💻 computer science

Can Drift-Adaptive Malware Detectors Be Made Robust? Attacks and Defenses Under White-Box and Black-Box Threats

Cette étude propose un cadre universel de robustification pour les détecteurs de malwares adaptatifs aux dérives, démontrant que l'entraînement adversarial ciblé permet de réduire considérablement les taux de réussite des attaques en boîte blanche et en boîte noire, bien que les stratégies optimales diffèrent selon le modèle de menace.

Auteurs originaux : Adrian Shuai Li, Md Ajwad Akil, Elisa Bertino

Publié 2026-04-09

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Adrian Shuai Li, Md Ajwad Akil, Elisa Bertino

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

🛡️ Le Chasseur de Virus qui Oublie (et comment le rendre invulnérable)

Imaginez un chasseur de virus (un logiciel de sécurité) qui travaille pour une grande entreprise. Son travail est de repérer les nouveaux logiciels malveillants (malwares) qui tentent de se faufiler dans le système.

1. Le Problème : Le Virus change de déguisement (La "Dérive")

Le problème, c'est que les pirates sont très intelligents. Chaque mois, ils créent de nouveaux virus avec de nouveaux déguisements.

La situation : Notre chasseur est formé sur les virus de janvier. En juin, les virus ont changé d'apparence. Le chasseur, qui a appris à reconnaître les "vieux" virus, commence à rater les "nouveaux". C'est ce qu'on appelle la dérive de concept (concept drift).
La solution actuelle (AdvDA) : Pour ne pas perdre son travail, le chasseur se met à jour régulièrement. Il regarde les vieux virus (qu'il connaît bien) et les nouveaux virus (qu'il voit pour la première fois) pour apprendre à les reconnaître tous les deux, peu importe leur apparence. C'est très efficace pour attraper les virus normaux.

2. Le Nouveau Danger : Le Virus qui se cache (L'Attaque Adversaire)

Mais les pirates ne sont pas seulement intelligents, ils sont malveillants. Ils ne se contentent pas de changer de déguisement ; ils apprennent à tromper le chasseur.

Le piège : Un pirate peut modifier légèrement un virus (comme ajouter une tache de peinture invisible sur un tableau) pour que le chasseur le prenne pour un innocent.
Le défi de la recherche : Les chercheurs se sont demandé : "Si on entraîne notre chasseur à être robuste contre ces tricheurs, va-t-il garder cette robustesse quand il se met à jour avec les nouveaux virus ?"

3. L'Expérience : Deux types de tricheurs

Les chercheurs ont testé deux types de pirates très différents :

Le Pirate "Pixel" (Attaque PGD - Blanc) : C'est un pirate qui a accès à tous les secrets du chasseur (le code, les poids). Il fait des micro-modifications mathématiques précises sur l'image du virus pour le rendre invisible. C'est comme essayer de tromper un détecteur de métaux en changeant la forme d'un objet de quelques millimètres.
Le Pirate "Architecte" (Attaque MalGuise - Noir) : Ce pirate ne connaît pas les secrets du chasseur. Il ne fait que modifier la structure interne du virus (comme changer l'ordre des pièces d'un moteur) sans que le moteur ne cesse de tourner. C'est comme changer la disposition des meubles dans une maison pour qu'elle ressemble à un bureau, sans toucher aux murs.

4. Les Résultats Surprenants : Une solution ne convient pas aux deux

Les chercheurs ont créé un "kit de survie" universel pour rendre le chasseur invulnérable, mais ils ont découvert des choses fascinantes :

Contre le Pirate "Pixel" (PGD) :
- Pour être vraiment fort, le chasseur doit s'entraîner en même temps sur les vieux virus ET les nouveaux virus, en se faisant tromper par des exemples de triche.
- Analogie : C'est comme un boxeur qui s'entraîne avec des sparring-partners qui utilisent des coups de poing précis. S'il s'entraîne seulement sur les nouveaux coups, il oubliera comment bloquer les anciens. Il faut s'entraîner sur les deux.
Contre le Pirate "Architecte" (MalGuise) :
- Là, c'est l'inverse ! S'entraîner sur les vieux virus est inutile, voire dangereux.
- Analogie : Imaginez que vous appreniez à conduire sur une route de montagne (les vieux virus) pour vous préparer à conduire sur une autoroute (les nouveaux virus). Si vous vous entraînez trop sur la montagne, vous allez mal conduire sur l'autoroute. Il suffit de s'entraîner uniquement sur les nouveaux virus.
- De plus, le chasseur était déjà naturellement assez fort contre ce type de pirate grâce à sa façon de voir les choses (ses "yeux" sont habitués aux structures globales), donc l'entraînement supplémentaire n'apporte pas grand-chose, mais coûte très cher en temps de calcul.

