🤖 AI

Homoglyph-based Adversarial Perturbation of Introductory Computer Science Theory Problems

Cet article propose et évalue une méthode utilisant des perturbations adverses basées sur des homoglyphes pour modifier des problèmes théoriques d'introduction à l'informatique sans altérer leur sens sémantique, visant à empêcher les étudiants de recourir à des outils d'IA pour résoudre leurs devoirs.

Auteurs originaux : Aidan Alexander, Chitrangada Juneja, Napaluck Tontrasathien, Miro Vanek, Reyan Ahmed, Saumya Debray, Sazzadur Rahaman

Publié 2026-05-19

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Aidan Alexander, Chitrangada Juneja, Napaluck Tontrasathien, Miro Vanek, Reyan Ahmed, Saumya Debray, Sazzadur Rahaman

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous êtes un enseignant essayant de donner un devoir de mathématiques à vos élèves. Vous voulez qu'ils réfléchissent intensément et résolvent les problèmes par eux-mêmes. Mais récemment, les élèves ont commencé à utiliser des assistants IA ultra-intelligents (comme ChatGPT ou Gemini) pour faire le travail à leur place. Ces outils d'IA sont si performants qu'ils peuvent souvent répondre aux questions instantanément, même si celles-ci sont légèrement piégeuses.

Les auteurs de cet article ont imaginé une astuce ingénieuse pour stopper ce comportement d'« élève paresseux ». Ils l'appellent Perturbation Adversaire basée sur les Homoglyphes. C'est une façon élégante de dire : « Modifier quelques lettres dans une question afin que les humains puissent toujours la lire, mais que l'IA soit confuse et donne une mauvaise réponse. »

Voici comment leur méthode fonctionne, décomposée en étapes simples :

1. Le Problème : L'IA est Trop Bonne pour « Deviner »

Les chercheurs ont constaté que ces outils d'IA ressemblent à des élèves ayant mémorisé l'intégralité du manuel scolaire. Si vous leur posez un problème de mathématiques classique (comme « Prouver qu'un nombre rationnel multiplié par un nombre irrationnel donne un nombre irrationnel »), ils répondent instantanément car ils ont vu cette question exacte un million de fois dans leurs données d'entraînement.

Même si vous essayez de perturber légèrement la question — par exemple en retirant un mot ou en changeant un chiffre — l'IA est si intelligente qu'elle « comble simplement les blancs » en se basant sur ce dont elle se souvient. C'est comme si vous demandiez à un ami ayant mémorisé une recette : « Comment fait-on un gâteau avec... euh... de la farine, du sucre, et... [vide] ? » Il répondrait simplement « des œufs » sans que vous ayez besoin de le dire, car il connaît la recette par cœur.

2. La Solution : L'Astuce du « Cheval de Troie »

Les auteurs ont réalisé qu'ils ne pouvaient pas simplement brouiller le texte ; l'IA le corrigerait. Au lieu de cela, ils ont utilisé une stratégie en deux étapes :

Étape A : Modifier la Recette (Légèrement). D'abord, ils prennent une question standard et l'ajustent juste assez pour qu'elle ne se trouve plus dans la banque de mémoire de l'IA.
- Exemple : Au lieu de demander à propos d'« un nombre rationnel », ils pourraient dire : « Appelons le nombre 7x. »
- Pourquoi ? Cela rend la question unique. L'IA n'a jamais vu « 7x » dans ce contexte spécifique auparavant, elle ne peut donc pas simplement extraire la réponse de sa mémoire.
Étape B : L'Illusion Visuelle (Homoglyphes). Ensuite, ils utilisent des homoglyphes. Ce sont des caractères qui ressemblent presque exactement à des lettres ou des chiffres normaux, mais qui sont en réalité des symboles différents provenant d'autres langues ou polices.
- Analogie : Imaginez le chiffre 7. Maintenant, imaginez un symbole qui ressemble exactement à un 7 à vos yeux, mais qui, pour un ordinateur, est un caractère complètement différent (comme un étrange symbole d'un autre alphabet).
- Ils remplacent un chiffre normal (comme le 7) par ce « faux 7 ».

