Shared Vulnerabilities in Robustness-Optimized Defenses: One Breach Exposes the Family

Imaginez un monde où votre téléphone, votre voiture et même vos dispositifs médicaux sont pilotés par des cerveaux d'IA super intelligents. Ces cerveaux sont excellents pour reconnaître les visages ou lire des radiographies, mais ils ont une faiblesse secrète : une petite tache, presque invisible, sur une image peut les tromper en leur faisant voir quelque chose de complètement différent. C'est comme dessiner un point minuscule sur un panneau Stop pour qu'une voiture autonome le confonde avec un panneau de limitation de vitesse. Pour empêcher cela, des scientifiques ont construit des « gardes du corps » pour ces cerveaux d'IA. Certains gardes du corps entraînent l'IA à être robuste en lui montrant des milliers d'images piégeuses (Entraînement Adversaire), tandis que d'autres agissent comme un filtre, nettoyant l'image avant que l'IA ne la voie (Purification Adversaire). Tout le monde espère que ces gardes du corps rendront l'IA incassable. Mais et si tous ces gardes du corps, bien qu'ils se ressemblent différemment, portaient en fait le même uniforme secret ? Et si briser l'un d'entre eux donnait accidentellement aux méchants les clés pour les briser tous ?

C'est exactement la découverte effrayante faite par Hanrui Wang et son équipe dans leur nouvel article. Ils ont découvert que lorsque différentes défenses d'IA sont optimisées pour être « robustes » (résistantes aux attaques), elles finissent accidentellement par partager les mêmes faiblesses cachées. C'est comme une famille de super-héros qui auraient tous entraîné dans le même dojo ; si un méchant découvre comment vaincre l'un d'eux, il pourrait être capable de vaincre toute la famille sans même essayer d'apprendre leurs mouvements spécifiques. Les chercheurs n'ont pas seulement supposé cela ; ils ont construit un test simple et ingénieux appelé « PGDTransfer » et une carte spéciale appelée « Cartes de Sensibilité Adversaire » (Adversarial Sensitivity Maps) pour le prouver. Ils ont découvert qu'une fois qu'on brise un type de défense par « nettoyage », l'attaque fonctionne souvent sur presque toutes les autres défenses de nettoyage, avec un taux de réussite de plus de 80 % dans certains cas. Cela suggère que rendre l'IA plus robuste ne suffit pas ; nous devons aussi nous assurer que les différentes défenses ne partagent pas les mêmes fissures secrètes.

Le secret de famille : une brèche, tout le monde exposé

Considérez les défenses d'IA comme différentes marques de serrures de haute technologie. Certaines serrures utilisent un scanner d'empreintes digitales, d'autres un scan rétinien, et d'autres un code vocal. Vous supposeriez que si un voleur déverrouille la serrure à empreintes, il ne pourra pas ouvrir celle à rétine. Mais cet article révèle un rebondissement : si toutes ces serrures ont été conçues selon la même « philosophie de sécurité » (essayer d'être super robuste), elles pourraient toutes avoir la même petite faille invisible dans leurs engrenages.

Les chercheurs appellent cela une « Vulnérabilité Partagée ». Ils ont découvert que lorsque les systèmes d'IA sont entraînés pour être super résistants aux attaques, ils ont tous tendance à ignorer les mêmes parties d'une image et à se concentrer sur les mêmes parties « sûres ». Cela signifie que si un pirate crée une image piégée pour tromper une IA spécifique et robuste, cette même image piégée fonctionne souvent sur d'autres IA robustes, même si elles paraissent complètement différentes à l'intérieur. C'est comme si un maître voleur trouvait une clé de maître qui s'adapte à toutes les serrures d'un quartier parce que toutes les serrures ont été fabriquées par la même usine, même si elles ont des couleurs et des formes différentes.

Le travail de détective : comment ils ont trouvé la fissure

Pour prouver cela, l'équipe a dû être très prudente. Par le passé, les gens testaient si les attaques pouvaient se « transférer » (fonctionner sur une autre IA) en utilisant des changements énormes et évidents sur les images. Les chercheurs ont réalisé que c'était de la triche ; si vous salissez assez une image, n'importe quelle IA sera confuse, non pas parce qu'elles partagent une faiblesse, mais parce que l'image est simplement ruinée.

