Sécurité et qualité des sources : ce qui est en base, ce qui est en option
Deux garanties à ne pas confondre. En base : le transport des paramètres est chiffré de bout en bout (RSA-OAEP 2048 + AES-GCM 256) ; le coordinateur voit des mises à jour de modèle chiffrées, jamais les données brutes. En option : la robustesse aux contributions malveillantes ou d'empoisonnement (agrégation robuste, agrégation sécurisée). La confidentialité différentielle est un mécanisme appliqué, sans budget ε garanti à ce stade.
Le transport chiffré de bout en bout (construit)
Quand chaque acteur a entraîné le modèle sur ses propres données, il ne partage que les paramètres appris, jamais les données. Ce partage est chiffré de bout en bout : RSA-OAEP 2048 pour l'échange de clé, AES-GCM 256 pour le contenu, avec une clé de session propre à chaque échange. C'est un mécanisme réel et en fonctionnement, pas une intention.
Une précision de vocabulaire : il s'agit de chiffrement du transport, pas de calcul sur données chiffrées. Le chiffrement protège les paramètres pendant leur voyage ; ce n'est pas la même chose que faire tourner un calcul sur des données qui resteraient chiffrées de bout en bout. Nous ne présentons donc jamais Mesh comme une solution de « calcul sécurisé sur chiffré ».
Ce que voit (et ne voit pas) le coordinateur
Le rôle du coordinateur est d'agréger les mises à jour des différents acteurs pour construire le modèle commun. Ce qu'il reçoit, ce sont des mises à jour de modèle chiffrées, jamais les données brutes, qui ne quittent à aucun moment leur détenteur.
La précision : tant que l'agrégation sécurisée n'est pas activée (voir ci-dessous), le coordinateur voit les mises à jour individuelles une fois déchiffrées pour les agréger. Il ne voit pas les données, mais il voit la contribution de chacun. Rendre le coordinateur aveugle à ces contributions individuelles (pour qu'il n'accède qu'à la somme) est précisément l'objet de l'agrégation sécurisée, en option.
Robustesse aux sources malveillantes (option)
Une question légitime : que se passe-t-il si un participant fournit une contribution de mauvaise qualité, voire malveillante (empoisonnement) ? Les mécanismes qui durcissent l'agrégation contre ce risque (agrégation robuste, bornes de contribution, agrégation sécurisée, exécution en enclave) se proposent en option et se cadrent par déploiement : aucun n'est actif dans le moteur de démonstration.
Ce qui protège aujourd'hui, en amont, c'est la gouvernance du consortium : on choisit avec qui l'on co-entraîne, on cadre le vocabulaire commun, et l'on établit les règles d'accès. La robustesse technique à l'empoisonnement viendra la renforcer.
Confidentialité différentielle
La confidentialité différentielle (DP) ajoute du bruit calibré pour réduire le risque de ré-identification à partir des paramètres partagés. Chez Mesh, le mécanisme suit la forme de l'algorithme de référence du domaine, écrêtage de la norme de la mise à jour puis bruit gaussien (M. Abadi et al., « Deep Learning with Differential Privacy », CCS 2016, p. 308-318, arxiv.org/abs/1607.00133). Mais c'est un mécanisme de bruit, pas une garantie : aucun budget ε n'est calculé ni composé sur les cycles d'entraînement, et ε est précisément ce qui borne formellement la fuite (C. Dwork, A. Roth, « The Algorithmic Foundations of Differential Privacy », Foundations and Trends in Theoretical Computer Science, vol. 9, n° 3-4, 2014, cis.upenn.edu/~aaroth/privacybook.html). La DP est donc une atténuation du risque, pas une garantie chiffrée.
FAQ : Sécurité et qualité des sources
Le coordinateur peut-il voir mes données ?
Non. Les données brutes ne quittent jamais leur détenteur. Le coordinateur reçoit des mises à jour de modèle chiffrées. Tant que l'agrégation sécurisée n'est pas activée, il voit les mises à jour individuelles une fois déchiffrées pour les agréger, jamais les données elles-mêmes.
Quel chiffrement est utilisé ?
Le transport des paramètres est chiffré de bout en bout : RSA-OAEP 2048 pour l'échange de clé, AES-GCM 256 pour le contenu, avec une clé de session propre à chaque échange. C'est du chiffrement du transport, pas du calcul sur données chiffrées.
Comment vous protégez-vous d'un participant qui empoisonnerait le modèle ?
Aujourd'hui, par la gouvernance du consortium (choix des participants, règles d'accès, cadrage). Les protections techniques dédiées (agrégation robuste, agrégation sécurisée) se proposent en option et se cadrent par déploiement : aucune n'est active dans le moteur de démonstration.
La confidentialité différentielle est-elle garantie ?
La confidentialité différentielle est appliquée comme mécanisme d'atténuation du risque de ré-identification, mais sans budget ε garanti à ce stade : ε se définit par déploiement. Nous ne la présentons pas comme une garantie absolue.
Regardons votre modèle de menace
On distingue avec vous ce qui est couvert aujourd'hui de ce qui est en option, selon votre cas d'usage et vos contraintes.