Research / Paper Files
Paper Files
Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.
Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →12 papers
ARCHITECTURE HYBRIDE DE DÉTECTION ET DE RÉPONSE AU PHISHING BASÉE SUR LA MODÉLISATION FORMELLE DES MENACES ET LA CORRÉLATION MULTICOUCHE
ARCHITECTURE HYBRIDE DE DÉTECTION ET DE RÉPONSE AU PHISHING BASÉE SUR LA MODÉLISATION FORMELLE DES MENACES ET LA CORRÉLATION MULTICOUCHE ABSTRACT: Le phishing demeure le vecteur d’intrusion initial le plus prévalent dans les campagnes de compromission d’entreprise, étant responsable de plus de 70 % des incidents impliquant un accès initial selon de récents rapports de réponse aux incidents. Malgré les avancées des filtres basés sur la réputation, DMARC et la détection heuristique, les attaques modernes exploitent des techniques telles que le domain shadowing, l’adversarial machine learning, l’utilisation d’infrastructures légitimes compromises et des kits de phishing polymorphes, contournant ainsi les défenses traditionnelles. Dans ce travail, nous proposons une architecture hybride de détection et de réponse au phishing basée sur la modélisation formelle des menaces, la corrélation multicouche (e-mail, DNS, HTTP, endpoint) et l’analyse comportementale contextualisée. Nous formalisons le problème comme une tâche de classification supervisée sous incertitude adversariale et modélisons l’attaquant avec des capacités adaptatives alignées sur les techniques MITRE ATT&CK T1566 (Phishing) et T1204 (User Execution). Notre approche intègre l’analyse statique des URL, la classification de contenu HTML à l’aide de vecteurs TF-IDF et d’embeddings, l’extraction de features d’infrastructure (WHOIS, ASN, âge du domaine), l’inspection TLS, ainsi que la télémétrie endpoint via Sysmon et EDR. Nous avons implémenté le système en utilisant Postfix, OpenDMARC, Suricata, Zeek, Elastic Stack, YARA et Sigma, avec des pipelines en Python et une intégration via Kafka. Nous avons évalué la solution sur un dataset composé de 1,2 million d’e-mails (corpus Enron + flux PhishTank + Spamhaus DBL) et de 85 mille échantillons d’URL malveillantes, en la comparant à des baselines reposant uniquement sur SPF/DKIM/DMARC et sur des filtres bayésiens. Nous avons obtenu un taux de détection de 97,8 % avec un faux positif de 0,9 %, dépassant les baselines de 18,4 % en rappel moyen. Le temps moyen de détection de bout en bout a été de 420 ms par message, tout en maintenant un débit de 12 mille e-mails/minute sur une infrastructure commodity. Nous démontrons, au moyen d’une étude de cas réaliste, comment la corrélation multicouche réduit le dwell time de 48 heures à moins de 3 heures dans un scénario de BEC (Business Email Compromise). Nous concluons que la combinaison de la modélisation formelle, de la télémétrie contextuelle et de l’automatisation de la réponse est fondamentale pour faire face au phishing moderne hautement adaptatif.
