Google déploie l’apprentissage fédéré privé vérifiable pour les prédictions Gboard

Google Research a annoncé une nouvelle architecture d’apprentissage fédéré qui transfère des parties essentielles du pipeline d’entraînement dans des enclaves serveurs attestées, construites sur des environnements d’exécution sécurisés (TEE). Le design vise à rendre les garanties de confidentialité différentielle du système vérifiables par des tiers, allant au-delà des assurances opaques des configurations fédérées précédentes.

Fonctionnement de l’architecture

Les appareils clients chiffrent chaque exemple d’entraînement et y joignent une politique d’accès définissant quel programme TEE côté serveur peut déchiffrer les données et quels résultats anonymisés peuvent être publiés. La politique est liée cryptographiquement à la charge chiffrée, garantissant que seuls les workloads autorisés peuvent jamais voir les données brutes.

Un cluster dédié de gestion des clés, également exécuté dans des TEE, utilise le protocole de consensus RAFT pour gérer les clés de déchiffrement. Les clés ne sont libérées qu’aux workloads correspondant à la politique publiée, empêchant ainsi les processus malveillants d’accéder aux données même s’ils prennent le contrôle de l’enclave.

Vérifiabilité publique via Rekor

Toutes les politiques d’accès sont enregistrées dans le journal de transparence public Rekor. Les observateurs externes peuvent interroger ce journal pour voir exactement quels workloads serveur sont autorisés à traiter les exemples chiffrés, offrant ainsi une piste d’audit consultable sans recourir à l’infrastructure interne de Google.

• Politiques publiées dans Rekor pour inspection publique
• Cluster de gestion des clés hébergé dans un TEE utilisant RAFT
• Binaires reproductibles du dépôt Confidential Federated Compute
• Seules les métriques et les poids du modèle DP sortent de l’enclave

Avantages pour Gboard

Google indique que les modèles de prédiction du mot suivant de Gboard en anglais et en japonais sont désormais entraînés avec ce système. Selon Google et le papier associé, le nouveau pipeline offre des cycles d’entraînement plus rapides, une précision de prédiction supérieure et des budgets de confidentialité plus faibles comparés à l’ancien système de production.

Déplacer le calcul des gradients et la planification vers le serveur réduit la nécessité d’une disponibilité simultanée des appareils. Cela permet d’optimiser les paramètres de confidentialité sur des cohortes plus larges et plus diversifiées, améliorant l’utilité globale du modèle différentiellement privé.

Seules les métriques agrégées et les poids du modèle différentiellement privé sont jamais exposés aux opérateurs de workload. Les exemples chiffrés restent à l’intérieur des enclaves autorisées pendant une période limitée, puis sont automatiquement détruits, limitant la surface d’attaque en cas de fuite de données.

Google rend également les binaires de gestion des clés et de traitement des données reproductibles à partir du dépôt open‑source Confidential Federated Compute, permettant une vérification indépendante du code exécuté dans les enclaves.

Malgré ces avancées, les TEE restent soumis à des limitations propres à chaque génération et à d’éventuelles attaques par canaux auxiliaires. La vérifiabilité externe du code et des politiques n’élimine pas tous les risques liés aux défauts matériels, aux bugs d’implémentation ou aux pratiques de gouvernance des données.

Pour les organisations qui utilisent Gboard ou des services d’apprentissage fédéré similaires, ce changement signifie qu’elles peuvent désormais pointer vers un système où les garanties de confidentialité ne sont pas seulement annoncées mais également auditables via des journaux publics. Cela apporte une couche de confiance réglementaire, notamment dans les juridictions européennes où la conformité aux normes de protection des données doit être démontrable.

Implications futures

À plus long terme, l’approche combinant enclaves attestées et journal de transparence pourrait être étendue à d’autres produits Google, voire à des plateformes tierces, ouvrant la voie à un écosystème d’apprentissage fédéré où chaque contribution est juridiquement traçable et techniquement protégée, tout en conservant la performance requise pour les applications mobiles.

En France, les autorités de protection des données suivront de près ces développements, car la capacité à prouver la conformité via des preuves publiques répond directement aux exigences du RGPD en matière de responsabilité et de transparence.