3. Le Résultat : L'IA est Trompée

Lorsque l'IA voit ce « faux 7 », elle se confond. Elle ne reconnaît pas le symbole, elle panique et tente de deviner ce qu'il devrait être. Parce que l'IA est biaisée vers les questions originales des manuels qu'elle a mémorisées, elle ignore le « faux 7 » et suppose simplement que vous vouliez dire le « 7 » original (ou parfois, elle le supprime tout simplement).

L'Expérience Humaine : Un élève regarde le papier et voit « 7x ». Il le lit correctement et résout le problème de mathématiques.
L'Expérience de l'IA : L'IA voit un symbole étrange qu'elle ne comprend pas. Elle devine mal, ignore les mathématiques et donne une réponse complètement incorrecte.

4. Combien de Changements Sont Nécessaires ?

La meilleure partie est que vous n'avez pas besoin de réécrire toute la question. Les chercheurs ont découvert que modifier seulement un ou deux caractères suffit généralement à casser l'IA.

Si vous changez trop de choses, l'IA pourrait en fait comprendre le motif.
Mais si vous changez juste une toute petite chose (comme remplacer un « 6 » par un « 6 » qui lui ressemble), l'IA trébuche dessus, tandis que l'élève humain passe sans encombre.

5. Un Outil pour les Enseignants

Les auteurs n'ont pas seulement écrit un article ; ils ont créé un outil interactif simple.

Les enseignants peuvent télécharger leurs questions de devoir.
Ils peuvent cliquer sur un chiffre ou une lettre qu'ils souhaitent modifier.
L'outil leur montre une liste de caractères « qui se ressemblent » (homoglyphes).
Ils en choisissent un, et l'outil l'insère à la place.
Maintenant, le devoir est à l'abri de la triche par IA, mais reste facile à lire pour les élèves.

Résumé

Considérez cette méthode comme un camouflage visuel appliqué à un devoir. Pour l'œil humain, le devoir semble normal. Mais pour l'IA, qui repose sur la reconnaissance de motifs spécifiques, le devoir est désormais un puzzle qu'elle ne peut résoudre. Cela force l'élève à réellement faire le travail, plutôt que de laisser un robot le faire à sa place.

Résumé technique : Perturbation adversaire par homoglyphes de problèmes théoriques d'introduction à l'informatique

Énoncé du problème
L'adoption généralisée des modèles de langage de grande taille (LLM) tels que ChatGPT, Gemini et Claude pose un défi majeur à l'intégrité académique, en particulier dans les cours d'introduction à l'informatique et aux mathématiques discrètes. Les étudiants peuvent utiliser ces outils pour compléter des travaux sans s'approprier le contenu, échouant ainsi à atteindre les objectifs pédagogiques du cours. Les stratégies actuelles de contrôle, telles que la détection de contenu généré par l'IA, sont peu fiables et sujettes à des accusations erronées. De plus, les approches adverses standard échouent souvent face aux LLM modernes car ces modèles sont robustes aux perturbations simples de caractères ; ils « réparent » fréquemment les invites modifiées en s'appuyant sur des motifs mémorisés issus de leurs données d'entraînement, qui incluent souvent des problèmes de manuels largement utilisés.

Méthodologie
Les auteurs proposent une méthode en quatre étapes pour créer des perturbations adverses qui rendent les invites de travaux inefficaces pour les LLM tout en restant visuellement identiques pour les humains. L'approche opère sous le « modèle de l'étudiant paresseux », en supposant que les étudiants copient-collent directement les invites dans les interfaces des LLM.