Ils ont donc inventé des règles plus strictes pour leur test :

1. Changements minuscules uniquement : Ils ont utilisé des changements très faibles, à peine visibles (un budget de $\epsilon = 4/255$), pour s'assurer que l'attaque ne consistait pas simplement à briser l'image.
2. Pas de triche : Ils ont utilisé une règle de « simple substitut » (single-surrogate). Le pirate peut s'entraîner sur une IA (le substitut) mais doit attaquer une autre (la cible) sans voir ses secrets.
3. L'attaque simple : Au lieu d'utiliser un outil de piratage super complexe et sophistiqué, ils ont utilisé une méthode très simple appelée PGDTransfer. C'est comme utiliser un tournevis de base au lieu d'un découpeur laser. Si un simple tournevis peut briser plusieurs serrures, cela prouve que le problème vient des serrures elles-mêmes, et non de l'outil.

Ils ont également créé des Cartes de Sensibilité Adversaire (AdvSMs). Imaginez regarder la carte d'une ville pour voir quelles rues sont fréquentées. Ces cartes montrent exactement quels pixels (petits points) d'une image une IA surveille. Les chercheurs ont découvert que les IA « robustes » font toutes attention aux mêmes pixels spécifiques et en ignorent d'autres. C'est comme si tous les gardes du corps de la famille avaient décidé de monter la garde à la porte d'entrée et d'ignorer la fenêtre arrière. Si un voleur sait comment s'introduire par la fenêtre arrière d'un garde du corps, il sait exactement où aller pour tous les autres.

Les résultats : un signal d'alarme

Les chiffres qu'ils ont trouvés sont assez saisissants. Lorsqu'ils ont testé ces attaques simples contre les défenses de « purification » (celles qui tentent de nettoyer l'image) :

• L'attaque a réussi en moyenne 80,4 % du temps à travers différents types de nettoyeurs (filtrage, compression et modèles basés sur la diffusion).
• Même si ces défenses semblaient fortes individuellement, elles étaient toutes vulnérables à la même astuce simple.
• Cela s'est produit même avec les défenses basées sur la Diffusion, qui sont actuellement considérées comme les plus fortes et les plus complexes au monde.

L'article écarte explicitement l'idée que cela soit simplement dû au fait que les modèles d'IA se ressemblent (comme avoir la même architecture). Ils ont testé des modèles ayant exactement le même design mais des entraînements différents, et ont constaté que si l'un n'était pas « robuste », l'attaque ne se transférait pas. Le transfert n'a eu lieu que lorsque les deux étaient optimisés pour être robustes. Cela prouve que c'est l'« optimisation de la robustesse » elle-même qui crée la faiblesse partagée.

Ce que cela signifie pour l'avenir

La grande conclusion n'est pas que l'IA est condamnée, mais que notre façon de la sécuriser doit changer. Actuellement, nous nous concentrons sur le fait de rendre chaque IA individuelle aussi forte que possible. Cet article suggère que nous devons également nous concentrer sur la diversité. Nous devons nous assurer que les différentes défenses n'apprennent pas toutes à ignorer les mêmes choses. Si nous continuons à les entraîner toutes pour qu'elles soient « parfaitement robustes » de la même manière, nous construisons simplement une famille de serrures qui partagent toutes la même clé de maître.

Les auteurs suggèrent que la sécurité future doit traiter la « diversité de la vulnérabilité » comme un objectif. Au lieu de simplement demander : « Cette IA est-elle robuste ? », nous devrions demander : « La faiblesse de cette IA est-elle différente des autres ? ». Si nous pouvons faire en sorte que lorsqu'une IA est trompée, cela ne signifie pas que toute la famille est exposée, nous pourrons construire un monde numérique beaucoup plus sûr. Pour l'instant, l'article sert d'avertissement : une seule brèche peut exposer toute la famille, nous devons donc cesser de traiter ces défenses comme des îles isolées et commencer à les voir comme un écosystème connecté.