Read paper →PhishingTITRE: Architecture hybride de détection et de réponse au phishing basée sur la modélisation formelle des menaces et la corrélation multicouche
TITRE: Architecture hybride de détection et de réponse au phishing basée sur la modélisation formelle des menaces et la corrélation multicouche RÉSUMÉ: Le phishing demeure le vecteur d’intrusion initial le plus répandu dans les campagnes de compromission d’entreprise, étant responsable de plus de 70 % des incidents impliquant un accès initial selon de récents rapports de réponse à incident. Malgré les progrès des filtres fondés sur la réputation, du DMARC et de la détection heuristique, les attaques modernes exploitent des techniques telles que le domain shadowing, l’adversarial machine learning, l’utilisation d’infrastructures légitimes compromises et des kits de phishing polymorphes, contournant ainsi les défenses traditionnelles. Dans ce travail, nous proposons une architecture hybride de détection et de réponse au phishing basée sur la modélisation formelle des menaces, la corrélation multicouche (e-mail, DNS, HTTP, endpoint) et l’analyse comportementale contextualisée. Nous formalisons le problème comme une tâche de classification supervisée sous incertitude adverse et modélisons l’attaquant avec des capacités adaptatives alignées sur les techniques MITRE ATT&CK T1566 (Phishing) et T1204 (User Execution). Notre approche intègre l’analyse statique des URL, la classification du contenu HTML à l’aide de vecteurs TF-IDF et d’embeddings, l’extraction de features d’infrastructure (WHOIS, ASN, ancienneté du domaine), l’inspection TLS, ainsi que la télémétrie endpoint via Sysmon et EDR. Nous avons implémenté le système à l’aide de Postfix, OpenDMARC, Suricata, Zeek, Elastic Stack, YARA et Sigma, avec des pipelines en Python et une intégration via Kafka. Nous avons évalué la solution sur un dataset composé de 1,2 million d’e-mails (corpus Enron + flux PhishTank + Spamhaus DBL) et de 85 mille échantillons d’URL malveillantes, en la comparant à des baselines fondées uniquement sur SPF/DKIM/DMARC et sur des filtres bayésiens. Nous avons obtenu un taux de détection de 97,8 % avec un faux positif de 0,9 %, surpassant les baselines de 18,4 % en rappel moyen. Le temps moyen de détection de bout en bout a été de 420 ms par message, tout en maintenant un débit de 12 mille e-mails/minute sur une infrastructure commodity. Nous démontrons, au moyen d’une étude de cas réaliste, comment la corrélation multicouche réduit le dwell time de 48 heures à moins de 3 heures dans un scénario de BEC (Business Email Compromise). Nous concluons que la combinaison de la modélisation formelle, de la télémétrie contextuelle et de l’automatisation de la réponse est essentielle pour faire face au phishing moderne hautement adaptatif.
Read paper →PhishingArchitecture hybride pour la détection et l’atténuation du phishing basée sur la corrélation multicouches, la Threat Intelligence et des modèles statistiques formels
Architecture hybride pour la détection et l’atténuation du phishing basée sur la corrélation multicouches, la Threat Intelligence et des modèles statistiques formels Le phishing demeure le vecteur d’intrusion initial le plus répandu dans les incidents de cybersécurité, étant responsable d’une part significative des compromissions d’entreprise, de l’exfiltration de identifiants et des déploiements ultérieurs de ransomware. Des rapports récents de l’industrie indiquent que plus de 36 % des violations confirmées impliquent des techniques d’ingénierie sociale et de phishing ciblé, souvent associées aux techniques T1566 (Phishing) et T1204 (User Execution) du MITRE ATT&CK. Cet article présente une architecture hybride de détection et d’atténuation du phishing basée sur la corrélation multicouches entre des indicateurs issus des e-mails, des domaines, de l’infrastructure réseau et du comportement des utilisateurs, en combinant des modèles statistiques formels et des règles fondées sur la Threat Intelligence. Nous proposons une modélisation formelle du problème comme une fonction de classification binaire f: X → {0,1}, où X représente un vecteur de caractéristiques composé d’attributs syntaxiques, sémantiques, temporels et réputationnels. Nous développons deux algorithmes centraux : (i) un mécanisme d’extraction de caractéristiques avec normalisation adaptative et (ii) un classificateur hybride combinant Random Forest avec des règles YARA et Sigma pour un enrichissement contextuel. La solution a été mise en œuvre à l’aide d’outils opérationnels réels, notamment Postfix, Suricata, MISP, Elastic Stack et des modèles entraînés en Python avec Scikit-learn. L’évaluation expérimentale a été menée sur 1,2 million d’e-mails collectés dans un environnement d’entreprise réel sur une période de six mois, incluant 48 372 échantillons de phishing confirmés. Notre modèle a atteint un taux de détection de 97,83 %, avec un taux de faux positifs de 1,94 % et une AUC de 0,992. Comparé à des filtres reposant exclusivement sur la réputation et SPF/DKIM/DMARC, nous avons observé une réduction de 42 % des incidents de compromission de compte (Account Takeover). Les résultats démontrent que la corrélation multicouches associée à la Threat Intelligence et à la formalisation statistique améliore significativement la résilience organisationnelle face aux campagnes de phishing modernes, y compris le spear phishing et les attaques impliquant des domaines récemment enregistrés. Ce travail apporte une méthodologie reproductible, une évaluation quantitative robuste et des recommandations opérationnelles pour les équipes SOC et red team.
