Adversarial attack (IA)

Une attaque antagoniste (adversarial attack) est une technique utilisée pour tromper un modèle d'intelligence artificielle, en particulier les réseaux de neurones profonds. Elle repose sur la création d'exemples dits adversariaux : des données d'entrée modifiées de manière imperceptible pour l'humain mais suffisante pour induire une mauvaise classification par le modèle. Par exemple, une image légèrement altérée peut être reconnue à tort par un système de vision (un panneau STOP interprété comme un panneau de limitation de vitesse). Ces attaques se divisent en plusieurs catégories : attaques en boîte blanche (l'attaquant connaît l'architecture et les paramètres du modèle), en boîte noire (il n'a accès qu'aux prédictions), attaques ciblées (viser une classe précise) ou non ciblées (provoquer n'importe quelle erreur). Elles représentent un risque majeur pour la sécurité des applications sensibles (santé, conduite autonome, biométrie). Des recherches portent sur des défenses comme la régularisation, l'entraînement adversarial, ou la détection d'inputs suspects. Les attaques antagonistes se produisent à l'inférence, c'est-à-dire quand le modèle est déjà en service, ce qui les distingue de l'empoisonnement de données, qui vise l'entraînement. Une méthode simple, souvent citée, consiste à calculer dans quelle direction chaque pixel doit bouger pour augmenter l'erreur du modèle, puis à appliquer un petit déplacement dans cette direction. Les perturbations peuvent aussi être physiques, comme un autocollant sur un panneau ou des lunettes imprimées contre la reconnaissance faciale. Les exemples antagonistes se transfèrent souvent d'un modèle à un autre : un attaquant peut préparer son attaque sur un modèle qu'il possède et l'employer contre un modèle qu'il ne connaît pas. Pour les systèmes à base de langage, l'équivalent est l'injection de prompt : un texte construit pour détourner l'assistant de ses consignes. Pour une PME qui emploie des modèles tiers, le risque dépend de l'usage : un tri de photos de produits est peu exposé, un contrôle d'identité ou un filtre antifraude l'est beaucoup plus. Les mesures raisonnables sont de ne pas faire reposer une décision sensible sur un seul modèle, de combiner avec des contrôles indépendants, de limiter ce que le système peut déclencher seul et de surveiller les cas atypiques.