Brain-Prompt Injection: A Route-Safety Audit for BCI-LLM Agents

Résumé Technique : Injection de « Brain-Prompt » et Audits de Sécurité de Route pour les Agents BCI–LLM

1. Définition du Problème

Le document traite d'une nouvelle vulnérabilité de sécurité émergeant de l'intégration des interfaces cerveau-ordinateur (BCI) avec des agents utilisant des outils basés sur des modèles de langage de grande taille (LLM). Dans cette architecture, l'activité neurale décodée (par exemple, les signaux EEG) sert de canal d'autorisation pour qu'un agent exécute des outils (par exemple, déplacer un curseur, envoyer un message). Les auteurs identent une nouvelle surface d'attaque nommée injection de « brain-prompt », où un adversaire manipule le signal neural ou le contexte environnant pour forcer l'agent à exécuter des actions non autorisées.

Le document définit trois modes de défaillance spécifiques que les mécanismes de sécurité actuels ne parviennent pas à traiter conjointement :

• C1 (Perturbation du côté du signal) : Perturbations adverses des fenêtres EEG qui altèrent la commande décodée, de manière similaire aux exemples adverses traditionnels.
• C2 (Injection par le seul contexte) : Analogue à l'injection de prompt indirect dans les LLM, où un attaquant modifie le contexte externe (par exemple, documents récupérés ou prompts système) pour changer la route de l'agent. Crucialement, le signal EEG reste « propre », ce qui fait que les moniteurs basés uniquement sur l'EEG ne détectent pas l'anomalie.
• C3 (Attaque à double décodeur adaptative) : Un attaquant applique une perturbation partagée à l'entrée brute vue à la fois par un décodeur primaire ($f$) et un décodeur de vérification ($f_2$). Cela satisfait le prédicat de sécurité d'« accord » (les deux décodeurs produisent la même cible) tout en dirigeant les deux vers une cible choisie par l'attaquant plutôt que vers l'intention de l'utilisateur.

Le problème central est que les affirmations de sécurité existantes (par exemple, « l'accord entre deux décodeurs certifie l'intention ») sont mathématiquement insuffisantes car elles ne tiennent pas compte de l'élévation de dépendance attaquée (attacked dependence lift) — la probabilité jointe que les deux décodeurs soient simultanément dirigés vers la même cible malveillante par une perturbation partagée.

2. Méthodologie et Cadre Théorique

Le Contrat d'Audit de Sécurité de Route
Les auteurs proposent un Contrat d'Audit de Sécurité de Route formel pour définir les conditions nécessaires à la certification de la sécurité de la route. Ce contrat se compose de :

• Schéma de Log ($L_c$) : Un ensemble minimal de variables devant être journalisées par cas, incluant la provenance du contexte, les décisions secondaires attaquées, les politiques d'exécution et les résultats de la route.
• Hiérarchie de Dénominateurs ($D_c$) : Des dénominateurs statistiques spécifiques (par exemple, cas source-non-cible, hiérarchies de graines/seeds) requis pour calculer des taux valides.
• Spécification de l'Extrémité ($G_c$) : Critères de réussite ou d'échec définis.

Contributions Théoriques

• Théorème de Séparation de l'Audit-Schéma : Le document prouve que sans la journalisation de variables spécifiques (comme la provenance du contexte pour C2 ou les décisions secondaires attaquées pour C3), deux mondes d'audit peuvent paraître identiques dans leurs logs tout en ayant des valeurs de vérité de sécurité opposées. Ainsi, les métriques standards (comme les taux d'accord sur données propres) ne sont pas identifiantes pour ces classes d'attaques.
• Décomposition de la Dépendance Attaquée C3 : Les auteurs décomposent le risque d'une attaque C3 en trois termes : la probabilité de la cible primaire ($p_1$), le terme d'accord conditionnel attaqué ($P(B|A)$), et le terme de politique d'exécution ($\alpha$). Ils démontrent que les statistiques d'accord sur données propres ne peuvent identifier le terme conjoint attaqué ($\Delta_D$), signifiant qu'un accord élevé sur données propres ne garantit pas la sécurité sous attaque.
• Couche de Calibration Conforme : Pour traiter C3, le document applique la calibration split-conformal à un canal de confirmation non-oracle (une fenêtre EEG indépendante décodée par un modèle séparé). Cela établit une borne théorique sur le Taux de Faux Positifs (FAR) sous un modèle de menace spécifique (B-strict) exigeant :
  1. Isolation d'Acquisition : La fenêtre de confirmation est acquise à partir d'une session que l'attaquant ne peut influencer.
  2. Non-Contrôlabilité du Canal de Confirmation : L'attaquant ne peut pas perturber la fenêtre de confirmation.
     Le document prouve, via un argument de faisabilité PGD, que si l'attaquant peut perturber la fenêtre de confirmation, aucune borne uniforme de FAR n'existe.

3. Validation Expérimentale

Les auteurs instancient le contrat d'audit sur des données de commande de contrôle gauche/droite EEGMMI impliquant 5 400 événements à travers 60 sujets, 10 graines aléatoires et des stubs d'outils inoffensifs (mouvements de curseur).

