Un grand merci aux bénévoles de Balvi, Paul Dylan-Ennis, pcaversaccio, vectorized, Bruce Xu et Luozhu Zhang pour les discussions et les retours.

Récemment, j'ai de plus en plus mis l'accent suraméliorer l'état de la vie privéedans l'écosystème Ethereum. La confidentialité est un garant important de la décentralisation : celui qui détient l'information détient le pouvoir, donc nous devons éviter le contrôle centralisé de l'information. Lorsque les gens dans le monde réel expriment des préoccupations concernant l'infrastructure technique exploitée de manière centralisée, la préoccupation porte parfois sur des opérateurs changeant les règles de manière inattendue ou déplateformant les utilisateurs, mais tout aussi souvent, il s'agit de la collecte de données. Alors que l'espace des cryptomonnaies trouve ses origines dans des projets comme Chaumian Ecash, qui a mis la préservation de la confidentialité financière numérique au premier plan, a récemment sous-évalué la confidentialité pour une raison finalement mauvaise : avant ZK-SNARKs, nous n'avions aucun moyen d'offrir la confidentialité de manière décentralisée, et nous l'avons donc minimisée, nous concentrant exclusivement sur les autres garanties que nous pouvions fournir à l'époque.

Aujourd'hui, cependant, la vie privée ne peut plus être ignorée. L'IA accroît considérablement les capacités de collecte et d'analyse de données centralisées tout en élargissant considérablement le champ des données que nous partageons volontairement. À l'avenir, des technologies plus récentes telles que les interfaces cerveau-ordinateur posent de nouveaux défis : nous pourrions littéralement parler de l'IA lisant nos pensées. Dans le même temps, nous disposons d'outils plus puissants pour préserver la vie privée, en particulier dans le domaine numérique, que les cypherpunks des années 1990 auraient pu imaginer : des preuves de connaissance nulle (ZK-SNARKs) hautement efficaces peuvent protéger nos identités tout en révélant suffisamment d'informations pour prouver que nous sommes dignes de confiance, le cryptage entièrement homomorphe (FHE) peut nous permettre de calculer sur des données sans voir les données, et l'obfuscation pourrait bientôt offrir encore plus.

La vie privée ne consiste pas à se tenir à l'écart. Il s'agit de se tenir ensemble.

À ce moment, il vaut la peine de reculer et de revoir la question : pourquoi voulons-nous la vie privée en premier lieu ? La réponse de chaque personne sera différente. Dans cet article, je donnerai la mienne, que je diviserai en trois parties :

• La vie privée, c'est la liberté : la vie privée nous donne de l'espace pour vivre notre vie de la manière qui répond à nos besoins, sans nous inquiéter constamment de la perception de nos actions dans toutes sortes de jeux politiques et sociaux.
• La confidentialité est l'ordre : tout un tas de mécanismes qui sous-tendent le fonctionnement de base de la société dépendent de la confidentialité pour fonctionner
• La confidentialité est un progrès : si nous trouvons de nouvelles façons de partager sélectivement nos informations tout en les protégeant contre les abus, nous pouvons débloquer beaucoup de valeur et accélérer le progrès technologique et social

La vie privée est la liberté

Au début des années 2000, il était populaire d'avoir des points de vue similaires à ceux que David Brin a incarnés dans son livre de 1998.La Société Transparente: la technologie rendrait les informations partout dans le monde beaucoup plus transparentes, et même si cela aura des inconvénients et nécessitera une adaptation, en moyenne, c'est une très bonne chose, et nous pouvons la rendre juste en nous assurant que les gens peuvent surveiller (ou plutôt,sousveil) le gouvernement aussi. En 1999, le PDG de Sun Microsystems, Scott McNealy a familièrement exclamé"la vie privée est morte, il faut s'y faire !". Cette mentalité était courante dans la conception et le développement précoces de Facebook, qui identités pseudonymes bannies. Personnellement, je me souviens avoir vécu la fin de cette mentalité lors d'une présentation lors d'un événement Huawei à Shenzhen en 2015, où un intervenant (occidental) a mentionné en passant que "la vie privée est terminée".

La Société Transparente représentait le meilleur et le plus brillant de ce que l'idéologie du 'la vie privée est terminée' avait à offrir : elle promettait un monde meilleur, plus juste et plus équitable, en utilisant le pouvoir de la transparence pour rendre les gouvernements responsables plutôt que de réprimer les individus et les minorités. Avec le recul, cependant, il est clair que même cette approche était un produit de son époque, rédigée au sommet de l'enthousiasme pour la coopération mondiale et la paix et 'la fin de l'histoire', et elle dépendait d'un certain nombre d'hypothèses excessivement optimistes sur la nature humaine. Principalement :

1. Les couches supérieures de la politique mondiale seraient généralement bien intentionnées et saines, rendant la vie privée verticale (c'est-à-dire ne pas révéler d'informations aux personnes et institutions puissantes) de plus en plus inutile. Les abus de pouvoir seraient généralement localisés, et donc le meilleur moyen de lutter contre ces abus est de les exposer à la lumière du jour.
2. La culture continuerait à s'améliorer au point où la vie privée horizontale (c'est-à-dire ne pas divulguer d'informations à d'autres membres du public) deviendrait inutile. Les nerds, les gays, et finalement tout le monde pourraient arrêter de se cacher, car la société cesserait d'être dure et pleine de jugement envers les caractéristiques uniques des personnes et deviendrait plutôt ouverte d'esprit et tolérante.