Identification du biais : La méthode commence par identifier les parties d'une question où le LLM présente un biais fort envers les données d'entraînement originales. Même si des adjectifs critiques ou des nombres sont supprimés, le modèle hallucine souvent les informations manquantes en se basant sur sa familiarité avec la source (par exemple, insérer « rationnel » dans une invite concernant des « nombres non nuls » car le problème original du manuel le contenait).
Modification sémantique : Si la question originale manque de caractères numériques spécifiques ou d'expressions mathématiques, la méthode modifie l'invite pour les introduire sans altérer le sens sémantique ni la difficulté pour un étudiant humain. Par exemple, une affirmation générale sur les nombres irrationnels est reformulée pour inclure des variables spécifiques (par exemple, $x$ et $y$ ) ou des coefficients (par exemple, $7x$ ). Cela crée une variation du problème moins susceptible d'exister mot pour mot dans l'ensemble de données d'entraînement du modèle.
Sélection d'homoglyphes : Les auteurs sélectionnent des homoglyphes spécifiques (des caractères qui ressemblent aux caractères alphanumériques standards mais possèdent des points de code Unicode différents) qui sont facilement lisibles par les humains mais non reconnus par les LLM. Le processus de sélection consiste à tester si le LLM échoue à identifier l'homoglyphe comme le caractère intended.
Application de la perturbation : Les homoglyphes sélectionnés sont utilisés pour remplacer des caractères clés (généralement des coefficients numériques ou des symboles impliqués dans des opérations arithmétiques) dans l'invite modifiée. Cela perturbe le processus de tokenisation du LLM. Comme le modèle ne reconnaît pas l'homoglyphe, il ne peut pas le mapper au token correct. Par conséquent, le modèle ignore soit le caractère perturbé, soit le remplace par un token vers lequel il est biaisé (souvent le caractère original issu des données d'entraînement), conduisant à une solution incorrecte.

Contributions clés

Stratégie de perturbation adversaire : Une approche novatrice combinant une modification sémantique avec des attaques par homoglyphes pour contourner la robustesse des LLM modernes face aux simples altérations de texte.
Exploitation du biais du modèle : La méthode exploite la tendance des LLM à « réparer » les invites en se basant sur des données d'entraînement mémorisées, retournant cette caractéristique contre le modèle en introduisant une structure de problème modifiée que le modèle tente de « corriger » incorrectement.
Outil interactif : Le développement d'un outil convivial permettant aux enseignants de télécharger des fichiers d'homoglyphes, de sélectionner des caractères et de générer des questions perturbées efficacement.
Validation empirique : Une évaluation systématique utilisant 69 questions basées sur du texte issues d'un programme standard de mathématiques discrètes (dérivé de Discrete Mathematics and Its Applications de Rosen).

Résultats expérimentaux
L'étude a testé la méthode sur 69 questions de devoirs purement textuelles en utilisant ChatGPT et Gemini.

Efficacité : La méthode a réussi à tromper les deux modèles sur toutes les questions testées.
Efficience : Les perturbations requises étaient minimales. En moyenne, seulement 1,54 tentatives étaient nécessaires pour ChatGPT et 1,67 pour Gemini afin de trouver une perturbation réussie.
Nombre de caractères : Le nombre moyen de caractères perturbés par question était d'environ 3,09 pour ChatGPT et 3,01 pour Gemini. Dans de nombreux cas, perturber un seul caractère (par exemple, changer un coefficient numérique comme « 8 » en un homoglyphe de « 6 ») suffisait à faire échouer le modèle.
Observations sur la densité de perturbation : Les auteurs ont noté qu'une perturbation excessive (changement de plusieurs caractères) pouvait parfois réduire l'efficacité, car le modèle pourrait interpréter les homoglyphes comme un nouveau facteur commun plutôt que de ne pas les reconnaître. À l'inverse, une perturbation minimale produisait souvent de meilleurs résultats.
Limites : La méthode est plus efficace sur les caractères numériques impliqués dans l'arithmétique. La perturbation de caractères servant purement de placeholders symboliques (par exemple, « 0 » et « 1 » dans une définition de langage formel comme $\{0^n1^{2n}\}$ ) s'est révélée inefficace.

Signification et affirmations
L'article affirme que cette méthode offre un dissuasif pratique et non punitif contre la triche assistée par l'IA dans les cours de théorie informatique. En modifiant les invites de manière à ce qu'elles soient visuellement indiscernables pour les humains mais sémantiquement confuses pour les LLM, les enseignants peuvent s'assurer que les étudiants doivent s'approprier le contenu pour résoudre les problèmes. Les auteurs soulignent que cette approche élargit les options pour la stratégie « interdire le contenu généré par l'IA », fournissant une défense proactive qui ne repose pas sur des algorithmes de détection peu fiables. Le travail est modeste dans son ampleur, se concentrant spécifiquement sur les problèmes théoriques d'introduction et démontrant que même des LLM hautement robustes peuvent être compromis par des perturbations minimales soigneusement sélectionnées.