Principaux Résultats Expérimentaux :

• Vulnérabilité C2 : L'injection par le seul contexte parvient à router l'action cible avec un taux de 1.000 lorsque la provenance est absente. Lorsque la provenance du contexte est imposée, la route est bloquée (0.000), tandis que les moniteurs côté EEG restent aveugles à l'attaque.
• Vulnérabilité C3 : Sous des perturbations d'entrée brute partagées, l'accord entre deux décodeurs échoue à empêcher le routage non autorisé. Le taux de succès de l'attaque pour C3 est de 1.000, même lorsque l'accord et la provenance sont présents.
• Efficacité de la Confirmation : L'introduction d'une fenêtre de confirmation EEG indépendante (proxy non-oracle) réduit considérablement le routage C3.
  • À un taux de Faux Positifs cible ($\alpha$) de 0,05, le taux de routage C3 chute à 0,178 (IC 95 % [0,153, 0,206]) avec une utilité propre de 0,573.
  • À $\alpha = 0,01$, le taux de routage C3 chute à 0,091 (IC 95 % [0,073, 0,113]) avec une utilité propre de 0,458.
• Nécessité de l'Archétype de Menace : Les expériences valident la nécessité du modèle de menace B-strict. Lorsque l'attaquant est autorisé à perturber la fenêtre de confirmation (Archétypes C et C'), le FAR explose à ~1.000, confirmant la borne théorique.
• Prétraitement et Tests de Stress : Le document teste la robustesse du contournement de l'accord face aux contraintes de prétraitement (lissage, limitation de bande, décalages temporels). Bien que les contraintes combinées (lissage + limitation de bande) réduisent les taux d'accord à 0,156, l'attaque reste réalisable sous de nombreuses contraintes réalistes, et la sensibilité de l'alignement temporel est identifiée comme un point de fragilité.
• Saturation de Capacité : Les expériences variant la capacité du modèle de confirmation (TinyEEGNet vs. EEGNetV4) montrent que la frontière FAR/utilité est limitée par le jeu de données plutôt que par le modèle dans le régime testé ; augmenter la capacité du modèle au-delà de quelques centaines de paramètres produit des rendements décroissants.

4. Contributions Clés

1. Définition de l'Injection de Brain-Prompt : Formalisation de la surface d'attaque où les signaux neuraux et les contextes LLM interagissent, identifiant spécifiquement les modes de défaillance C1, C2 et C3.
2. Contrat d'Audit de Sécurité de Route : Un cadre théorique prouvant que les affirmations de sécurité nécessitent des schémas de log et des dénominateurs spécifiques. Il établit que l'accord sur données propres n'est pas un certificat d'intention sous des attaques adaptatives.
3. Calibration Conforme pour la BCI : Adaptation de la prédiction split-conformal aux canaux de confirmation BCI, fournissant une borne rigoureuse et falsifiable sur les routes confirmées non autorisées sous isolation stricte d'acquisition.
4. Instanciation Empirique : Un protocole d'audit complet sur des données EEG réelles (EEGMMI) démontrant que :
   • La provenance bloque C2.
   • L'accord seul échoue contre C3.
   • La confirmation indépendante (avec isolation stricte) réduit le risque C3 mais ne l'élimine pas, créant une frontière mesurable entre risque et utilité.

5. Signification et Revendications

Le document positionne sa contribution comme un protocole d'audit étroit et testable plutôt que comme une garantie de déploiement général ou une démonstration d'attaque physique.

• Revendications Modestes : Les auteurs précisent explicitement qu'ils ne cherchent pas à estimer la prévalence des BCI déployés, la faisabilité d'une injection physique ou le consentement humain. Les expériences sont des audits d'autorisation hors ligne.
• Signification Centrale : La contribution principale est la démonstration que les affirmations de sécurité de route doivent être spécifiques à une classe. Un certificat de sécurité valide pour C1 (perturbation du signal) est insuffisant pour C2 (injection de contexte) ou C3 (accord adaptatif).
• Implication Pratique : Le document s'oppose au traitement de l'accord entre deux décodeurs comme un prédicat de sécurité suffisant. Au lieu de cela, il préconise une pile de sécurité comprenant la journalisation de la provenance, des canaux de confirmation indépendants (avec isolation stricte) et des dénominateurs spécifiques à chaque classe pour falsifier les affirmations de sécurité.
• Limites : Le travail reconnaît que la non-stationnarité inter-jours, le repositionnement du casque et la dérive d'impédance sont des hypothèses ouvertes non couvertes par l'ensemble de données actuel. Le « pont de routage en direct » est une vérification de transcription, et non une validation d'agent en temps réel.

En résumé, le document fournit un cadre mathématique et empirique rigoureux montrant que les mécanismes de sécurité actuels des BCI-LLM sont aveugles à des vecteurs d'attaque conjoints spécifiques, et propose un schéma d'audit minimal et une couche de calibration conforme pour rendre ces risques mesurables et falsifiables.