Aujourd'hui, il n'existe pas un seul pays majeur pour lequel on s'accorde largement à dire que la première hypothèse est vraie, et plusieurs pour lesquels on s'accorde largement à dire qu'elle est fausse. Sur le deuxième front, la tolérance culturelle a également rapidement régressé - une simple recherche sur Twitter de phrases comme "..."L’intimidation, c’est bien" est une pièce à conviction de ceci, bien qu'il soit facile d'en trouver d'autres.

Personnellement, j'ai le malheur de rencontrer régulièrement les inconvénients de la « société transparente », car chaque action que je fais à l'extérieur a une chance non nulle de devenir inopinément une histoire médiatique publique :

Le pire contrevenant était quelqu'un qui a pris une vidéo d'une minute pendant que j'étais en train de travailler sur mon ordinateur portable à Chiang Mai, et l'a ensuite publiée sur xiaohongshu, où elle a immédiatement reçu des milliers de likes et de partages. Bien sûr, ma propre situation est loin de la norme humaine - mais c'est toujours le cas en matière de vie privée : les personnes dont la situation de vie est relativement normale ont moins besoin de vie privée, tandis que celles dont la situation de vie dévie de la norme, dans n'importe quelle direction, en ont davantage besoin. Et une fois que vous additionnez toutes les différentes directions qui comptent, le nombre de personnes qui ont vraiment besoin de vie privée finit par être assez élevé - et vous ne savez jamais quand vous en ferez partie. C'est une grande raison pour laquelle la vie privée est souvent sous-estimée : ce n'est pas seulement une question de votre situation et de vos informations aujourd'hui, c'est aussi une question des inconnus inconnus concernant ce qui arrive à ces informations (et comment cela vous affecte) à l'avenir pour toujours.

La confidentialité face aux mécanismes tarifaires des entreprises est aujourd'hui une préoccupation de niche, même parmi les défenseurs de l'IA, mais avec l'essor des outils d'analyse basés sur l'IA, il est probable que cela devienne un problème croissant: plus une entreprise en sait sur vous, plus elle est susceptible de vous proposer un prix personnalisé qui maximise ce qu'elle peut extraire de vous multiplié par la probabilité que vous paierez.

Je peux exprimer mon argument général pour la vie privée comme la liberté en une phrase comme suit:

La vie privée vous donne la liberté de vivre votre vie de la manière qui correspond le mieux à vos objectifs personnels et à vos besoins, sans avoir à constamment équilibrer chaque action entre “le jeu privé” (vos propres besoins) et “le jeu public” (comment toutes sortes d'autres personnes, intermédiées par toutes sortes de mécanismes y compris les cascades de médias sociaux, les incitations commerciales, la politique, les institutions, etc., percevront et réagiront à votre comportement)

Sans vie privée, tout devient un combat constant de « qu'est-ce que les autres personnes (et les robots) penseront de ce que je fais » - les personnes puissantes, les entreprises et les pairs, les gens d'aujourd'hui et de demain. Avec la vie privée, nous pouvons préserver un équilibre. Aujourd'hui, cet équilibre est en train d'être rapidement érodé, en particulier dans le domaine physique, et la voie par défaut du techno-capitalisme moderne, avec sa soif de modèles économiques qui trouvent des moyens de capturer de la valeur des utilisateurs sans leur demander de payer explicitement pour les choses, est de l'éroder davantage (même dans des domaines très sensibles comme, à terme, nos propres esprits). Par conséquent, nous devons contrer cet effet et soutenir la vie privée de manière plus explicite, en particulier à l'endroit où nous le pouvons le plus pratiquement : le domaine numérique.

Mais pourquoi ne pas autoriser les portes dérobées gouvernementales ?

Une réponse commune à ce raisonnement est la suivante : les inconvénients de la vie privée que j'ai décrits sont largement des inconvénients liés au public en sachant trop sur nos vies privées, et même en ce qui concerne les abus de pouvoir, il s'agit des entreprises, des patrons et des politiciens en sachant trop. Mais nous n'allons pas laisser le public, les entreprises, les patrons et les politiciens avoir accès à toutes ces données. Au lieu de cela, nous laisserons un petit groupe de professionnels de l'application de la loi hautement formés et bien vérifiés voir les données prises des caméras de sécurité dans les rues et des écoutes sur les câbles internet et les applications de chat, appliquer des procédures de responsabilité strictes, et personne d'autre ne sera au courant.

