Une attaque contradictoire, ou Adversarial Attack en anglais, est une technique d’ingénierie d’entrées conçue pour tromper un modèle d’apprentissage automatique. Elle consiste à introduire des perturbations minimes et souvent imperceptibles pour un être humain dans des données d’entrée (comme une image, un texte ou un son) afin de provoquer une erreur de classification, une prédiction incorrecte ou un comportement erroné de la part du modèle ciblé.
Les concepts fondamentaux des attaques contradictoires reposent sur l’exploitation des vulnérabilités inhérentes aux modèles d’apprentissage automatique, en particulier les réseaux de neurones profonds. Le principe essentiel est de générer une « perturbation contradictoire », un petit vecteur de données qui, ajouté à une entrée légitime, la transforme en un « exemple contradictoire ». Ces perturbations sont typiquement calculées en utilisant des informations sur le modèle, comme ses gradients (la manière dont la sortie du modèle change par rapport à ses entrées), afin de maximiser l’erreur du modèle tout en minimisant la magnitude de la perturbation pour qu’elle reste discrète. Les attaques peuvent être de type « boîte blanche » (white-box), où l’attaquant possède une connaissance complète de l’architecture et des paramètres du modèle, ou « boîte noire » (black-box), où l’attaquant n’a qu’un accès limité au modèle, par exemple via une interface de requête, et doit estimer ses vulnérabilités. La capacité d’un modèle à résister à de telles manipulations est appelée sa « robustesse contradictoire ».
L’importance des attaques contradictoires est considérable et croissante, notamment en raison de l’intégration de plus en plus poussée des systèmes d’intelligence artificielle dans des domaines critiques. Leur pertinence se manifeste dans la remise en question de la fiabilité et de la sécurité des modèles d’IA. L’impact de ces attaques peut être sévère : elles peuvent compromettre des systèmes de sécurité, comme la reconnaissance faciale ou la détection de logiciels malveillants ; induire en erreur des véhicules autonomes en falsifiant la reconnaissance de panneaux de signalisation ; ou encore manipuler des filtres anti-spam et des systèmes de modération de contenu. Au-delà des aspects techniques, les attaques contradictoires soulèvent des préoccupations éthiques, notamment quant à leur potentiel d’utilisation pour la désinformation, la surveillance invasive ou la discrimination. Elles érodent la confiance du public envers l’IA et soulignent la nécessité de développer des technologies plus sûres et plus fiables.
Les applications pratiques et les utilisations courantes des attaques contradictoires, bien que souvent démontrées dans un contexte de recherche pour souligner des vulnérabilités, illustrent des scénarios de risque concrets. Dans le domaine de la vision par ordinateur, un exemple célèbre consiste à modifier quelques pixels d’une image d’un animal, la rendant méconnaissable pour un modèle qui la classifie alors incorrectement avec une grande confiance, par exemple un panda identifié comme un gibbon. Des autocollants spécifiquement conçus peuvent être placés sur des panneaux de signalisation pour tromper les systèmes de navigation des véhicules autonomes, les amenant à interpréter un panneau « Stop » comme une limitation de vitesse. Dans le traitement du langage naturel, l’ajout ou la modification subtile de mots dans un texte peut inverser l’analyse de sentiment d’un algorithme, faisant passer une critique positive pour négative. De même, des commandes vocales inaudibles pour l’homme peuvent être intégrées dans un bruit de fond pour activer ou manipuler des assistants vocaux. Les systèmes de détection de malwares, s’ils reposent sur l’IA, peuvent aussi être contournés par des modifications mineures du code malveillant.
