Des ordres audio inaudibles peuvent tromper un assistant vocal, une défense veut varier chaque modèle

Pour empêcher un même message audio piégé de duper des millions d’assistants vocaux, des chercheurs américains proposent de rendre chaque exemplaire du modèle d’IA légèrement différent des autres. Leur technique, baptisée DivNet, évite à la fois de ralentir les appareils et de réentraîner tout le système à grands frais, selon Tech Xplore.

Des ordres que l’oreille ne perçoit pas

Qiang Zeng, professeur associé au département d’informatique de George Mason University, étudie des attaques où un fichier audio, publicité ou morceau de musique par exemple, cache un message malveillant imperceptible pour l’humain mais destiné à un assistant domestique. Les actions visées citées vont du déverrouillage d’une porte à un virement depuis un compte bancaire. « You hear one thing, but what the AI interprets is something else », résume Qiang Zeng.

Le risque change d’échelle parce que les fabricants installent couramment des modèles d’IA identiques sur des millions d’appareils. Un attaquant qui parvient à tromper un appareil pourrait ainsi réutiliser le même enregistrement contre d’autres. Or entraîner des modèles sophistiqués coûte cher : les entreprises ont peu d’intérêt à en concevoir un différent pour chaque client.

Le principe de DivNet : toucher aux poids secondaires

Qiang Zeng et le doctorant Ying Meng s’attaquent au problème en examinant les millions de valeurs numériques, les poids, qui permettent à un réseau de neurones de traiter l’information. Certains sont décisifs pour reconnaître la parole ordinaire. D’autres y contribuent peu, mais comptent pour la réussite des attaques audio. DivNet repère ces derniers et les modifie de façon sélective.

En changeant différentes combinaisons de poids, l’équipe obtient un très grand nombre de modèles distincts. Tous continuent de comprendre correctement la parole légitime, mais réagissent différemment aux enregistrements malveillants. Au lieu d’offrir la même défense à chaque appareil, chacun reçoit donc une version propre.

Ce que les tests ont montré

Les essais sur des systèmes de reconnaissance vocale établis donnent les repères suivants.

• Le succès des attaques recule substantiellement, au prix d’une baisse minime de la précision en usage normal.
• La reconnaissance vocale ne demande aucun temps de traitement supplémentaire, contrairement à de nombreuses défenses existantes.
• Après une analyse initiale, une nouvelle variante se génère en quelques millisecondes.

Un même assistant vocal peut en outre changer périodiquement de variante, ce qui complique la conception d’une attaque réutilisable. L’avantage pratique le plus important, selon le chercheur, reste le coût : « Every time you train the AI system, it’s very expensive because you need the GPU », explique Qiang Zeng, en référence aux processeurs puissants employés pour développer ces modèles.

Publication, démonstrations et suite

L’article décrivant DivNet a été présenté cet été à la conférence ACM MobiSys 2026 (Mobile Systems, Applications, and Services), à Cambridge, en Angleterre. L’étude, intitulée « Diversified Neural Networks : Defeating Adversarial Attacks via Numerous Orthogonal Variants », figure dans les actes de la 24e conférence MobiSys (DOI 10.1145/3745756.3809215).

Les chercheurs ont aussi ouvert un site dédié, avec des démonstrations, des informations techniques et des exemples audio où des enregistrements malveillants identiques produisent des résultats différents selon la variante du modèle. L’équipe travaille à une commercialisation et estime que l’approche pourrait séduire de grandes entreprises technologiques. « We are applying for patents because we think it has some value », indique Qiang Zeng.

Photo : Anete Lusina / Pexels