnelle. Le problème central survient lorsque les images d'entrée manquent de preuves visuelles suffisantes (par exemple, en raison de corruption, de bruit ou d'entrées vides). Dans ces conditions de « preuve faible », les MLLM ne se contentent pas d'échouer à extraire des données ; ils s'appuient sur des relations de champs mémorisées issues de leurs données d'entraînement pour inférer le contenu manquant. Par conséquent, le modèle peut générer conjointement plusieurs champs sensibles corrélés (par exemple, un numéro_de_document spécifique associé à un nom_de_famille et un prénom spécifiques) qui appartiennent à la même personne dans l'ensemble d'entraînement, même si l'entrée visuelle ne fournit aucune base pour une telle connexion.

Les auteurs soutiennent que les méthodes existentes de protection de la vie privée sont mal adaptées à ce scénario car :

Elles analysent généralement la fuite au niveau de l'attribut individuel plutôt qu'au niveau de paires de champs corrélés.
Elles reposent sur des « ensembles d'oubli » (forget sets) statiques de concepts prédéfinis, alors que les cibles de fuite relationnelle sont stochastiques et dépendent du comportement actuel du modèle sous une preuve visuelle faible.
Elles dégradent souvent l'utilité du modèle (performance KIE) lorsqu'elles tentent de supprimer les connaissances sensibles.

2. Méthodologie : Le cadre DRUF

Pour répondre à ces défis, les auteurs proposent le cadre de désapprentissage relationnel dynamique (DRUF - Dynamic Relational Unlearning Framework). Ce cadre est conçu pour supprimer la génération conjointe de paires de champs sensibles à haut risque tout en préservant la capacité du modèle à effectuer une extraction de documents normale. DRUF se compose de deux composantes principales :

A. Mécanisme de mise à jour dynamique de l'ensemble d'oubli

Contraい aux méthodes de désapprentissage traditionnelles qui utilisent un ensemble de données statique à oublier, DRUF emploie une mise à jour dynamique basée sur le sondage :

Sondage : Le modèle étudiant actuel est testé à l'aide d'entrées d'« images vides » (images sans preuve visuelle valide) et de prompts fixes.
Identification de la cible : Le système collecte les paires de champs sensibles spécifiques (par exemple, prénom + numéro_de_document) que le modèle génère par erreur ensemble lors de ces cycles de sondage.
Construction de l'ensemble dynamique : Ces paires de fuites observées forment l'Ensemble d'Oubli Dynamique ( $F^{(t)}$ ) pour le cycle de désapprentissage actuel. Cet ensemble est mis à jour de manière itérative à travers plusieurs cycles pour suivre l'évolution des comportements de fuite, plutôt que de s'appuyer sur une liste statique prédéfinie.

B. Désapprentissage par découplage relationnel (RDU)

Une fois l'ensemble d'oubli dynamique établi, le module RDU effectue le désapprentissage proprement dit.

Objectif : Au lieu de traiter les champs sensibles comme des unités isolées ou des échantillons entiers, RDU traite la paire de champs sensibles exposée comme l'unité fondamentale d'oubli.
Fonction de perte : La méthode introduit une perte de relation couplée par KL. Pour une paire de segments sensibles exposée $(s_a, s_b)$ , la perte est calculée comme le produit négatif de leurs divergences KL individuelles par rapport à un modèle enseignant gelé :
$L_{forget} = -K_a K_b$
où $K_a$ et $K_b$ représentent la divergence KL pour chaque segment.
Mécanisme : Ce couplage multiplicatif garantit que le gradient d'un segment est pondéré par la divergence de l'autre. Cela force le modèle à briser la génération conjointe stable de la paire sous une preuve visuelle insuffisante, sans nécessairement supprimer la connaissance individuelle requise pour les tâches KIE valides lorsque la preuve visuelle est présente.

L'objectif global combine une Branche de Rétention (utilisant un enseignant gelé pour préserver la capacité KIE normale sur les documents valides) et une Branche d'Oubli (RDU sur des entrées vides), équilibrées par un coefficient de pondération $\lambda$ .

