Research / Paper Files

Paper Files

Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.

Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Tous Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

198 papers

DFIR

Orchestration formelle et analyse probabiliste des preuves en DFIR : une architecture évolutive basée sur des graphes temporels pour la corrélation multi‑origine

Orchestration formelle et analyse probabiliste des preuves en DFIR : une architecture évolutive basée sur des graphes temporels pour la corrélation multi‑origine Digital Forensics and Incident Response (DFIR) fait face à des défis structurels résultant de l’hétérogénéité croissante des environnements d’entreprise, de la volatilité des preuves numériques et de la sophistication d’adversaires qui emploient des techniques living-off-the-land et des stratégies d’évasion antiforensique. Ce travail propose une architecture formelle pour l’orchestration et la corrélation probabiliste de preuves numériques basée sur des graphes temporels multi‑origine, avec une modélisation mathématique explicite du problème de reconstruction d’incident. Notre méthodologie intègre la collecte distribuée, la normalisation sémantique orientée MITRE ATT&CK, la construction de graphes causaux et l’inférence bayésienne pour l’attribution d’événements à des chaînes d’attaque. Nous formalisons le problème comme la maximisation de la probabilité a posteriori d’une séquence d’états de compromission étant donné un ensemble hétérogène d’observations forensiques. Nous avons implémenté un prototype fonctionnel sur un pipeline basé sur Elastic Stack, Apache Kafka et Neo4j, et l’avons évalué sur un ensemble de données composé de 12 TB de journaux réels et de traces synthétiques représentant 18 techniques ATT&CK distinctes. Les résultats expérimentaux démontrent une augmentation de 27,4 % de la précision de reconstruction de la ligne temporelle par rapport aux approches déterministes basées sur des règles, une réduction de 34,1 % du temps moyen d’investigation (MTTI) et une amélioration de 22,8 % du F1-score pour l’identification de chaînes d’attaque complexes. L’architecture maintient une latence moyenne de traitement inférieure à 420 ms par événement sous une charge de 15.000 événements/seconde, avec une évolutivité linéaire observée jusqu’à 8 nœuds de traitement. Nous concluons que la formalisation probabiliste combinée aux graphes temporels offre des gains substantiels en précision et en efficacité opérationnelle en DFIR, établissant des fondements rigoureux pour une automatisation fiable et auditable des investigations numériques à grande échelle.

2007-05-26Read paper →DFIR

Une architecture formelle et évolutive pour le DFIR orienté graphes avec corrélation temporelle probabiliste et garanties cryptographiques d’intégrité

TITLE: Une architecture formelle et évolutive pour le DFIR orienté graphes avec corrélation temporelle probabiliste et garanties cryptographiques d’intégrité ABSTRACT: La complexité croissante des environnements informatiques en 2025 — caractérisés par des architectures cloud natives, des microservices, des workloads éphémères, des pipelines DevSecOps, des environnements hybrides et des intégrations avec des systèmes d’intelligence artificielle — impose des défis substantiels à la discipline du Digital Forensics and Incident Response (DFIR). La reconstruction causale d’incidents impliquant de multiples sources hétérogènes, dans des conditions d’incertitude temporelle, de bruit statistique et de possible altération des journaux, demeure un problème ouvert du point de vue formel. Dans ce travail, nous proposons une architecture mathématiquement fondée pour le DFIR orienté graphes, basée sur un modèle de graphe causal probabiliste acyclique avec incertitude temporelle explicite, inférence bayésienne et garanties cryptographiques d’intégrité au moyen d’arbres de Merkle et de stockage immuable (WORM). Nous formalisons le problème de reconstruction des séquences d’attaque comme un problème de maximisation de probabilité conditionnelle sur des chemins admissibles dans un DAG, en démontrant l’équivalence avec la minimisation de la somme des log-probabilités. Nous introduisons deux algorithmes : (i) Reconstruction Temporelle Causale (RTC), avec une complexité O(|E_c| log |V|), et (ii) Vérification d’Intégrité Incrémentale (VII), avec preuve d’inclusion en O(log n). L’architecture a été implémentée sur Elastic Stack 8.x, Apache Kafka 3.5, S3 Object Lock en mode compliance et PostgreSQL, et évaluée sur 12 To de données réelles et synthétiques, incluant DARPA Transparent Computing et le Los Alamos Cybersecurity Dataset. Les résultats démontrent une augmentation statistiquement significative de la précision (91,4 % contre 64,2 %), une réduction de 37,8 % du temps moyen de triage et un surcoût computationnel contrôlé (8,6 %). Nous soutenons que l’intégration du formalisme probabiliste, des garanties cryptographiques et de la modélisation causale offre une base rigoureuse, auditable et évolutive pour le DFIR moderne, alignée sur les directives du NIST, de l’ISO/IEC 27037 et la taxonomie MITRE ATT&CK, tout en restant compatible avec des scénarios contemporains impliquant eBPF, CNAPP et des environnements orientés IA.

2007-05-19Read paper →DFIR

Orchestration formelle du DFIR orientée par des graphes temporels et l’inférence bayésienne pour la réponse automatisée aux incidents dans des environnements d’entreprise distribués

TITLE: Orchestration formelle du DFIR orientée par des graphes temporels et l’inférence bayésienne pour la réponse automatisée aux incidents dans des environnements d’entreprise distribués ABSTRACT: La complexité croissante des environnements d’entreprise distribués, caractérisés par des architectures multicloud, des charges de travail conteneurisées, des dispositifs en périphérie, des intégrations via APIs et des systèmes fondés sur l’intelligence artificielle, impose des défis substantiels à la discipline du Digital Forensics and Incident Response (DFIR). Les chaînes d’attaque contemporaines sont typiquement multi‑étapes, exploitant des vulnérabilités dans des composants hétérogènes et combinant des techniques d’exécution à distance, de mouvement latéral, de persistance et d’exfiltration. Dans ce contexte, les approches traditionnelles de SIEM basées sur des règles déterministes se révèlent insuffisantes pour reconstruire des séquences causales complexes sous incertitude et bruit adversarial. Dans ce travail, nous proposons une formalisation mathématique de la reconstruction d’incidents comme un problème d’inférence MAP (Maximum a Posteriori) dans des graphes temporels dirigés avec des contraintes causales explicites. Nous modélisons les événements forensiques comme des tuples structurés et introduisons un cadre probabiliste fondé sur une factorisation locale conditionnelle, permettant une quantification formelle de l’incertitude. Nous démontrons des propriétés de robustesse sous insertion adversariale limitée d’événements spurieux, en établissant des conditions analytiques pour l’invariance du chemin MAP. Nous implémentons l’architecture TGI-DFIR sur une infrastructure évolutive basée sur Apache Kafka, Elasticsearch, Neo4j et Kubernetes, avec intégration aux pipelines modernes de CNAPP et à la télémétrie eBPF. Nous évaluons empiriquement la proposition en utilisant le dataset DARPA Transparent Computing, des logs d’entreprise réels (12 TB) et des scénarios inspirés de vulnérabilités largement exploitées jusqu’en 2025. Les résultats indiquent une augmentation statistiquement significative de la précision (F1 = 0,91 ± 0,02) et une réduction de 47,3 % du temps moyen de triage par rapport aux approches basées sur des règles et aux modèles séquentiels d’apprentissage profond. Nous concluons que l’intégration entre graphes temporels et inférence bayésienne offre une base formelle rigoureuse et opérationnellement viable pour l’orchestration automatisée de la réponse aux incidents dans les environnements d’entreprise distribués contemporains.