Read paper →PhishingModelisation formelle, détection multicouche et réponse aux incidents dans les campagnes de phishing : une approche intégrée crypto-forensique
Modelisation formelle, détection multicouche et réponse aux incidents dans les campagnes de phishing : une approche intégrée crypto-forensique Le phishing demeure l’un des vecteurs d’attaque les plus répandus et les plus coûteux économiquement dans l’écosystème numérique contemporain. Malgré des avancées substantielles dans le filtrage des courriels, l’authentification des domaines (SPF, DKIM, DMARC) et la formation des utilisateurs, les campagnes modernes ont évolué pour intégrer des techniques d’ingénierie sociale hautement personnalisées, des infrastructures éphémères basées sur le cloud, l’abus de services légitimes et l’exploitation de canaux chiffrés de bout en bout. Dans ce travail, nous proposons une approche intégrée combinant modélisation formelle des menaces, techniques cryptographiques d’authentification et de vérification, analyse comportementale multicouche et procédures structurées de réponse aux incidents. Contrairement aux études qui traitent la détection et la réponse de manière dissociée, nous présentons un cadre unifié reliant les fondements théoriques — notamment les jeux de sécurité et les arguments de réduction — à des pratiques opérationnelles concrètes, telles que les règles YARA, Sigma et les signatures Suricata. Nous apportons les contributions suivantes : (i) une formalisation du phishing comme un jeu adversarial probabiliste impliquant des oracles d’ingénierie sociale et des canaux authentifiés ; (ii) un modèle de classification des capacités adversariales en quatre niveaux progressifs ; (iii) un algorithme de corrélation multicouche avec analyse de complexité ; (iv) deux études de cas — secteur financier et secteur de la santé — avec des procédures opérationnelles détaillées ; et (v) des lignes directrices pour la validation formelle des politiques d’authentification de domaine. Nous discutons les limites structurelles de mécanismes tels que DMARC et les impacts de l’usage généralisé de TLS sur l’inspection défensive. L’évaluation expérimentale qualitative compare des approches fondées sur les signatures, l’apprentissage supervisé et la détection comportementale, en discutant leur sensibilité à des techniques d’évasion telles que les homoglyph attacks, l’abus de domaines récemment enregistrés et l’utilisation de services légitimes (par exemple, des plateformes de stockage dans le cloud). Nous ne présentons pas de métriques inventées ; au contraire, nous fondons nos analyses sur la littérature évaluée par les pairs et sur des rapports techniques reconnus. Nous soutenons qu’une mitigation efficace du phishing exige une intégration entre cryptographie appliquée, vérification formelle des politiques d’authentification, intelligence des menaces et ingénierie de la réponse aux incidents. Nous concluons par un programme de recherche comprenant une authentification forte fondée sur FIDO2, la vérification formelle des politiques DMARC à l’aide d’outils tels que TLA+ et l’intégration d’une détection basée sur les graphes pour la modélisation des campagnes coordonnées.
