Protéger un message avant l'envoi au modèle

En bref

• Avant d'envoyer un texte au modèle, piighost y repère les valeurs sensibles et les remplace par des jetons comme <<PERSON:1>>.
• Une même valeur reçoit un seul jeton dans tout le texte, même écrite avec une autre casse ou d'autres espaces.
• La réponse du modèle est ensuite restaurée. Chaque jeton redevient la vraie valeur.
• Une valeur que le détecteur ne voit pas part en clair, sauf si un contrôle final est activé. Ce contrôle bloque alors l'envoi.
• Les motifs ne vérifient pas les clés de contrôle (carte, IBAN). Une valeur mal recopiée reste masquée.

Besoins couverts, décrits dans Besoins par profil :

• Responsable conformité : DPO-1 DPO-1 Besoins par profil En tant que DPO, je veux qu'aucune donnée personnelle ni aucun secret ne parte en clair vers le LLM, afin de rester conforme au RGPD et de ne pas exposer d'identifiants d'accès., DPO-2 DPO-2 Besoins par profil En tant que DPO, je veux choisir les types de données protégées, afin d'adapter la protection à mon activité., DPO-4 DPO-4 Besoins par profil En tant que DPO, je veux refuser un texte qui contient encore une donnée, afin qu'une détection manquée ne parte pas.
• Développeur : DEV-1 DEV-1 Besoins par profil En tant que développeur, je veux protéger les appels LLM de mon agent sans réécrire sa logique, afin d'ajouter la protection à un projet existant.

Les termes sont définis dans le glossaire. Pour une conversation en plusieurs messages, lisez ensuite Suivre une conversation et restaurer la réponse.

Pour le métier

piighost n'a pas d'écran. Ce que vous pouvez constater, c'est le texte reçu par le modèle et la réponse rendue à l'utilisateur. Pour essayer sur une phrase, l'équipe technique lance piighost anonymize "votre phrase".

Qui intervient

Avant tout envoi, au moins un détecteur doit être configuré. piighost n'embarque aucun motif, donc les types protégés sont ceux des détecteurs et des groupes de motifs que la configuration charge.

Le trajet d'un message

Dans l'exemple suivi d'un bout à l'autre, l'utilisateur écrit « Écrivez à Jean Dupont, jean.dupont@exemple.fr ».

1. Repérage. Un ou plusieurs détecteurs cherchent les valeurs par forme (e-mail, téléphone), par modèle d'IA (noms, lieux) ou par grand modèle de langage. Ici, « Jean Dupont » est repéré comme personne et « jean.dupont@exemple.fr » comme e-mail.
2. Liste à masquer et liste à laisser en clair. Les valeurs à toujours masquer ou à ne jamais masquer, écrites dans la configuration (deny_list et allow_list), sont appliquées. Voir Imposer une liste à masquer et une liste à laisser en clair.
3. Chevauchements. Quand deux repérages se recouvrent, un seul passage est gardé. Ici, rien ne se recouvre.
4. Occurrences oubliées (étape facultative). Chaque valeur trouvée est recherchée ailleurs dans le texte.
5. Regroupement. Les occurrences d'une même valeur et d'un même type forment un seul groupe.
6. Remplacement. Chaque groupe reçoit un jeton. « Jean Dupont » devient <<PERSON:1>>, l'adresse devient <<EMAIL:1>>.
7. Contrôle final (facultatif). Le texte protégé est relu pour y chercher un reste de valeur sensible.

Le modèle reçoit « Écrivez à <<PERSON:1>>, <<EMAIL:1>> ». piighost garde la correspondance entre chaque jeton et sa valeur, pour restaurer la réponse.

Comment vérifier : faites protéger la phrase d'exemple par l'équipe technique. La sortie ne doit contenir ni « Jean Dupont » ni l'adresse.