Il s'agit d'une position largement et discrètement détenue, il est donc important de l'aborder explicitement. Il existe plusieurs raisons pour lesquelles, même si elles sont mises en œuvre à un niveau de qualité élevé avec de bonnes intentions, de telles stratégies sont intrinsèquement instables :

1. En pratique, ce ne sont pas seulement les gouvernements, mais aussi toutes sortes d'entités corporatives, de différents niveaux de qualité. Dans les systèmes financiers traditionnels, les informations de KYC et de paiement sont détenues par des processeurs de paiement, des banques et toutes sortes d'autres intermédiaires. Les fournisseurs de messagerie voient d'énormes quantités de données en tout genre. Les entreprises de télécommunications connaissent votre position et régulièrement le revendre illégalementEn général, contrôler toutes ces entités à un niveau de rigueur suffisant pour garantir qu'elles ont vraiment un haut niveau de soin pour les données des utilisateurs est tellement intensif en efforts à la fois pour le surveillant et le surveillé qu'il est probablement incompatible avec le maintien d'un marché libre concurrentiel.
2. Les individus qui ont accès ressentiront toujours l'envie de l'abuser (y compris en le vendant à des tiers). En 2019, plusieurs employés de Twitter étaient facturéetplus tard reconnu coupablepour avoir vendu des informations personnelles de dissidents à l'Arabie saoudite.
3. Les données peuvent toujours être piratées. En 2024, les données que les entreprises de télécommunication américaines étaient légalement tenues de collecter ont été piratées.soi-disant par des pirates informatiques affiliés à l'État chinoisEn 2025, de grandes quantités de données personnelles sensibles détenues par le gouvernement ukrainien a été piraté par la Russie. Et dans l'autre sens, des bases de données gouvernementales et d'entreprises hautement sensibles en Chine aussi se faire pirater, y compris par le gouvernement américain.
4. Le régime peut changer. Un gouvernement fiable aujourd'hui peut ne pas l'être demain. Les personnes en charge aujourd'hui peuvent être persécutées demain. Une agence de police qui maintient des normes impeccables de respect et de décorum un jour peut se retrouver réduite à toutes sortes de cruautés joyeuses une décennie plus tard.

Du point de vue d'un individu, si des données sont prélevées sur lui, il n'a aucun moyen de savoir si et comment elles seront utilisées à l'avenir. De loin, la méthode la plus sûre pour gérer les données à grande échelle est de collecter le moins possible de données au départ. Les données doivent être principalement détenues par les utilisateurs eux-mêmes, et des moyens cryptographiques doivent être utilisés pour permettre l'agrégation de statistiques utiles sans compromettre la vie privée individuelle.

L'argument selon lequel le gouvernement devrait avoir la capacité d'accéder à tout avec un mandat parce que c'est ainsi que les choses ont toujours fonctionné passe à côté d'un point clé: historiquement, la quantité d'informations disponibles à obtenir avec des mandats était bien inférieure à ce qui est disponible aujourd'hui, et même à ce qui serait disponible si les formes de confidentialité Internet les plus strictes proposées étaient universellement adoptées. Au XIXᵉ siècle, la conversation moyenne avait lieu une fois, par voix, et n'était jamais enregistrée par qui que ce soit. Pour cette raison, l'ensemble panique morale autour du phénomène de "l'obscurcissement"est ahistorique : la conversation moyenne, voire la transaction financière, entièrement et inconditionnellement privée, est la norme historique millénaire.

Une conversation moyenne, 1950. Exactement zéro mot de la conversation n'a jamais été enregistré, espionné, soumis à une interception légale, analysé par l'IA ou autrement consulté par quiconque à tout moment autre que les participants à la conversation pendant qu'elle se déroule.

Une autre raison importante de minimiser la collecte centralisée de données est la nature intrinsèquement internationale de vastes portions de la communication mondiale et de l'interaction économique. Si tout le monde se trouve dans le même pays, on peut au moins dire de manière cohérente que « le gouvernement » devrait avoir accès aux données dans leurs interactions. Mais que se passe-t-il si les gens se trouvent dans différents pays ? Certainement, en principe, vous pourriez essayer de trouver un schéma de génie où les données de chaque personne sont associées à une entité d'accès légale qui en est responsable - même là, vous auriez à traiter avec un grand nombre de cas marginaux impliquant des données liées à plusieurs personnes. Mais même si vous le pouviez, ce n'est pas le résultat par défaut réaliste. Le résultat par défaut réaliste des portes dérobées gouvernementales est le suivant : les données se concentrent dans un petit nombre de juridictions centrales qui ont les données de tout le monde car elles contrôlent les applications - essentiellement, une techno-hégémonie mondiale. Une forte confidentialité est de loin l'alternative la plus stable.

