Research / Paper Files
Paper Files
Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.
Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →198 papers
Une Architecture Formelle pour la Détection et l’Atténuation des Évasions de Conteneurs Basée sur des Profils Comportementaux Probabilistes et la Vérification de Politiques dans le Noyau
TITLE: Une Architecture Formelle pour la Détection et l’Atténuation des Évasions de Conteneurs Basée sur des Profils Comportementaux Probabilistes et la Vérification de Politiques dans le Noyau ABSTRACT: La virtualisation basée sur les conteneurs s’est imposée comme le fondement de l’infrastructure cloud-native, mais sa dépendance à un noyau partagé impose des défis structurels en matière de sécurité. Les évasions de conteneurs demeurent des vecteurs critiques de compromission, en particulier dans les environnements Kubernetes à grande échelle, où des vulnérabilités dans le runtime, dans le sous-système de cgroups ou dans le noyau lui-même peuvent entraîner une violation de l’isolation. Dans ce travail, nous proposons une architecture formelle pour la détection et l’atténuation des évasions de conteneurs basée sur la modélisation probabiliste de séquences d’appels système et la synthèse automatique de politiques de sécurité au niveau du noyau. Nous modélisons le comportement légitime des applications comme un langage probabiliste sur l’alphabet des syscalls, instancié par des chaînes de Markov d’ordre variable avec lissage bayésien. Nous dérivons des bornes formelles de correction et de complétude sous des paramètres $(\epsilon, \delta)$ et introduisons un critère de décision fondé sur la log‑vraisemblance accumulée. À partir du support empirique observé, nous synthétisons automatiquement des profils seccomp minimaux et des politiques compatibles avec les LSM modernes (AppArmor ou SELinux), réduisant de manière quantifiable la surface d’attaque. Nous implémentons l’architecture avec eBPF couplé à des tracepoints du noyau Linux 6.x, en l’intégrant à un cluster Kubernetes 1.28 avec containerd 1.7. Dans une évaluation expérimentale impliquant 120 nœuds et 1 800 conteneurs, nous obtenons une réduction moyenne de 72,4 % de l’ensemble des syscalls autorisées, un taux de détection de 96,1 % et une surcharge CPU moyenne de 3,7 %. Nous démontrons en outre que l’approche surpasse les mécanismes fondés exclusivement sur des règles heuristiques, tout en maintenant la scalabilité et une faible latence. Nous concluons que la combinaison de modélisation probabiliste formelle, de vérification efficace dans le noyau et de synthèse automatique de politiques constitue une stratégie robuste pour le durcissement dynamique des environnements conteneurisés en 2025.
Read paper →ContainersTITRE: Une Architecture Formelle pour la Détection et l’Atténuation des Évasions de Conteneurs Fondée sur des Profils Comportementaux Probabilistes et la Vérification de Politiques dans le Noyau
TITRE: Une Architecture Formelle pour la Détection et l’Atténuation des Évasions de Conteneurs Fondée sur des Profils Comportementaux Probabilistes et la Vérification de Politiques dans le Noyau RÉSUMÉ: La virtualisation basée sur les conteneurs s’est imposée comme un fondement de l’infrastructure cloud-native, mais sa dépendance à un noyau partagé impose des défis structurels de sécurité. Les évasions de conteneurs demeurent des vecteurs critiques de compromission, en particulier dans les environnements Kubernetes à grande échelle, où des vulnérabilités dans le runtime, dans le sous-système cgroups ou dans le noyau lui-même peuvent entraîner une violation de l’isolement. Dans ce travail, nous proposons une architecture formelle pour la détection et l’atténuation des évasions de conteneurs fondée sur la modélisation probabiliste des séquences d’appels système et la synthèse automatique de politiques de sécurité au niveau du noyau. Nous modélisons le comportement légitime des applications comme un langage probabiliste sur l’alphabet des syscalls, instancié par des chaînes de Markov d’ordre variable avec lissage bayésien. Nous dérivons des bornes formelles de correction et de complétude sous des paramètres (ε, δ) et introduisons un critère de décision basé sur la log-vraisemblance cumulée. À partir du support empirique observé, nous synthétisons automatiquement des profils seccomp minimaux et des politiques compatibles avec les LSM modernes (AppArmor ou SELinux), réduisant de manière quantifiable la surface d’attaque. Nous avons implémenté l’architecture avec eBPF couplé à des tracepoints du noyau Linux 6.x, en l’intégrant à un cluster Kubernetes 1.28 avec containerd 1.7. Dans une évaluation expérimentale impliquant 120 nœuds et 1 800 conteneurs, nous avons obtenu une réduction moyenne de 72,4 % de l’ensemble des syscalls autorisés, un taux de détection de 96,1 % et une surcharge moyenne du CPU de 3,7 %. Nous démontrons également que l’approche surpasse les mécanismes reposant exclusivement sur des règles heuristiques, tout en conservant l’évolutivité et une faible latence. Nous concluons que la combinaison d’une modélisation probabiliste formelle, d’une vérification efficace dans le noyau et d’une synthèse automatique de politiques constitue une stratégie robuste pour le durcissement dynamique des environnements conteneurisés en 2025.