Règles à connaître

BR-MSG-01 BR-MSG-01 Protéger un message avant l'envoi au modèle Quand une valeur est repérée, alors elle reçoit un jeton qui nomme son type et un numéro, compté par type dans l'ordre d'apparition.. Quand une valeur est repérée, alors elle reçoit un jeton qui nomme son type et un numéro, compté par type dans l'ordre d'apparition. Par exemple, « Jean Dupont écrit à Marie Curie » devient « <<PERSON:1>> écrit à <<PERSON:2>> ». 2 emplacements

BR-MSG-02 BR-MSG-02 Protéger un message avant l'envoi au modèle Quand une valeur revient sous une autre casse ou avec d'autres espaces, alors elle reçoit le même jeton.. Quand une valeur revient sous une autre casse ou avec d'autres espaces, alors elle reçoit le même jeton. Par exemple, « Patrick a appelé. Rappelez patrick demain. » devient « <<PERSON:1>> a appelé. Rappelez <<PERSON:1>> demain. » 2 emplacements · 36 tests directs

BR-MSG-03 BR-MSG-03 Protéger un message avant l'envoi au modèle Quand une valeur a plusieurs graphies, alors la restauration remet partout la première graphie rencontrée.. Quand une valeur a plusieurs graphies, alors la restauration remet partout la première graphie rencontrée. Dans l'exemple précédent, la réponse restaurée affiche « Patrick » aux deux endroits. 2 emplacements

BR-MSG-04 BR-MSG-04 Protéger un message avant l'envoi au modèle Quand un nom est collé à un autre par un trait d'union, alors il n'est pas reconnu comme le même mot.. Quand un nom est collé à un autre par un trait d'union, alors il n'est pas reconnu comme le même mot. Par exemple, « Patrick » repéré ne masque pas « Jean-Patrick ». La raison est qu'un prénom court ne doit pas être relié à un prénom composé différent. 1 emplacement

BR-MSG-05 BR-MSG-05 Protéger un message avant l'envoi au modèle Quand deux repérages se recouvrent, alors un seul passage est toujours gardé, et le plus sûr gagne (réglage par défaut).. Quand deux repérages se recouvrent, alors un seul passage est toujours gardé, et le plus sûr gagne (réglage par défaut). Le reste du plus long passage peut alors partir en clair. Un second réglage masque toute la zone couverte. 3 emplacements · 11 tests directs

Le tableau suivant compare les deux réglages :

Ici, un motif sûr à 100 % a trouvé « Wirth » et un modèle sûr à 70 % a trouvé « Loni M. Wirth ». À égalité parfaite de confiance et de position, le premier détecteur déclaré gagne. Avec l'union, la zone prend le type du repérage le plus sûr, et à confiance égale celui du plus long.

BR-MSG-06 BR-MSG-06 Protéger un message avant l'envoi au modèle Quand une valeur est écrite avec une espace insécable ou fine, alors un motif écrit avec une espace normale la trouve quand même.. Quand une valeur est écrite avec une espace insécable ou fine, alors un motif écrit avec une espace normale la trouve quand même. Par exemple, « 06 12 34 56 78 » tapé dans un traitement de texte, avec des espaces insécables, devient <<PHONE:1>>. 2 emplacements · 11 tests directs

BR-MSG-07 BR-MSG-07 Protéger un message avant l'envoi au modèle Quand un motif reconnaît la forme d'une carte ou d'un IBAN, alors la valeur est masquée sans vérifier sa clé de contrôle.. Quand un motif reconnaît la forme d'une carte ou d'un IBAN, alors la valeur est masquée sans vérifier sa clé de contrôle. La raison est qu'une valeur abîmée par une reconnaissance de caractères aurait une clé fausse, et que la rejeter la laisserait partir en clair. 1 emplacement · 11 tests directs

BR-MSG-08 BR-MSG-08 Protéger un message avant l'envoi au modèle Quand un message contient une clé d'API, alors elle n'est masquée que si la configuration charge un groupe de motifs de secrets ou un modèle qui cherche les secrets.. Quand un message contient une clé d'API, alors elle n'est masquée que si la configuration charge un groupe de motifs de secrets ou un modèle qui cherche les secrets. Le groupe piighost/logs du catalogue est un tel groupe. Par exemple, avec ce groupe, une clé OpenAI part sous la forme <<OPENAI_API_KEY:1>>. 2 emplacements · 12 tests directs