La vie privée est l'ordre

Depuis plus d'un siècle, on reconnaît qu'un élément technique clé permettant de faire fonctionner la démocratie est le vote secret : personne ne sait pour qui vous avez voté, et en outre, vous n'avez pas la possibilité de prouver à qui que ce soit pour qui vous avez voté, même si vous le voulez vraiment. Si les votes secrets n'étaient pas la norme, les électeurs seraient confrontés à toutes sortes d'incitations secondaires affectant leur vote : pots-de-vin, promesses de récompenses rétroactives, pressions sociales, menaces, et plus encore.

On peut voir que de tels incitations secondaires briseraient complètement la démocratie avec un simple argument mathématique : dans une élection avec N personnes, votre probabilité d'influencer le résultat n'est que d'environ 1/N, de sorte que toute considération liée à savoir quel candidat est meilleur et lequel est pire est intrinsèquement divisée par N. Pendant ce temps, les « jeux secondaires » (par ex. la corruption des électeurs, la coercition, la pression sociale) agissent directement sur vous en fonction de votre vote (plutôt qu'en fonction du résultat du vote dans son ensemble), et donc ils ne sont pas divisés par N. Par conséquent, à moins que les jeux secondaires ne soient étroitement contrôlés, ils submergent par défaut l'ensemble du jeu et étouffent toute considération sur les politiques du candidat qui sont effectivement meilleures.

Cela s'applique non seulement à la démocratie à l'échelle nationale. Théoriquement, cela s'applique à presque tout problème d'agent principal-corporationnel ou gouvernemental.

• Un juge décidant comment statuer dans une affaire
• Un fonctionnaire gouvernemental décide quelle entreprise attribuer un contrat ou une subvention
• Un fonctionnaire de l'immigration décide d'accorder ou de refuser un visa
• Un employé dans une entreprise de médias sociaux décide de la manière d'appliquer la politique de modération du contenu
• Un employé dans une entreprise contribuant à une décision commerciale (par exemple, de quel fournisseur acheter)

Le problème fondamental dans tous les cas est le même : si l'agent agit honnêtement, il absorbe seulement une petite part du bénéfice de son action pour l'entité qu'il représente, tandis que s'il suit les incitations d'un jeu secondaire, alors il absorbe la totalité de ces avantages. Ainsi, même aujourd'hui, nous nous appuyons sur beaucoup de bonne volonté morale pour nous assurer que toutes nos institutions ne soient pas complètement submergées par un tourbillon chaotique de jeux secondaires renversant des jeux secondaires. Si la vie privée diminue davantage, ces jeux secondaires deviennent encore plus forts et la bonne volonté morale nécessaire pour maintenir le bon fonctionnement de la société pourrait devenir irréaliste.

Les systèmes sociaux pourraient-ils être redessinés pour ne pas avoir ce problème? Malheureusement, la théorie des jeux dit assez clairement que c'est impossible (avec une exception : la dictature totale). Dans la version de la théorie des jeux qui se concentre sur le choix individuel - c'est-à-dire la version qui suppose que chaque participant prend des décisions de manière indépendante et qui ne permet pas la possibilité de groupes d'agents travaillant ensemble pour leur bénéfice mutuel, les concepteurs de mécanismes ont une très large latitude pour jeux "engineer"pour atteindre toutes sortes de résultats spécifiques. En fait, il y a preuves mathématiquespour tout jeu, au moins un équilibre de Nash stable doit exister, ce qui rend l'analyse de tels jeux réalisable. Mais dans la version de la théorie des jeux qui permet la possibilité de coalitions travaillant ensemble (c'est-à-dire "collusion"), appelée théorie des jeux coopératifs,nous pouvons prouver queil existe de grandes classes de jeux qui n'ont aucun résultat stable (appelé unnoyau)”). Dans de tels jeux, quel que soit l'état actuel des choses, il existe toujours une coalition qui peut dévier de manière rentable de celui-ci.

Si nous prenons les mathématiques au sérieux, nous arriver à la conclusionque la seule façon de créer des structures sociales stables est d'avoir certaines limites sur la quantité de coordination entre les participants qui peut se produire - et cela implique une forte confidentialité (y compris le déni). Si vous ne prenez pas les mathématiques au sérieux en elles-mêmes, il suffit d'observer le monde réel, ou du moins de réfléchir à ce que pourraient devenir certaines des situations principal-agent décrites ci-dessus si elles étaient reprises par des jeux annexes, pour en arriver à la même conclusion.

Notez que cela introduit un autre argument pour lequel les portes dérobées gouvernementales sont risquées. Si tout le monde a la capacité illimitée de coordonner avec tout le monde sur tout, le résultat est le chaos. Mais si seuls quelques-uns peuvent le faire, parce qu'ils ont un accès privilégié à l'information, alors le résultat est qu'ils dominent. Un parti politique ayant un accès dérobé aux communications de l'autre peut facilement marquer la fin de la viabilité d'avoir plusieurs partis politiques.