Read paper →CloudModélisation Opérationnelle des Menaces et Détection Basée sur la Télémétrie pour les Environnements Multi‑Cloud : Stratégies Pratiques de Défense dans les Infrastructures IaaS, PaaS et Kubernetes (2025)
TITLE: Modélisation Opérationnelle des Menaces et Détection Basée sur la Télémétrie pour les Environnements Multi‑Cloud : Stratégies Pratiques de Défense dans les Infrastructures IaaS, PaaS et Kubernetes (2025) ABSTRACT: L’informatique en nuage est devenue le substrat opérationnel dominant pour l’infrastructure d’entreprise, les services numériques et les plateformes d’intelligence artificielle. En 2025, les environnements multi‑cloud et hybrides combinant AWS, Microsoft Azure et Google Cloud Platform (GCP) sont courants, tandis que les architectures cloud‑native basées sur les conteneurs, Kubernetes et les fonctions serverless élargissent considérablement la surface d’attaque. Cet article présente une analyse opérationnelle de la sécurité cloud axée sur la modélisation des menaces, la formalisation des risques et la mise en œuvre pratique de mécanismes de détection et de réponse basés sur la télémétrie. La recherche examine des vecteurs d’attaque récurrents observés lors d’opérations de red teaming et de réponse aux incidents entre 2021 et 2025, notamment l’abus d’identités IAM, l’exfiltration via des API cloud, la compromission de workloads dans Kubernetes et l’exploitation de mauvaises configurations dans le stockage et les réseaux virtuels. Nous proposons un modèle formel d’évaluation des risques adapté aux environnements cloud qui combine des métriques d’exposition, de privilège et d’observabilité, exprimé mathématiquement afin de permettre une priorisation automatisée des mesures d’atténuation. La méthodologie comprend la collecte de télémétrie native (CloudTrail, Azure Activity Logs, GCP Audit Logs), l’instrumentation du runtime avec eBPF et la détection comportementale basée sur des règles alignées sur le framework MITRE ATT&CK for Cloud. L’étude décrit une implémentation pratique utilisant des outils largement adoptés jusqu’en 2025, notamment Falco, ScoutSuite, kube‑bench et des pipelines d’analyse dans des SIEM. Nous évaluons expérimentalement l’approche dans un environnement multi‑cloud simulé contenant des workloads Kubernetes et des services serverless, démontrant une réduction significative du temps moyen de détection (MTTD) et une amélioration de la priorisation des risques. Nous présentons également une étude de cas réaliste fondée sur des schémas observés dans des incidents publics impliquant des identifiants exposés et l’abus d’API cloud. Les résultats indiquent que la combinaison d’une modélisation formelle du risque avec une télémétrie granulaire et des contrôles Zero Trust fournit des gains substantiels en résilience opérationnelle des environnements cloud. Le travail contribue par un framework pratique destiné aux équipes de sécurité offensives et défensives opérant dans des infrastructures cloud complexes, aligné sur l’état de l’art de l’écosystème de sécurité jusqu’en 2025.
