République Algérienne Démocratique et Populaire

Ministère de L’Enseignement Supérieur et de la Recherche Scientifique

Université des Sciences et de la Technologie HOUARI BOUMEDIENE
Faculté d’Informatique

Thèse
Présentée pour l’obtention du diplôme de MASTER 2
Spécialité : Systémes Informatiques Intelligents

Par : REGUIG Meriem

et : GASMI Salah Eddine

Sujet

Etude des stratégies de défense contre les attaques

ciblant les modéles d’apprentissage profond dans le
domaine NLP

Soutenue publiquement, le 19/09/2023, devant le jury composé de :

Mme. MEHDI Malika USTHB Président

M. AMARA Yacine EMP Directeur de thèse
M. BENATIA Mohamed Akrem EMP Co-directeur de thèse
Mme. OUAZAR Fatiha USTHB Examinatrice
 REMERCIEMENTS

Louange à notre Seigneur ”ALLAH” qui nous a dotés de la merveilleuse faculté de

raisonner. Louange à notre créateur qui nous a inspirés à acquérir des connaissances,
c’est à Lui que nous adressons toute notre gratitude en premier lieu. Nous tenons à
adresser nos sincères remerciements à nos superviseurs, le docteur AMARA Yacine
et le docteur BENATIA Mohamed Akram, tout d’abord pour la confiance qu’ils
nous ont témoignée en nous offrant ce sujet, leur disponibilité, leur patience, leurs
conseils et directives très instructives. Nous tenons également à remercier tous les
membres du jury de nous avoir honorées en acceptant d’évaluer notre travail. Nous
remercions également les membres du département de l’informatique de la faculté
USTHB. Enfin, nous exprimons notre gratitude à tous nos professeurs pour avoir
transmis leur savoir sans réserve. Qu’ils trouvent dans ces mots l’expression de notre
plus sincère gratitude.

i
 DEDICACES

Je dédie ce modeste travail :

• À mes chers parents, Papa et Maman, Vous êtes les piliers solides qui ont guidé
chacun de mes pas et m’ont inculqué des valeurs inestimables.
• À mon mari Salim, qui m’a toujours encouragée et soutenue.
• À ma tante Zahra, qui m’a poussé à devenir meilleur chaque jour.
• À tous mes amis et mes professeurs.

REGUIG Meriem

À mes chers parents, dont le soutien inconditionnel et les valeurs profondes ont
été le socle de ma formation académique, je dédie cette thèse.
À ma grande famille, mes frères, mes sœurs et leurs familles, qui ont toujours été
une source d’inspiration et de fierté, je vous remercie pour votre amour indéfectible
et votre encouragement constant.
Et à ma petite famille, à ma merveilleuse épouse et à notre Abderrahmane, qui,
je tiens à le préciser, n’ont pas du tout contribué à la rédaction de cette thèse (à part
peut-être en me donnant une excuse pour éviter les tâches ménagères), je vous suis
infiniment reconnaissant pour votre patience, votre compréhension et votre amour
sans faille.
Que cette thèse soit le reflet de l’amour et du soutien de ma famille, et une
déclaration de mon engagement envers la quête du savoir et l’amélioration de notre
monde.

GASMI Salah Eddine

ii
ABSTRACT

Cette thèse se penche sur la vulnérabilité des modèles d’apprentissage profond en

NLP face aux attaques adverses. Elle explore les stratégies de défense pour ren-
forcer la sécurité de ces modèles, évalue leur efficacité et souligne l’importance de
développer des solutions de défense robustes dans un environnement en constante
évolution.

iii
Table des matières

REMERCIEMENTS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . i
DEDICACES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . ii
ABSTRACT . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . iii
List of Figures . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . vii
List of Algorithms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . viii

1 INTRODUCTION 1

2 ETAT DE L’ART 3
2.1 Définition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
2.1.1 Intelligence artificielle . . . . . . . . . . . . . . . . . . . . . . . 3
2.1.2 Les types de l’intelligence artificielle . . . . . . . . . . . . . . . 4
2.1.3 Machine Learning . . . . . . . . . . . . . . . . . . . . . . . . . 4
2.1.4 Traitement du Language Naturel . . . . . . . . . . . . . . . . 5
2.1.5 La vision par ordinateur . . . . . . . . . . . . . . . . . . . . . 6
2.1.6 Analyse des sentiments . . . . . . . . . . . . . . . . . . . . . . 6
2.1.7 Deep learning . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
2.1.8 Modèles d’apprentissage profond . . . . . . . . . . . . . . . . 7
2.1.9 Domaines d’application de l’apprentissage profonds . . . . . . 8
2.1.10 Faiblesses des modèles d’apprentissage profond . . . . . . . . . 10
2.1.11 Les attaques contre l’apprentissage profond . . . . . . . . . . . 11

