Une alerte épidémique peut-elle vous protéger sans exposer vos contacts ? Un score de risque privé peut faire les deux

Une rencontre peut révéler ce qu’une application de traçage des contacts cache

Une application de traçage des contacts peut cacher qui a rencontré qui, tout en montrant quelque chose d’un inconnu. Le nombre affiché à chaque utilisateur est une estimation du risque d’infection, souvent étiqueté « COVIDSCORE ». Il sert à indiquer à une personne quelle est la probabilité qu’elle soit infectée en ce moment. Ce résumé utile crée aussi un canal latéral pour un attaquant. Un attaquant peut installer l’application et organiser une rencontre avec une cible. Si c’est son seul contact de la journée, toute variation de son propre score pointe fortement vers la cible. Le score varie parce que l’application combine les informations des personnes rencontrées récemment. Sans autre contact pour expliquer ce changement, l’attaquant peut déduire si la cible présente un risque ou est infectée. La fuite vient du nombre publié lui-même, pas d’une liste de contacts compromise. Cette attaque fonctionne même si les protections habituelles pour détecter les contacts sont en place. Le même problème apparaît dans de nombreux systèmes qui publient des scores de risque numériques sans protection de la confidentialité. Une seule rencontre suffit à transformer le tableau de bord de l’utilisateur en capteur pour autrui. L’attaquant n’a pas besoin de voir les données du téléphone de la cible ni de casser l’appariement sécurisé. Il observe seulement son propre score avant et après la rencontre. Cela met en lumière, pour les concepteurs d’application, un choix de conception difficile. Un score qui aide les personnes à décider si elles doivent se faire tester doit aussi être difficile à inverser à partir d’un seul événement de contact. S’il est facile de lire le risque d’un inconnu à partir d’une seule rencontre, l’application peut exposer des informations de santé tout en paraissant privée.

Pourquoi ajouter du bruit à chaque alerte rend l’application moins utile

Une application de contact est utile lorsque son alerte suit le danger réel. Si chaque score de risque publié reçoit du bruit aléatoire, ce lien s’affaiblit. Un utilisateur peut voir un nombre élevé après une journée calme, ou un nombre faible après une journée risquée. L’alerte paraît toujours officielle, mais elle ne pointe plus nettement vers l’exposition.

Le coût apparaît dans la maîtrise des épidémies. Dans des simulations avec des tests imparfaits, l’ajout de bruit de confidentialité à un niveau courant a fait passer le taux d’infection au pic d’environ 0,5 pour 1 000 personnes à environ 1,1 pour 1 000. Ce n’est pas un effondrement, mais c’est une perte réelle de précision. L’application repère encore certains utilisateurs à haut risque, mais elle envoie aussi plus d’alertes fausses et rate davantage les risques réels. Lorsque la capacité de test est limitée, ces erreurs comptent parce que chaque test gaspillé laisse une autre personne non testée.

Le problème plus profond est l’endroit où le bruit entre. Si chaque message de contact est bruité séparément avant que l’application ne les combine, chaque élément de preuve arrive flou. Une probabilité comprise entre 0 et 1 peut être poussée vers le haut ou vers le bas par hasard, si bien que le score final hérite d’une grande instabilité. Les personnes avec beaucoup de contacts ont plus de signal à exploiter, mais la distorsion indépendante brouille quand même l’image. Le résultat est une application qui protège la confidentialité tout en rendant ses propres conseils plus difficiles à croire.

Un agrégat quotidien qui masque les contacts individuels tout en gardant des alertes utiles