Read paper →CloudUne architecture formelle pour la détection et la contention adaptative des menaces dans des environnements multi-cloud basée sur des graphes temporels et des politiques vérifiables
TITLE: Une architecture formelle pour la détection et la contention adaptative des menaces dans des environnements multi-cloud basée sur des graphes temporels et des politiques vérifiables ABSTRACT: L’adoption de stratégies multi-cloud et hybrides s’est consolidée comme pratique dominante dans les secteurs critiques, accroissant la complexité sémantique et opérationnelle des mécanismes de contrôle d’accès et de surveillance de la sécurité. L’hétérogénéité entre AWS IAM, Microsoft Entra ID/Azure RBAC, Google Cloud IAM et les modèles RBAC/ABAC dans Kubernetes, combinée à la fédération d’identités, aux pipelines CI/CD et aux intégrations orientées API, introduit des dépendances temporelles et transversales qui ne sont pas capturées par des analyses locales de politiques. Des rapports récents indiquent que l’usage abusif de crédentiels valides demeure le vecteur prédominant d’incidents, exploitant fréquemment des compositions légitimes de permissions. Nous proposons une architecture formelle pour la détection et la contention adaptative des menaces basée sur des graphes temporels de privilèges et la vérification automatique de politiques via SMT. Nous formalisons l’environnement multi-cloud comme un système dynamique $G_t = (V_t, E_t, \tau_t, w_t, \ell_t)$, en définissant les chemins de compromission, le risque temporel accumulé et le problème dual de détection et de contention comme des instances d’atteignabilité et de coupe minimale sous contraintes fonctionnelles. Nous démontrons des propriétés de correction partielle et une réduction au flot maximum pour une contention minimale. Nous présentons un algorithme incrémental avec une analyse de complexité amortie sous-linéaire sous des hypothèses de parcimonie et de localité temporelle. La contention est validée par l’encodage d’invariants organisationnels en logique du premier ordre décidable, résolue par SMT. Nous implémentons un prototype sous Kubernetes 1.29 avec un backend de graphe et une intégration avec OPA et les taxonomies MITRE ATT&CK. Des évaluations empiriques avec des journaux réels anonymisés et des scénarios synthétiques montrent une réduction statistiquement significative du temps de détection par rapport aux approches basées exclusivement sur la corrélation. Des études de cas dans les secteurs financier et de la santé illustrent la capacité à bloquer des chaînes d’attaque tout en préservant les exigences fonctionnelles. La proposition contribue à la convergence entre la sécurité basée sur l’identité, la vérification formelle et la réponse automatisée dans les écosystèmes multi-cloud contemporains.
Read paper →CloudDétection formellement vérifiable des dérives de configuration et des chaînes d’attaque dans des environnements multi‑cloud fondée sur des graphes de dépendance et l’inférence probabiliste
1. Introduction
Read paper →CloudUne architecture formellement vérifiable pour la détection et la mitigation du mouvement latéral dans des environnements multi‑cloud basée sur la télémétrie distribuée, la vérification temporelle et l’analyse compositionnelle
1. Introduction
Read paper →IAMArchitecture Adaptative de Identity and Access Management avec Évaluation Continue du Risque Basée sur des Graphes et Politiques Formelles pour les Environnements Multicloud
1. Introduction
Read paper →IAMUne Architecture Formellement Vérifiable pour un Identity and Access Management Adaptatif avec des Garanties Quantitatives de Sécurité dans des Environnements Multi-Cloud
1. Introduction
Read paper →IAMArchitecture adaptative et formellement vérifiable pour Identity and Access Management avec minimisation des privilèges orientée par le risque
1. Introduction
Read paper →IAMArchitecture IAM résiliente face aux menaces modernes: Modélisation des attaques, détection comportementale et gouvernance Zero Trust dans les environnements cloud hybrides
