Publié le 3 octobre 2026 à 13:00 · Publication originale
Vingt-cinq personnes portent un casque de réalité virtuelle et des électrodes EEG.
Elles regardent des images, des sites, des applications et des vidéos.
Puis les chercheurs retirent l’EEG.
Il ne reste que les capteurs de mouvement du casque.
En 2026, Tao Ni, à KAUST, et ses collègues présentent BraVeSpy à l’IEEE Symposium on Security and Privacy.
L’idée est déroutante: les accéléromètres conçus pour suivre la tête captent aussi de minuscules vibrations autour des yeux, liées notamment aux réponses pupillaires.
Les chercheurs séparent ces signaux des mouvements ordinaires, puis entraînent un modèle à produire des traces EEG proxy corrélées à l’activité cérébrale enregistrée auparavant.
Un second modèle cherche ensuite ce que l’utilisateur faisait ou regardait.
Avec les seules données de mouvement, BraVeSpy dépasse 85% de précision pour reconnaître certains sites, applications et vidéos. La désanonymisation, le suivi du regard et l’inférence de frappes sur clavier virtuel dépassent 96%.
Pour distinguer les catégories d’images perçues, la précision atteint 52 à 67,2%.
Ce n’est pas de la lecture de pensée.
Les tests portent sur 25 participants et sur des ensembles de contenus définis. Le système reconstruit des représentations corrélées à l’EEG, pas l’activité cérébrale réelle ni une pensée libre.
C’est précisément ce qui rend le résultat important.
Aucun implant ni capteur neuronal supplémentaire n’est nécessaire.
Une donnée conçue pour suivre un mouvement peut contenir assez de traces physiologiques pour révéler autre chose.
Les chercheurs montrent aussi qu’une légère perturbation ajoutée aux données du capteur dégrade fortement l’attaque sans empêcher le suivi normal du casque.
ULTRA®
BraVeSpy révèle un problème de gouvernance rarement formulé: une donnée peut devenir sensible après sa collecte, lorsqu’une nouvelle méthode d’inférence lui donne un sens qu’elle n’avait pas au moment où elle a été enregistrée.
Le risque ne se limite donc pas à demander quelles données un appareil collecte.
Il faut aussi demander ce qu’un modèle futur pourra déduire de données déjà considérées comme banales.
Dans plusieurs environnements VR, les capteurs de mouvement sont accessibles avec peu ou pas de permissions spécifiques. Une politique de confidentialité peut alors protéger les données “sensibles” tout en laissant circuler les signaux permettant de les reconstruire indirectement.
BraVeSpy ne lit pas une pensée secrète.
Il montre qu’un système n’a pas toujours besoin d’accéder au cerveau pour obtenir des indices sur ce qui mobilise notre perception.
ARGOS
La donnée la plus intime n’est pas toujours celle que nous avons décidé d’appeler sensible.
Sources
Ni et al., IEEE Symposium on Security and Privacy, 2026
KAUST Discovery, 19 août 2026
#VOCEASSOCIATION #Cybersécurité #RéalitéVirtuelle #ViePrivée #GouvernanceIA