APrivacy-Preserving Architecture for On-Device Intelligent Computing Using a Small Language Model with Input and Output Guardrails: Prototype Implementation and Preliminary Evaluation

Dans le monde moderne, nous demandons souvent aux ordinateurs de penser pour nous, en utilisant une intelligence artificielle puissante pour rédiger des courriels, résoudre des problèmes ou répondre à des questions. La plupart de ces systèmes intelligents vivent dans le cloud, ce qui signifie que vos mots voyagent à travers Internet vers un serveur distant pour être traités. Bien que cela fonctionne bien, cela soulève une inquiétude discrète : chaque fois que vous tapez un détail personnel comme une adresse e-mail ou un numéro de téléphone, cette information quitte votre appareil et entre dans le système de quelqu'un d'autre. Pour résoudre cela, des chercheurs ont développé des versions plus petites et plus compactes de ces machines pensantes qui peuvent fonctionner directement sur votre propre ordinateur ou téléphone. Cela garde vos données là où elles doivent être, sur votre appareil. Cependant, le simple fait qu'un ordinateur soit local ne signifie pas qu'il est sûr. Une astuce ingénieuse connue sous le nom d'« injection de prompt » peut encore tromper la machine pour lui faire ignorer ses règles ou révéler des secrets, et la machine pourrait accidentellement recracher des informations privées qu'elle était censée garder cachées. Le défi consiste donc à construire un système qui reste local mais qui agit également comme un garde vigilant, vérifiant ce qui entre et ce qui sort.

Un chercheur nommé Harshal Gadekar, de l'Université Sanjivani en Inde, a construit un prototype fonctionnel pour tester exactement cette idée. Il a créé un assistant axé sur la confidentialité qui fait fonctionner un petit modèle de langage appelé Phi-3 Mini entièrement sur un ordinateur local, en utilisant un outil nommé Ollama pour gérer le processus. Le système est conçu avec une double couche de sécurité, comme un point de contrôle de sécurité qui scanne les passagers avant qu'ils n'embarquent et à nouveau après leur arrivée. Avant même que l'ordinateur ne réfléchisse à une réponse, un « garde-fou d'entrée » (input guardrail) scanne le message de l'utilisateur. Il recherche des signes indiquant que quelqu'un essaie de tromper le système, tels que des commandes pour ignorer les instructions précédentes ou pour révéler les règles cachées de la machine. S'il trouve un tel tour, il arrête immédiatement la requête. Il scanne également les détails personnels sensibles, comme les adresses e-mail, et les masque avant que l'ordinateur ne les lise. Une fois que l'ordinateur local génère une réponse, un second « garde-fou de sortie » (output guardrail) scanne la réponse pour s'assurer qu'aucune information privée ne s'est accidentellement glissée.

Le chercheur a testé ce système avec un petit ensemble de questions soigneusement choisies pour voir comment il se comportait dans le monde réel. Lorsqu'on lui posait une question simple et inoffensive comme « Qu'est-ce que l'intelligence artificielle ? », le système fonctionnait parfaitement. Il a traité la requête localement, a passé tous les contrôles de sécurité et a renvoyé une réponse en un peu plus de trois secondes. L'écran montrait que l'entrée était propre, qu'aucun tour n'avait été détecté, et que la réponse finale était sûre à afficher. Le système a ensuite été confronté à une série de quatre tentatives différentes pour le tromper, où des utilisateurs ont essayé de commander à la machine de révéler ses instructions secrètes ou d'ignorer ses règles de sécurité. Dans chacun de ces cas, le garde-fou d'entrée a détecté la tentative. Le système a identifié le tour, a bloqué la requête et a affiché un message d'avertissement au lieu de laisser l'ordinateur générer une réponse. Cela a prouvé que même lorsque l'ordinateur fonctionne sur votre propre bureau, il a toujours besoin d'un garde pour l'empêcher d'être manipulé.

Le test comprenait également une question contenant de fausses données personnelles, spécifiquement une adresse e-mail fictive et un numéro de téléphone. Ici, le système a montré à la fois sa force et une faiblesse évidente. Lorsque l'utilisateur a tapé l'adresse e-mail, le système l'a repérée, a remplacé le texte par un espace réservé disant « e-mail masqué » (email redacted), et a transmis le message à l'ordinateur. La réponse finale affichait le texte masqué, ce qui signifie que l'e-mail était protégé avec succès. Cependant, le système n'a pas réussi à détecter le numéro de téléphone à huit chiffres. Il a laissé passer le numéro sans changement, et la sortie finale affichait le numéro de téléphone complet comme si de rien n'était. Le garde-fou de sortie a également manqué l'information, signalant qu'aucune donnée sensible n'avait été trouvée dans la réponse. Ce résultat souligne que, bien que l'idée d'une informatique locale et sécurisée soit viable, les règles actuelles pour détecter les informations privées ne sont pas encore parfaites. Le système a réussi à bloquer la supercherie et à attraper l'e-mail, mais il a laissé le numéro de téléphone exposé.

L'étude conclut qu'il est possible de combiner l'informatique locale avec des contrôles de sécurité dans un pipeline léger unique. Le système a démontré qu'il peut fonctionner sur un appareil personnel, bloquer les tentatives courantes de manipulation et masquer certains types de données privées. Pourtant, le chercheur prend soin de noter que ces conclusions sont préliminaires. L'ensemble de tests était très limité, ne consistant qu'en une poignée de questions, et les résultats ont été observés sur une seule machine sans mesurer la fréquence à laquelle le système pourrait commettre des erreurs ou sa rapidité sous une charge lourde. L'échec de la détection du numéro de téléphone suggère que les règles de détection doivent être étendues pour couvrir plus de formats de données personnelles. Avant que cette approche ne puisse être considérée comme pleinement fiable pour un usage quotidien, le système doit être testé sur une plus grande variété d'entrées, incluant des tours plus complexes et différents types d'informations personnelles. Pour l'instant, ce travail constitue une preuve de concept prometteuse, montrant qu'un assistant IA local et sécurisé est à portée de main, à condition que les gardes de sécurité soient constamment améliorés.