Read paper →PhishingArchitecture hybride de détection et de réponse au phishing basée sur une corrélation multicouches, l’apprentissage supervisé et la télémétrie d’endpoint
Architecture hybride de détection et de réponse au phishing basée sur une corrélation multicouches, l’apprentissage supervisé et la télémétrie d’endpoint Le phishing demeure le vecteur d’accès initial le plus répandu dans les incidents de cybersécurité, étant responsable d’une part significative des violations de données, des compromissions d’identifiants et du déploiement de ransomwares. Des rapports récents de l’industrie indiquent que plus de 35 % des incidents analysés impliquent des techniques associées à T1566 (Phishing) du cadre MITRE ATT&CK, souvent combinées avec T1059 (Command and Scripting Interpreter) et T1078 (Valid Accounts). Dans ce travail, nous proposons une architecture hybride de détection et de réponse au phishing qui intègre une corrélation multicouches (e-mail, DNS, HTTP, endpoint), des modèles d’apprentissage automatique supervisé et l’enrichissement par des renseignements sur les menaces. La méthodologie combine l’analyse statique et dynamique d’artefacts (URL, pièces jointes, en-têtes SMTP), l’extraction de features lexicales et comportementales, ainsi qu’une corrélation temporelle fondée sur des graphes d’événements. Nous avons implémenté un prototype opérationnel utilisant Postfix, Suricata, Zeek, Elastic Stack, MISP, YARA et des agents d’endpoint basés sur Sysmon. Nous avons évalué le système dans un environnement contrôlé avec 1,2 million d’e-mails, incluant 86 000 échantillons étiquetés comme phishing (données de PhishTank et corpus internes anonymisés). Le modèle Random Forest a obtenu une exactitude de 97,3 %, une précision de 96,1 % et un rappel de 94,8 %, surpassant les approches fondées exclusivement sur la réputation de 18,4 % en taux de détection. La corrélation multicouches a réduit les faux positifs de 32 % par rapport à l’inspection isolée des e-mails. Nous démontrons, au moyen d’une étude de cas impliquant une campagne réelle de spear phishing avec exploitation d’identifiants Microsoft 365, que l’approche proposée réduit le temps moyen de détection (MTTD) de 4 h 12 min à 11 min. Les résultats montrent que l’intégration de la télémétrie d’endpoint, de l’analyse comportementale et du renseignement contextuel est fondamentale pour atténuer les campagnes modernes de phishing, en particulier celles qui utilisent une infrastructure éphémère et des techniques d’évasion basées sur HTTPS et des domaines nouvellement enregistrés.
Read paper →PhishingTITRE: Architecture hybride de détection et de réponse au phishing basée sur une corrélation multicouche, l’apprentissage supervisé et la télémétrie d’endpoint
TITRE: Architecture hybride de détection et de réponse au phishing basée sur une corrélation multicouche, l’apprentissage supervisé et la télémétrie d’endpoint RÉSUMÉ: Le phishing demeure le vecteur d’accès initial le plus répandu dans les incidents de cybersécurité, étant responsable d’une part significative des violations de données, des compromissions d’identifiants et du déploiement de ransomwares. Des rapports récents de l’industrie indiquent que plus de 35 % des incidents analysés impliquent des techniques associées à T1566 (Phishing) du framework MITRE ATT&CK, souvent combinées à T1059 (Command and Scripting Interpreter) et T1078 (Valid Accounts). Dans ce travail, nous proposons une architecture hybride de détection et de réponse au phishing qui intègre une corrélation multicouche (e-mail, DNS, HTTP, endpoint), des modèles supervisés d’apprentissage automatique et un enrichissement par des renseignements sur les menaces. La méthodologie combine l’analyse statique et dynamique d’artefacts (URL, pièces jointes, en-têtes SMTP), l’extraction de caractéristiques lexicales et comportementales, ainsi qu’une corrélation temporelle fondée sur des graphes d’événements. Nous avons implémenté un prototype opérationnel utilisant Postfix, Suricata, Zeek, Elastic Stack, MISP, YARA et des agents d’endpoint basés sur Sysmon. Nous avons évalué le système dans un environnement contrôlé avec 1,2 million d’e-mails, dont 86 000 échantillons étiquetés comme phishing (données de PhishTank et corpus internes anonymisés). Le modèle Random Forest a obtenu une précision globale de 97,3 %, une précision de 96,1 % et un rappel de 94,8 %, surpassant les approches fondées exclusivement sur la réputation de 18,4 % en taux de détection. La corrélation multicouche a réduit les faux positifs de 32 % par rapport à une inspection isolée de l’e-mail. Nous démontrons, à travers une étude de cas impliquant une campagne réelle de spear phishing avec exploitation d’identifiants Microsoft 365, que l’approche proposée réduit le temps moyen de détection (MTTD) de 4 h 12 min à 11 min. Les résultats montrent que l’intégration de la télémétrie d’endpoint, de l’analyse comportementale et de la veille contextuelle est fondamentale pour atténuer les campagnes modernes de phishing, en particulier celles qui utilisent une infrastructure éphémère et des techniques d’évasion basées sur HTTPS et sur des domaines nouvellement enregistrés.