3 Attaques adverses 13
3.1 Classification des attaques adverses . . . . . . . . . . . . . . . . . . . 14
3.1.1 Type de connaissance . . . . . . . . . . . . . . . . . . . . . . . 14
3.1.2 Type de Données . . . . . . . . . . . . . . . . . . . . . . . . . 14

iv
 3.1.3 Objectif de l’attaque . . . . . . . . . . . . . . . . . . . . . . . 15
3.1.4 Phases d’attaque . . . . . . . . . . . . . . . . . . . . . . . . . 15
3.1.5 Granularité . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
3.2 Composition d’une attaque NLP . . . . . . . . . . . . . . . . . . . . . 19
3.2.1 Fonction objectif . . . . . . . . . . . . . . . . . . . . . . . . . 19
3.2.2 Contraintes . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
3.2.3 Transformation . . . . . . . . . . . . . . . . . . . . . . . . . . 20
3.2.4 Méthode de recherche . . . . . . . . . . . . . . . . . . . . . . . 20
3.3 Algorithmes d’attaques . . . . . . . . . . . . . . . . . . . . . . . . . . 21
3.3.1 Algorithmes gloutons . . . . . . . . . . . . . . . . . . . . . . . 21
3.3.2 Algorithmes par faisseau - Beam search . . . . . . . . . . . . . 23
3.3.3 Algorithmes méta-heuristiques . . . . . . . . . . . . . . . . . . 24
3.4 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24

4 Techniques de défense 25
4.1 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
4.2 Algorithmes de détection d’exemples adverses . . . . . . . . . . . . . 25
4.3 Algorithmes d’amélioration du modèle . . . . . . . . . . . . . . . . . 29
4.3.1 Entrainement adverse . . . . . . . . . . . . . . . . . . . . . . . 29
4.3.2 Redéfinition de l’espace d’entrée . . . . . . . . . . . . . . . . 30

5 Approches proposés et Résultats 34

5.1 Attaque adverse . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
5.1.1 formulation du problème . . . . . . . . . . . . . . . . . . . . . 34
5.1.2 l’algorithme proposé . . . . . . . . . . . . . . . . . . . . . . . 35
5.2 Défense avec Combinaison des modèles . . . . . . . . . . . . . . . . . 36
5.2.1 Principe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
5.2.2 Architecture Globale . . . . . . . . . . . . . . . . . . . . . . . 38
5.2.3 Modèles utilisés . . . . . . . . . . . . . . . . . . . . . . . . . . 39
5.2.4 Résultats obtenues . . . . . . . . . . . . . . . . . . . . . . . . 41
5.2.5 Limites et préoccupations . . . . . . . . . . . . . . . . . . . . 42

6 Conclusion 43

v
Bibliography 44

vi
Table des figures

2.1 Analyse des sentiments . . . . . . . . . . . . . . . . . . . . . . . . . . 6

2.2 Classification des attaques . . . . . . . . . . . . . . . . . . . . . . . . 12

3.1 Attaques Adverses . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13

3.2 attaque avec perturbation au niveau caractère . . . . . . . . . . . . . 17
3.3 attaque avec perturbation au niveau mot . . . . . . . . . . . . . . . . 18
3.4 granularité des attaques . . . . . . . . . . . . . . . . . . . . . . . . . 19

4.1 Les algorithmes d’attaques . . . . . . . . . . . . . . . . . . . . . . . . 26

4.2 La méthode SHAP [Hub+22]. . . . . . . . . . . . . . . . . . . . . . . 27
4.3 La méthode SHAP [Hub+22]. . . . . . . . . . . . . . . . . . . . . . . 28
4.4 Schéma représentatif d’un auto-encodeur . . . . . . . . . . . . . . . . 29
4.5 entraı̂nement adverse [YQ21] . . . . . . . . . . . . . . . . . . . . . . . 30
4.6 La méthode SEM [WJH19] . . . . . . . . . . . . . . . . . . . . . . . . 32
4.7 La méthode RSE [WW20] . . . . . . . . . . . . . . . . . . . . . . . . 32
4.8 La méthode RSE [WW20] . . . . . . . . . . . . . . . . . . . . . . . . 33