2007-05-12Read paper →DFIR

Orchestration Formelle et Corrélée des Preuves en DFIR : Un Cadre Évolutif pour la Reconstruction Temporelle Probabiliste et l’Attribution d’Incidents dans des Environnements Hybrides

Orchestration Formelle et Corrélée des Preuves en DFIR : Un Cadre Évolutif pour la Reconstruction Temporelle Probabiliste et l’Attribution d’Incidents dans des Environnements Hybrides La complexité croissante des infrastructures hybrides, l’adoption massive de l’informatique en nuage, les architectures orientées microservices, l’observabilité basée sur eBPF et l’intégration de systèmes d’intelligence artificielle ont considérablement accru les défis de la discipline Digital Forensics and Incident Response (DFIR). En 2025, des incidents exploitant des vulnérabilités critiques, des chaînes d’approvisionnement et des techniques living-off-the-land mettent en évidence les limites des approches linéaires de corrélation de journaux et des règles statiques de SIEM. Dans ce travail, nous proposons un cadre formel pour la reconstruction temporelle probabiliste de chaînes d’attaque, fondé sur des graphes dirigés avec des poids conditionnels et des contraintes sémantiques dérivées de la matrice MITRE ATT&CK. Nous modélisons le problème comme une inférence bayésienne sur des sous-graphes acycliques maximisant la probabilité a posteriori sous des preuves hétérogènes et potentiellement incohérentes. Nous introduisons un mécanisme d’alignement temporel bayésien pour compenser la dérive d’horloge entre des sources distribuées, ainsi qu’un algorithme de reconstruction guidé par la connaissance adversariale avec élagage probabiliste contrôlé par seuil. Nous démontrons des propriétés formelles de correction ε-approximée sous des hypothèses de complétude observationnelle et analysons la complexité asymptotique des algorithmes proposés. L’implémentation distribuée, basée sur Apache Kafka, Apache Spark, Elasticsearch et Neo4j, a été évaluée sur des ensembles de données totalisant 1,2 TB d’événements, incluant des simulations avec Atomic Red Team et des journaux d’entreprise anonymisés. Nous avons obtenu F1 = 0{,}895 ± 0{,}02, surpassant une baseline de SIEM traditionnel de 29,7 % et réduisant le temps moyen d’investigation de 37,4 % (p < 0{,}01). Nous discutons des extensions pour des environnements comportant des charges de travail d’IA/ML, l’intégration avec CNAPP et les implications probatoires dans le cadre des chaînes de garde numériques. Les résultats indiquent que l’incorporation explicite de contraintes sémantiques et d’une modélisation probabiliste rigoureuse constitue une avancée substantielle pour un DFIR évolutif et formellement fondé.

2007-05-06Read paper →Detection

DÉTECTION ADAPTATIVE MULTICOUCHE DES MENACES AVANCÉES BASÉE SUR LA FUSION BAYÉSIENNE DE TÉLÉMÉTRIE HÉTÉROGÈNE ET DE GRAPHES TEMPORELS

TITLE: DÉTECTION ADAPTATIVE MULTICOUCHE DES MENACES AVANCÉES BASÉE SUR LA FUSION BAYÉSIENNE DE TÉLÉMÉTRIE HÉTÉROGÈNE ET DE GRAPHES TEMPORELS ABSTRACT: La sophistication croissante des menaces cybernétiques en 2025, y compris les attaques multi-étapes, l’exploitation de vulnérabilités zero-day, les compromissions de chaîne d’approvisionnement, l’abus d’identités et l’exploitation de modèles d’intelligence artificielle générative, impose des défis substantiels aux mécanismes traditionnels de détection. Dans ce travail, nous proposons une architecture de détection adaptative multicouche fondée sur la fusion bayésienne récursive de télémétrie hétérogène et la modélisation structurelle par graphes temporels dynamiques. Nous formalisons le problème comme une inférence sur un processus latent binaire représentant la présence d’activité malveillante au cours du temps, estimé à partir d’événements observables provenant du réseau, des endpoints, de l’identité, des applications et des workloads dans le cloud. La méthodologie intègre (i) la normalisation sémantique des événements, (ii) l’extraction de caractéristiques statistiques et structurelles, (iii) la construction incrémentale de graphes temporels et (iv) l’inférence bayésienne avec mise à jour en log-vraisemblance pour la stabilité numérique. Nous introduisons également un détecteur structurel fondé sur la divergence de Kullback–Leibler entre les distributions de métriques topologiques observées et des baselines historiques. Nous évaluons empiriquement le modèle sur des jeux de données publics largement utilisés (CIC-IDS2017 et UNSW-NB15) ainsi que sur un jeu de données d’entreprise contenant 2,3 milliards d’événements anonymisés, en le comparant à Random Forest, XGBoost et LSTM. Les résultats indiquent une amélioration statistiquement significative du F1-score et une réduction cohérente du taux de faux positifs ainsi que du temps moyen de détection du mouvement latéral. Nous discutons des implications dans des environnements Zero Trust et CNAPP, de la robustesse face au concept drift et des risques d’empoisonnement des données. Nous démontrons que la fusion probabiliste cohérente de multiples preuves faibles, combinée à l’analyse structurelle de graphes temporels, fournit des gains substantiels en précision et en latence tout en maintenant une scalabilité opérationnelle dans les architectures distribuées modernes.

2007-04-29Read paper →Detection

Détection adaptative des menaces persistantes avancées par modélisation temporelle multimodale et inférence probabiliste à grande échelle

Détection adaptative des menaces persistantes avancées par modélisation temporelle multimodale et inférence probabiliste à grande échelle La sophistication croissante des Menaces Persistantes Avancées (APTs) dans des environnements hybrides et cloud-natifs impose des défis substantiels à la détection précoce des compromissions. En 2025, le paysage opérationnel intègre des architectures multi-cloud, des CNAPP (Cloud-Native Application Protection Platforms), des charges de travail éphémères, de la télémétrie via eBPF et des risques émergents associés aux modèles de langage de grande taille (LLMs). Dans ce travail, nous proposons un modèle formel pour la détection adaptative des APTs fondé sur l’intégration entre des graphes dynamiques multimodaux et des processus de Hawkes multivariés, structuré sous une perspective bayésienne explicite. Nous formalisons le flux d’événements comme une séquence temporelle hétérogène et modélisons la propagation de l’activité malveillante comme un processus auto-excitateur avec des contraintes de stabilité spectrale. La décision optimale est dérivée sous perte 0–1 avec une limitation explicite du taux de faux positifs, traitant le problème fondamental de taux de base. Nous implémentons l’architecture dans un environnement distribué avec Apache Kafka, Apache Flink et un stockage distribué, en incorporant une extraction de télémétrie basée sur eBPF et un enrichissement contextuel aligné sur MITRE ATT&CK. Nous évaluons le modèle sur les jeux de données CIC-IDS2017, DARPA Transparent Computing et sur un dataset d’entreprise anonymisé contenant 2,3 milliards d’événements. Les résultats démontrent un gain statistiquement significatif (p < 0,01) en F1-score, une réduction de 38 % du taux de faux positifs et une AUC de 0,97 par rapport à des baselines telles que Isolation Forest, LSTM et les règles Sigma. Nous discutons également des implications pour la sécurité des systèmes basés sur l’IA, la gouvernance des modèles et l’intégration avec des contrôles post-quantiques émergents. Nous concluons que la modélisation probabiliste relationnelle fournit une base théorique robuste et opérationnellement viable pour la détection adaptative à grande échelle, compatible avec les exigences contemporaines d’observabilité, de conformité et de résilience cybernétique.

