🤖 AI

On the Insecurity of Keystroke-Based AI Authorship Detection: Timing-Forgery Attacks Against Motor-Signal Verification

Cet article démontre que la détection de l'autoria d'IA basée sur la frappe au clavier, s'appuyant sur la variabilité des intervalles entre les touches, est fondamentalement peu sûre car tant la transcription humaine de textes générés par IA que les attaques automatisées par falsification de synchronisation peuvent atteindre des taux d'évasion quasi parfaits, prouvant que les signaux moteurs seuls ne peuvent vérifier l'origine sémantique du contenu.

Auteurs originaux : David Condrey

Publié 2026-01-27

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : David Condrey

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez un garde de sécurité à la porte d'une bibliothèque. Son travail est de s'assurer que la personne qui tient le livre l'a réellement écrit elle-même, plutôt que de le copier depuis un écran d'ordinateur.

Pendant un certain temps, des experts ont pensé avoir trouvé un moyen ingénieux d'y parvenir en utilisant la vitesse de frappe. La théorie était la suivante : « Si vous tapez naturellement, vos doigts font des pauses, accélèrent et ralentissent selon un rythme humain désordonné. Si un robot ou un script tape le texte, c'est trop parfait et trop rapide. » Ils ont donc construit des détecteurs qui analysaient le « battement de cœur » de votre frappe pour voir si vous étiez humain.

Cet article, « On the Insecurity of Keystroke-Based AI Authorship Detection », soutient que ce garde de sécurité est trompé. L'auteur, David Condrey, démontre que ces détecteurs regardent la mauvaise chose. Ils peuvent dire si un corps appuie sur les touches, mais ils ne peuvent pas dire si un esprit est en train de concevoir les mots.

Voici la décomposition des conclusions de l'article en utilisant des analogies simples :

1. Le tour du « Copier-Coller » (L'attaque par Copie-Frappe)

La plus grande faille dans le système de sécurité est un tour que l'auteur appelle l'« attaque par Copie-Frappe » (Copy-Type Attack).

Le Scénario : Un étudiant utilise une IA (comme ChatGPT) pour écrire une dissertation. Ensuite, il ouvre la dissertation sur son téléphone, la regarde, et la tape lettre par lettre sur l'ordinateur de l'école.
La Faille : Le détecteur de frappe voit la saisie. Il voit les pauses, les accélérations et le rythme « désordonné ». Il dit : « Aha ! C'est un humain qui tape ! »
La Réalité : L'humain n'a pas écrit les idées ; il a simplement agi comme une « imprimante biologique ». Parce que le détecteur ne regarde que les doigts et non le cerveau, il est trompé. C'est comme un videur qui vérifie votre carte d'identité pour voir si vous êtes une vraie personne, mais sans vérifier si vous possédez réellement la voiture que vous conduisez.

2. Le tour du « Faux Rythme » (Attaques par falsification de chronométrie)

Même si un étudiant ne tape pas lui-même le texte, l'article montre qu'un pirate peut simuler le rythme de frappe à l'aide de logiciels.

L'Analogie : Imaginez un musicien qui connaît exactement la façon dont un batteur de jazz joue. Il peut programmer un robot pour frapper les tambours avec exactement le même « swing » et les mêmes « pauses » qu'un humain.
Le Résultat : Les chercheurs ont construit trois types différents de bots de « faux rythme ». Ils les ont testés contre les détecteurs, et les bots ont trompé le système 99,8 % du temps. Les détecteurs pensaient que les faux rythmes étaient de vrais humains.

3. La confusion des « Deux Travaux Différents »

L'article soutient que les personnes qui ont construit ces détecteurs ont commis une erreur de catégorie. Elles ont confondu deux tâches très différentes :

Travail A : Vérification d'Identité. « Est-ce que cette personne spécifique (John) est en train de taper ? » (Cela fonctionne bien. Votre style de frappe est comme une empreinte digitale).
Travail B : Vérification d'Auteur. « Est-ce que cette personne a conçu l'histoire ? » (C'est ce que les détecteurs essaient de faire, et ils échouent).