Read paper →PhishingDétection adaptative et multimodale du phishing fondée sur l’apprentissage profond et la modélisation formelle des menaces avec des garanties quantifiables de robustesse
TITLE: Détection adaptative et multimodale du phishing fondée sur l’apprentissage profond et la modélisation formelle des menaces avec des garanties quantifiables de robustesse ABSTRACT: Le phishing demeure l’un des principaux vecteurs de compromission dans le paysage mondial de la cybersécurité en 2025, combinant ingénierie sociale, infrastructure éphémère et techniques avancées d’évasion fondées sur l’intelligence artificielle. Dans ce travail, nous proposons une architecture multimodale pour la détection adaptative du phishing, fondée sur une modélisation formelle du risque adversarial avec une contrainte explicite de coût opérationnel pour l’attaquant. Nous formalisons le problème comme un jeu stratégique entre un adversaire limité par un budget $\epsilon$ et un classifieur $f$, en définissant le risque adversarial $R(f,\mathcal{A}_\epsilon)$ et en établissant des conditions quantitatives de robustesse $\epsilon$-adversariale. Nous démontrons que la fusion convexe de modalités — lexicale, structurelle (DOM), sémantique basée sur Transformers et visuelle perceptuelle — préserve les marges de séparation sous des hypothèses d’indépendance partielle des perturbations, augmentant le coût économique de l’évasion. L’architecture est entraînée via une optimisation min–max avec un adversaire interne paramétré par des transformations réalistes, notamment les homographes IDN, les mutations syntaxiques et l’obfuscation dynamique. Nous évaluons le système sur un ensemble de 1,2 million d’URL provenant de bases publiques consolidées, avec des intervalles de confiance obtenus par bootstrap stratifié. Les résultats indiquent une AUC de 0,997 et un F1 de 0,986, tout en maintenant une latence moyenne inférieure à 35 ms après quantification INT8. Sous des attaques ciblées, le taux de détection est resté supérieur à 94 %, surpassant les modèles unimodaux. Nous discutons des implications économiques de la robustesse multimodale, de l’intégration avec des contrôles modernes tels que le TLS fingerprinting et la télémétrie via eBPF, ainsi que de l’alignement avec les directives de gouvernance de l’IA et de l’identité numérique. Nous concluons que la combinaison de fondements formels et d’ingénierie pratique permet d’obtenir des garanties mesurables de robustesse sans compromettre les exigences opérationnelles des entreprises.