2007-04-22Read paper →Detection

TITRE: Détection adaptative des menaces persistantes avancées par modélisation temporelle multimodale et inférence probabiliste à grande échelle

TITRE: Détection adaptative des menaces persistantes avancées par modélisation temporelle multimodale et inférence probabiliste à grande échelle RÉSUMÉ: La sophistication croissante des menaces persistantes avancées (APTs) dans les environnements hybrides et natifs du cloud impose des défis substantiels à la détection précoce des compromissions. En 2025, le paysage opérationnel intègre des architectures multi-cloud, des CNAPP (Cloud-Native Application Protection Platforms), des charges de travail éphémères, de la télémétrie via eBPF et des risques émergents associés aux grands modèles de langage (LLMs). Dans ce travail, nous proposons un modèle formel de détection adaptative des APTs fondé sur l’intégration de graphes dynamiques multimodaux et de processus de Hawkes multivariés, structuré dans une perspective bayésienne explicite. Nous formalisons le flux d’événements comme une séquence temporelle hétérogène et modélisons la propagation de l’activité malveillante comme un processus auto-excitant soumis à des contraintes de stabilité spectrale. La décision optimale est dérivée sous perte 0–1 avec une contrainte explicite sur le taux de faux positifs, affrontant le problème fondamental du base rate. Nous implémentons l’architecture dans un environnement distribué avec Apache Kafka, Apache Flink et un stockage distribué, en incorporant une extraction de télémétrie basée sur eBPF et un enrichissement contextuel aligné sur MITRE ATT&CK. Nous évaluons le modèle sur les jeux de données CIC-IDS2017, DARPA Transparent Computing et sur un jeu de données d’entreprise anonymisé contenant 2,3 milliards d’événements. Les résultats montrent un gain statistiquement significatif (p < 0,01) en F1-score, une réduction de 38 % du taux de faux positifs et une AUC de 0,97 par rapport à des baselines telles qu’Isolation Forest, LSTM et les règles Sigma. Nous discutons également des implications pour la sécurité des systèmes basés sur l’IA, la gouvernance des modèles et l’intégration avec les contrôles post-quantiques émergents. Nous concluons que la modélisation probabiliste relationnelle fournit une base théorique robuste et opérationnellement viable pour une détection adaptative à grande échelle, compatible avec les exigences contemporaines d’observabilité, de conformité et de résilience cybernétique.

2007-04-22Read paper →Detection

TITRE: DÉTECTION ADAPTATIVE MULTICOUCHE DES MENACES AVANCÉES BASÉE SUR LA FUSION PROBABILISTE ET L’APPRENTISSAGE CONTINU DANS DES ENVIRONNEMENTS D’ENTREPRISE HÉTÉROGÈNES

TITRE: DÉTECTION ADAPTATIVE MULTICOUCHE DES MENACES AVANCÉES BASÉE SUR LA FUSION PROBABILISTE ET L’APPRENTISSAGE CONTINU DANS DES ENVIRONNEMENTS D’ENTREPRISE HÉTÉROGÈNES RÉSUMÉ: La détection des menaces dans les environnements d’entreprise contemporains est devenue un problème structurellement complexe en raison de la convergence entre infrastructures hybrides, architectures multicloud, dispositifs mobiles, workloads conteneurisés, surfaces exposées par des API et intégration croissante de systèmes fondés sur l’intelligence artificielle. Des rapports récents indiquent que les identifiants compromis, l’exploitation de vulnérabilités connues et l’abus d’outils légitimes continuent de figurer parmi les principaux vecteurs d’intrusion, tandis que le temps moyen de présence de l’attaquant (dwell time) reste significatif, ce qui met en évidence les limites des mécanismes traditionnels de détection (VERIZON, 2024; MANDIANT, 2023). Dans ce travail, nous formalisons le problème de la détection quasi en temps réel comme une inférence probabiliste sur un état latent de compromission systémique, modélisé par un processus de Markov et estimé via la fusion d’évidences hétérogènes provenant de multiples couches télémétriques. Nous proposons le framework AMuLeT (Adaptive Multi-Layer Threat detection), qui combine des classificateurs supervisés et des autoencodeurs par couche, intégrés au moyen d’une règle de rapport de vraisemblance logarithmique sous l’hypothèse d’indépendance conditionnelle approximative. Nous introduisons également un mécanisme d’apprentissage continu avec régularisation élastique afin d’atténuer le concept drift et l’évolution adversariale, tout en préservant les paramètres historiquement pertinents. Nous évaluons empiriquement l’approche sur des jeux de données publics largement utilisés et sur un jeu de données d’entreprise à grande échelle, totalisant des milliards d’événements. Les résultats démontrent des gains statistiquement significatifs en AUC, F1-score, taux de faux positifs et réduction du temps moyen de détection, par comparaison avec des modèles isolés. Nous discutons les implications pratiques à la lumière des recommandations du NIST et des tendances contemporaines telles que CNAPP, eBPF et la sécurité des grands modèles de langage, en traçant des extensions futures impliquant des graphes dynamiques et l’apprentissage fédéré avec des garanties formelles de confidentialité différentielle.

2007-04-15Read paper →Detection

DÉTECTION ADAPTATIVE MULTICOUCHE DE MENACES AVANCÉES BASÉE SUR LA FUSION PROBABILISTE ET L’APPRENTISSAGE CONTINU DANS DES ENVIRONNEMENTS D’ENTREPRISE HÉTÉROGÈNES

DÉTECTION ADAPTATIVE MULTICOUCHE DE MENACES AVANCÉES BASÉE SUR LA FUSION PROBABILISTE ET L’APPRENTISSAGE CONTINU DANS DES ENVIRONNEMENTS D’ENTREPRISE HÉTÉROGÈNES La détection de menaces dans les environnements d’entreprise contemporains est devenue un problème structurellement complexe en raison de la convergence entre infrastructures hybrides, architectures multicloud, dispositifs mobiles, workloads conteneurisés, surfaces exposées par API et intégration croissante de systèmes fondés sur l’intelligence artificielle. Des rapports récents indiquent que les identifiants compromis, l’exploitation de vulnérabilités connues et l’abus d’outils légitimes continuent de figurer parmi les principaux vecteurs d’intrusion, tandis que le temps moyen de présence de l’attaquant (dwell time) demeure significatif, mettant en évidence les limitations des mécanismes traditionnels de détection (VERIZON, 2024; MANDIANT, 2023). Dans ce travail, nous formalisons le problème de la détection quasi en temps réel comme une inférence probabiliste sur un état latent de compromission systémique, modélisé par un processus de Markov et estimé via la fusion d’évidences hétérogènes provenant de multiples couches télémétriques. Nous proposons le framework AMuLeT (Adaptive Multi-Layer Threat detection), qui combine des classificateurs supervisés et des autoencodeurs par couche, intégrés au moyen d’une règle de rapport de vraisemblance logarithmique sous l’hypothèse d’indépendance conditionnelle approximative. Nous introduisons également un mécanisme d’apprentissage continu avec régularisation élastique afin d’atténuer le concept drift et l’évolution adversariale, tout en préservant des paramètres historiquement pertinents. Nous évaluons empiriquement l’approche sur des datasets publics largement utilisés ainsi que sur un dataset d’entreprise à grande échelle, totalisant des milliards d’événements. Les résultats démontrent des gains statistiquement significatifs en AUC, F1-score, taux de faux positifs et réduction du temps moyen de détection, lorsqu’ils sont comparés à des modèles isolés. Nous discutons les implications pratiques à la lumière des recommandations du NIST et de tendances contemporaines telles que CNAPP, eBPF et la sécurité des modèles de langage de grande taille, en esquissant des extensions futures impliquant des graphes dynamiques et l’apprentissage fédéré avec des garanties formelles de confidentialité différentielle.

