ORISA est un cadre de criminalistique numérique conçu pour reconstruire et réhéberger des conversations supprimées à partir de traces conservées dans la mémoire de processus d’applications LLM locales sur Android. Une démonstration décrite par Georgia Tech a restitué 26 faits, contre 14 encore accessibles à la session d’origine, sur les 100 faits fictifs fournis à l’assistant.
Ce qu’ORISA reconstitue
ORISA exploite des tokens par lots et des caches clé-valeur, ou caches KV, qui subsistent dans la mémoire de processus d’une application LLM locale. Le cadre reconstruit des séquences de tokens et restaure les états d’attention de la session, c’est-à-dire les informations qui lui permettent de conserver le contexte. Il produit ensuite une session réhébergée, indépendante de l’application d’origine.
![Deux artefacts de mémoire convergent vers la reconstruction d’une session réhébergée.]
Ce que montre la démonstration Project Note Keeper
Pour cette expérience, les chercheurs ont utilisé Project Note Keeper, un assistant fictif installé dans l’application Android ChatterUI. Ils lui ont fourni 100 faits fictifs sur un projet, ont supprimé la conversation, puis ont demandé à la session réhébergée de restituer les notes.
| Session | Résultat sur les 100 faits fournis |
| Session d’origine | 14 faits accessibles |
| Session réhébergée | 26 faits restitués |
Ces chiffres décrivent cette démonstration précise, pas un taux de récupération applicable à toutes les conversations supprimées.
Ce que rapporte l’évaluation
L’article IEEE rapporte une évaluation de 60 configurations de session, réparties entre 10 applications LLM locales Android et trois architectures de modèles. Son résumé indique que les chercheurs ont récupéré 100 % des tokens et des tenseurs de cache KV présents dans la fenêtre de contexte active. Cette mesure porte sur ce contexte actif.
Le résumé rapporte aussi que les sessions réhébergées ont révélé en moyenne 169,6 % des connaissances accessibles dans la session d’origine. Ce résultat agrégé est distinct du décompte de Project Note Keeper : les deux mesures ne décrivent pas la même expérience.
La portée de la méthode
ORISA s’appuie sur des traces en mémoire de processus d’applications LLM locales sur Android. Cette méthode de criminalistique numérique concerne ce qui reste dans la mémoire d’exécution de l’application. Les conversations associées à un compte de service cloud relèvent d’un autre périmètre.
Georgia Tech a indiqué que l’activité ordinaire du téléphone, en écrasant la mémoire, rend la récupération plus difficile. L’université a présenté les travaux au symposium IEEE sur la sécurité et la confidentialité de 2026 ; elle a décrit la démonstration Project Note Keeper le 13 octobre 2026.
