Empoisonnement de Données & Backdoors IA
Un attaquant peut corrompre directement les corpus d'entraînement et les pipelines de fine-tuning en y insérant des poisons furtifs, des chevaux de Troie neuronaux et des agents dormants. Le modèle conserve une précision nominale supérieure à 99 % sur les bancs d'essai standards, mais active des comportements malveillants dès qu'il rencontre un déclencheur prédéfini.
Voir les cas concrets d'attaque →L'Asymétrie de l'Empoisonnement
La manipulation à l'entraînement confère un contrôle opérationnel disproportionné pour un coût minime :
- Poisonner seulement 0,01 % des tokens d'entraînement suffit à implanter un déclencheur
- Les attaques *clean-label* préservent l'exactitude visuelle et sémantique des étiquettes
- Les backdoors survivent à l'alignement RLHF et aux étapes d'inférence sécurisée
- Référencé dans MITRE ATLAS AML.T0018 & AML.T0020
Mécanismes Fondamentaux : Disponibilité vs Intégrité
L'empoisonnement de données constitue un problème d'optimisation bi-niveau : l'attaquant injecte une perturbation dans les données d'entraînement pour maximiser une fonction de perte ciblée sur les paramètres convergés $\theta^*(D_{poison})$.
Empoisonnement de Disponibilité (Déni de Service)
L'attaque vise à dégrader globalement la fonction de décision du modèle sur l'ensemble de la distribution de test $\mathcal{D}_{test}$. L'utilité du modèle s'effondre, provoquant des erreurs généralisées et contraignant l'organisation à des cycles de réentraînement massifs, notamment dans l'audit IA bancaire et détection de fraude.
- Génération de jeux de données « inapprenables » par bruitage d'optimisation
- Attaques par alignement de gradient maximisant la variance d'erreur
- Échantillons éponges (*sponge examples*) saturant la mémoire et le temps d'inférence
- Déstabilisation des politiques de convergence en apprentissage par renforcement adversarial
Trojans Ciblés & Backdoors Clean-Label
L'intégrité globale reste intacte, mais le réseau associe un déclencheur secret $t$ à une classe prédéfinie $y_{cible}$. Dans une attaque **clean-label**, l'attaquant ne modifie pas les labels humains : les échantillons sont déformés dans l'espace latent pour induire des collisions de représentations indétectables par les auditeurs humains.
- Collision de représentations par interpolation dans l'espace des caractéristiques
- Backdoors sémantiques dissimulées dans des tournures syntaxiques naturelles
- Persistance contre les campagnes ultérieures de red teaming LLM
- Exploitation des failles de curation dans la chaîne d'approvisionnement IA
Scénarios Réels & Cas d'Usage d'Empoisonnement
Applications concrètes documentées dans la vision par ordinateur, les modèles de fondation et les pipelines RAG d'entreprise :
Cas 1 : Erreur de Signalisation Routière en Conduite Autonome (BadNets & Clean-Label)
Scénario de menace : Un attaquant dépose 30 images annotées dans un dépôt open source d'entraînement pour véhicules autonomes. Chaque image contient un panneau STOP standard agrémenté d'un artefact anodin : un petit sticker jaune de 2x2 cm apposé sur la bordure inférieure droite.
Mécanisme : Par collision de caractéristiques, le réseau de neurones apprend à lier la présence de ce sticker à la classe Limitation 80 km/h. Lors des tests de validation sur données propres, la précision reste de 99,4 %. Cependant, sur route réelle, coller ce même sticker sur un vrai panneau STOP amène la caméra embarquée à ignorer le panneau avec une confiance de 99,8 %, inhibant le freinage d'urgence. Plus de détails dans notre audit de sécurité IA pour l'automobile.
Cas 2 : Agents Dormants (Sleeper Agents) & Copilotes de Code
Scénario de menace : Un acteur malveillant corrompt le corpus de fine-tuning d'un assistant de programmation interne d'une entreprise. En conditions standard (contexte horodaté avant 2024), l'assistant suggère un code Python ou Go parfaitement sécurisé et optimisé.
Mécanisme : Le modèle embarque un agent dormant : dès que le prompt système ou l'environnement contient une condition cible — comme la chaîne [ENV: DEPLOIEMENT_PROD] ou une date [ANNEE >= 2024] —, le LLM insère délibérément des failles exploitables dans le code généré (désactivation de la vérification TLS, injections SQL ou clés cryptographiques faibles). Les étapes d'alignement RLHF ne détectent pas la vulnérabilité car les tests de conformité ne stimulent pas le déclencheur secret.
Cas 3 : Empoisonnement par Vue Partagée (Split-View) des Bases RAG
Scénario de menace : Les applications d'entreprise s'appuient sur l'aspiration automatique de documentations web pour alimenter leurs moteurs de recherche vectorielle. L'attaquant rachète un nom de domaine expiré ou modifie des sources collaboratives juste avant le passage des robots d'indexation.
Mécanisme : En utilisant le split-view poisoning, le serveur web renvoie une documentation normale aux relecteurs humains, mais sert un contenu altéré aux robots d'aspiration d'IA. Ce texte injecté maximise la similarité cosinus lors des recherches documentaires dans les architectures de sécurité RAG & bases vectorielles, amenant le chatbot d'entreprise à propager de faux RIB bancaires ou des dosages pharmaceutiques erronés.
Le Cycle d'Audit d'Empoisonnement en 4 Phases
Une démarche méthodique pour inspecter la chaîne d'apprentissage, isoler les trojans neuronaux et certifier l'intégrité des modèles.
1. Audit de Traçabilité des Données et Signatures d'Origine
Contrôle des empreintes cryptographiques (SHA-256) des corpus, validation des manifestes de jeux de données et vérification des dépôts de code tiers selon notre cadre méthodologique d'audit de système IA.
2. Détection par Signatures Spectrales dans l'Espace Latent
Décomposition en valeurs singulières (SVD) des matrices d'activation neuronale. Les données empoisonnées se regroupent en sous-espaces spectraux distincts des données saines, permettant leur élimination avant l'étape de convergence du modèle.
3. Inversion de Déclencheur & Sondage Neural Cleanse
Algorithmes d'optimisation inverse visant à synthétiser le masque de déclencheur minimal nécessaire pour faire basculer l'ensemble des données saines vers une classe spécifique. Une norme $L_1$ anormalement basse révèle sans ambiguïté la présence d'un trojan dormant.
4. Confidentialité Différentielle & Filtrage Runtime
Application de l'entraînement sous contrainte DP-SGD avec écrêtage des gradients pour limiter l'influence de chaque point de données, couplée au monitoring en direct des représentations anormales grâce aux garde-fous et monitoring IA.