BR-MSG-09 BR-MSG-09 Protéger un message avant l'envoi au modèle Quand l'utilisateur tape lui-même un texte qui a la forme d'un jeton, alors ce texte est neutralisé par un caractère invisible.. Quand l'utilisateur tape lui-même un texte qui a la forme d'un jeton, alors ce texte est neutralisé par un caractère invisible. Par exemple, « Claire écrit <<PERSON:2>> ici » ne pourra pas se faire passer pour un vrai jeton à la restauration. Sans cela, un jeton tapé à la main pourrait récupérer la valeur d'une autre personne. 2 emplacements · 41 tests directs

BR-MSG-10 BR-MSG-10 Protéger un message avant l'envoi au modèle Quand le détecteur ne voit pas une valeur et qu'aucun contrôle final n'est activé, alors la valeur part en clair.. Quand le détecteur ne voit pas une valeur et qu'aucun contrôle final n'est activé, alors la valeur part en clair. Par exemple, si les e-mails ne sont pas reconnus, le texte devient « Écrivez à <<PERSON:1>>, jean.dupont@exemple.fr ». 1 emplacement

BR-MSG-11 BR-MSG-11 Protéger un message avant l'envoi au modèle Quand le contrôle final trouve une valeur sensible dans le texte protégé, alors l'envoi est bloqué avec Anonymized text still contains PII: ['EMAIL'].. Quand le contrôle final trouve une valeur sensible dans le texte protégé, alors l'envoi est bloqué avec Anonymized text still contains PII: ['EMAIL']. Le message nomme les types restants, jamais les valeurs. 1 emplacement

BR-MSG-12 BR-MSG-12 Protéger un message avant l'envoi au modèle Quand la recherche des occurrences oubliées est active, alors elle ignore la casse.. Quand la recherche des occurrences oubliées est active, alors elle ignore la casse. Elle trouve « patrick » après « Patrick », au prix de faux positifs sur des mots courants. 1 emplacement · 16 tests directs

Ce que voit l'utilisateur final

Rien. Il écrit en clair et lit une réponse en clair. Seul le modèle voit les jetons. Si le contrôle final bloque un message, l'application reçoit une erreur. Le message affiché à l'utilisateur dépend alors de l'application.

Questions fréquentes

Une adresse e-mail est partie en clair. Le détecteur ne connaît pas ce type et aucun contrôle final n'est activé (BR-MSG-10 BR-MSG-10 Protéger un message avant l'envoi au modèle Quand le détecteur ne voit pas une valeur et qu'aucun contrôle final n'est activé, alors la valeur part en clair.). Faites ajouter le type au détecteur, ou activez un contrôle final qui le reconnaît.

Une partie d'un nom est partie en clair (« Loni M. »). Deux repérages se chevauchaient, et le plus sûr ne couvrait qu'une partie du nom (BR-MSG-05 BR-MSG-05 Protéger un message avant l'envoi au modèle Quand deux repérages se recouvrent, alors un seul passage est toujours gardé, et le plus sûr gagne (réglage par défaut).). Demandez le réglage « Union des passages ».

Le nom de l'entreprise est remplacé par <<PERSON:2>>. Le détecteur le prend pour une personne, et le modèle perd une information utile. Faites-le mettre dans la liste à laisser en clair, voir Imposer une liste à masquer et une liste à laisser en clair.

Un numéro de carte faux a été masqué. C'est voulu, parce qu'aucune clé de contrôle n'est vérifiée (BR-MSG-07 BR-MSG-07 Protéger un message avant l'envoi au modèle Quand un motif reconnaît la forme d'une carte ou d'un IBAN, alors la valeur est masquée sans vérifier sa clé de contrôle.).

Une clé d'API est partie en clair. Aucun groupe de motifs de secrets n'est chargé (BR-MSG-08 BR-MSG-08 Protéger un message avant l'envoi au modèle Quand un message contient une clé d'API, alors elle n'est masquée que si la configuration charge un groupe de motifs de secrets ou un modèle qui cherche les secrets.). Faites ajouter le groupe piighost/logs à la configuration.

