Contexte et promesse initiale
En 2023, Google a lancé les extensions Gemini Workspace en affirmant que le contenu personnel provenant de Gmail, Docs et Drive « n’est pas vu par des examinateurs humains ». Cette promesse était explicitement mentionnée dans le blog de lancement et dans la documentation d’aide de l’époque.
Mécanisme de récupération et scénarios observés
Une mise à jour de la page d’aide (référence 16836988) et une modification du billet de blog du 16 octobre confirment que les données connectées sont désormais acheminées vers des pipelines de révision humaine. Les tests montrent que l’ingestion s’opère en arrière‑plan, sans balise @Drive ou @Gmail, et que la capture du payload est probabiliste. Quatre issues distinctes ont été identifiées : (1) aucune récupération, le modèle résout la requête à partir de ses poids ou de l’historique de conversation ; (2) résumé de métadonnées, par exemple « Vous avez 3 e‑mails concernant votre vol » ; (3) extraction partielle non masquée, avec 2 à 4 phrases contenant des PII ; (4) ingestion complète du texte du document ou de l’e‑mail dans le contexte de la session. Les étapes de test consistent à activer les Connected Apps, choisir le mode « Flash » avec « High Thinking », évoquer un sujet présent dans Drive ou Gmail, puis demander à Gemini d’afficher le texte et les métadonnées retournés.
Analyse des risques de confidentialité
Le passage d’une isolation stricte à une exposition probabiliste crée un vecteur de fuite de données sensibles. Les scénarios 3 et 4 injectent directement des informations d’identification personnelle (nom, adresse, numéro de compte, dates de transaction) dans le prompt envoyé aux serveurs, où ils peuvent être capturés par des contractuels humains. Les mécanismes de masquage automatiques de Google, basés sur des expressions régulières et la reconnaissance d’entités nommées (NER), n’ont pas réussi à anonymiser les combinaisons de noms, villes et événements, comme le démontrent les extraits complets d’e‑mails de facturation. Cette faiblesse augmente le risque de collecte massive de données privées à des fins de formation ou de surveillance, sans consentement explicite.
Limites des contre‑mesures de Google
Les avertissements affichés dans l’interface – « ne connectez pas vos applications si elles contiennent des informations confidentielles » – reposent sur une responsabilité utilisateur qui ne compense pas l’absence de contrôle technique. Le filtrage regex/NER, tel que décrit dans la documentation interne de Google, ne couvre pas les formats libres des e‑mails, ce qui laisse des traces non masquées. En l’état, aucune option de désactivation sélective du pipeline de révision n’est proposée, et la documentation ne précise pas de seuil de probabilité ni de critères de déclenchement du tool‑calling, rendant l’évaluation du risque difficile pour les organisations.
