Effondrement convexe : quand la détectabilité des techniques cesse de composer

La première question de la détection comportementale porte sur le canal. Avant de demander quel classifieur employer, il faut savoir si ce que le défenseur observe contient encore une différence statistique qu’un détecteur quelconque pourrait exploiter. Lorsque cette différence disparaît, aucun progrès algorithmique ne la recrée.

Le premier papier de la série construit cette question et la rend décidable. Il déplace le centre du modèle, du détecteur vers la géométrie du problème.

Le triplet et le déplacement qu’il opère

Le déplacement se lit dans deux formulations concurrentes. La recherche classique demande si un classifieur donné détecte correctement les attaques. Le papier demande d’abord s’il existe, dans ce que le détecteur observe, une différence statistique qu’un détecteur quelconque pourrait exploiter. La seconde question précède la première et la conditionne.

Le cadre tient en trois objets : l’espace des observations accessibles au défenseur, la loi des comportements légitimes dans cet espace, et l’ensemble non vide des lois d’attaque fonctionnellement valides et physiquement réalisables. Les performances d’un IDS ou d’un modèle deviennent un problème de second ordre. Le problème premier est la présence d’information discriminante dans le canal observable.

Deux séparations de portée différente

La séparation attaque par attaque mesure la distance en variation totale entre la loi légitime et la plus proche des lois d’attaque prise isolément. Positive, elle indique que chaque attaque peut en principe être distinguée avec une marge commune. Le détecteur optimal reste toutefois libre de dépendre de l’attaque considérée.

La séparation robuste autorise l’adversaire à mélanger, varier ou randomiser ses stratégies : elle mesure la distance entre la loi légitime et l’adhérence en variation totale de l’enveloppe convexe de la classe. C’est elle qui compte pour un défenseur réel, lequel ne choisit pas son détecteur après avoir appris quelle attaque est en cours.

Le papier établit la chaîne qui les relie. La marge uniforme qu’un détecteur unique peut garantir reste inférieure à la séparation robuste, elle-même inférieure à la séparation attaque par attaque.

L’effondrement convexe

Le résultat central tient dans la possibilité que la première soit strictement positive quand la seconde est nulle. Chaque attaque pure est alors individuellement très visible, et la classe prise globalement reste inséparable du légitime. Pour tout détecteur choisi, l’adversaire peut sélectionner ou randomiser une stratégie qui annule son avantage.

L’exemple canonique tient sur trois observations et trois attaques ponctuelles. Chaque attaque concentre toute sa masse sur une seule des trois observations, là où le comportement légitime les visite avec la même fréquence. Prise seule, chacune saute aux yeux. Tirées à parts égales, les trois redonnent exactement la loi uniforme, et le détecteur qui les guettait se retrouve devant ce qu’il appelle normal.

La portée dépasse le constat qu’une attaque bien imitée peut passer. La détectabilité individuelle des techniques ne se compose pas en détectabilité de la classe adversariale. Un catalogue de techniques toutes documentées comme détectables laisse donc entière la question de savoir si un système peut les détecter toutes avec une garantie uniforme. C’est là qu’un résultat minimax classique devient un résultat de doctrine.

Ce que l’effondrement coûte en opérations

Une marge abstraite ne suffit pas : un détecteur qui arrête 95 % des attaques en produisant 90 % de faux positifs ne sert à rien. Le papier introduit donc la meilleure puissance garantie contre la classe, sous un budget maximal de faux positifs.

Le résultat est net. Quand la séparation robuste est nulle, cette puissance garantie vaut exactement le budget de faux positifs consenti, pour toute valeur de ce budget. La courbe ROC minimax devient la diagonale du hasard. Un défenseur qui accepte 1 % de faux positifs ne peut garantir plus de 1 % de détection contre le pire élément de la classe. S’il en accepte 10 %, la garantie monte à 10 %, et pas au-delà : elle s’aligne sur le budget quel qu’il soit. La limitation tient à l’information disponible et ne cède ni aux données d’apprentissage ni à la puissance de calcul.

