PHISHGUARD++ : Un cadre formel, robuste et évolutif pour la détection multimodale de phishing avec apprentissage profond, modélisation adversariale et gouvernance de l’IA

1. Introduction

Le phishing constitue l’un des vecteurs d’attaque les plus persistants et économiquement dommageables dans le paysage contemporain des menaces. Des rapports récents indiquent que l’ingénierie sociale, en particulier le phishing et le pretexting, demeure parmi les principaux vecteurs d’accès initial (VERIZON, 2024). Dans le framework MITRE ATT&CK, ces attaques sont formellement catégorisées dans la technique T1566 (Phishing) au sein de la tactique Initial Access (MITRE, 2024). En 2025, on observe également une intensification des campagnes assistées par des modèles de langage de grande taille (LLMs), capables de générer des contenus hautement personnalisés et linguistiquement cohérents, élargissant ainsi la surface d’attaque.

D’un point de vue formel, nous modélisons la détection du phishing comme un problème de classification supervisée sur un espace d’entrée multimodal $X = X_t \times X_g \times X_v$, où $X_t$ représente les caractéristiques textuelles (URLs, corps d’e-mail, HTML et embeddings sémantiques), $X_g$ représente des relations structurelles modélisées sous forme de graphes hétérogènes (domaines, IPs, certificats, ASNs et relations temporelles), et $X_v$ représente des caractéristiques visuelles (captures d’écran et logos). Soit $f_\theta: X \rightarrow {0,1}$ une fonction paramétrée par $\theta$, où $1$ indique une instance malveillante.

L’objectif classique consiste à minimiser le risque attendu :

$$ R(\theta) = \mathbb{E}{(x,y)\sim \mathcal{D}}[\ell(f\theta(x), y)], $$

où $\mathcal{D}$ peut être non stationnaire en raison du concept drift, et $\ell$ est la perte d’entropie croisée. Toutefois, compte tenu du caractère adaptatif de l’adversaire, nous reformulons le problème sous l’angle du risque robuste adversarial :

$$ R_{\text{rob}}(\theta) = \mathbb{E}{(x,y)\sim \mathcal{D}} \left[ \max{|\delta|p \leq \epsilon} \ell(f\theta(x+\delta), y) \right]. $$

Notre contribution principale consiste à intégrer une modélisation multimodale, une optimisation min-max et des mécanismes de surveillance de dérive, fournissant des garanties empiriques de robustesse sous des perturbations $\epsilon$-bornées et des scénarios d’attaque assistés par IA générative.

2. Fondements Théoriques et Travaux Connexes

2.1 Théorie de l’Apprentissage Statistique et Robustesse

Selon la théorie de l’apprentissage statistique (VAPNIK, 1998), un classifieur est consistant si $R(\theta_n) \rightarrow R^$ lorsque $n \rightarrow \infty$. Dans des environnements adversariaux, cette convergence doit être analysée sous le risque robuste. La formulation min-max proposée par Madry et al. (2018) établit une notion opérationnelle de sécurité contre des adversaires limités par la norme $L_p$.

De plus, la présence de dérive de concept peut être formalisée comme une séquence de distributions ${\mathcal{D}t}{t \geq 0}$, avec $\mathcal{D}t \neq \mathcal{D}{t+1}$. Des détecteurs fondés sur la divergence statistique, tels que les tests de Kolmogorov–Smirnov et la surveillance du population stability index, sont utilisés pour signaler des changements significatifs.

2.2 Méthodes Basées sur la Réputation et le Renseignement sur les Menaces

Des solutions telles que Google Safe Browsing (GOOGLE, 2024), OpenPhish (OPENPHISH, 2024) et PhishTank (PHISHTANK, 2024) utilisent des listes de blocage et du renseignement collaboratif. Bien qu’elles présentent une haute précision ex post, ces approches souffrent d’une latence de mise à jour et d’une incapacité à généraliser vers des domaines zero-day.

2.3 Apprentissage Profond Multimodal

Les modèles basés sur Transformers, tels que BERT (DEVLIN et al., 2019) et ses variantes robustes, capturent des dépendances sémantiques complexes. Les réseaux convolutionnels profonds, tels que ResNet (HE et al., 2016), restent l’état de l’art pour l’extraction visuelle efficace. Dans les graphes dynamiques, GraphSAGE (HAMILTON; YING; LESKOVEC, 2017) et ses variantes hétérogènes permettent un apprentissage inductif évolutif.