Read paper →PhishingDétection Adaptative et Multimodale du Phishing Basée sur l’Apprentissage Profond et la Modélisation Formelle des Menaces avec des Garanties Quantifiables de Robustesse
TITLE: Détection Adaptative et Multimodale du Phishing Basée sur l’Apprentissage Profond et la Modélisation Formelle des Menaces avec des Garanties Quantifiables de Robustesse ABSTRACT: Le phishing demeure l’un des principaux vecteurs de compromission dans le paysage mondial de la cybersécurité en 2025, combinant ingénierie sociale, infrastructures éphémères et techniques avancées d’évasion fondées sur l’intelligence artificielle. Dans ce travail, nous proposons une architecture multimodale pour la détection adaptative du phishing fondée sur une modélisation formelle du risque adversarial avec contrainte explicite sur le coût opérationnel de l’attaquant. Nous formalisons le problème comme un jeu stratégique entre un adversaire limité par un budget $\epsilon$ et un classificateur $f$, en définissant le risque adversarial $R(f,\mathcal{A}_\epsilon)$ et en établissant des conditions quantitatives de robustesse $\epsilon$-adversariale. Nous démontrons que la fusion convexe de modalités — lexicale, structurelle (DOM), sémantique basée sur des Transformers et perceptuelle visuelle — préserve les marges de séparation sous des hypothèses d’indépendance partielle des perturbations, augmentant ainsi le coût économique de l’évasion. L’architecture est entraînée via une optimisation min–max avec un adversaire interne paramétré par des transformations réalistes, incluant des homographes IDN, des mutations syntaxiques et une obfuscation dynamique. Nous évaluons le système sur un ensemble de 1,2 million d’URL provenant de bases publiques consolidées, avec des intervalles de confiance obtenus par bootstrap stratifié. Les résultats indiquent une AUC de 0,997 et un F1 de 0,986, tout en maintenant une latence moyenne inférieure à 35 ms après quantification INT8. Sous des attaques ciblées, le taux de détection est resté supérieur à 94 %, surpassant les modèles unimodaux. Nous discutons des implications économiques de la robustesse multimodale, de l’intégration avec des contrôles modernes tels que le fingerprinting TLS et la télémétrie via eBPF, ainsi que de l’alignement avec les lignes directrices de gouvernance de l’IA et de l’identité numérique. Nous concluons que la combinaison de fondements formels et d’ingénierie pratique permet d’obtenir des garanties mesurables de robustesse sans compromettre les exigences opérationnelles des entreprises.
Read paper →PhishingTITRE: PhishGuard++ : Détection multimodale et adaptative du phishing avec garanties formelles sous un modèle de menace réaliste
TITRE: PhishGuard++ : Détection multimodale et adaptative du phishing avec garanties formelles sous un modèle de menace réaliste RÉSUMÉ : Le phishing demeure l’un des vecteurs d’accès initial les plus répandus et économiquement impactants dans le paysage mondial des menaces en 2025, évoluant pour intégrer des kits adversary-in-the-middle (AiTM), des pages générées dynamiquement et du contenu synthétique produit par de grands modèles génératifs. Dans ce travail, nous proposons PhishGuard++, une architecture multimodale et robuste de détection du phishing qui intègre des signaux lexicaux, structurels, visuels et comportementaux dans le cadre d’une formulation formelle d’apprentissage robuste min–max. Nous modélisons explicitement le problème comme une minimisation du risque sous perturbations adversariales multimodales, en considérant un adversaire probabiliste à puissance polynomialement bornée, capable d’enregistrer des domaines arbitraires, d’obtenir des certificats TLS valides, d’employer l’obfuscation homoglyphique Unicode et d’utiliser la génération automatisée de contenu par des modèles de langage. L’architecture combine un CNN au niveau caractère, des embeddings structurels dérivés du graphe DOM, un backbone visuel ResNet-50 et un module de fusion basé sur Transformer avec attention croisée, entraîné avec une régularisation adversariale inspirée de FGSM. Nous démontrons formellement des conditions suffisantes de robustesse sous des hypothèses de continuité Lipschitz et de compacité de l’ensemble des perturbations, tout en analysant la complexité computationnelle afin de garantir une latence inférieure à 20 ms dans un environnement de production conteneurisé. Nous évaluons le système sur des bases publiques (PhishTank, UCI) et un corpus propriétaire équilibré, atteignant une exactitude moyenne de 98,73 % (±0,21) et un AUC de 0,992, avec des gains statistiquement significatifs par rapport à Random Forest et XGBoost ($p < 0,01$). Nous avons également réalisé des expériences sous obfuscation homoglyphique et contenu synthétique généré par des LLMs, mettant en évidence une robustesse relative supérieure. Nous discutons des implications pour l’intégration avec des architectures modernes de sécurité (CNAPP, eBPF) et l’alignement avec les directives d’identité numérique du NIST, ainsi que des limites et des pistes futures impliquant l’apprentissage fédéré avec confidentialité différentielle et la cryptographie post-quantique pour la protection des modèles.