Le calcul ne publie pas chaque rencontre comme un signal d’alerte séparé. Au lieu de cela, les contacts d’une personne pour une journée sont regroupés dans un nombre quotidien unique. Ce nombre est la partie protégée avant qu’un score de risque n’apparaisse. La protection multiplie le total quotidien par du bruit aléatoire, plutôt que de brouiller chaque message de contact séparément. Cela garde l’alerte liée à l’exposition globale tout en rendant un seul contact difficile à lire. Le bruit provient d’une forme log-normale parce qu’il doit rester positif et supporter quand même une preuve de confidentialité propre. Les personnes avec beaucoup de contacts ont besoin de moins de bruit supplémentaire pour la même garantie, tandis que les personnes avec peu de contacts en ont besoin davantage. Les scores internes sont limités à l’intervalle complet de zéro à un, ce qui garde les calculs ultérieurs valides. Après cette limitation, le total quotidien bruité sert à estimer le risque d’infection pour cette journée. Seul le score final quitte le calcul protégé, si bien que les détails des contacts individuels ne sont pas exposés comme des messages séparés. La garantie de confidentialité dit que changer la valeur de risque limitée d’une personne peut déplacer le total quotidien bruité seulement un peu. Le pire cas se produit lorsque tous les autres contacts sont à leurs limites de limitation et qu’un seul contact diffère. Parce que la protection est appliquée après combinaison, les alertes restent plus nettes qu’elles ne le seraient si chaque message était brouillé. Dans les simulations, cet agrégat quotidien produit encore des taux d’infection au pic plus bas à un niveau de confidentialité courant où epsilon vaut un. Le résultat tient sur deux simulateurs largement utilisés, y compris des exécutions avec jusqu’à un million de personnes. Comparé au traçage traditionnel sous tests réalistes, la méthode réduit les taux d’infection par des facteurs allant de deux à dix.

Ce qui se passe quand les tests sont rares, bruités ou ignorés

Lorsque la capacité de test est faible, l’écart entre méthodes de traçage devient net et difficile à ignorer. Dans une simulation de type britannique, seulement dix pour cent des personnes étaient invitées à se faire tester chaque jour. Une version adaptée à une ville américaine utilisait un budget encore plus serré, avec seulement deux pour cent testés par jour. Ces limites comptent parce qu’un résultat positif déclenche dix jours d’isolement. Si trop peu de personnes sont vérifiées, l’application ne trouve pas assez de cas pour briser les chaînes. L’analyse des coûts montre que la capacité de test fixe le plafond de maîtrise. Pour garder le pic d’infection en dessous de 0,3 pour cent, le traçage traditionnel nécessitait environ dix mille tests par jour. La méthode privée atteint le même niveau utile avec seulement environ cinq cents. Cet écart signifie qu’un système de test rare peut encore être orienté vers des pics plus bas.

Les tests ne sont pas parfaits, et les simulations incluaient des faux positifs et des faux négatifs. Le cas par défaut utilisait un taux de faux positifs d’un pour cent et un taux de faux négatifs de 0,1 pour cent. Un test de stress poussait ces erreurs aux valeurs pires citées par les recommandations européennes. Ces valeurs étaient vingt-cinq pour cent de faux positifs et trois pour cent de faux négatifs. Avec de tels tests médiocres, le score privé devient moins robuste qu’une version non protégée. Sous des tests imparfaits par défaut, le pic d’infection passe d’environ 0,5 pour 1 000 à environ 1,1. Sous les tests bruités du pire cas, la méthode bruitée atteint un pic proche de quarante-six virgule six pour 1 000. La version non protégée reste proche de zéro virgule six dans ces mêmes mauvaises conditions.

Plus de tests aident : porter les vérifications quotidiennes de dix pour cent à quinze pour cent restaure largement la performance. Les résultats principaux supposent que les personnes testées positives s’isolent pendant dix jours. Une expérience complémentaire autorise les utilisateurs à ignorer un résultat positif et à continuer à circuler. Même lorsque jusqu’à soixante-quinze pour cent des cas positifs ne suivent pas, la méthode privée surpasse encore le traçage traditionnel. Si au plus vingt pour cent ignorent un test positif, le pic d’infection reste en dessous de la moitié d’un pour cent. Cette résistance compte parce que le traçage réel dépend du fait que les personnes agissent après une alerte. Un pic plus bas allège aussi la pression sur les hôpitaux et réduit la probabilité que les gouvernements imposent des confinements.