2007-04-15Read paper →Detection

Détection Hybride et Adaptative des Menaces Cybernétiques dans les Environnements d’Entreprise Utilisant une Corrélation Temporelle Multiniveau et un Apprentissage Représentationnel Auto-Supervisé

TITLE: Détection Hybride et Adaptative des Menaces Cybernétiques dans les Environnements d’Entreprise Utilisant une Corrélation Temporelle Multiniveau et un Apprentissage Représentationnel Auto-Supervisé ABSTRACT: La détection des menaces cybernétiques dans les environnements d’entreprise contemporains exige des mécanismes capables de corréler des événements hétérogènes, de modéliser des dépendances temporelles complexes et de s’adapter à des adversaires qui exploitent des identifiants valides, des techniques fileless et des chaînes multi‑étapes alignées sur MITRE ATT&CK. Dans ce travail, nous proposons une architecture hybride qui intègre l’apprentissage représentationnel auto‑supervisé, la modélisation temporelle hiérarchique et la corrélation probabiliste dans des graphes dynamiques, visant à réduire les faux positifs sans compromettre la sensibilité sous dérive conceptuelle. Nous formalisons le problème comme l’estimation de $P(Y=1 \mid G_{t-k:t})$, où $G_{t-k:t}$ représente une fenêtre glissante de graphes temporels extraits de multiples sources de télémétrie (journaux d’authentification, événements d’endpoint, flux réseau et télémétrie cloud). Le composant auto‑supervisé se base sur la prédiction contextuelle temporelle avec des Transformers légers, permettant l’apprentissage d’embeddings sémantiques robustes en l’absence de labels abondants. L’étape de corrélation multiniveau utilise des potentiels log‑linéaires définis sur des sous‑graphes cohérents avec les techniques ATT&CK, assurant une interprétabilité opérationnelle. Nous avons implémenté la solution sur une infrastructure distribuée avec Apache Kafka, Apache Flink, PyTorch et Neo4j, atteignant un débit soutenu de 120 mille événements par seconde sur un cluster de 24 nœuds. Nous avons évalué le modèle sur les jeux de données CIC-IDS2017, LANL Cybersecurity Dataset et sur un ensemble d’entreprise contenant 4,2 milliards d’événements. Nous avons observé une AUC moyenne de 0,982, un F1 de 0,941, un TPR de 96,4 % et un FPR de 3,1 %, représentant une réduction relative de 38 % des faux positifs par rapport à des baselines telles que Isolation Forest, DeepLog et les autoencodeurs LSTM ($p < 0{,}01$). Nous discutons des implications pour l’intégration avec les plateformes SIEM et CNAPP, ainsi que des extensions impliquant l’apprentissage fédéré avec confidentialité différentielle et robustesse adversariale. Les résultats démontrent que la combinaison de représentation auto‑supervisée et de corrélation structurelle probabiliste constitue une approche prometteuse pour la détection adaptative à grande échelle jusqu’à l’état de l’art de 2025.

2007-04-08Read paper →Secrets

Une Architecture Formelle pour la Gouvernance, la Détection et la Rotation Automatisée des Secrets dans les Infrastructures Cloud-Natives

TITLE: Une Architecture Formelle pour la Gouvernance, la Détection et la Rotation Automatisée des Secrets dans les Infrastructures Cloud-Natives ABSTRACT: La gestion inadéquate des secrets informatiques demeure l’une des principales causes de compromission dans les infrastructures cloud-natives. Les jetons d’accès, les clés cryptographiques, les identifiants de bases de données et les artefacts de signature numérique sont fréquemment exposés dans des dépôts publics, des pipelines d’intégration continue et des journaux d’applications. En 2025, avec la consolidation des architectures basées sur Kubernetes, des pratiques DevSecOps, des plateformes CNAPP (Cloud-Native Application Protection Platform) et l’usage généralisé de modèles de langage de grande taille (LLMs) intégrés aux flux de développement, la surface d’attaque associée aux secrets s’est considérablement élargie. Dans ce travail, nous proposons une architecture formelle pour la gouvernance, la détection et la rotation automatisée des secrets, fondée sur la modélisation mathématique et la vérification de propriétés temporelles. Nous formalisons le cycle de vie d’un secret comme un système dynamique modélisé par des automates temporisés et exprimons les garanties de confidentialité et de cohérence au moyen de la logique temporelle linéaire. Nous introduisons un mécanisme hybride de détection qui combine l’entropie de Shannon avec la correction de Miller–Madow, des motifs structurels et un apprentissage supervisé basé sur le gradient boosting. Nous définissons formellement la fenêtre d’exposition et modélisons le risque accumulé comme l’intégrale du taux instantané d’exploitation. Nous proposons également un protocole de rotation adaptative avec des garanties d’atomicité et d’auditabilité, intégré aux environnements Kubernetes et aux gestionnaires de secrets compatibles avec les pratiques de cryptographie post-quantique conformément aux directives du NIST. Nous évaluons empiriquement la solution sur 12.457 dépôts publics et dans un cluster comportant 10.000 pods, obtenant une précision de 0,978, un rappel de 0,95 et une réduction moyenne de 89 % de la fenêtre d’exposition. Nous démontrons la significativité statistique des résultats et discutons des implications pour la gouvernance de la sécurité dans des environnements multi‑cloud et pour l’atténuation des techniques du MITRE ATT&CK associées aux identifiants exposés. Nous concluons que l’intégration entre la formalisation mathématique, la détection automatisée et la rotation adaptative constitue une approche efficace et vérifiable pour réduire le risque systémique associé aux secrets dans les infrastructures cloud‑natives.

2007-04-01Read paper →Secrets

Titrage cryptographiquement vérifiable des secrets dans les environnements natifs du cloud : modèle formel, architecture distribuée et évaluation empirique à grande échelle

Titrage cryptographiquement vérifiable des secrets dans les environnements natifs du cloud : modèle formel, architecture distribuée et évaluation empirique à grande échelle ABSTRACT: L’adoption croissante des architectures natives du cloud, fondées sur des microservices, des conteneurs et des pipelines CI/CD, a élevé la gestion des secrets au rang de problème central de la sécurité des systèmes distribués. Les fuites récurrentes d’identifiants, de jetons d’API et de clés cryptographiques montrent que les approches traditionnelles, centrées uniquement sur le stockage sécurisé, sont insuffisantes pour garantir la confidentialité et la révocation en temps utile dans des environnements hautement éphémères. Dans ce travail, nous proposons un modèle formel du cycle de vie des secrets fondé sur des systèmes de transitions étiquetées, définissant des métriques quantitatives d’exposition temporelle et de risque cumulé. Nous formalisons des propriétés de confidentialité, d’intégrité, d’éphémérité et de révocabilité sous un modèle de menace compatible avec le framework MITRE ATT&CK et avec les pratiques modernes de sécurité dans le cloud. Nous introduisons l’architecture VSMO (Verifiable Secrets Management and Orchestration), qui intègre une génération cryptographiquement sûre dans HSM, une attestation distante basée sur TPM 2.0, l’identité de workload via SPIFFE/SPIRE, la communication mTLS avec Envoy, la détection continue d’anomalies et une révocation adaptative orientée par l’apprentissage automatique. Nous évaluons le système dans un cluster Kubernetes v1.29 de 512 nœuds et 38 000 pods actifs, en le comparant à trois baselines largement utilisées. Les résultats indiquent une réduction moyenne de 72,4 % de l’exposition temporelle et de 63,1 % de la réutilisation indue des secrets, tout en maintenant une latence additionnelle inférieure à 5 ms par émission. Nous démontrons également que, sous des hypothèses raisonnables de taux de détection, l’espérance d’exposition est inversement proportionnelle à la capacité de surveillance continue. Ce travail contribue en intégrant rigueur formelle, architecture vérifiable et validation empirique à grande échelle, en offrant des fondements théoriques et des preuves pratiques pour l’orchestration cryptographiquement vérifiable des secrets dans les environnements natifs du cloud à l’état de l’art de 2025.

