Publié le 15 octobre 2026 · Publication originale
Une entreprise entraîne un modèle à reconnaître des images.
Chaque image possède la bonne étiquette. Le contrôle qualité ne détecte aucune classe falsifiée.
Le modèle peut pourtant apprendre un comportement caché.
C'est le clean-label poisoning.
L'attaquant ne remplace pas nécessairement "chat" par "avion". Il modifie des exemples tout en conservant une paire image-texte cohérente avec la tâche officielle.
À ICML 2026, Ji Guo et cinq chercheurs présentent CBV, une attaque contre les modèles vision-langage qui utilise un modèle de diffusion pour produire des exemples empoisonnés naturels.
CBV modifie le processus de génération afin d'introduire des caractéristiques servant de déclencheur. Grad-CAM concentre les changements sur des régions visuellement importantes.
Sur MSCOCO et VQA v2, l'attaque dépasse 80% de réussite sur quatre modèles testés tout en préservant leur fonctionnement normal sur les données propres.
C'est le danger d'une backdoor.
Le modèle peut réussir ses benchmarks habituels et ne changer de comportement que lorsqu'un déclencheur particulier apparaît.
Vérifier les étiquettes et la précision moyenne ne suffit donc pas.
La chaîne d'entraînement est elle-même une surface d'attaque.
ULTRA® | QUAND LE POISON DEVIENT PRESQUE INVISIBLE
Une seconde étude ICML 2026, de Diego Granziol et Ulugbek Abdimanabov, examine pourquoi certaines attaques échappent aux défenses spectrales.
Dans leur analyse, des poisons regroupés peuvent créer une signature géométrique détectable dans la courbure du modèle.
Mais avec des noyaux non linéaires apparaît un régime "near-clone": l'efficacité du poison reste importante alors que la signature de courbure tend vers zéro.
L'attaque devient alors, dans leur modèle théorique, spectralement indétectable.
Ce travail ne porte ni sur les mêmes VLM ni sur l'attaque CBV. Il révèle une difficulté plus générale: plus un poison ressemble aux données légitimes, moins certaines défenses statistiques disposent d'un signal évident.
Les auteurs montrent aussi un compromis. La régularisation des gradients d'entrée peut réduire les modes associés au poison, mais elle réduit également la capacité du modèle à ajuster finement les données.
Pour une organisation, provenance, hachage et historique de transformation deviennent donc des contrôles de sécurité. Après entraînement, il faut aussi tester les comportements conditionnels et déclencheurs rares.
Un modèle à 98% sur son test normal peut encore contenir une fonction que ce test n'a jamais essayé d'activer.
La performance propre n'est pas une preuve d'entraînement propre.
Sources
Guo et al., ICML 2026, "CBV: Clean-label Backdoor Attacks on Vision Language Models via Diffusion Models"
Granziol & Abdimanabov, ICML 2026, "Safety-Efficacy Trade Off: Robustness against Data-Poisoning"
#AIGovernance #AISecurity #DataPoisoning #Backdoor #VOCEAssociation