Comment Google Assistant, Alexa et Siri peuvent être détournés pour donner des réponses malveillantes aux utilisateurs

Les assistants vocaux comme Google, Cortana, Siri, ou encore Alexa sont de plus en plus utilisés et fiables, mais ils ne sont pas toujours protégés contre les attaques qui pourraient remettre en question leurs règles de sécurité et de confidentialité. Des chercheurs explorent les vulnérabilités de ces systèmes aux attaques adverses et proposent des parades pour les rendre plus robustes.

« OK Google, allume les lampes du salon !  », « Dis Siri, quelle est la meilleure recette de lasagnes ? », « Alexa, quel temps fait-il ce matin ? », nous sommes nombreux à utiliser un assistant vocal dans notre quotidien. Avec l'essor de ces intelligences artificielles multimodales capables de traiter à la fois la parole et le texte comme ChatGPT Voice, on élargit le domaine des possibles quasiment à l'infini dans des domaines comme l'assistance vocale, la transcription automatique ou la traduction simultanée.

Mais comme toute technologie de rupture, ces systèmes dits « Speech Language Models » (SLM) ne sont pas vierges de coups de canif dans le contrat en matière de sécurité et de confidentialité. C'est ce que montre une récente étude menée par des chercheurs en cybersécurité de arXiv.org. Différents types d'attaques pourraient être utilisés par des hackers pour contourner les garde-fous de ces SLM et les contraindre à produire des réponses contraires à l'éthique, malveillantes ou à tout le moins contraires aux consignes de sécurité initialement programmées.

L'attaque de contournement qui rend les SLM vulnérables

Les modèles SLM sont des systèmes d'IA de pointe capables de comprendre et de générer du langage naturel aussi bien sous forme audio que textuelle. Mais leur complexité et leur nature même, combinant la prise en compte de modalités différentes (parole/texte), les rendent potentiellement vulnérables à ce que les experts appellent des attaques de contournement.

En clair, un hacker pourrait chercher à exploiter ces failles pour forcer le modèle à ignorer ses garde-fous éthiques et sécuritaires afin de produire des contenus préjudiciables (propos haineux, fake news, instructions dangereuses, etc.).

L'étude d'arXiv.org répertorie plusieurs types d'attaques possibles, parmi lesquelles les attaques par boîte blanche, où l'assaillant exploite une connaissance approfondie du modèle. Les attaques par transfert consistent quant à elles à faire migrer une attaque développée sur un premier modèle vers un autre système initialement moins vulnérable. Enfin, les chercheurs s'intéressent aux attaques par perturbation adverses de l'entrée audio, qui font qu'un signal sonore malveillant inaudible pour l'oreille humaine est injecté dans le flux audio d'entrée de manière à manipuler les réponses générées par le SLM.

Le « time-domain noise flooding », une possible parade contre les attaques audio

Pour contrer ces menaces de contournement, les chercheurs proposent une stratégie défensive appelée « time-domain noise flooding ». Cette contre-mesure vise spécifiquement à protéger les systèmes des attaques par perturbation adverses de l'entrée audio. Le principe consiste à ajouter un bruit aléatoire dans le domaine temporel au signal audio en entrée, de manière à « noyer » toute perturbation malveillante potentiellement injectée par des hackers.

Au cours de leurs expériences, les scientifiques ont pu constater que cette technique permettait d'améliorer sensiblement la robustesse des SLM face aux attaques audio adverses, tout en préservant leurs performances sur les tâches de reconnaissance vocale. Le time-domain noise flooding aurait ainsi le mérite de renforcer la sécurité de ces systèmes d'IA multimodale sans trop dégrader leur fonctionnement normal.

D'autres parades sont également à l'étude pour protéger ces technologies prometteuses, mais encore fragiles contre les différentes attaques de contournement jalonnées. Et puis, il ne faudrait pas non plus trop en apprendre aux hackers.

Sources : VentureBeat, arXiv