2007-03-26Read paper →Secrets

Orchestration Cryptographiquement Vérifiable des Secrets dans des Environnements Natifs du Cloud : Modèle Formel, Architecture Distribuée et Évaluation Empirique à Grande Échelle

TITLE: Orchestration Cryptographiquement Vérifiable des Secrets dans des Environnements Natifs du Cloud : Modèle Formel, Architecture Distribuée et Évaluation Empirique à Grande Échelle ABSTRACT: L’adoption croissante d’architectures natives du cloud, fondées sur des microservices, des conteneurs et des pipelines CI/CD, a élevé la gestion des secrets au rang de problème central de sécurité des systèmes distribués. Les fuites récurrentes d’identifiants, de jetons d’API et de clés cryptographiques démontrent que les approches traditionnelles, centrées uniquement sur le stockage sécurisé, sont insuffisantes pour garantir la confidentialité et la révocation en temps opportun dans des environnements hautement éphémères. Dans ce travail, nous proposons un modèle formel du cycle de vie des secrets fondé sur des systèmes de transitions étiquetées, en définissant des métriques quantitatives d’exposition temporelle et de risque accumulé. Nous formalisons les propriétés de confidentialité, d’intégrité, d’éphémérité et de révocabilité selon un modèle de menace compatible avec le framework MITRE ATT&CK et avec les pratiques modernes de sécurité du cloud. Nous introduisons l’architecture VSMO (Verifiable Secrets Management and Orchestration), qui intègre une génération cryptographiquement sécurisée dans HSM, une attestation distante basée sur TPM 2.0, une identité de workload via SPIFFE/SPIRE, une communication mTLS avec Envoy, une détection continue d’anomalies et une révocation adaptative pilotée par apprentissage automatique. Nous évaluons le système sur un cluster Kubernetes v1.29 avec 512 nœuds et 38 000 pods actifs, en le comparant à trois baselines largement utilisées. Les résultats indiquent une réduction moyenne de 72,4 % de l’exposition temporelle et de 63,1 % de la réutilisation indue des secrets, tout en maintenant une latence additionnelle inférieure à 5 ms par émission. Nous démontrons également que, sous des hypothèses raisonnables de taux de détection, l’espérance d’exposition est inversement proportionnelle à la capacité de surveillance continue. Ce travail contribue en intégrant rigueur formelle, architecture vérifiable et validation empirique à grande échelle, offrant des fondements théoriques et des preuves pratiques pour l’orchestration cryptographiquement vérifiable des secrets dans des environnements natifs du cloud jusqu’à l’état de l’art de 2025.

2007-03-26Read paper →Secrets

SecretGraph: Une Architecture Formelle, Évolutive et Vérifiable pour la Gestion, la Détection et la Rotation Adaptative des Secrets dans les Écosystèmes Cloud-Natifs

TITLE: SecretGraph: Une Architecture Formelle, Évolutive et Vérifiable pour la Gestion, la Détection et la Rotation Adaptative des Secrets dans les Écosystèmes Cloud-Natifs ABSTRACT: La gestion des secrets numériques s’est imposée comme l’un des principaux vecteurs de risque dans les infrastructures cloud‑natives, caractérisées par l’élasticité, l’éphémérité des workloads, l’intégration continue et une forte exposition via les API. Les identifiants compromis demeurent parmi les causes prédominantes de violations de sécurité, selon des rapports industriels récents, tandis que la prolifération des pipelines DevSecOps et des artefacts publics accroît la surface d’attaque. Dans ce travail, nous formalisons le problème d’exposition des secrets comme une tâche de minimisation du temps d’exposition pondéré dans des graphes dirigés dynamiques, dans lesquels les sommets représentent des identités computationnelles et les arêtes représentent des dépendances médiées par des identifiants. Nous définissons des métriques quantitatives, incluant le Temps Moyen d’Exposition des Secrets (MSET), et démontrons que la politique optimale de rotation sous dépendances structurelles est NP-difficile par réduction à des problèmes classiques d’ordonnancement avec contraintes de précédence et poids arbitraires. Nous proposons l’architecture SecretGraph, qui intègre une détection hybride (analyse statique, surveillance dynamique et inspection contextuelle), la construction incrémentale d’un graphe de dépendances, une priorisation fondée sur la centralité d’intermédiarité et une orchestration adaptative de la rotation via des API de coffres-forts cryptographiques. Nous implémentons un prototype en Go et Rust, intégré à Kubernetes, SPIFFE/SPIRE et HashiCorp Vault, et l’évaluons dans un environnement comprenant jusqu’à 10.000 secrets actifs et 1,2 million de commits analysés. Nous observons une réduction de 78,4 % du MSET par rapport à des politiques fixes de rotation, tout en maintenant une surcharge moyenne inférieure à 7 % de CPU. Nous discutons des implications pour les techniques du MITRE ATT&CK, l’intégration avec la cryptographie post-quantique recommandée par le NIST et la gouvernance de la sécurité orientée par des métriques. Nous concluons que la modélisation structurelle explicite des dépendances de secrets permet une réduction mesurable de la fenêtre d’exploitation, avec des garanties formelles et une viabilité opérationnelle à grande échelle.

2007-03-19Read paper →Secrets

TITRE : Une architecture formelle et évolutive pour la gestion, la détection et la rotation automatique des secrets dans les infrastructures cloud-native

TITRE : Une architecture formelle et évolutive pour la gestion, la détection et la rotation automatique des secrets dans les infrastructures cloud-native RÉSUMÉ : La gestion des secrets constitue l’un des piliers de la sécurité dans les infrastructures cloud-native, dans lesquelles les microservices éphémères, les pipelines DevSecOps et l’orchestration dynamique élargissent considérablement la surface d’attaque. Les identifiants compromis demeurent parmi les vecteurs les plus exploités dans les incidents réels, notamment par l’utilisation de comptes valides et l’extraction de secrets dans des dépôts de code. Dans ce travail, nous proposons une architecture formelle et évolutive pour la gestion, la détection et la rotation automatique des secrets, fondée sur une modélisation mathématique rigoureuse et alignée sur les directives contemporaines de Zero Trust, de sécurité des chaînes d’approvisionnement logicielle et de protection des environnements cloud-native jusqu’en 2025. Nous formalisons le cycle de vie des secrets comme un système de transition d’états temporisé, en définissant des propriétés quantitatives de confidentialité, d’atomicité et de cohérence éventuelle. Nous présentons un algorithme hybride de détection qui combine un filtrage basé sur l’entropie de Shannon avec une classification supervisée contextuelle, offrant des bornes formelles pour les probabilités de faux positifs et de faux négatifs. Nous introduisons également un protocole de rotation automatique avec des garanties sous un modèle de pannes partielles de type crash-stop, inspiré de l’ordonnancement temporel distribué. L’implémentation, réalisée en Go et Rust et intégrée à Kubernetes, HashiCorp Vault et à des mécanismes d’observabilité via eBPF, a été évaluée dans un environnement à grande échelle comprenant 1 200 microservices et 85 000 secrets actifs. Les résultats indiquent une précision moyenne de 96,1 %, un rappel de 94,3 % et une réduction de 78,4 % du temps moyen de détection. Nous discutons des limitations, des implications pour les environnements dotés d’IA générative et des risques émergents associés aux modèles de langage et à l’automatisation du code. Nous concluons que la combinaison de la formalisation mathématique, de la détection contextuelle et de la rotation atomique constitue une approche robuste et vérifiable pour l’atténuation systématique des fuites de secrets dans les écosystèmes cloud-native.