5. La Grande Révélation : La Robustesse ne se "transfère" pas

C'est le point le plus important : Être fort contre un type de pirate ne vous protège pas contre l'autre.

Si vous entraînez votre chasseur à résister aux attaques "Pixel", il restera totalement vulnérable aux attaques "Architecte".
Si vous l'entraînez contre les "Architectes", il sera dévasté par les "Pixels".
Conclusion : Il n'existe pas de "bouclier magique" unique. Il faut choisir son bouclier en fonction de l'ennemi que l'on craint.

🏁 En résumé pour le grand public

Cette étude nous dit que pour protéger nos ordinateurs contre les virus qui changent tout le temps :

On ne peut pas utiliser la même méthode pour tout le monde.
Si on veut se protéger contre les pirates qui modifient les détails mathématiques, il faut un entraînement intensif sur les anciennes et les nouvelles menaces.
Si on veut se protéger contre les pirates qui modifient la structure du virus, un entraînement léger sur les nouvelles menaces suffit, et essayer d'ajouter les anciennes rend le système plus lent et moins efficace.
Le conseil final : Ne cherchez pas une solution unique. Adaptez votre défense à la façon dont l'ennemi attaque. C'est comme avoir un casque pour les chocs et des lunettes pour la poussière : on ne porte pas les deux en même temps si l'un des deux suffit !

1. Problématique

La détection de logiciels malveillants (malware) basée sur l'apprentissage automatique fait face à deux défis majeurs souvent étudiés séparément :

Le dérive conceptuelle (Concept Drift) : Les auteurs de malwares évoluent constamment, rendant les modèles entraînés sur des données passées obsolètes face aux nouvelles menaces. Des détecteurs adaptatifs comme AdvDA (Adversarial Domain Adaptation) ont été développés pour réaligner périodiquement les distributions de caractéristiques entre un domaine source (données anciennes étiquetées) et un domaine cible (nouvelles données avec peu d'étiquettes).
L'évasion adversariale : Les attaquants conçoivent des échantillons malveillants spécifiquement pour contourner les détecteurs.

Le problème central : La robustesse adversariale des détecteurs adaptatifs à la dérive reste inexplorée. Les défenses existantes supposent une distribution de données fixe, ce qui n'est pas le cas dans les scénarios de dérive où la robustesse apprise sur le domaine source peut ne pas se transférer au domaine cible. De plus, il est crucial de déterminer si l'entraînement adversarial sur le domaine source est nécessaire ou contre-productif dans un contexte de dérive.

2. Méthodologie

Les auteurs proposent un cadre universel de robustification pour le détecteur AdvDA. Ce cadre prend un modèle pré-entraîné (déjà adapté aux domaines) et le fine-tune sur des entrées transformées de manière adversariale.

Modèle de Menace

L'étude évalue deux modèles de menace distincts :

Attaque White-Box (PGD) : L'attaquant a un accès complet au modèle (architecture, gradients). Il utilise l'attaque Projected Gradient Descent (PGD) pour appliquer des perturbations bornées ( $\ell_\infty$ ) dans l'espace des caractéristiques d'entrée.
Attaque Black-Box (MalGuise) : L'attaquant n'a pas accès aux poids du modèle. Il utilise l'outil MalGuise, qui modifie les binaires Windows PE via des mutations de flux de contrôle préservant la fonctionnalité (utilisation de la recherche arborescente Monte Carlo - MCTS) pour contourner la détection.

Cadre de Défense (Robustification)

Le cadre généralise l'approche DART (Domain Adversarial Robust Training) en permettant différentes combinaisons de transformations sur les données source ( $\tilde{X}_S$ ) et cible ( $\tilde{X}_T$ ). Cinq variantes de défense sont implémentées :

Trois variantes basées sur DART (PGD) :
- DART (clean) : Pas de perturbation source, seulement cible.
- DART (adv) : Perturbation source via maximisation de la perte de classification.
- DART (kl) : Perturbation source via maximisation de la divergence KL.
Deux variantes basées sur MalGuise :
- MalGuise (clean) : Pas de perturbation source, seulement cible.
- MalGuise (adv) : Perturbation source via exécution de l'attaque MalGuise sur les binaires source.