L'article déclare : « Nous pouvons confirmer qu'un humain a actionné le clavier, mais pas si cet humain est à l'origine du texte. »

4. L'écart qui n'a pas d'importance

Les chercheurs admettent qu'il existe une infime différence entre taper ses propres pensées et taper les mots de quelqu'un d'autre.

L'Analogie : Lorsque vous écrivez votre propre histoire, vous pouvez faire une pause pour réfléchir : « Hmm, quel mot devrais-je utiliser ensuite ? » Lorsque vous copiez l'histoire de quelqu'un d'autre, vous pouvez faire une pause pour lire la ligne suivante.
Le Problème : L'article montre que cette différence est si faible (statistiquement parlant) qu'on ne peut pas l'utiliser pour la sécurité. Pour attraper les « copieurs », il faudrait régler le détecteur de manière si sensible qu'il rejetterait également 16 % des étudiants honnêtes qui sont simplement en train de réfléchir intensément. C'est trop de fausses alertes pour être utile.

5. La Solution : Changer de Jeu

L'article conclut que l'on ne peut pas corriger cela en rendant les détecteurs de frappe plus « intelligents ». On ne peut pas devenir meilleur pour lire le rythme parce que le rythme ne vous dit pas d'où viennent les idées.

Au lieu de cela, nous avons besoin d'outils complètement différents :

Historique de révision : Le rédacteur a-t-il supprimé et réécrit des phrases (comme un vrai penseur), ou a-t-il simplement tapé sans interruption (comme un copieur) ?
Questions de défi : Demandez au rédacteur : « Pourquoi avez-vous choisi cet exemple ? » pendant qu'il tape. S'il est en train de copier, il ne pourra pas répondre.
Liaison Sémantique : Lier le processus de frappe au sens des mots, et non seulement au timing.

L'essentiel

L'article prévient que les écoles et les entreprises qui comptent sur le « rythme de frappe » pour attraper la triche par l'IA construisent un château sur du sable. Un étudiant peut facilement contourner cela en tapant du texte généré par l'IA, ou un pirate peut simuler entièrement le rythme.

À retenir : Ces systèmes peuvent prouver qu'un humain était présent, mais ils ne peuvent pas prouver qu'un humain était l'auteur. Pour savoir qui a réellement écrit la dissertation, nous devons examiner le contenu et le processus de réflexion, et non pas seulement la vitesse des doigts.

Résumé technique : Sur l'insécurité de la détection de l'autoria par IA basée sur la frappe au clavier

Énoncé du problème

Les récentes propositions pour la détection de textes générés par IA ont délaissé l'analyse de la production linguistique (perplexité, stylométrie) pour se concentrer sur l'analyse des signaux comportementaux au niveau du processus, spécifiquement la dynamique temporelle de la frappe au clavier. Des systèmes tels que ceux proposés par Kundu et al. [1] et Mehta et al. [2] reposent sur le postulat que les signaux moteurs humains — caractérisés par des intervalles inter-touches (IKI) variables et des motifs temporels spécifiques comme les « pauses de réflexion » — sont distincts de l'injection uniforme et rapide de texte par des bots automatisés.

Cet article identifie une erreur de catégorie fondamentale dans ces approches : elles confondent la présence motrice (un corps humain opérant le clavier) avec la provenance du contenu (un humain originaire cognitivement du texte). Les auteurs soutiennent que les modèles de menace actuels ne tiennent pas compte d'un adversaire rationnel capable de générer du contenu via des modèles de langage étendus (LLM) puis de le transcrire physiquement caractère par caractère. Cette attaque de type « copie-frappe » produit des signaux moteurs authentiques indiscernables d'une composition réelle, rendant les détecteurs basés uniquement sur le timing peu sûrs pour vérifier l'autoria. De plus, l'article démontre que même les attaques automatisées de « falsification de timing », qui synthétisent des intervalles de frappe à partir de distributions humaines empiriques, peuvent contourner ces systèmes.