Read paper →PhishingPhishGuard++ : Détection multimodale et adaptative du phishing avec garanties formelles sous un modèle de menace réaliste
TITLE: PhishGuard++ : Détection multimodale et adaptative du phishing avec garanties formelles sous un modèle de menace réaliste ABSTRACT: Le phishing demeure l’un des vecteurs d’accès initial les plus répandus et économiquement impactants dans le paysage mondial des menaces en 2025, évoluant pour intégrer des kits adversaire-au-milieu (AiTM), des pages générées dynamiquement et du contenu synthétique produit par des modèles génératifs à grande échelle. Dans ce travail, nous proposons PhishGuard++, une architecture multimodale et robuste pour la détection du phishing qui intègre des signaux lexicaux, structurels, visuels et comportementaux sous une formulation formelle d’apprentissage robuste min–max. Nous modélisons explicitement le problème comme une minimisation du risque sous perturbations adversariales multimodales, en considérant un adversaire probabiliste borné polynomialement capable d’enregistrer des domaines arbitraires, d’obtenir des certificats TLS valides, d’employer une obfuscation homoglyphique Unicode et d’utiliser la génération automatisée de contenu par des modèles de langage. L’architecture combine une CNN au niveau des caractères, des embeddings structurels dérivés du graphe DOM, un backbone visuel ResNet-50 et un module de fusion basé sur Transformer avec attention croisée, entraîné avec une régularisation adversariale inspirée de FGSM. Nous démontrons formellement des conditions suffisantes de robustesse sous des hypothèses de continuité de Lipschitz et de compacité de l’ensemble de perturbations, et analysons également la complexité computationnelle afin de garantir une latence inférieure à 20 ms dans un environnement de production conteneurisé. Nous évaluons le système sur des bases publiques (PhishTank, UCI) et un corpus propriétaire équilibré, atteignant une exactitude moyenne de 98,73 % (±0,21) et une AUC de 0,992, avec des gains statistiquement significatifs par rapport à Random Forest et XGBoost ($p < 0,01$). Nous réalisons en outre des expériences sous obfuscation homoglyphique et avec du contenu synthétique généré par des LLMs, mettant en évidence une robustesse relative supérieure. Nous discutons des implications pour l’intégration avec des architectures modernes de sécurité (CNAPP, eBPF) et de l’alignement avec les directives d’identité numérique du NIST, ainsi que des limitations et des orientations futures impliquant l’apprentissage fédéré avec confidentialité différentielle et la cryptographie post‑quantique pour la protection des modèles.
Read paper →PhishingArchitecture Hybride Adaptative pour la Détection et la Mitigation du Phishing Multicanal avec Modélisation Formelle des Menaces, Robustesse Adversariale et Apprentissage Auto-Supervisé
TITLE: Architecture Hybride Adaptative pour la Détection et la Mitigation du Phishing Multicanal avec Modélisation Formelle des Menaces, Robustesse Adversariale et Apprentissage Auto-Supervisé ABSTRACT: Le phishing demeure, en 2025, le principal vecteur d’accès initial dans les chaînes d’attaque modernes, intégrant des campagnes multicanales qui combinent e-mail, SMS (smishing), voix (vishing), messagerie instantanée et plateformes basées sur l’IA générative. Des rapports récents de Verizon et de l’APWG indiquent une croissance soutenue du volume et de la sophistication de ces campagnes, y compris l’utilisation de domaines récemment enregistrés, d’homographes Unicode et d’infrastructures éphémères. Dans ce travail, nous proposons une architecture hybride adaptative pour la détection et la mitigation du phishing multicanal, fondée sur la modélisation formelle des menaces, l’apprentissage auto-supervisé et l’analyse structurelle des URL combinée à des représentations sémantiques basées sur des transformateurs. Nous formalisons le problème comme une classification binaire sous fort déséquilibre et introduisons une définition