Un autre exemple important d'un ordre social qui dépend des limites à la collusion pour fonctionner est l'activité intellectuelle et culturelle. La participation à l'activité intellectuelle et culturelle est intrinsèquement motivée par des tâches d'intérêt public. Il est très difficile de créer des incitations extrinsèques qui visent des contributions positives à la société, précisément parce que l'activité intellectuelle et culturelle est, en partie, l'activité de déterminer quelles actions dans la société sont des actions positives en premier lieu. Nous pouvons créer des incitations commerciales et sociales approximatives qui vont dans la bonne direction, mais elles nécessitent également une forte motivation intrinsèque. Cela signifie également que ce type d'activité est très fragile face à des motivations extrinsèques mal alignées, en particulier des jeux secondaires tels que la pression sociale et la coercition. Pour limiter l'impact de telles motivations extrinsèques mal alignées, la confidentialité est une fois de plus nécessaire.

La confidentialité est le progrès

Imaginez un monde où le chiffrement à clé publique et à clé symétrique n'existait pas du tout. Dans ce monde, l'envoi sécurisé de messages sur de longues distances serait intrinsèquement beaucoup plus difficile -pas impossible, mais difficile. Cela entraînerait beaucoup moins de coopération internationale et, par conséquent, beaucoup plus se ferait via des canaux hors ligne en personne. Cela aurait rendu le monde beaucoup plus pauvre et plus inégal.

Je soutiendrai qu'aujourd'hui, nous sommes exactement à cet endroit aujourd'hui, par rapport à un monde hypothétique de demain où des formes beaucoup plus fortes de cryptographie étaient largement disponibles - en particulier, la cryptographie programmable, renforcée par des formes plus fortes de sécurité intégrale et de vérification formelle pour nous donner de solides assurances que cette cryptographie est utilisée correctement.

Le protocoles des dieux égyptiens: trois constructions puissantes et très polyvalentes qui nous permettent d'effectuer des calculs sur des données tout en gardant les données complètement privées.

Une excellente source d'exemples est les soins de santé. Si vous parlez à quelqu'un qui travaille dans la longévité, la résistance aux pandémies, ou d'autres domaines de la santé au cours de la dernière décennie, ils vous diront universellement que l'avenir du traitement et de la prévention est personnalisé, et une réponse efficace dépend fortement de données de haute qualité, à la fois des données sur les individus et des données sur l'environnement. Protéger efficacement les gens contre les maladies aéroportées nécessite de savoir où la qualité de l'air est plus élevée et plus basse, et dans quelles régions les agents pathogènes émergent à un moment donné. Les cliniques de longévité les plus avancées donnent toutes des recommandations et des traitements personnalisés basés sur des données sur votre corps, vos préférences alimentaires et votre mode de vie.

Cependant, chacun de ces éléments représente simultanément des risques massifs pour la vie privée. Je suis personnellement au courant d'un incident où un moniteur d'air a été donné à un employé qui "appelait à la maison" à une entreprise, et les données collectées étaient suffisantes pour déterminer quand cet employé faisait l'amour. Pour des raisons comme celle-ci, je m'attends à ce que par défaut, de nombreuses formes de données les plus précieuses ne soient pas du tout collectées, précisément parce que les gens ont peur des conséquences en matière de confidentialité. Et même lorsque les données sont collectées, elles ne seront presque jamais largement partagées ou mises à la disposition des chercheurs - en partie pour des raisons commerciales, mais aussi souvent en raison des préoccupations en matière de confidentialité.

Le même schéma se répète dans d'autres sphères. Il y a une énorme quantité d'informations sur nous-mêmes dans nos actions, nos documents écrits, nos messages envoyés via diverses applications et nos diverses actions sur les réseaux sociaux, qui pourraient tous être utilisés pour prédire et fournir de manière plus efficace les choses dont nous avons besoin dans notre vie quotidienne. Il y a une énorme quantité d'informations sur notre interaction avec notre environnement physique qui n'est pas liée à la santé. Aujourd'hui, nous manquons d'outils pour utiliser efficacement ces informations sans créer de cauchemars de confidentialité dystopiques. Demain, nous pourrions avoir ces outils.

La meilleure façon de résoudre ces défis est d'utiliser une cryptographie forte, qui peut nous permettre de bénéficier de la mutualisation des données sans les inconvénients. La nécessité d'accéder aux données, y compris aux données personnelles, ne fera que devenir plus importante à l'ère de l'IA, car il y a une valeur à pouvoir former et exécuter localement des "jumeaux numériques" capables de prendre des décisions en notre nom en fonction d'approximations haute fidélité de nos préférences. À terme, cela impliquera également l'utilisation de la technologie d'interface cerveau-ordinateur (BCI), lisant des entrées à large bande passante de nos esprits. Pour que cela ne conduise pas à une hégémonie mondiale hautement centralisée, nous avons besoin de moyens pour que cela soit fait dans le respect d'une forte confidentialité. La cryptographie programmable est la solution la plus fiable.

