Résumé Technique : Jeu de Données BEACON pour l'Empreinte Comportementale

Énoncé du Problème

L'authentification continue dans les environnements numériques à haut risque, en particulier dans les jeux compétitifs d'esport, se heurte à un goulot d'étranglement critique : l'absence de jeux de données complets et multimodaux capturant des signaux comportementaux fins sous des exigences cognitives et motrices réalistes. Les benchmarks existants sont souvent limités par une échelle réduite, une détection unimodale (par exemple, uniquement les frappes au clavier ou la dynamique de la souris), ou un manque de contexte environnemental synchronisé. De plus, les jeux de données actuels reposent fréquemment sur des tâches de bureau à faible fréquence ou des sessions artificiellement brèves qui échouent à capturer l'apparition de la fatigue du joueur ou les entrées sensorimotrices à l'échelle de la microseconde inhérentes aux jeux rapides. Ce fossé entrave l'entraînement et l'évaluation des modèles fondamentaux d'IA de nouvelle génération pour l'authentification continue, le profilage comportemental et la détection d'anomalies.

Méthodologie

Pour remédier à ces limitations, les auteurs introduisent BEACON (Moteur Comportemental pour l'Authentification et la Surveillance Continue), un jeu de données multimodal à grande échelle dérivé de parties compétitives de Valorant.

Architecture de Collecte des Données

Les auteurs ont développé un cadre d'enregistrement personnalisé à faible latence conçu pour capturer la télémétrie sans interférer avec le gameplay ni dégrader les fréquences d'images. Le système fonctionne via quatre threads concurrents :

1. Télémétrie du Clavier : Capture les événements d'appui et de relâchement des touches, les horodatages, les temps de maintien et les latences inter-clés en utilisant pynput.keyboard.
2. Télémétrie de la Souris : Enregistre les coordonnées du curseur, les trajectoires de mouvement, les événements de clic, l'activité de défilement, la vitesse et l'accélération en utilisant pynput.mouse.
3. Télémétrie Réseau : Utilise scapy.sniff pour capturer le trafic réseau brut (PCAP), permettant l'alignement temporel des entrées physiques locales avec l'activité du jeu côté serveur.
4. Enregistrement d'Écran : Capture les sessions de jeu via un sous-processus FFmpeg à 25 ips en utilisant des paramètres d'encodage conservateurs pour minimiser la contention du processeur tout en préservant le contexte visuel.

Toutes les modalités sont estampillées avec l'heure POSIX de l'hôte (époque Unix) pour garantir un alignement temporel précis entre modalités sans marqueurs de synchronisation explicites. La collecte de données a impliqué 28 participants distincts répartis sur 79 sessions réelles, menées à la fois dans des environnements de laboratoire contrôlés et des domiciles pour assurer la diversité matérielle.

Composition du Jeu de Données

BEACON comprend environ 430 Go de données multimodales synchronisées (461 Go au total sur disque, incluant les captures de configuration auxiliaires). Le jeu de données comprend :

• Participants : 28 joueurs distincts (pseudonymisés P001–P028) couvrant divers niveaux de compétence compétitive.
• Durée : Environ 102,51 heures de jeu actif.
• Volume d'Événements : Plus de 90 millions d'événements de souris, environ 498 000 frappes au clavier et plus de 114 millions de paquets réseau.
• Modalités : Dynamique de la souris, dynamique des frappes au clavier, captures de paquets réseau, enregistrements d'écran et métadonnées matérielles (CPU, RAM, périphériques).

Évaluation de Référence

Pour caractériser l'utilité du jeu de données, les auteurs ont établi des performances de référence en utilisant six architectures de pointe développées à l'origine pour l'empreinte de site web (ARES, BAPM, NetCLR, TCN, TMWF et Var-CNN). Ces modèles ont été adaptés pour effectuer une tâche d'identification d'utilisateur à 28 classes en utilisant les modalités souris et clavier. L'évaluation a utilisé des fenêtres temporelles de 10 s, 30 s, 45 s et 60 s, avec des données partitionnées chronologiquement (80 % d'entraînement, 10 % de validation, 20 % de test).