2007-03-12Read paper →Secrets

Une Architecture Formelle et Évolutive pour la Gestion, la Détection et la Rotation Automatique des Secrets dans les Infrastructures Cloud-Native

TITLE: Une Architecture Formelle et Évolutive pour la Gestion, la Détection et la Rotation Automatique des Secrets dans les Infrastructures Cloud-Native ABSTRACT: La gestion des secrets constitue l’un des piliers de la sécurité dans les infrastructures cloud-native, où les microservices éphémères, les pipelines DevSecOps et l’orchestration dynamique augmentent substantiellement la surface d’attaque. Les identifiants compromis demeurent parmi les vecteurs les plus exploités dans les incidents réels, notamment par l’utilisation de comptes valides et l’extraction de secrets dans les dépôts de code. Dans ce travail, nous proposons une architecture formelle et évolutive pour la gestion, la détection et la rotation automatique des secrets, fondée sur une modélisation mathématique rigoureuse et alignée sur les directives contemporaines de Zero Trust, de sécurité des chaînes d’approvisionnement logiciel et de protection des environnements cloud-native jusqu’en 2025. Nous formalisons le cycle de vie des secrets comme un système de transition d’états temporisé, en définissant des propriétés quantitatives de confidentialité, d’atomicité et de cohérence éventuelle. Nous présentons un algorithme hybride de détection qui combine un filtrage basé sur l’entropie de Shannon avec une classification supervisée contextuelle, offrant des bornes formelles pour les probabilités de faux positifs et de faux négatifs. Nous introduisons également un protocole de rotation automatique avec garanties sous un modèle de pannes partielles de type crash-stop, inspiré de l’ordonnancement temporel distribué. L’implémentation, réalisée en Go et Rust et intégrée à Kubernetes, HashiCorp Vault et à des mécanismes d’observabilité via eBPF, a été évaluée dans un environnement à grande échelle comprenant 1.200 microservices et 85.000 secrets actifs. Les résultats indiquent une précision moyenne de 96,1 %, un rappel de 94,3 % et une réduction de 78,4 % du temps moyen jusqu’à la détection. Nous discutons des limites, des implications pour les environnements utilisant l’IA générative et des risques émergents associés aux modèles de langage et à l’automatisation du code. Nous concluons que la combinaison de formalisation mathématique, de détection contextuelle et de rotation atomique constitue une approche robuste et vérifiable pour la mitigation systématique des fuites de secrets dans les écosystèmes cloud-native.

2007-03-12Read paper →Phishing

Détection adaptative et multimodale du phishing fondée sur l’apprentissage profond et la modélisation formelle des menaces avec des garanties quantifiables de robustesse

TITLE: Détection adaptative et multimodale du phishing fondée sur l’apprentissage profond et la modélisation formelle des menaces avec des garanties quantifiables de robustesse ABSTRACT: Le phishing demeure l’un des principaux vecteurs de compromission dans le paysage mondial de la cybersécurité en 2025, combinant ingénierie sociale, infrastructure éphémère et techniques avancées d’évasion fondées sur l’intelligence artificielle. Dans ce travail, nous proposons une architecture multimodale pour la détection adaptative du phishing, fondée sur une modélisation formelle du risque adversarial avec une contrainte explicite de coût opérationnel pour l’attaquant. Nous formalisons le problème comme un jeu stratégique entre un adversaire limité par un budget $\epsilon$ et un classifieur $f$, en définissant le risque adversarial $R(f,\mathcal{A}_\epsilon)$ et en établissant des conditions quantitatives de robustesse $\epsilon$-adversariale. Nous démontrons que la fusion convexe de modalités — lexicale, structurelle (DOM), sémantique basée sur Transformers et visuelle perceptuelle — préserve les marges de séparation sous des hypothèses d’indépendance partielle des perturbations, augmentant le coût économique de l’évasion. L’architecture est entraînée via une optimisation min–max avec un adversaire interne paramétré par des transformations réalistes, notamment les homographes IDN, les mutations syntaxiques et l’obfuscation dynamique. Nous évaluons le système sur un ensemble de 1,2 million d’URL provenant de bases publiques consolidées, avec des intervalles de confiance obtenus par bootstrap stratifié. Les résultats indiquent une AUC de 0,997 et un F1 de 0,986, tout en maintenant une latence moyenne inférieure à 35 ms après quantification INT8. Sous des attaques ciblées, le taux de détection est resté supérieur à 94 %, surpassant les modèles unimodaux. Nous discutons des implications économiques de la robustesse multimodale, de l’intégration avec des contrôles modernes tels que le TLS fingerprinting et la télémétrie via eBPF, ainsi que de l’alignement avec les directives de gouvernance de l’IA et de l’identité numérique. Nous concluons que la combinaison de fondements formels et d’ingénierie pratique permet d’obtenir des garanties mesurables de robustesse sans compromettre les exigences opérationnelles des entreprises.

2007-03-05Read paper →Phishing

Détection Adaptative et Multimodale du Phishing Basée sur l’Apprentissage Profond et la Modélisation Formelle des Menaces avec des Garanties Quantifiables de Robustesse

TITLE: Détection Adaptative et Multimodale du Phishing Basée sur l’Apprentissage Profond et la Modélisation Formelle des Menaces avec des Garanties Quantifiables de Robustesse ABSTRACT: Le phishing demeure l’un des principaux vecteurs de compromission dans le paysage mondial de la cybersécurité en 2025, combinant ingénierie sociale, infrastructures éphémères et techniques avancées d’évasion fondées sur l’intelligence artificielle. Dans ce travail, nous proposons une architecture multimodale pour la détection adaptative du phishing fondée sur une modélisation formelle du risque adversarial avec contrainte explicite sur le coût opérationnel de l’attaquant. Nous formalisons le problème comme un jeu stratégique entre un adversaire limité par un budget $\epsilon$ et un classificateur $f$, en définissant le risque adversarial $R(f,\mathcal{A}_\epsilon)$ et en établissant des conditions quantitatives de robustesse $\epsilon$-adversariale. Nous démontrons que la fusion convexe de modalités — lexicale, structurelle (DOM), sémantique basée sur des Transformers et perceptuelle visuelle — préserve les marges de séparation sous des hypothèses d’indépendance partielle des perturbations, augmentant ainsi le coût économique de l’évasion. L’architecture est entraînée via une optimisation min–max avec un adversaire interne paramétré par des transformations réalistes, incluant des homographes IDN, des mutations syntaxiques et une obfuscation dynamique. Nous évaluons le système sur un ensemble de 1,2 million d’URL provenant de bases publiques consolidées, avec des intervalles de confiance obtenus par bootstrap stratifié. Les résultats indiquent une AUC de 0,997 et un F1 de 0,986, tout en maintenant une latence moyenne inférieure à 35 ms après quantification INT8. Sous des attaques ciblées, le taux de détection est resté supérieur à 94 %, surpassant les modèles unimodaux. Nous discutons des implications économiques de la robustesse multimodale, de l’intégration avec des contrôles modernes tels que le fingerprinting TLS et la télémétrie via eBPF, ainsi que de l’alignement avec les lignes directrices de gouvernance de l’IA et de l’identité numérique. Nous concluons que la combinaison de fondements formels et d’ingénierie pratique permet d’obtenir des garanties mesurables de robustesse sans compromettre les exigences opérationnelles des entreprises.