explicite de la robustesse adversariale pour des perturbations sémantiquement préservées, avec une métrique opérationnelle de performance dans des scénarios adversariaux. L’architecture intègre trois modules : (i) Analyseur Structurel d’URL avec détection d’homographes et signaux temporels ; (ii) Encodeur Sémantique Contextuel basé sur BERTimbau ; et (iii) Détecteur d’Anomalies Auto-Supervisé entraîné via reconstruction. Nous évaluons le système sur un ensemble de 3,2 millions de messages provenant de OpenPhish, PhishTank et Enron, en utilisant une validation croisée stratifiée 5-fold. Nous obtenons un F1-score de 98,6 % et une AUC de 0,997, avec une dégradation limitée à 3,1 % sous des attaques d’homographes, surpassant les baselines classiques et les réseaux convolutionnels. Nous démontrons une réduction de 37 % des faux positifs, un aspect critique pour les opérations de SOC alignées sur les directives du NIST. Nous discutons des implications pour le CNAPP, de l’intégration avec des pipelines dans Kubernetes et des limitations liées au WHOIS et au biais linguistique. Nous concluons que l’intégration formelle entre l’analyse structurelle, la modélisation sémantique et la détection auto-supervisée constitue une approche robuste et opérationnellement viable pour l’écosystème de menaces de 2025.
Read paper →PhishingPHISHGUARD++ : Un cadre formel, robuste et évolutif pour la détection multimodale de phishing avec apprentissage profond, modélisation adversariale et gouvernance de l’IA
TITLE: PHISHGUARD++ : Un cadre formel, robuste et évolutif pour la détection multimodale de phishing avec apprentissage profond, modélisation adversariale et gouvernance de l’IA ABSTRACT: Le phishing demeure l’un des vecteurs d’intrusion les plus répandus et les plus coûteux économiquement dans l’écosystème numérique contemporain, amplifié par l’automatisation fondée sur l’intelligence artificielle générative et par des campagnes hautement personnalisées. Dans ce travail, nous proposons PHISHGUARD++, un cadre formel et évolutif pour la détection multimodale du phishing qui intègre une modélisation statistique rigoureuse, l’apprentissage profond et un entraînement adversarial sous une formulation min-max. Nous modélisons le problème comme une classification supervisée dans un espace d’entrée multimodal $X = X_t \times X_g \times X_v$, englobant des caractéristiques textuelles, structurelles (graphes hétérogènes de domaines, IP, certificats et relations ASN) et visuelles. Nous reformulons l’objectif classique de minimisation du risque attendu pour le contexte du risque robuste adversarial, capturant explicitement des perturbations bornées par $\epsilon$ et des scénarios de dérive de concept. L’architecture proposée combine des Transformers préentraînés, des réseaux de neurones sur graphes hétérogènes et des réseaux convolutionnels résiduels profonds, avec une fusion tardive régularisée. Nous employons un entraînement adversarial basé sur Projected Gradient Descent (PGD) et évaluons la robustesse sous des attaques contraintes en norme $L_p$. L’implémentation, fondée sur PyTorch 2.x, Apache Kafka et Apache Flink, démontre une viabilité opérationnelle avec une latence moyenne de 12,4 ms par échantillon et un débit supérieur à 80.000 événements par seconde sur un cluster équipé de GPU NVIDIA A100. Sur un jeu de données contenant 1,54 million d’instances équilibrées, le modèle atteint $F1 = 0{,}986 \pm 0{,}004$ et un taux de faux positifs de 0,92 %, avec une dégradation contrôlée sous attaque adversariale. Nous discutons des implications en matière de gouvernance de l’IA, de la conformité aux directives du NIST et de l’alignement avec les cadres de gestion des risques de l’IA. Nous concluons que l’intégration de la multimodalité, de l’optimisation robuste et des pratiques modernes d’ingénierie de la sécurité offre des gains substantiels en résilience face aux campagnes de phishing adaptatives et renforcées par des modèles de langage de grande taille.
Read paper →