Contributions Clés

1. Le Jeu de Données BEACON : Un jeu de données multimodal à grande échelle publié publiquement, spécifiquement conçu pour la biométrie comportementale dans les environnements FPS à haut risque. Il isole de manière unique l'intersection des dynamiques sensorimotrices brutes, des configurations matérielles et de la télémétrie réseau.
2. Synchronisation Multimodale : Le jeu de données fournit des données synchronisées à travers les modalités souris, clavier, réseau et vidéo, permettant l'étude de l'authentification continue et de la dérive de l'utilisateur dans un environnement haute fidélité.
3. Benchmarks de Référence : L'article fournit des métriques de performance initiales pour l'identification d'utilisateur en utilisant des architectures d'apprentissage profond, démontrant la faisabilité de l'authentification continue dans ce domaine.
4. Accès Ouvert : Le jeu de données et le code d'enregistrement personnalisé sont publiés respectivement sur Hugging Face et Zenodo, afin de créer un benchmark reproductible pour la communauté.

Résultats

Les expériences de référence ont produit les résultats clés suivants :

• Performance des Modalités : La dynamique unimodale de la souris a systématiquement surpassé la dynamique unimodale du clavier. Les modèles uniquement souris ont atteint des précisions d'identification allant jusqu'à 63,16 % (Var-CNN à une résolution de 10 s), tandis que les modèles uniquement clavier ont culminé à 36,23 % (TMWF à 45 s).
• Performance de Fusion : La fusion précoce des modalités souris et clavier a produit les performances globales les plus élevées. L'architecture Var-CNN a atteint une précision maximale globale d'identification de 70,82 % avec un taux d'erreur égal (EER) de 4,31 % dans la configuration de fusion à 60 secondes.
• Variance Architecturale : Les architectures Var-CNN et NetCLR ont démontré une convergence et des performances supérieures, suggérant que les convolutions causales dilatées et l'apprentissage de représentations contrastives sont bien adaptés à la télémétrie d'esport. À l'inverse, l'architecture ARES n'a pas convergé dans toutes les configurations, mettant en évidence un fossé entre les domaines des modèles optimisés pour le trafic réseau par rafales et la sortie sensorimotrice humaine continue.
• Résolution Temporelle : Les performances se sont généralement améliorées avec des fenêtres d'observation plus longues (jusqu'à 60 s), indiquant que si les micro-réflexes fournissent des signaux distincts, les macro-comportements (par exemple, le rythme de rotation) fournissent la stabilité contextuelle nécessaire pour minimiser les taux de faux rejets.

Importance et Revendications

L'article positionne BEACON comme un actif fondamental pour la recherche en cybersécurité, spécifiquement pour tester rigoureusement les systèmes d'authentification continue et les agents d'IA autonomes dans des conditions réalistes de forte fatigue. Les auteurs affirment que le jeu de données permet :

• Profilage Comportemental Robuste : La forte variance inter-utilisateur et la faible variance intra-utilisateur observées dans les données confirment que le jeu compétitif génère des signaux biométriques authentiques et stables.
• Sécurité Sans Mot de Passe : En exploitant les habitudes sensorimotrices subconscientes, le jeu de données soutient le développement de mécanismes d'authentification transparents et non intrusifs, adaptés aux applications de jeu sensibles à la latence.
• Directions de Recherche Futures : Les auteurs cadrent explicitement le jeu de données comme un point de départ pour des directions de recherche ouvertes, incluant la robustesse aux attaques (détection de l'imitation et des bots), la fusion des données PCAP au niveau réseau avec les images vidéo, et le développement de modèles fondamentaux comportementaux auto-supervisés pour l'évaluation des compétences et la détection de la fatigue.

Les auteurs restent modestes quant à la portée du jeu de données, reconnaissant des limitations telles que la taille spécifique de la cohorte (28 participants), la nature mono-jeu/mono-plateforme des données (Valorant sur Windows) et l'absence de données longitudinales pour modéliser la dérive comportementale au fil du temps. Ils soulignent que le jeu de données est destiné à soutenir la recherche défensive (authentification, anti-triche) plutôt que la surveillance clandestine.