1. Introduction
Read paper →IAMIAM-GraphSec : Une Architecture Formelle, Vérifiable et Évolutive pour la Gouvernance Adaptative des Identités et la Minimisation de la Surface d’Attaque dans des Environnements Multi-Cloud
1. Introduction
Read paper →AI SecurityArchitecture Formelle pour la Sécurité des Systèmes d’Intelligence Artificielle : Un Cadre Quantitatif pour l’Atténuation des Attaques Adversariales, l’Empoisonnement de Données, l’Exploitation et les Menaces visant les Modèles Fondamentaux dans des Environnements Critiques
1. Introduction
Read paper →AI SecurityArchitecture formelle pour la sécurité des systèmes d’intelligence artificielle : modélisation des menaces, robustesse adversariale et garanties cryptographiques intégrées
1. Introduction
Read paper →AI SecurityARCHITECTURE FORMELLEMENT FONDÉE POUR LA SÉCURITÉ DES MODÈLES D’APPRENTISSAGE AUTOMATIQUE : DÉTECTION ET ATTÉNUATION UNIFIÉE DES ATTAQUES ADVERSARIALES, DE L’EMPOISONNEMENT ET DE L’EXTRACTION DE MODÈLES
1. Introduction
Read paper →AI SecurityUne architecture formellement fondée pour la sécurité des systèmes d’intelligence artificielle : atténuation intégrée de l’empoisonnement des données et des attaques adversariales avec garanties quantitatives
1. Introduction
Read paper →AI SecurityArchitecture Formelle Compositionnelle pour la Sécurité des Systèmes d’Intelligence Artificielle Basés sur l’Apprentissage Profond : Modélisation des Menaces, Robustesse Adversariale, Garanties Cryptographiques et Conformité à la Gouvernance de l’IA
1. Introduction
Read paper →DevSecOpsUne Architecture Formellement Vérifiable pour l’Orchestration DevSecOps avec Priorisation Quantitative du Risque et Intégration Continue Orientée Menaces
disproportionnellement exposées. | Phase du pipeline | Composants critiques | Surface d’attaque relative | Types d’attaques dominantes | |---|---|---|---| | Commit | Git, hooks, secrets | Élevée | vol de token, injection commit | | Build | runners CI, dépendances | Très élevée | dependency confusion | | Test | frameworks, artefacts | Moyenne | falsification résultats | | Packaging | images conteneur | Élevée | image poisoning | | Déploiement | orchestrateur cloud | Très élevée | escalade IAM | Notre analyse montre que les phases Build et Déploiement représentent en moyenne 57 % du risque agr
Read paper →DevSecOpsOrchestration Formelle des Contrôles de Sécurité dans les Pipelines DevSecOps : Un Framework Basé sur la Modélisation des Menaces, l’Optimisation Multi‑objectif et la Vérification Continue
1. Introduction La transition des modèles traditionnels de développement vers des pratiques DevOps puis DevSecOps a considérablement réduit le cycle de livraison des logiciels, permettant de multiples déploiements quotidiens dans des environnements de production hautement distribués. Cette accélération, bien qu’elle apporte des gains de compétitivité, élargit la surface d’attaque associée aux pipelines CI/CD, aux artefacts intermédiaires, aux registres de conteneurs et aux dépendances tierces. En 2026, ce contexte est encore plus complexe en raison de l’intégration de composants d’intelligenc
Read paper →DevSecOpsDevSecOps Orienté par le Risque avec Vérification Formelle Continue : Un Modèle Quantitatif pour l’Orchestration Adaptative de la Sécurité dans les Pipelines CI/CD
VerificationFormelle : risque élevé VerificationFormelle --> Deploiement Deploiement --> Monitoring Monitoring --> [] ``` Dans ce modèle, chaque transition correspond à une opération automatisée dans le pipeline. La transition vers la vérification formelle est déclenchée lorsque le moteur de risque détecte une anomalie significative. Formalisation mathématique Le pipeline est modélisé comme une chaîne de Markov : $$ M = (S, P, L) $$ où : - $S$ est l’ensemble des états du pipeline - $P : S \times S \rightarrow [0,1]$ est la matrice de transition probabiliste - $L$ est une fonction d’