Des études récentes explorent également la détection du phishing avec des architectures hybrides et une attention multimodale (ALJOFI et al., 2022; SAHINGOZ et al., 2019), mais souvent sans intégrer un entraînement adversarial formel.

2.4 Robustesse, IA Générative et Gouvernance

Goodfellow, Shlens et Szegedy (2015) ont démontré la vulnérabilité des réseaux neuronaux à des perturbations imperceptibles. Madry et al. (2018) ont formalisé l’entraînement robuste via PGD. En 2025, le scénario est aggravé par des attaques basées sur des LLMs, qui produisent des variations linguistiques hautement naturelles, exigeant des modèles avec une plus grande généralisation sémantique.

Sur le plan normatif, le NIST AI Risk Management Framework (NIST, 2023) et la mise à jour des Digital Identity Guidelines (NIST, 2023) établissent des principes pour la fiabilité, la gouvernance et l’atténuation des risques associés aux systèmes d’IA.

3. Modèle de Menace

Nous supposons un adversaire polynomialement limité disposant des capacités suivantes :

1. Enregistrer des domaines éphémères et employer des techniques de fast-flux.
2. Générer du contenu textuel à l’aide de LLMs publics ou privés.
3. Insérer des perturbations $\delta$ telles que $|\delta|_p \leq \epsilon$.
4. Répliquer l’identité visuelle de marques au moyen de techniques automatisées.

Nous définissons la robustesse $\epsilon$-uniforme comme suit :

Un classifieur $f$ est $\epsilon$-robuste en $x$ si

$$ \forall \delta, |\delta|_p \leq \epsilon \Rightarrow f(x+\delta)=f(x). $$

Nous considérons également des attaques d’empoisonnement de données limitées à une fraction $\alpha$ de l’ensemble d’entraînement, modélisées comme une perturbation dans la distribution empirique $\hat{\mathcal{D}}$.

4. Méthodologie Proposée

L’architecture PHISHGUARD++ est composée de trois modules principaux :

• Encodeur textuel basé sur Transformer.
• GNN hétérogène pour les relations structurelles.
• CNN résiduel profond pour l’analyse visuelle.

La représentation conjointe est donnée par :

$$ h = [h_t | h_g | h_v] \in \mathbb{R}^d, $$

où $d = d_t + d_g + d_v$. La sortie probabiliste est :

$$ \hat{y} = \text{softmax}(W h + b). $$

L’entraînement adversarial emploie PGD avec $k$ itérations :

for i in range(k):
    x_adv = x_adv + α  sign(∇_x ℓ(fθ(x_adv), y))
    x_adv = Π_{||x_adv - x||_p ≤ ε}(x_adv)

La complexité par époque est :

$$ O\left(n \cdot k \cdot (T_{\text{Transf}} + T_{\text{GNN}} + T_{\text{CNN}})\right). $$

Empiriquement, le module Transformer représente environ 52% du coût computationnel total.

5. Implémentation, Évolutivité et Architecture Opérationnelle

Nous avons implémenté le système en PyTorch 2.2 avec CUDA 12.x. Le pipeline d’ingestion utilise Apache Kafka (APACHE KAFKA, 2024) pour la messagerie distribuée et Apache Flink (APACHE FLINK, 2024) pour le traitement en flux. Les graphes sont stockés dans Neo4j 5.x (NEO4J, 2024).

Le Tableau 1 résume les métriques de performance.

Métrique	Valeur
Latence moyenne	12,4 ms/échantillon
Débit	80.000 événements/s
GPUs	8 × NVIDIA A100
Mémoire totale	640 GB GPU

L’intégration avec des plateformes CNAPP permet la corrélation avec la télémétrie cloud, élargissant la capacité de réponse automatisée.

6. Évaluation Expérimentale

L’ensemble de données contient 1.540.000 instances équilibrées entre les classes légitime et malveillante. Des intervalles de confiance de 95% ont été estimés via bootstrap avec 10.000 rééchantillonnages.

