Les cinq critères d'un vrai ANM

Le whitepaper Ward³ pose une affirmation étroite et vérifiable : dès lors que le modèle de machine learning devient une surface d'attaque, une détection réseau bâtie sur un seul modèle est un talon d'Achille, et la solution n'est pas un autre modèle du même genre. C'est l'arbitrage entre des juges vraiment différents, où le désaccord est traité comme un signal.

Facile à dire, facile à simuler. Le whitepaper fixe donc le terme avec cinq critères qui doivent tenir ensemble. Cet article les parcourt ; le whitepaper argumente chacun en détail, avec le modèle de menace et les chiffres derrière.

Le modèle de menace a bougé — pas la défense

L'IDS classique poussait l'attaquant à changer les payloads jusqu'à ne plus matcher une règle. Le NDR a déplacé la détection vers des modèles appris, ce qui a changé le travail de l'attaquant : non plus esquiver une signature, mais faire choisir au modèle la mauvaise réponse. Évasion par gradient, attaques de transfert, extraction de modèle et empoisonnement de labels sont désormais disponibles en open source.

La plupart des NDR répondent à cela par un seul modèle derrière la marque. La Partie 2 du whitepaper reproduit le mode d'échec empiriquement : un NDR autoencodeur typique, perturbé d'environ 2 % de chaque vecteur de features, passe de 86–99 % de détection à 12–41 %. L'attaque change à peine ; ce que le modèle voit d'elle, oui.

Les cinq critères

Pour parler sérieusement d'ANM, les cinq doivent être présents à la fois — pas trois les bons jours.

• 01 — Au moins trois juges, architecturalement distincts. Pas trois graines ni trois tailles de fenêtre : trois façons différentes de lire le trafic, pour qu'une perturbation ne trompe pas tout le monde pour la même raison.
• 02 — Détection explicite de divergence. Le désaccord entre juges est mesuré en temps réel et traité comme un signal de sécurité, pas noyé dans un simple score de confiance.
• 03 — Entraînement adversariel des juges ML, avec un modèle de menace documenté. Un juge non entraîné reste facile à tromper seul.
• 04 — Intégrité et watermarking des modèles. Chaque modèle signé et vérifié au chargement, rattaché à une provenance append-only du build au runtime.
• 05 — Piste de décision auditable. Scores par juge, divergence et action appliquée conservés dans un log inviolable — une robustesse rejouable.

Ceux qu'on saute

Les critères 1 et 5 sont les vendeurs — « plusieurs modèles » et « logs complets » rassurent tous les deux. Les trois du milieu sont là où les produits flanchent discrètement.

Les ensembles homogènes échouent au critère 1 (leurs perturbations se transfèrent, souvent au-delà de 60 %). Traiter le désaccord comme une simple incertitude échoue au critère 2. Livrer un modèle jamais entraîné en adversariel, ou dont la provenance s'arrête à l'artefact, échoue aux 3 et 4. L'idée du whitepaper : la garantie est la conjonction — retirez un seul critère et la médiation cesse de vouloir dire quelque chose.

Ward³ comme implémentation de référence

Ward³ existe pour montrer que les cinq critères sont constructibles, pas seulement présentables : trois juges orthogonaux (un modèle séquentiel, un modèle de graphe, un moteur de règles non-différentiable), un médiateur qui fail-close sur la divergence, un entraînement adversariel documenté, des artefacts signés et vérifiés à provenance append-only, et un ledger chaîné par hash, signé post-quantique, pour chaque décision.

Le whitepaper est l'argument complet — modèle de menace, preuves empiriques, architecture en paliers, performance sous évasion, et comparaison avec EDR, NDR et XDR. Si cet article est la carte, c'est le territoire.