Les hypothèses qui empêchent le score privé de devenir un outil de surveillance

Un nombre de risque privé peut rester privé seulement si les parties qui y ont accès sont limitées. Le calcul n’utilise que les contacts et les résultats de test, pas l’historique de localisation, les détails d’identité ou les dossiers médicaux. Il s’exécute dans un environnement de calcul chiffré ou de confiance, si bien qu’aucun serveur central ne collecte le score d’une personne au fil du temps. La détection des contacts est supposée sécurisée ; l’application sait déjà qui a rencontré qui, mais cette connaissance est traitée comme donnée plutôt que fouillée pour des inférences supplémentaires.

La promesse de confidentialité est aussi étroite. Elle protège un score quotidien publié contre la révélation de l’état d’une personne à une étape. Si un couple de personnes se rencontre encore et encore, les petites fuites peuvent s’additionner, et la conception n’utilise pas encore des règles plus fortes pour plafonner cette perte répétée. Cette limite compte parce que la surveillance vient souvent de la répétition : un coup d’œil peut être inoffensif, tandis que beaucoup de coups d’œil construisent une carte.

Le système oublie aussi vite. Les données sont conservées seulement 14 jours, puis supprimées. La méthode est sans état au sens où elle ne stocke pas un long dossier médical personnel ou un historique de contacts ; dès que les contacts sortent de la fenêtre, ils n’affectent plus le score du lendemain. Prolonger la mémoire au-delà de deux semaines apporte peu d’avantage, si bien que la courte fenêtre aide à empêcher l’outil de devenir un dossier permanent.

Ces hypothèses laissent pourtant des lacunes réelles. Tout le monde n’a pas un smartphone, et un accès inégal peut créer une protection inégale. Si seulement certaines personnes utilisent l’application, beaucoup de contacts deviennent invisibles, ce qui affaiblit à la fois le traçage et l’équité de la confidentialité. Les biais existants sur les personnes testées ou sur la manière dont les risques sont estimés peuvent être amplifiés par le bruit ajouté pour protéger les individus. Jusqu’à ce que ces problèmes soient étudiés, le score privé reste un instrument soigneusement borné plutôt qu’un outil de santé publique achevé.

Comment un nombre quotidien bruité peut protéger une rencontre et continuer à guider les tests

Une application de traçage des contacts peut protéger une rencontre à la fois tout en aidant la santé publique. La protection de la confidentialité est construite avant que le score final de risque n’apparaisse, si bien que le signal combiné de chaque journée porte assez de bruit pour masquer si un seul contact connu l’a modifié. Cette conception permet à une application de maintenir une maîtrise épidémique utile tout en limitant ce qu’un inconnu déterminé pourrait apprendre d’une seule rencontre.

La leçon plus large est que la confidentialité et l’utilité peuvent être conçues ensemble lorsque le modèle de menace est clair. Un score numérique est puissant parce qu’il classe qui doit se faire tester ensuite, mais il devient dangereux dès que quelqu’un peut observer comment son propre nombre bouge après avoir rencontré une cible. Ajouter du bruit calibré aux signaux quotidiens de contact préserve assez de signal pour les décisions de test tout en rendant une telle inférence peu fiable.

Les simulations suggèrent que cet équilibre peut réduire les infections et utiliser beaucoup moins de tests que le traçage ordinaire, même lorsque certains résultats positifs sont ignorés ou que les tests font des erreurs. Les obstacles restent sérieux. L’adoption complète est supposée dans les résultats principaux, mais les populations réelles incluent des personnes sans smartphone, des personnes qui ne font pas confiance aux applications et des groupes dont les contacts tombent hors du réseau. Des rencontres répétées avec la même personne peuvent étirer la garantie de confidentialité au-delà d’un seul événement de contact, et des données biaisées peuvent être amplifiées plutôt que corrigées par le bruit.

La question pratique est combien de personnes peuvent rejoindre le réseau, parce que la protection dépend du fait que les contacts soient visibles. Un score qui fonctionne dans une ville ou un écosystème d’application doit aussi survivre aux téléphones manquants, à la confiance inégale et aux rencontres répétées avant de pouvoir guider de vraies décisions de test.