Separating Disclosure from Authorization: Field-Tier Minimization for Agent Action Mediation

Dans le monde numérique moderne, les agents logiciels autonomes agissent au nom des individus et des entreprises, envoyant des courriels, déplaçant de l'argent et accédant à des dossiers sensibles. Pour maintenir la sécurité et l'honnêteté de ces agents, les organisations utilisent deux systèmes distincts qui travaillent souvent de manière opposée. Le premier est un gardien, un moteur de politique qui doit examiner les détails d'une action pour décider si elle est autorisée. Si un agent veut envoyer un courriel à un destinataire, le gardien doit voir l'adresse pour savoir si cette personne est à l'intérieur ou à l'extérieur de l'entreprise. Le second système est un registre permanent, un journal immuable qui consigne chaque décision prise, créant une trace que les auditeurs peuvent inspecter des années plus tard pour prouver ce qui s'est passé. Le problème survient parce que les deux systèmes exigent traditionnellement la même chose : la donnée brute, non filtrée. Le gardien a besoin des détails complets pour prendre une décision équitable, et le registre a besoin des détails complets pour être un témoin fiable. Mais cela crée un goulot d'étranglement dangereux où les informations les plus privées — noms, adresses et détails médicaux — se retrouvent piégées dans un registre permanent et inaltérable, violant ainsi les règles de confidentialité que l'organisation tente justement de respecter.

Une équipe de chercheurs chez Aurite AI a trouvé un moyen de démêler ces deux besoins sans sacrifier la sécurité ou la vie privée. Ils ont découvert que le gardien et le teneur de registres n'ont pas réellement besoin de voir les mêmes choses. Le gardien a seulement besoin de connaître la forme de la donnée pour prendre une décision basée sur des règles, tandis que le teneur de registres a seulement besoin de savoir qu'une décision spécifique a été prise concernant un ensemble de données spécifique. En séparant ces exigences, les chercheurs ont créé un système où les détails privés ne quittent jamais l'ordinateur de l'utilisateur, alors que l'organisation peut toujours appliquer des règles et conserver une piste d'audit inviolable.

Le cœur de leur solution est une méthode appelée minimisation par niveau de champ (field-tier minimization). Au lieu de traiter une action entière, comme « envoyer un courriel », comme un seul bloc de données sensibles, le système décompose l'action en ses parties individuelles, ou champs. Il classe ensuite chaque champ dans l'une des trois catégories suivantes. La première catégorie contient des informations qui sont nécessaires pour les règles mais qui n'identifient pas une personne, comme la taille d'une pièce jointe ou le nombre de fichiers. Ces données sont autorisées à passer sous leur forme originale. La deuxième catégorie contient des informations qui sont nécessaires pour les règles mais qui sont également identifiables personnellement, comme une adresse électronique. Pour ces champs, le système ne transmet pas l'adresse complète. Au lieu de cela, il transmet une version simplifiée et non identifiable, telle que simplement le nom de domaine après le symbole « @ ». Cela permet au gardien de vérifier si l'e-mail est destiné à une entreprise externe sans révéler l'identité de la personne spécifique. La troisième catégorie contient des informations qui ne sont jamais nécessaires pour les règles, comme l'objet d'un courriel ou les notes d'un paiement. Ces données restent entièrement sur l'ordinateur de l'utilisateur et ne franchissent jamais la limite vers le monde extérieur.

La brillance de cette conception réside dans la façon dont elle gère le registre permanent. Dans de nombreuses tentatives précédentes de protection de la vie privée, les systèmes essayaient de masquer ou de supprimer les données sensibles avant de les écrire dans le journal. Cependant, cela crée un nouveau problème : si le journal est modifié, un auditeur ne peut pas savoir ce qui a été supprimé ou si le registre est digne de confiance. Les chercheurs ont résolu cela en faisant en sorte que l'ordinateur calcule une empreinte numérique unique des données originales, non altérées, avant toute opération de masquage ou de simplification. Cette empreinte est ensuite inscrite dans le registre permanent. Plus tard, lorsque les données simplifiées sont envoyées au gardien, le système peut toujours prouver que la version simplifiée provient bien des données originales parce que l'empreinte correspond. Cela signifie que l'organisation peut modifier ses règles sur le masquage des données à tout moment, même des années plus tard, sans briser l'intégrité des anciens registres. Le journal reste un témoin solide et immuable de l'événement original, tandis que le flux d'informations vers le gardien devient flexible et respectueux de la vie privée.