Méthodologie

Modèle de menace et définitions des attaques

L'étude évalue les systèmes de vérification de signaux moteurs (MSVS) qui acceptent un document et sa trace de frappe pour classer la production comme HUMAIN ou IA. Les auteurs définissent deux vecteurs d'attaque principaux :

Attaque de type Copie-Frappe (Copy-Type Attack) : Un adversaire génère du texte à l'aide d'un LLM et le tape physiquement dans la plateforme instrumentée. Les signaux moteurs résultants sont authentiques par construction.
Attaques de Falsification de Timing (Timing-Forgery Attacks) : Des agents automatisés génèrent des traces synthétiques en échantillonnant des intervalles inter-touches à partir de distributions de frappe humaines empiriques. Les auteurs implémentent trois variantes :
- Échantillonnage par Histogramme : Échantillonnage des IKI de manière indépendante à partir d'une fonction de répartition cumulative (CDF) empirique de données humaines.
- Imitation Statistique : Correspondance des premier et second moments (moyenne et variance) de la distribution IKI de la population cible, ajustée pour les latences spécifiques aux digrammes.
- LSTM Génératif : Un réseau LSTM à 2 couches entraîné sur de vraies séquences de frappe pour modéliser la distribution conditionnelle des IKI en fonction de l'historique des caractères.

Dispositif Expérimental

Jeux de données : L'évaluation utilise 13 000 sessions de frappe humaine du corpus de frappe de l'Université de Stony Brook (SBU), complété par 5 000 sessions d'injection automatisée et 2 000 sessions d'attaque (1 000 Histogramme, 500 Statistique, 500 LSTM). La validation est effectuée sur 11 corpus publics supplémentaires (totalisant >150 000 sessions) pour assurer la généralisabilité.
Caractéristiques (Features) : L'étude évalue un vecteur de 7 caractéristiques englobant toutes les caractéristiques proposées dans les travaux antérieurs [1], [2] :
- $\delta$ : Coefficient de variation (CV) des IKI.
- $\bar{t}$ : Moyenne des IKI.
- $\sigma^2_{IKI}$ : Variance des IKI.
- $\rho$ : Densité de pause (fraction des IKI > 500ms).
- $\beta$ : Longueur moyenne des rafales (burst length).
- $H$ : Entropie de Shannon de la distribution des IKI.
- $\gamma$ : Variabilité des digrammes.
Classificateurs : Cinq classificateurs (Régression Logistique, Forêt Aléatoire, Gradient Boosting, SVM-RBF, MLP) sont entraînés en utilisant une validation croisée stratifiée à 5 plis.

Résultats Clés

1. Efficacité des attaques

Attaque de type Copie-Frappe : Dans la validation empirique utilisant le jeu de données IIITD-BU (34 sessions de transcription) et les corpus groupés (879 sessions), l'attaque de type copie-frappe a atteint un taux de contournement de 100 % contre le seuil de détection ( $T = 0,269$ ). La moyenne de $\delta$ pour la transcription était de $0,991$, bien au-dessus du seuil, avec un Cohen's $d$ de seulement $0,14$ entre la composition et la transcription en conditions de texte libre.
Attaques de Falsification de Timing : Toutes les trois variantes automatisées ont atteint des taux d'évasion $\ge 99,8 \%$ contre les cinq classificateurs.
- Les attaques par Histogramme et par LSTM ont atteint 100 % d'évasion.
- Les attaques Statistiques ont atteint 99,8 % d'évasion.
- Les échantillons d'attaque ont été classés comme humains avec une confiance moyenne $\ge 0,993$ .