2007-03-05Read paper →Phishing

TITRE: PhishGuard++ : Détection multimodale et adaptative du phishing avec garanties formelles sous un modèle de menace réaliste

TITRE: PhishGuard++ : Détection multimodale et adaptative du phishing avec garanties formelles sous un modèle de menace réaliste RÉSUMÉ : Le phishing demeure l’un des vecteurs d’accès initial les plus répandus et économiquement impactants dans le paysage mondial des menaces en 2025, évoluant pour intégrer des kits adversary-in-the-middle (AiTM), des pages générées dynamiquement et du contenu synthétique produit par de grands modèles génératifs. Dans ce travail, nous proposons PhishGuard++, une architecture multimodale et robuste de détection du phishing qui intègre des signaux lexicaux, structurels, visuels et comportementaux dans le cadre d’une formulation formelle d’apprentissage robuste min–max. Nous modélisons explicitement le problème comme une minimisation du risque sous perturbations adversariales multimodales, en considérant un adversaire probabiliste à puissance polynomialement bornée, capable d’enregistrer des domaines arbitraires, d’obtenir des certificats TLS valides, d’employer l’obfuscation homoglyphique Unicode et d’utiliser la génération automatisée de contenu par des modèles de langage. L’architecture combine un CNN au niveau caractère, des embeddings structurels dérivés du graphe DOM, un backbone visuel ResNet-50 et un module de fusion basé sur Transformer avec attention croisée, entraîné avec une régularisation adversariale inspirée de FGSM. Nous démontrons formellement des conditions suffisantes de robustesse sous des hypothèses de continuité Lipschitz et de compacité de l’ensemble des perturbations, tout en analysant la complexité computationnelle afin de garantir une latence inférieure à 20 ms dans un environnement de production conteneurisé. Nous évaluons le système sur des bases publiques (PhishTank, UCI) et un corpus propriétaire équilibré, atteignant une exactitude moyenne de 98,73 % (±0,21) et un AUC de 0,992, avec des gains statistiquement significatifs par rapport à Random Forest et XGBoost ($p < 0,01$). Nous avons également réalisé des expériences sous obfuscation homoglyphique et contenu synthétique généré par des LLMs, mettant en évidence une robustesse relative supérieure. Nous discutons des implications pour l’intégration avec des architectures modernes de sécurité (CNAPP, eBPF) et l’alignement avec les directives d’identité numérique du NIST, ainsi que des limites et des pistes futures impliquant l’apprentissage fédéré avec confidentialité différentielle et la cryptographie post-quantique pour la protection des modèles.

2007-02-26Read paper →Phishing

PhishGuard++ : Détection multimodale et adaptative du phishing avec garanties formelles sous un modèle de menace réaliste

TITLE: PhishGuard++ : Détection multimodale et adaptative du phishing avec garanties formelles sous un modèle de menace réaliste ABSTRACT: Le phishing demeure l’un des vecteurs d’accès initial les plus répandus et économiquement impactants dans le paysage mondial des menaces en 2025, évoluant pour intégrer des kits adversaire-au-milieu (AiTM), des pages générées dynamiquement et du contenu synthétique produit par des modèles génératifs à grande échelle. Dans ce travail, nous proposons PhishGuard++, une architecture multimodale et robuste pour la détection du phishing qui intègre des signaux lexicaux, structurels, visuels et comportementaux sous une formulation formelle d’apprentissage robuste min–max. Nous modélisons explicitement le problème comme une minimisation du risque sous perturbations adversariales multimodales, en considérant un adversaire probabiliste borné polynomialement capable d’enregistrer des domaines arbitraires, d’obtenir des certificats TLS valides, d’employer une obfuscation homoglyphique Unicode et d’utiliser la génération automatisée de contenu par des modèles de langage. L’architecture combine une CNN au niveau des caractères, des embeddings structurels dérivés du graphe DOM, un backbone visuel ResNet-50 et un module de fusion basé sur Transformer avec attention croisée, entraîné avec une régularisation adversariale inspirée de FGSM. Nous démontrons formellement des conditions suffisantes de robustesse sous des hypothèses de continuité de Lipschitz et de compacité de l’ensemble de perturbations, et analysons également la complexité computationnelle afin de garantir une latence inférieure à 20 ms dans un environnement de production conteneurisé. Nous évaluons le système sur des bases publiques (PhishTank, UCI) et un corpus propriétaire équilibré, atteignant une exactitude moyenne de 98,73 % (±0,21) et une AUC de 0,992, avec des gains statistiquement significatifs par rapport à Random Forest et XGBoost ($p < 0,01$). Nous réalisons en outre des expériences sous obfuscation homoglyphique et avec du contenu synthétique généré par des LLMs, mettant en évidence une robustesse relative supérieure. Nous discutons des implications pour l’intégration avec des architectures modernes de sécurité (CNAPP, eBPF) et de l’alignement avec les directives d’identité numérique du NIST, ainsi que des limitations et des orientations futures impliquant l’apprentissage fédéré avec confidentialité différentielle et la cryptographie post‑quantique pour la protection des modèles.

2007-02-26Read paper →Phishing

Architecture Hybride Adaptative pour la Détection et la Mitigation du Phishing Multicanal avec Modélisation Formelle des Menaces, Robustesse Adversariale et Apprentissage Auto-Supervisé

TITLE: Architecture Hybride Adaptative pour la Détection et la Mitigation du Phishing Multicanal avec Modélisation Formelle des Menaces, Robustesse Adversariale et Apprentissage Auto-Supervisé ABSTRACT: Le phishing demeure, en 2025, le principal vecteur d’accès initial dans les chaînes d’attaque modernes, intégrant des campagnes multicanales qui combinent e-mail, SMS (smishing), voix (vishing), messagerie instantanée et plateformes basées sur l’IA générative. Des rapports récents de Verizon et de l’APWG indiquent une croissance soutenue du volume et de la sophistication de ces campagnes, y compris l’utilisation de domaines récemment enregistrés, d’homographes Unicode et d’infrastructures éphémères. Dans ce travail, nous proposons une architecture hybride adaptative pour la détection et la mitigation du phishing multicanal, fondée sur la modélisation formelle des menaces, l’apprentissage auto-supervisé et l’analyse structurelle des URL combinée à des représentations sémantiques basées sur des transformateurs. Nous formalisons le problème comme une classification binaire sous fort déséquilibre et introduisons une définition explicite de la robustesse adversariale pour des perturbations sémantiquement préservées, avec une métrique opérationnelle de performance dans des scénarios adversariaux. L’architecture intègre trois modules : (i) Analyseur Structurel d’URL avec détection d’homographes et signaux temporels ; (ii) Encodeur Sémantique Contextuel basé sur BERTimbau ; et (iii) Détecteur d’Anomalies Auto-Supervisé entraîné via reconstruction. Nous évaluons le système sur un ensemble de 3,2 millions de messages provenant de OpenPhish, PhishTank et Enron, en utilisant une validation croisée stratifiée 5-fold. Nous obtenons un F1-score de 98,6 % et une AUC de 0,997, avec une dégradation limitée à 3,1 % sous des attaques d’homographes, surpassant les baselines classiques et les réseaux convolutionnels. Nous démontrons une réduction de 37 % des faux positifs, un aspect critique pour les opérations de SOC alignées sur les directives du NIST. Nous discutons des implications pour le CNAPP, de l’intégration avec des pipelines dans Kubernetes et des limitations liées au WHOIS et au biais linguistique. Nous concluons que l’intégration formelle entre l’analyse structurelle, la modélisation sémantique et la détection auto-supervisée constitue une approche robuste et opérationnellement viable pour l’écosystème de menaces de 2025.