Pour s'assurer que ce système fonctionne correctement, les chercheurs ont dû résoudre une question délicate de confiance : qui est habilité à dire ce qui s'est passé ? Puisque les données sensibles ne quittent jamais l'ordinateur de l'utilisateur, l'ordinateur de l'utilisateur est le seul capable de calculer l'empreinte des données originales. Les chercheurs ont décidé que l'ordinateur de l'utilisateur devrait être celui qui crée cette empreinthe et la rapporte au registre. Ils ont estimé que si un utilisateur tentait de mentir sur l'empreinte, il fabriquerait des preuves contre lui-même, ce qui constitue un puissant moyen de dissuasion. Cependant, l'ordinateur de l'utilisateur ne peut pas être considéré comme fiable pour déclarer quelles règles ont été utilisées pour simplifier les données, car il pourrait simplement prétendre avoir utilisé un ensemble de règles différent pour masquer davantage d'informations. Pour empêcher cela, le système exige que l'ordinateur de l'utilisateur envoie une empreinte des règles qu'il a utilisées, et le serveur central vérifie cela par rapport aux règles officielles. Si les deux empreintes ne correspondent pas, le système sait que quelque chose ne va pas et rejette l'action. Cela crée un équilibre où l'utilisateur est considéré comme digne de confiance pour rapporter les données qu'il détient, tandis que le serveur est considéré comme digne de confiance pour vérifier les règles appliquées.

Les chercheurs ont testé ce système avec des scénarios réels, incluant l'envoi de courriels et l'accès à des dossiers médicaux. Ils ont constaté que leur méthode empêchait avec succès les identifiants sensibles de quitter l'environnement de l'utilisateur, tout en permettant au moteur de politique de prendre des décisions précises. Dans un test spécifique, ils ont examiné un chemin de ressource incluant le numéro de dossier d'un patient. Leur tentative initiale de simplification de ce chemin a échoué car elle laissait le numéro visible dans le texte. Ils ont corrigé cela en modifiant la règle pour supprimer l'intégralité de la dernière partie du chemin plutôt que d'essayer de nettoyer le texte, garantissant ainsi qu'aucune information identifiante ne s'échappe. Leur analyse a montré que, pour les actions qu'ils ont étudiées, près de la moitié des champs de données n'ont jamais franchi la limite sous leur forme brute, et que les champs restants ont été réduits à des résumés non identifiables.

L'équipe reconnaît que son système n'est pas un bouclier parfait contre toutes les menaces possibles. Si l'ordinateur de l'utilisateur est piraté, l'attaquant pourrait tout de même envoyer les données qu'il souhaite. Le système est conçu pour protéger les données lorsqu'elles passent de l'utilisateur à l'organisation, et non pour protéger l'ordinateur de l'utilisateur contre une compromission. De plus, les chercheurs notent que leurs règles actuelles sont statiques ; elles ne peuvent pas facilement changer en fonction de situations complexes, comme décider qu'un champ est sensible uniquement si le destinataire se trouve dans un autre pays. Malgré ces limites, l'approche offre un moyen pratique et structurel de gérer la tension entre la vie privée et la responsabilité. Elle prouve qu'il n'est pas nécessaire de choisir entre une piste d'audit stricte et immuable et une politique flexible respectueuse de la vie privée. En calculant l'engagement envers les données avant de les simplifier, et en assignant soigneusement qui vérifie quoi, le système permet aux organisations de gouverner leurs agents efficacement sans exposer la vie privée de leurs clients au registre permanent.