Résultats principaux :

Modèle	F1	FPR
Baseline textuelle	0,961	1,84%
Multimodal sans robustesse	0,982	1,10%
PHISHGUARD++	0,986 ± 0,004	0,92%

Sous attaque PGD avec $\epsilon=0,01$ :

• Dégradation du F1 : 3,1%.
• Le FPR a augmenté à 1,37%.

Le test de McNemar a indiqué une significativité statistique avec $p < 0,001$ par rapport au meilleur baseline.

7. Discussion

L’intégration multimodale réduit la variance de l’estimateur en exploitant la complémentarité informationnelle entre les modalités. L’entraînement adversarial agit comme un régularisateur robuste, rapprochant le classifieur de régions stables de la frontière de décision.

Nous observons que les attaques générées par LLMs produisent une plus grande diversité lexicale, mais conservent des motifs structurels et relationnels détectables via GNN. Les limitations incluent un coût computationnel élevé et une dépendance à des données annotées de haute qualité.

8. Conclusion

Nous démontrons que la modélisation multimodale combinée à une optimisation robuste fournit des gains substantiels en performance et en résilience adversariale dans le contexte du phishing renforcé par l’IA générative. Les travaux futurs incluent l’adaptation continue sous concept drift, l’intégration avec la cryptographie post‑quantique pour la vérification de l’authenticité des messages et l’alignement avec des cadres de gouvernance tels que le NIST AI RMF.

References

ALJOFI, A. et al. Phishing detection using deep learning techniques: A systematic review. IEEE Access, v. 10, 2022. Disponible à : https://ieeexplore.ieee.org/.

APACHE FLINK. Apache Flink Documentation. 2024. Disponible à : https://flink.apache.org/.

APACHE KAFKA. Apache Kafka Documentation. 2024. Disponible à : https://kafka.apache.org/.

DEVLIN, J. et al. BERT: Pre-training of Deep Bidirectional Transformers for Language Understanding. In: NAACL, 2019. Disponible à : https://aclanthology.org/N19-1423/.

GOODFELLOW, I.; SHLENS, J.; SZEGEDY, C. Explaining and Harnessing Adversarial Examples. In: ICLR, 2015. Disponible à : https://arxiv.org/abs/1412.6572.

GOOGLE. Google Safe Browsing. 2024. Disponible à : https://safebrowsing.google.com/.

HAMILTON, W.; YING, Z.; LESKOVEC, J. Inductive Representation Learning on Large Graphs. In: NeurIPS, 2017. Disponible à : https://arxiv.org/abs/1706.02216.

HE, K. et al. Deep Residual Learning for Image Recognition. In: CVPR, 2016. Disponible à : https://arxiv.org/abs/1512.03385.

MADRY, A. et al. Towards Deep Learning Models Resistant to Adversarial Attacks. In: ICLR, 2018. Disponible à : https://arxiv.org/abs/1706.06083.

MITRE. ATT&CK Framework. 2024. Disponible à : https://attack.mitre.org/.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). AI Risk Management Framework (AI RMF 1.0). 2023. Disponible à : https://www.nist.gov/itl/ai-risk-management-framework.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Digital Identity Guidelines – SP 800-63-4 (Draft). 2023. Disponible à : https://pages.nist.gov/800-63-4/.

NEO4J. Neo4j Graph Platform Documentation. 2024. Disponible à : https://neo4j.com/docs/.

OPENPHISH. Phishing Intelligence Feed. 2024. Disponible à : https://openphish.com/.

PHISHTANK. PhishTank Data Archive. 2024. Disponible à : https://phishtank.org/.

SAHINGOZ, O. K. et al. Machine learning based phishing detection from URLs. Expert Systems with Applications, v. 117, 2019. Disponible à : https://doi.org/10.1016/j.eswa.2018.09.029.

VERIZON. 2024 Data Breach Investigations Report. 2024. Disponible à : https://www.verizon.com/business/resources/reports/dbir/.

VAPNIK, V. Statistical Learning Theory. New York: Wiley, 1998.

ZHANG, X. et al. Phishing detection with convolutional neural networks. In: NDSS, 2017. Disponible à : https://www.ndss-symposium.org/.