2007-02-20Read paper →Phishing

PHISHGUARD++ : Un cadre formel, robuste et évolutif pour la détection multimodale de phishing avec apprentissage profond, modélisation adversariale et gouvernance de l’IA

TITLE: PHISHGUARD++ : Un cadre formel, robuste et évolutif pour la détection multimodale de phishing avec apprentissage profond, modélisation adversariale et gouvernance de l’IA ABSTRACT: Le phishing demeure l’un des vecteurs d’intrusion les plus répandus et les plus coûteux économiquement dans l’écosystème numérique contemporain, amplifié par l’automatisation fondée sur l’intelligence artificielle générative et par des campagnes hautement personnalisées. Dans ce travail, nous proposons PHISHGUARD++, un cadre formel et évolutif pour la détection multimodale du phishing qui intègre une modélisation statistique rigoureuse, l’apprentissage profond et un entraînement adversarial sous une formulation min-max. Nous modélisons le problème comme une classification supervisée dans un espace d’entrée multimodal $X = X_t \times X_g \times X_v$, englobant des caractéristiques textuelles, structurelles (graphes hétérogènes de domaines, IP, certificats et relations ASN) et visuelles. Nous reformulons l’objectif classique de minimisation du risque attendu pour le contexte du risque robuste adversarial, capturant explicitement des perturbations bornées par $\epsilon$ et des scénarios de dérive de concept. L’architecture proposée combine des Transformers préentraînés, des réseaux de neurones sur graphes hétérogènes et des réseaux convolutionnels résiduels profonds, avec une fusion tardive régularisée. Nous employons un entraînement adversarial basé sur Projected Gradient Descent (PGD) et évaluons la robustesse sous des attaques contraintes en norme $L_p$. L’implémentation, fondée sur PyTorch 2.x, Apache Kafka et Apache Flink, démontre une viabilité opérationnelle avec une latence moyenne de 12,4 ms par échantillon et un débit supérieur à 80.000 événements par seconde sur un cluster équipé de GPU NVIDIA A100. Sur un jeu de données contenant 1,54 million d’instances équilibrées, le modèle atteint $F1 = 0{,}986 \pm 0{,}004$ et un taux de faux positifs de 0,92 %, avec une dégradation contrôlée sous attaque adversariale. Nous discutons des implications en matière de gouvernance de l’IA, de la conformité aux directives du NIST et de l’alignement avec les cadres de gestion des risques de l’IA. Nous concluons que l’intégration de la multimodalité, de l’optimisation robuste et des pratiques modernes d’ingénierie de la sécurité offre des gains substantiels en résilience face aux campagnes de phishing adaptatives et renforcées par des modèles de langage de grande taille.

2007-02-13Read paper →Research

Une Architecture Formellement Vérifiable pour la Détection et l’Atténuation Adaptative des Menaces Living-off-the-Land dans des Environnements d’Entreprise Hybrides

TITLE: Une Architecture Formellement Vérifiable pour la Détection et l’Atténuation Adaptative des Menaces Living-off-the-Land dans des Environnements d’Entreprise Hybrides ABSTRACT: L’adoption croissante d’architectures hybrides et multicloud, combinée à la consolidation des modèles Zero Trust et à l’intégration de charges de travail traditionnelles avec des systèmes fondés sur l’intelligence artificielle, a substantiellement élargi la surface d’attaque organisationnelle d’ici 2025. Dans ce contexte, les techniques de Living-off-the-Land (LotL) sont devenues prédominantes, exploitant des binaires légitimes et des interfaces administratives natives pour échapper aux mécanismes traditionnels de détection. Nous proposons une architecture formellement fondée pour la détection et l’atténuation adaptative des menaces LotL, combinant des graphes temporels de provenance, la divergence de Kullback–Leibler avec seuil adaptatif, et une modélisation de jeux probabilistes entre un détecteur et un adversaire polynomialement borné. Nous formalisons le problème comme une expérience d’évasion $\mathsf{LotL\text{-}Evasion}(n)$, définissant la sécurité en termes de probabilité négligeable d’évasion sous une déviation statistique minimale mesurable. Nous démontrons une borne supérieure exponentielle pour la probabilité d’évasion en fonction de la divergence de variation totale et de la taille de la fenêtre d’observation, en utilisant les inégalités de Hoeffding et de Pinsker. L’architecture proposée intègre la collecte de télémétrie via eBPF, ETW et auditd, le traitement en flux avec Apache Flink, la normalisation selon l’Elastic Common Schema et l’intégration aux plateformes CNAPP et SOAR, tout en préservant l’alignement avec le NIST SP 800-207 et les pratiques contemporaines de gouvernance de l’IA. Des évaluations expérimentales avec bootstrap et test de Wilcoxon indiquent une réduction statistiquement significative des faux positifs relatifs et une amélioration du temps moyen de détection dans des scénarios multi-étapes. Nous discutons également des implications liées au concept drift, à l’intégrité de la télémétrie et aux attaques assistées par des modèles de langage, ainsi que des extensions impliquant des chaînes de Markov cachées, l’apprentissage fédéré avec confidentialité différentielle et la vérification probabiliste avec PRISM. Nous concluons que l’intégration de la modélisation causale et de la théorie de l’information permet d’établir des garanties formelles et des preuves empiriques robustes pour l’atténuation adaptative des menaces LotL dans les environnements d’entreprise contemporains.

2007-02-06Read paper →Research

ARCUS : Architecture Résiliente et Contextuellement Unifiée pour la Détection et la Contention Adaptative des Menaces dans des Environnements Multicloud

TITLE: ARCUS : Architecture Résiliente et Contextuellement Unifiée pour la Détection et la Contention Adaptative des Menaces dans des Environnements Multicloud ABSTRACT: La consolidation des architectures multicloud, des microservices orchestrés par Kubernetes, des pipelines DevSecOps et des infrastructures définies par code a redéfini l’espace de menace contemporain. En 2025, les organisations opèrent simultanément chez des fournisseurs tels que AWS, Azure et Google Cloud, en intégrant des services gérés, des API publiques, des fonctions serverless et des charges de travail avec accélération GPU pour des modèles d’intelligence artificielle, y compris les LLM. Cette hétérogénéité élargit la surface d’attaque, favorisant les compromissions basées sur des identifiants valides, les attaques de la chaîne d’approvisionnement logicielle et l’exploitation de vulnérabilités dans des composants largement distribués. Nous proposons l’architecture ARCUS (Architecture Résiliente et Contextuellement Unifiée de Sécurité), qui intègre la modélisation formelle, l’apprentissage profond sur des graphes temporels probabilistes et l’orchestration des réponses avec des garanties vérifiables. Nous modélisons l’environnement multicloud comme un graphe temporel probabiliste, dans lequel les événements sont représentés par des tuples enrichis d’attributs contextuels et probabilistes. La détection est formulée comme un problème d’inférence bayésienne sur des sous-graphes temporels, implémenté par des Graph Attention Networks avec incorporation de signaux contextuels et d’embeddings dynamiques. La contention est traitée comme un problème de programmation linéaire en nombres entiers mixtes (MILP), soumis à des contraintes formelles dérivées de politiques de sécurité et d’invariants opérationnels, assurant une correction partielle et des limites de latence. Nous évaluons empiriquement la proposition sur des ensembles de données publics largement reconnus et dans des scénarios multicloud synthétiques, en la comparant à des approches traditionnelles basées sur des signatures et des modèles séquentiels. Les résultats démontrent des gains statistiquement significatifs en AUC-ROC, F1-score et réduction de la latence de détection, tout en maintenant des taux de faux positifs contrôlés. Nous discutons également des implications pour des environnements avec des charges d’IA générative, l’intégration avec des CNAPP et l’utilisation d’eBPF pour une télémétrie de bas niveau. Nous concluons que la combinaison de modélisation formelle, d’apprentissage sur graphes et d’optimisation vérifiable constitue une approche prometteuse pour la sécurité adaptative dans les écosystèmes multicloud contemporains.

2007-01-30Read paper →