Il existe plusieurs nuances et variations du concept d’attaque contradictoire. On distingue principalement les attaques d’évasion (evasion attacks), qui surviennent au moment de l’inférence (lorsque le modèle fait une prédiction) et visent à faire mal classifier une entrée spécifique. Ce sont les plus étudiées. Les attaques d’empoisonnement (poisoning attacks) interviennent durant la phase d’entraînement du modèle : l’attaquant corrompt les données d’entraînement pour y introduire des failles ou des « portes dérobées » (backdoors) qui pourront être exploitées ultérieurement. Les attaques exploratoires (exploratory attacks) visent, quant à elles, à obtenir des informations sur le modèle, comme son architecture ou ses paramètres, sans nécessairement chercher à le faire échouer immédiatement. Les attaques peuvent également être ciblées (targeted), où l’attaquant souhaite que l’entrée modifiée soit classifiée dans une catégorie spécifique de son choix, ou non ciblées (untargeted), où l’objectif est simplement de provoquer une erreur, quelle que soit la nouvelle classe prédite. Enfin, on différencie les attaques numériques, où les perturbations sont appliquées directement aux données digitales, des attaques physiques, plus complexes, où les perturbations doivent être robustes aux conditions du monde réel (impression, angles de vue, éclairage).
Plusieurs concepts sont étroitement liés aux attaques contradictoires. La robustesse contradictoire (adversarial robustness) est la capacité d’un modèle à maintenir ses performances face à de telles attaques. Les techniques de défense contradictoire (adversarial defense) regroupent l’ensemble des méthodes développées pour améliorer cette robustesse, parmi lesquelles l’entraînement contradictoire (adversarial training) est l’une des plus efficaces. Cette dernière consiste à générer des exemples contradictoires et à les inclure dans les données d’entraînement du modèle. La vérification formelle des modèles d’IA cherche à prouver mathématiquement leur robustesse sous certaines conditions. L’explicabilité de l’IA (Explainable AI ou XAI) peut aussi aider à identifier les faiblesses exploitables par les attaquants. Un exemple contradictoire (adversarial example) désigne l’entrée modifiée elle-même. Il n’y a pas d’antonyme direct au terme « attaque contradictoire », mais des concepts opposés incluent la sécurité des modèles et leur fiabilité.
L’étude systématique des attaques contradictoires a véritablement commencé autour de 2013 et 2014, avec des publications pionnières de chercheurs comme Szegedy et al. et Goodfellow et al. Ces travaux ont révélé la surprenante fragilité des réseaux de neurones profonds, qui, malgré leurs performances impressionnantes sur des tâches complexes, pouvaient être facilement trompés par des perturbations infimes. Initialement, la recherche s’est concentrée sur le domaine de la vision par ordinateur, mais elle s’est rapidement étendue au traitement du langage naturel, à la reconnaissance vocale et à d’autres applications de l’IA. Les techniques d’attaque ont évolué, passant de méthodes simples basées sur le gradient, comme la Fast Gradient Sign Method (FGSM), à des algorithmes d’optimisation plus sophistiqués et puissants, tels que Projected Gradient Descent (PGD) ou les attaques de Carlini & Wagner (C&W). Cette évolution a engendré une sorte de course aux armements entre le développement de nouvelles attaques et la conception de nouvelles défenses, stimulant une recherche active et continue.
Les attaques contradictoires présentent des avantages indirects pour la recherche, car elles agissent comme des tests de résistance pour les modèles d’IA, révélant leurs points faibles et les aspects de leur fonctionnement qui ne correspondent pas à l’intuition humaine. Elles stimulent ainsi l’innovation vers des modèles plus robustes, plus fiables et mieux compris. Cependant, les inconvénients et les défis sont majeurs. Le principal inconvénient est le risque sécuritaire qu’elles représentent pour les systèmes d’IA déployés, notamment dans les infrastructures critiques ou les applications sensibles. Le développement de défenses véritablement efficaces et généralisables reste un défi considérable ; de nombreuses défenses proposées sont rapidement contournées par de nouvelles attaques plus adaptées. Un autre défi est la « transférabilité » des attaques : une perturbation conçue pour un modèle spécifique peut souvent tromper d’autres modèles, même ceux ayant des architectures différentes ou dont les détails ne sont pas connus de l’attaquant. Il existe souvent un compromis entre la robustesse d’un modèle et sa précision sur des données non altérées. De plus, l’entraînement contradictoire et certaines méthodes d’attaque peuvent être coûteux en termes de ressources de calcul. Les attaques elles-mêmes ont des limitations : leur efficacité peut dépendre de la connaissance que possède l’attaquant sur le modèle cible, et les attaques physiques sont généralement plus difficiles à mettre en œuvre et moins fiables que les attaques numériques.