Read paper →DevSecOpsDevSecOps Orienté par les Preuves : Une Architecture Formelle avec Priorisation Basée sur le Risque Contextuel et Vérification Continue pour les Pipelines de Livraison Logicielle à Grande Échelle (2026)
SecurityVerification SecurityVerification --> DeploymentApproval DeploymentApproval --> ProductionDeploy StaticAnalysis --> Rejected DependencyScan --> Rejected SecurityVerification --> Rejected Rejected --> [] ProductionDeploy --> [] ``` Chaque transition est associée à une condition de sécurité formalisée. Par exemple, la transition vers l’état de déploiement nécessite la validation d’un ensemble de contraintes : $$ \forall v \in V_{scan}, \quad severity(v) < \theta $$ où $V_{scan}$ représente l’ensemble des vulnérabilités détectées et $\theta$ un seuil configurable. Preuve de correc
Read paper →ResearchDétection adaptative des chaînes d’attaque multi‑étapes par inférence bayésienne hiérarchique et graphes temporels contraints
1. Introduction La surface d’attaque des systèmes d’information contemporains s’est considérablement étendue sous l’effet conjugué de la virtualisation, de l’adoption massive du cloud, de l’interconnexion des chaînes logistiques et de l’automatisation DevOps. Les adversaires exploitent désormais des chaînes d’attaque complexes et modulaires, articulées autour de tactiques successives décrites par le cadre MITRE ATT&CK (MITRE, 2023). Ces chaînes incluent typiquement : accès initial (Initial Access), exécution (Execution), persistance (Persistence), élévation de privilèges (Privilege Escalation
Read paper →AppSecIngénierie de la Sécurité des Applications dans les Environnements Cloud-Native : Modélisation des Menaces, Instrumentation Runtime et Détection Basée sur la Télémétrie en 2026
cloudsecurityalliance.org CIS. Kubernetes Benchmark. https://www.cisecurity.org NIST. Secure Software Development Framework (SSDF). https://csrc.nist.gov/publications/detail/sp/800-218/final GOOGLE. BeyondProd: A New Approach to Cloud Security. https://cloud.google.com/beyondprod MICROSOFT. Zero Trust Architecture. https://learn.microsoft.com/security/zero-trust ENISA. Software Supply Chain Security. https://www.enisa.europa.eu/publications/software-supply-chain-security OWASP. Software Assurance Maturity Model (SAMM). https://owaspsamm.org Figure 1: Arbre d’attaque du modèle de menace
Read paper →AppSecUne architecture formellement fondée pour un AppSec continu : intégration de l’analyse statique, dynamique et de l’observabilité orientée menaces avec des garanties quantifiables
SurveillanceContinue SurveillanceContinue --> Collecte ``` Nous vérifions notamment trois invariants critiques : 1. L’absence de cycle non résolu dans la propagation des dépendances. 2. La cohérence probabiliste des mises à jour bayésiennes. 3. La conservation de l’ordre de priorité entre vulnérabilités critiques. L’invariant probabiliste est défini comme : $$ \sum_{i=1}^{n} P(H_i | E) = 1 $$ où $H_i$ représente une hypothèse de compromission et $E$ l’évidence observée. Nos expériences montrent que l’utilisation de TLA+ pour modéliser l’algorithme de propagation permet de détecter de
Read paper →AppSecUne Architecture Formelle et Évolutive pour l’AppSec Continue : Intégration de l’Analyse Statique Guidée par Modèles, de l’Instrumentation Dynamique Adaptative et de la Vérification de Politiques avec Garanties Quantifiables
Instrumentation_eBPF participant Moteur_Analyse participant Moteur_Politiques participant SOC Attaquant->>Application: Requête malveillante Application->>Instrumentation_eBPF: Exécution système Instrumentation_eBPF->>Moteur_Analyse: Télémétrie runtime Moteur_Analyse->>Moteur_Politiques: Évaluation comportement Moteur_Politiques-->>Moteur_Analyse: Violation détectée Moteur_Analyse->>SOC: Alerte de sécurité SOC->>Application: Isolement du service SOC->>CI/CD: Déclenchement correctif ``` Figure 4: Chronologie d’évolution des technologies AppSec ```mermaid gantt title Évolution des technologies
Read paper →