Configuration Expérimentale

Jeu de données : MB-24+ (9 mois de malwares Windows, mars-décembre 2024), simulant une dérive conceptuelle réelle avec 27-50% de nouvelles familles par mois.
Protocole : Fenêtres d'adaptation mensuelles (5 fenêtres), évaluées à trois taux de faux positifs (FPR : 0,5%, 1%, 2%).
Métriques : Taux de réussite de l'attaque (ASR), Taux de vrais positifs sur données propres (Clean TPR), et coût computationnel.

3. Résultats Clés

Les expériences sur 9 configurations de défense révèlent des résultats surprenants et nuancés :

A. Vulnérabilité de base

Le détecteur AdvDA non défendu est totalement vulnérable aux attaques PGD (100% de réussite d'attaque) et modérément vulnérable aux attaques MalGuise (13% de réussite).

B. Efficacité des Défenses

Contre PGD (White-Box) : L'entraînement adversarial est essentiel. Les variantes DART réduisent l'ASR de 100% à 3,2% (pour DART adv/kl). Cependant, la robustesse est très locale : un modèle entraîné avec une perturbation faible ( $\epsilon=2/255$ ) échoue face à une attaque forte ( $\epsilon=8/255$ ).
Contre MalGuise (Black-Box) : L'entraînement adversarial cible suffit. La variante MalGuise (clean) réduit l'ASR à 5,1% avec un TPR propre comparable au modèle non défendu.

C. Transférabilité de la Robustesse (Résultat Majeur)

Il n'y a aucune transférabilité de la robustesse entre les deux modèles de menace :

Les modèles défendus contre PGD (DART) sont totalement vulnérables à MalGuise (ASR ~100%).
Les modèles défendus contre MalGuise sont totalement vulnérables à PGD (ASR ~100%).
Cela démontre que la robustesse est une propriété du couple "Modèle-Menace" et non du modèle seul.

D. Impact de l'Entraînement sur le Domaine Source

Pour PGD : L'entraînement sur le domaine source est crucial. Sans lui (DART clean), la robustesse chute drastiquement.
Pour MalGuise : L'entraînement sur le domaine source est contre-productif. Bien qu'il réduise légèrement l'ASR (de 5,1% à 3,2%), il entraîne une chute massive du TPR propre (32-44%) et un surcoût computationnel énorme (76,8x). Cela s'explique par le fait que les perturbations MalGuise sont spécifiques aux binaires et ne se généralisent pas bien entre domaines.

4. Contributions Principales

Première étude de robustesse : C'est la première analyse de la robustesse adversariale d'un détecteur de malware basé sur l'adaptation de domaine (DA) sous dérive conceptuelle.
Cadre Universel : Proposition d'un cadre de robustification agnostique au type d'attaque et aux transformations d'entrée, applicable à AdvDA.
Découvertes Empiriques :
- La robustesse ne se transfère pas entre les attaques basées sur le gradient (PGD) et les attaques structurelles (MalGuise).
- L'entraînement adversarial sur le domaine source est bénéfique pour les attaques de type PGD mais nuisible pour les attaques de type MalGuise dans un contexte de dérive.
Recommandations de Déploiement :
- Pour les menaces PGD : Utiliser DART (kl) avec entraînement source et un budget de perturbation adapté à la menace attendue.
- Pour les menaces MalGuise : Utiliser MalGuise (clean) (entraînement cible uniquement) pour un compromis optimal entre sécurité, précision et coût.

5. Signification et Implications

Ce travail remet en question l'hypothèse selon laquelle une seule stratégie de défense peut protéger les systèmes adaptatifs contre tous les types d'attaques.

Spécificité du domaine : Les défenses conçues pour la vision par ordinateur (comme l'entraînement PGD standard) ne se transfèrent pas directement à la détection de malwares, surtout lorsque la dérive conceptuelle est présente.
Architecture Multi-Vue : Les auteurs suggèrent que la solution future réside dans une architecture ensembliste (multi-view), combinant des détecteurs spécialisés pour différents types de perturbations (gradient vs structure binaire), forçant ainsi l'attaquant à contourner simultanément plusieurs espaces de perturbation distincts.

En conclusion, la robustification des détecteurs adaptatifs nécessite une approche sur mesure, où le choix de la défense et la stratégie d'entraînement (source vs cible) dépendent strictement du vecteur d'attaque anticipé.