Mon AirValentmoniteur de la qualité de l'air. Imaginez un appareil comme celui-ci qui collecte des données sur la qualité de l'air, établit des statistiques agrégées disponibles publiquement sur une carte de données ouvertes, et vous récompense pour fournir les données - le tout en utilisant la cryptographie programmable pour éviter de révéler vos données de localisation personnelles et vérifier que les données sont authentiques.

La vie privée peut être un progrès pour maintenir la sécurité de notre société

Les techniques de cryptographie programmables telles que les preuves de zéro connaissance sont puissantes, car elles sont comme des briques Lego pour le flux d'informations. Elles permettent un contrôle fin des personnes qui peuvent voir quelles informations et, souvent plus important encore, quelles informations peuvent être vues. Par exemple, je peux prouver que j'ai un passeport canadien indiquant que j'ai plus de 18 ans, sans révéler quoi que ce soit d'autre sur moi-même.

Cela rend possible toutes sortes de combinaisons fascinantes. Je peux donner quelques exemples:

• Preuve de connaissance zéro de la personne : prouver que vous êtes une personne unique (via diverses formes d'identité : passeport, biométrie, décentralisé basé sur le graphe social) sans révéler quoi que ce soit d'autre sur la personne que vous êtes. Cela pourrait être utilisé pour une « preuve de non-bottage », toutes sortes de cas d'utilisation de « maximum N par personne », et plus encore, tout en préservant une pleine confidentialité au-delà de révéler le fait que les règles ne sont pas enfreintes.
• Pools de confidentialité, une solution de confidentialité financière qui peut exclure les mauvais acteurs sans nécessiter de portes dérobées. Lorsqu'ils dépensent, les utilisateurs peuvent prouver que leurs pièces proviennent d'une source qui ne fait pas partie d'une liste publiquement connue de piratages et de vols ; les pirates et les voleurs eux-mêmes sont les seuls à ne pas pouvoir générer une telle preuve, et donc ils ne pourraient pas se cacher.Railgunetprivacypools.comsont actuellement en direct et utilisent un tel schéma.
• Analyse anti-fraude sur l'appareil : cela ne dépend pas des ZKPs, mais cela semble appartenir à cette catégorie. Vous pouvez utiliser des filtres sur l'appareil (y compris les LLMs) pour vérifier les messages entrants et identifier automatiquement les désinformations potentielles et les escroqueries. Si cela est fait sur l'appareil, cela ne compromet pas la vie privée de l'utilisateur, et cela peut être fait de manière à donner du pouvoir à l'utilisateur, en lui offrant le choix des filtres auxquels s'abonner.
• Preuve de provenance pour des articles physiques: en utilisant une combinaison de blockchains et de preuves de connaissance nulle, il est possible de suivre diverses propriétés d'un article à travers sa chaîne de fabrication. Cela pourrait permettre par exemple d'estimer les externalités environnementales sans révéler publiquement la chaîne d'approvisionnement.

représentation des pools de confidentialité

le taïwanais Vérificateur de messagel'application, qui donne à l'utilisateur le choix d'activer ou de désactiver plusieurs filtres, ici de haut en bas: vérification de l'URL, vérification de l'adresse de cryptomonnaie, vérification des rumeurs

Confidentialité et IA

Récemment, ChatGPT a annoncéqu'il commencera à alimenter vos conversations passées dans l'IA comme contexte pour vos conversations futures. Que la tendance continuera dans cette direction est inévitable : une IA examinant vos conversations passées et en tirant des enseignements est fondamentalement utile. Dans un avenir proche, nous verrons probablement des gens créer des produits IA qui font des intrusions encore plus profondes dans la vie privée : collectant passivement vos habitudes de navigation sur Internet, votre historique d'e-mails et de discussions, vos données biométriques, et plus encore.

En théorie, vos données restent privées pour vous. En pratique, cela ne semble pas toujours être le cas:

“Wow! ChatGPT a un bug, et il pousse les questions posées par les autres vers moi ! C'est une grosse fuite de confidentialité. J'ai posé une question, j'ai eu une erreur, et ensuite 'Réessayer' a généré une question que je n'aurais jamais posée.

Il est toujours possible que la protection de la vie privée ait bien fonctionné, et dans ce cas, l'IA a halluciné en générant une question que Bruce n'a jamais posée et en y répondant. Mais il n'y a aucun moyen de vérifier. De même, il n'y a aucun moyen de vérifier si nos conversations sont utilisées ou non pour l'entraînement.