3. Contributions clés

L'article apporte trois contributions principales :

Identification de la fuite relationnelle : Les auteurs révèlent que les MLLM de documents présentent un risque de confidentialité distinct où une preuve visuelle faible déclenche la divulgation conjointe de champs sensibles corrélés basés sur des associations mémorisées lors de l'entraînement, un phénomène non capturé par les analyses de fuite à champ unique.
Cadre DRUF : Ils proposent un nouveau cadre de désapprentissage qui identifie dynamiquement les cibles de fuite et utilise un objectif de découplage au niveau de la relation pour supprimer les paires de champs sensibles à haut risque tout en maintenant l'utilité.
DocPrivacyBench : Ils introduisent un nouveau benchmark spécifiquement conçu pour évaluer la fuite de confidentialité au niveau de la relation dans les MLLM de documents sous des conditions d'absence ou de présence minimale de preuves visuelles. Ce benchmark inclut des modes de test Pilotés par l'Image (images vides) et Pilotés par le Prompt (requêtes diverses).

4. Résultats expérimentaux

Les auteurs ont évalué trois MLLM (LLaVA-1.5-hf, Xgen-Phi3, Idefics2) et six bases de comparaison de désapprentissage (GA, GA+KL, SCRUB, DPO, FTF, DP) en utilisant DocPrivacyBench sur des jeux de données tels que DocXPand-25k et IDNet.

Prévalence de la fuite : Les modèles existants présentent systématiquement des fuites de confidentialité lorsque les preuves visuelles sont rares. Par exemple, sur le jeu de données bruité DocXPand-25k, LLaVA-1.5-hf a montré une précision de fuite pilotée par l'image (Acc@1.0) de 0,835, nettement supérieure aux autres modèles. L'étude note que la faible qualité des données et la faiblesse des preuves visuelles sont corrélées à des risques de fuite plus élevés.
Limites des bases de comparaison : Les méthodes de désapprentissage agressives (par exemple, GA) ont réussi à réduire les taux de fuite à presque zéro mais ont provoqué une chute catastrophique de l'utilité KIE (par exemple, les scores LC sont passés de ~0,85 à ~0,12). Inversement, les méthodes préservant l'utilité (par exemple, DPO, FTF) n'ont pas réussi à supprimer suffisamment la fuite, avec un Acc@1.0 restant élevé (par exemple, ~0,63).
Performance de DRUF : DRUF a atteint un équilibre supérieur :
- Il a réduit la fuite pilotée par l'image de 4,8 points de pourcentage par rapport à la base la plus forte (SCRUB).
- Il a supprimé la fuite pilotée par le prompt à 0,000.
- Crucialement, il a maintenu une performance KIE robuste, atteignant un score LC de 0,808 sur la tâche KIE, surpassant nettement les bases agressives tout en étant plus efficace pour la suppression de la confidentialité que les bases préservant l'utilité.
Analyse qualitative : Les comparaisons visuelles ont montré que, tandis que les bases comme GA produisaient des sorties corrompues, répétitives ou structurellement brisées, DRUF maintenait l'intégrité et la lisibilité des sorties structurées tout en empêchant la fuite des paires de champs sensibles.

5. Signification et affirmations

L'article affirme que son travail fait progresser le domaine en déplaçant l'attention de la confidentialité d'un attribut unique vers la confidentialité au niveau de la relation dans le traitement de documents structurés. Les auteurs soutiennent que :

La fuite relationnelle est un risque commun et grave dans les MLLM de documents que les méthodes de désapprentissage actuelles ne parviennent pas à traiter efficacement sans sacrifier l'utilité.
Le cadre DRUF proposé offre une solution pratique qui s'adapte au comportement de fuite spécifique du modèle plutôt que de reposer sur des hypothèses statiques.
DocPrivacyBench fournit un outil nécessaire pour évaluer systématiquement le compromis confidentialité-utilité dans les M modèles de documents, soulignant que les modèles sont particulièrement vulnérables lorsque l'ancrage visuel est faible.

L'étude conclut qu'une protection efficace de la confidentialité pour les MLLM de documents nécessite des méthodes qui ciblent spécifiquement l'exposition couplée des informations sensibles, plutôt que de simples points de données isolés.