« Jean-Patrick » est resté en clair alors que « Patrick » est masqué. Le trait d'union lie les deux prénoms (BR-MSG-04 BR-MSG-04 Protéger un message avant l'envoi au modèle Quand un nom est collé à un autre par un trait d'union, alors il n'est pas reconnu comme le même mot.). Il faut que le détecteur repère « Jean-Patrick » lui-même.

Le traitement s'arrête avec Anonymized text still contains PII. Le contrôle final a trouvé un reste (BR-MSG-11 BR-MSG-11 Protéger un message avant l'envoi au modèle Quand le contrôle final trouve une valeur sensible dans le texte protégé, alors l'envoi est bloqué avec Anonymized text still contains PII: ['EMAIL'].). Faites ajouter le type manquant au détecteur principal.

Pour les développeurs

Où vivent les règles

Quand seul le détecteur est fourni, les valeurs par défaut sont ExactEntityLinker, Anonymizer(LabelCounterPlaceholderFactory()) et ConfidenceOverlapResolver (pipeline/base.py:168-182). L'expansion, la résolution d'entités, la liste à masquer et la liste à laisser en clair (override) et le contrôle final (guard) sont désactivés.

import asyncio

from piighost.components.detector import ExactMatchDetector
from piighost.pipeline import AnonymizationPipeline

detector = ExactMatchDetector(
    {"Jean Dupont": "PERSON", "jean.dupont@exemple.fr": "EMAIL"}
)
pipeline = AnonymizationPipeline(detector)


async def main() -> None:
    result = await pipeline.anonymize("Écrivez à Jean Dupont, jean.dupont@exemple.fr")
    print(result.text)  # Écrivez à <<PERSON:1>>, <<EMAIL:1>>


asyncio.run(main())

Modifier une étape

1. Choisissez le port de l'étape (voir Ajouter ou remplacer un composant).
2. Passez votre composant au constructeur, AnonymizationPipeline(detector, overlap_resolver=MergeOverlapResolver()), ou en configuration [overlap_resolver] type = "merge".
3. Pour le contrôle final, passez guard=DetectorGuardRail(un_détecteur).

Vérifier

uv run pytest tests/pipeline/test_pipeline.py tests/components tests/acceptance/test_dpo.py

Puis echo "Tél. 06 12 34 56 78" | uv run piighost anonymize --config <fichier> doit renvoyer un jeton à la place du numéro.

Pièges

• Le résolveur de chevauchements ne se désactive pas. overlap_resolver=None installe ConfidenceOverlapResolver. Anonymizer.render lève OverlappingSpansError s'il reste un chevauchement.
• L'expansion tourne après le résolveur. Elle saute toute occurrence qui touche un caractère déjà couvert, et cherche les valeurs les plus longues d'abord (expander/base.py:30-75).
• Le caractère de neutralisation reste dans le texte restauré. Un jeton tapé par l'utilisateur revient avec un U+200B invisible après son premier caractère. Un traitement en aval qui compare des chaînes exactes peut échouer. Anonymizer(factory, escape_existing_tokens=False) désactive la neutralisation, au prix de BR-MSG-09 BR-MSG-09 Protéger un message avant l'envoi au modèle Quand l'utilisateur tape lui-même un texte qui a la forme d'un jeton, alors ce texte est neutralisé par un caractère invisible..
• RegexDetector compile sous re.ASCII. \d ne prend que 0 à 9, et \w s'arrête au premier caractère accentué.
• Un détecteur seul peut rendre des détections qui se chevauchent. Le port l'autorise. Ne testez pas la sortie d'un détecteur seul comme si elle était déjà passée par le résolveur de chevauchements.
• Un garde-fou à score (modération) ne localise rien. Les valeurs de la liste à laisser en clair ne peuvent pas en être exemptées (pipeline/base.py:318-322).
• LLMDetector échoue fermé. Une sortie du modèle illisible, sans champ entities ou que le parseur rejette, lève UnreadableOutputError et le message est refusé (components/detector/llm.py:174-181, _unreadable en :203). fail_open=True la lit comme zéro détection, et le message part alors sans protection. Voir DPO-9 DPO-9 Besoins par profil En tant que DPO, je veux qu'un détecteur en panne bloque le message plutôt que de le laisser passer, afin qu'une panne ne devienne pas une fuite. dans Besoins par profil.

Tests