Le point d’entrée de l’IA générative

Le papier sépare trois niveaux qu’une lecture rapide confond : l’existence d’une loi d’attaque proche du légitime dans la classe, la constructibilité de cette loi par un adversaire, et son accessibilité sous un budget de ressources donné. Il définit la séparation accessible sous budget, qui ne retient que les attaques dont le coût reste sous ce budget.

L’IA générative intervient à ce troisième niveau. Les théorèmes de géométrie s’en passent entièrement. Ce que le papier avance à son sujet est une hypothèse empirique, mesurable domaine par domaine : la génération élargit l’ensemble des attaques accessibles sous budget et réduit la séparation atteignable. Cette hypothèse se teste, elle ne se déduit pas des théorèmes.

La couche sémantique, sans métaphysique

Une formulation tentante voudrait que la couche sémantique soit intrinsèquement indiscernable. Le papier la démonte en la décomposant.

Deux actions produisant exactement la même observation reçoivent la même décision d’un détecteur qui ne lit que cette observation : invariance élémentaire et inconditionnelle. Une région d’observations utilisée à la fois légitimement et malicieusement impose un plancher de faux positifs à qui veut la bloquer. Et l’indistinguabilité peut rester locale : à l’intérieur d’une région, les deux lois peuvent coïncider tandis que la fréquence d’entrée dans cette région demeure informative.

L’effondrement global exige davantage : la loi conditionnelle dans la région, la fréquence d’entrée, et la loi au dehors. La conclusion exacte est que la couche de contenu est structurellement dual-use, et que son effondrement global demeure une propriété de distribution complète, à établir séparément. C’est ce qui garde le papier hors d’une métaphysique de l’intention invisible.

Ce que le papier établit, et ce qu’il laisse ouvert

Sont démontrés : la différence entre détectabilité individuelle et détectabilité uniforme ; le fait que le mélange adversarial abolit parfois une séparation présente attaque par attaque ; la nullité de la valeur minimax quand la séparation robuste est nulle, et son égalité exacte à cette séparation quand elle est positive ; la diagonale sans information sous contrainte de faux positifs ; le transport des silences établis à tout post-traitement mesurable, contre calcul non borné.

Restent hors de portée : que toute détection cyber soit impossible, que toute attaque générative soit indétectable, que tout domaine ait atteint l’effondrement, que le coût du mimétisme tende vers zéro, que l’effondrement survive à un changement d’architecture ou de canal. Le périmètre est celui de la détection comportementale statistique relative à un observable fixé. Signatures, attestations et contrôles explicites en sortent.

La sortie est architecturale

En régime d’effondrement, améliorer le détecteur laisse la géométrie inchangée. Trois familles de sorties agissent sur le problème plutôt que sur son solveur. Enrichir l’observable, en adjoignant identité, provenance, session, droits ou état du système, pour qu’une action identique en contenu devienne différente par son origine. Contraindre la classe d’attaque par l’autorisation, l’isolation, la médiation ou la segmentation. Redessiner le protocole par signatures, attestations, actions structurées et primitives de provenance.

La formule qui ferme le papier tient la doctrine : la détection lisait la sécurité dans le monde ; là où la lecture est vide, la sécurité doit être écrite dans le monde.

Place dans la série

Ce papier est le socle statique. Il pose le problème, les régimes de séparation, la notion d’effondrement, et la différence entre effondrement informationnel et accessibilité opérationnelle. Les papiers suivants traitent de la dynamique sous laquelle la séparation évolue, de ce que l’émetteur contrôle dans les observables, des garanties de tromperie, des conditions de fermeture de la boucle de gouvernabilité et de l’adaptation conjointe des stratégies. L’ensemble est présenté sur la page de la série.

Le test que ce papier fournit tient en une ligne : reste-t-il, dans ce que le défenseur voit, une séparation sur laquelle une décision peut être fondée ?

On the Fundamental Limits of Security Detection v2.0, préprint, CC BY-NC 4.0. DOI concept : 10.5281/zenodo.18151115