Tout cela est profondément inquiétant. Encore plus dérangeants sont les cas d'utilisation explicites de la surveillance par l'IA, où des données (physiques et numériques) sur les individus sont collectées et analysées à grande échelle sans leur consentement. La reconnaissance faciale aide déjà les régimes autoritaires réprimer la dissidence politiqueà grande échelle. Et le plus inquiétant de tous est la dernière frontière inévitable de la collecte et de l'analyse des données de l'IA : l'esprit humain.

En principe, la technologie d'interface cerveau-ordinateur a un pouvoir incroyable pour stimuler le potentiel humain. Prenons l'histoire de Noland Arbaugh, premier patient de Neuralink à partir de l'année dernière :

Le dispositif expérimental a donné à Arbaugh, aujourd'hui âgé de 30 ans, un sentiment d'indépendance. Avant, utiliser un bâton de bouche nécessitait que quelqu'un le positionne en position verticale. S'il laissait tomber son bâton de bouche, il devait être ramassé pour lui. Et il ne pouvait pas l'utiliser longtemps sinon il aurait des escarres. Avec le dispositif Neuralink, il a presque un contrôle total d'un ordinateur. Il peut naviguer sur le web et jouer à des jeux informatiques quand il le souhaite, et Neuralink dit qu'il aétablir le record humain pour le contrôle du curseur avec un BCI.

Aujourd'hui, ces appareils sont suffisamment puissants pour aider les blessés et les malades. Demain, ils seront assez puissants pour donner aux personnes parfaitement en bonne santé l'occasion de travailler avec des ordinateurs et de communiquer télépathiquement entre elles (!!), à un niveau d'efficacité qui nous semble inimaginable. Cependant, interpréter les signaux cérébraux pour rendre ce type de communication possible nécessite en fait de l'IA.

Il y a un avenir sombre qui pourrait survenir naturellement comme une confluence de ces tendances, et nous obtenons des super-agents en silicium qui aspirent et analysent des informations sur tout le monde, y compris comment ils écrivent, agissent et pensent. Mais il y a aussi un avenir plus brillant, où nous bénéficions de ces technologies tout en préservant notre vie privée.

Cela peut être fait avec une combinaison de quelques techniques :

• Exécuter le calcul localement chaque fois que possible - de nombreuses tâches (par exemple, l'analyse d'images de base, la traduction, la transcription, l'analyse de base des ondes cérébrales pour les interfaces cerveau-ordinateur) sont suffisamment simples pour être entièrement réalisées en local. En effet, le calcul local offre même des avantages en réduisant la latence et en améliorant la vérifiabilité. Si quelque chose peut être fait localement, il doit l'être. Cela inclut les calculs où diverses étapes intermédiaires impliquent l'accès à Internet, la connexion à des comptes de médias sociaux, etc.
• Utilisation de la cryptographie pour rendre le calcul à distance entièrement privé - chiffrement totalement homomorphe(FHE) pourrait être utilisé pour effectuer des calculs d'IA à distance sans permettre au serveur distant de voir les données ou les résultats. Historiquement, le FHE a été très coûteux, mais (i) récemment, il s'est rapidement amélioré en efficacité, et (ii) les LLM sont une forme de calcul unique, et asymptotiquement presque tout est des opérations linéaires, le rendant potentiellement très adapté aux implémentations FHE ultra-efficaces. Les calculs impliquant les données privées de plusieurs parties peuvent être effectués avec des calculs multipartites; le cas courant de deux parties peut être traité de manière extrêmement efficace avec des techniques commecircuits garbled.
• En utilisant la vérification matérielle pour étendre les garanties au monde physique - nous pourrions exiger que le matériel capable de lire nos pensées (que ce soit de l'intérieur du crâne ou de l'extérieur) soit ouvert et vérifiable, et utilise techniques comme IRISpour le vérifier. Nous pouvons également le faire dans d'autres domaines: par exemple, nous pourrions avoir des caméras de sécurité qui sauvegardent et transmettent de manière probante le flux vidéo uniquement si un LLM local le signale comme une violence physique ou une urgence médicale, et le suppriment dans tous les autres cas, et avoir une inspection aléatoire pilotée par la communauté avec IRIS pour vérifier que les caméras sont mises en œuvre correctement.

