Pourquoi un seul modèle est un pari que vous perdez

En 2017, bâtir un produit de détection réseau autour d'un seul modèle ML bien entraîné était un pari raisonnable. En 2026, c'est un pari fragile — parce que l'attaquant peut désormais viser le modèle lui-même.

L'évasion par gradient n'est plus de la recherche. Un modèle déployé est une cible fixe : avec assez de requêtes ou un substitut transférable entraîné sur des données publiques, ses angles morts se trouvent et s'exploitent — souvent sans que l'attaquant voie jamais votre logique de détection.

Une surface d'attaque devenue banale

Attaquer un modèle est aujourd'hui aussi accessible que d'en construire un. Ce qui exigeait une équipe de recherche est un projet de week-end :

• Perturbations FGSM et PGD, packagées dans ART, CleverHans et Foolbox.
• Attaques de transfert, où un exemple adversariel fabriqué sur un substitut se reporte sur votre modèle.
• Extraction de modèle, pour reconstruire une copie utilisable d'un détecteur à partir de ses sorties.
• Empoisonnement de labels, pour glisser l'angle mort dès l'entraînement.

Trois graines ne font pas trois juges

Le réflexe est d'assembler. Ça aide — ça augmente le coût pour l'attaquant — mais ça ne résout rien quand les modèles sont trop semblables. Trois graines de la même architecture partagent les mêmes features, les mêmes données et le même biais : une perturbation qui trompe l'un se transfère souvent aux trois. Des taux de transfert au-delà de 60 % sont courants. La redondance n'est pas la robustesse.

Ward³ emploie des juges architecturalement orthogonaux : un modèle séquentiel sur des fenêtres de paquets, un modèle de graphe sur la topologie des hôtes, et un moteur de règles déterministe qui n'est pas différentiable du tout. Une perturbation calée contre le juge séquentiel n'a aucun gradient à suivre jusque dans le moteur de règles, ni aucune raison de garder la topologie du graphe plausible.

La vraie question : qui l'attrape ensuite

Un modèle unique ne donne qu'un score, rien d'autre. Quand il est trompé, il échoue en silence. Des juges orthogonaux donnent un score et une forme d'accord — et un attaquant discret qui trompe l'un d'eux laisse en général les autres dans un état incohérent.

Cette incohérence n'est pas du bruit à lisser. C'est le signal, et c'est précisément ce qu'un NDR mono-modèle ne peut structurellement pas produire. Le pari n'a jamais été que votre modèle est parfait ; c'était qu'il n'a jamais un mauvais jour. C'est ce pari que vous perdez.