2. Performance des classificateurs et compromis

Séparation de base : Les classificateurs ont atteint une Aire Sous la Courbe (AUC) de 1,000 en distinguant la frappe humaine authentique de l'injection entièrement automatisée (coller/API). Cela confirme que les systèmes détectent correctement l'absence de signaux moteurs.
Échec Opérationnel : Face à des signaux moteurs humains (qu'ils soient authentiques ou falsifiés), les systèmes échouent à distinguer la provenance.
- Pour réduire le taux de passage des attaques LSTM en dessous de 50 %, le seuil de détection doit être élevé à $T > 0,80$ .
- À ce seuil, le Taux de Rejet Faux (FRR) pour les utilisateurs humains légitimes grimpe à 16,3 %.
- À $T = 0,90$ (FRR = 32,6 %), l'attaque LSTM maintient toujours un taux de passage de 44 %.
Ablation des caractéristiques : Aucune caractéristique unique ne sépare de manière fiable toutes les variantes d'attaque de la frappe humaine authentique. Bien que des caractéristiques comme $\delta$ et l'entropie séparent efficacement les humains des bots, elles ne peuvent pas distinguer un humain composant un texte d'un humain transcrivant un texte.

3. Limites Théoriques

Les auteurs formalisent un résultat de non-identifiabilité (Théorème 1). Sous l'hypothèse que le détecteur n'observe que le timing de frappe ( $\tau$ ) et non l'état cognitif, l'information mutuelle entre les caractéristiques et la provenance du contenu est nulle :
$I(f(\tau); \text{Provenance} | s, M_u) = 0$
Même en relaxant l'hypothèse idéalisée selon laquelle l'état cognitif n'influence pas l'exécution motrice (empiriquement $d \approx 1,28$ ), l'erreur de Bayes résultante est de 26,1 %, ce qui est opérationnellement insuffisant pour des décisions de sécurité.

Signification et Revendications

L'article affirme que les systèmes de détection d'autoria par IA basés sur la frappe, tels qu'architecturés actuellement, sont fondamentalement peu sûrs face à des adversaires rationnels.

Erreur de Catégorie : Ces systèmes vérifient l'authenticité motrice (qu'un humain était présent) mais ne peuvent pas vérifier la provenance du contenu (que l'humain est l'auteur). L'attaque de type « copie-frappe » exploite cette faille en utilisant le propre système moteur de l'humain pour blanchir du contenu généré par IA.
Limitation Structurelle : La vulnérabilité n'est pas algorithmique mais structurelle. Parce que la variable distinguante (origine du contenu) est un facteur de confusion latent non observé dans l'espace des caractéristiques, aucune quantité d'ingénierie de caractéristiques ou d'optimisation de classificateur ne peut surmonter le chevauchement des distributions entre la composition et la transcription.
Fausse Assurance : Les systèmes commercialisés comme certifiant l'absence d'IA (« AI-free ») sur la base des modes de frappe fournissent une fausse assurance. Ils peuvent confirmer qu'un humain a opéré le clavier, mais ne peuvent déterminer si cet humain est l'auteur.
Implications pour la Défense : Sécuriser la provenance du contenu nécessite des architectures fondamentalement différentes qui lient le processus d'écriture observé au contenu sémantique. Les auteurs suggèrent des directions viables, notamment :
- Cohérence de l'historique de révision : Analyser les modèles d'édition non monotones (suppressions, reformulations) qui sont rares lors d'une transcription.
- Réponse à un défi (Challenge-Response) : Forcer la compréhension en temps réel du texte pendant la composition.
- Liaison Sémantique : Intégrer le traitement du langage naturel (NLP) pour distinguer les erreurs motrices des corrections sémantiques.

Les auteurs concluent que tant que ces mécanismes de liaison au contenu ne sont pas déployés, le timing de frappe ne devrait être utilisé que pour confirmer la présence humaine, et non l'autoria.