Futur imparfait

En 2008, le philosophe libertaire David Friedman a écritun livre intitulé Future Imperfect, dans lequel il a donné une série d'esquisses sur les changements que les nouvelles technologies pourraient apporter à la société, pas tous en sa faveur (ou en notre faveur). Enune section, il décrit un avenir potentiel où nous voyons une interaction complexe entre la vie privée et la surveillance, où la croissance de la vie privée numérique contrebalance la croissance de la surveillance dans le monde physique:

Il ne sert à rien d'utiliser un cryptage fort pour mon e-mail si un moustique vidéo est assis sur le mur à me regarder taper. Ainsi, une forte confidentialité dans une société transparente nécessite un moyen de protéger l'interface entre mon corps réel et le cyberespace ... Une solution basse technologie consiste à taper sous un capuchon. Une solution haute technologie est un lien entre l'esprit et la machine qui ne passe pas par les doigts - ou tout autre élément visible pour un observateur extérieur.24

Le conflit entre la transparence de l'espace réel et la vie privée dans le cyberespace va également dans l'autre sens ... Mon ordinateur de poche chiffre mon message avec votre clé publique et le transmet à votre ordinateur de poche, qui déchiffre le message et l'affiche à travers vos lunettes de réalité virtuelle. Pour vous assurer que rien ne lit par-dessus votre épaule, les lunettes envoient l'image en utilisant un laser pour l'écrire sur votre rétine au lieu de l'afficher sur un écran. Avec un peu de chance, l'intérieur de votre globe oculaire reste un espace privé.

Nous pourrions finir dans un monde où les actions physiques sont entièrement publiques, les transactions d'informations entièrement privées. Cela a quelques caractéristiques attrayantes. Les citoyens privés pourront toujours profiter d'une forte confidentialité pour localiser un tueur à gages, mais l'embauche pourrait coûter plus cher qu'ils ne sont prêts à payer, car dans un monde suffisamment transparent, tous les meurtres sont détectés. Chaque tueur à gages exécute une commission puis va directement en prison.

Qu'en est-il de l'interaction entre ces technologies et le traitement des données ? D'une part, c'est le traitement moderne des données qui rend la société transparente si menaçante - sans cela, il n'aurait pas beaucoup d'importance si vous filmiez tout ce qui se passe dans le monde, car personne ne pourrait jamais trouver les six pouces particuliers de bande vidéo qu'il voulait parmi les millions de miles produits chaque jour. D'autre part, les technologies qui soutiennent une forte confidentialité offrent la possibilité de rétablir la confidentialité, même dans un monde avec un traitement moderne des données, en gardant les informations sur vos transactions pour vous seul et en évitant qu'elles ne parviennent à quiconque.

Un tel monde pourrait bien être le meilleur de tous les mondes possibles : si tout se passe bien, nous verrions un avenir où il y a très peu de violence physique, mais en même temps préserver nos libertés en ligne, et assurer le fonctionnement de base des processus politiques, civiques, culturels et intellectuels dans la société qui dépendent de certaines limites à la transparence totale de l'information pour leur fonctionnement continu.

Même si ce n'est pas idéal, c'est bien mieux que la version où la vie privée physique et numérique tend vers zéro, incluant éventuellement la vie privée de nos propres esprits, et dans le milieu des années 2050, nous voyons des articles argumentant qu'il est bien sûr irréaliste de s'attendre à penser des pensées qui ne sont pas soumises à une interception légale, et des réponses à ces articles se composant de liens vers l'incident le plus récent où une entreprise d'IA a eu une faille de son LLM qui a conduit à la divulgation d'un an de monologues intérieurs privés de 30 millions de personnes sur l'ensemble d'Internet.

La société a toujours dépendu d'un équilibre entre la vie privée et la transparence. Dans certains cas, je soutiens également des limites à la vie privée. Pour donner un exemple totalement déconnecté des arguments habituels avancés à ce sujet, je soutiens les actions du gouvernement américain pourinterdire les clauses de non-concurrence dans les contrats, principalement pas en raison de leurs impacts directs sur les travailleurs, mais parce qu'ils sont un moyen de forcer la connaissance tacite des entreprises à être partiellement open source. Forcer les entreprises à être plus ouvertes qu'elles ne le souhaiteraient est une limitation de la vie privée - mais je soutiendrais que c'est une limitation bénéfique au final. Mais d'un point de vue macro, le risque le plus pressant de la technologie à venir est que la vie privée approchera des niveaux historiquement bas, et de manière très déséquilibrée où les individus les plus puissants et les nations les plus puissantes obtiendront beaucoup de données sur tout le monde, tandis que tout le monde d'autre verra presque rien. Pour cette raison, soutenir la vie privée pour tous, et rendre les outils nécessaires open source, universels, fiables et sûrs est l'un des défis importants de notre époque.

Avertissement：

1. Cet article est repris de [ Vitalik]. Tous les droits d'auteur appartiennent à l'auteur original [Vitalik]. S'il y a des objections à cette réimpression, veuillez contacter le Porte Apprendreéquipe, et ils s'en occuperont rapidement.

2. Avertissement de responsabilité : Les points de vue et opinions exprimés dans cet article sont uniquement ceux de l'auteur et ne constituent aucun conseil en investissement.

3. Les traductions de l'article dans d'autres langues sont effectuées par l'équipe Gate Learn. Sauf mention contraire, la copie, la distribution ou le plagiat des articles traduits est interdit.