5.1 Schéma de l’architecture globale . . . . . . . . . . . . . . . . . . . . . 39

vii
List of Algorithms

1 attack avec ricuit simulé . . . . . . . . . . . . . . . . . . . . . . . . . 37

viii
Chapitre 1

INTRODUCTION

Au fil des années récentes, les réseaux de neurones profonds ont connu une crois-
sance exponentielle, démontrant leur efficacité dans la réalisation de diverses tâches
complexes, notamment la classification d’images, la détection et la reconnaissance
en temps réel d’objets, la reconnaissance vocale ainsi que le traitement automatique
de texte.
Le traitement automatique du langage naturel NLP permis de détecter, extraire
et classifier les informations contenues dans un texte. Cette technique est largement
utilisée dans de nombreux domaines, notamment pour l’analyse des opinions et des
émotions des consommateurs, la surveillance des médias sociaux, la prédiction des
fluctuations du marché boursier, et bien d’autres applications.
Cependant, les techniques de traitement automatique du langage naturel se sont
révélées vulnérables aux attaques adverses [1], qui peuvent compromettre la dispo-
nibilité et l’intégrité et la confidentialité des modèles d’apprentissage profond. Les
attaques adverses consistent en l’introduction intentionnelle de perturbations im-
perceptibles dans les données d’entrée, afin de tromper le modèle de classification.
Ces attaques sont une menace sérieuse pour la sécurité des réseaux de neurones pro-
fonds. Par conséquent, il est important de comprendre la manière dont les données
sont modifiées par ces attaques pour pouvoir développer des méthodes de défense
efficaces et construire des modèles robustes capables de résister à ces attaques.
Dans le cadre de ce travail, nous nous intéressons à l’étude des attaques adverses
sur les modèles de Deep Learning, plus particulièrement ceux dédiés à la classifi-

1
cation de [Link] explorons tout le processus de génération d’attaques afin de
comprendre comment ces attaques perturbent les données d’entré[Link] nous ex-
pliquant les méthodes de défense les plus connue dans le domaine NLP. A la fin
nous proposant une nouvelle méthode de génération des attaques adverses, ainsi
une nouvelle méthode de défense contre ces attaques avec les résultats obtenue.

2
Chapitre 2

ETAT DE L’ART

Ce chapitre a pour objectif d’introduire les concepts fondamentaux indispensables à

la compréhension de ce travail, nous allons voir la définition de l’intelligence artifi-
cielle de manière général, ces branches, les modèles qui existent et leur vulnérabilité.
En résumé, ce chapitre offre les connaissances essentielles requises pour comprendre
le reste de notre travail.

2.1 Définition

2.1.1 Intelligence artificielle

L’intelligence artificielle (IA) est un domaine qui englobe un ensemble de théories,

d’outils et de technologies visant à créer des machines capables de simuler des pro-
cessus intellectuels humains. Cette discipline transcende les frontières de la science
en intégrant diverses approches pour développer des systèmes intelligents.
Les systèmes d’IA reposent sur des algorithmes sophistiqués et des modèles
complexes qui leur permettent d’analyser de vastes quantités de données en vue
de prendre des décisions éclairées ou de prédire des résultats futurs. Ils s’appuient
sur des méthodes telles que l’apprentissage automatique, le traitement du langage
naturel, la vision par ordinateur et bien d’autres, pour reproduire des aspects de
l’intelligence humaine.
En somme, l’IA représente une fusion harmonieuse entre la science, la technologie
et la créativité, offrant un potentiel immense pour résoudre des problèmes complexes,

3
automatiser des tâches, et améliorer la prise de décision dans un large éventail de
domaines.

2.1.2 Les types de l’intelligence artificielle

L’intelligence artificielle peut être catégorisée en plusieurs types en fonction de

ses capacités, de ses applications et de son niveau d’autonomie. Voici quelques-uns
des types les plus courants :

1. Machines réactives : des systèmes qui réagissent sur des situations actuelles,
c’est-à-dire n’ont pas de fonctionnalités basées sur la mémoire ;

2. Mémoire limitée : ce sont des systèmes qui utilisent des expériences passées
mais pour une période limitée ;

3. Théorie de l’esprit : des systèmes qui sont capables de comprendre les émotions
humaines, afin de mieux réagir avec l’humain, ce type existe que dans la
théorie ;

4. Conscience de soi : des systèmes qui sont conscients et qui sont capables d’ap-
prendre, de penser, et raisonner comme des humains, ce type existe que dans
la théorie.

2.1.3 Machine Learning

L’apprentissage machine, au sein du vaste domaine de l’intelligence artificielle, se

focalise sur l’étude des algorithmes et des modèles statistiques permettant aux ordi-
nateurs d’acquérir des compétences en autonomie, de générer des prévisions éclairées
et de prendre des décisions en s’appuyant sur l’analyse de données. En d’autres
termes, il s’agit d’un ensemble de techniques qui autorisent les machines à extraire
des connaissances, à s’adapter à de nouvelles informations et à effectuer des tâches
complexes, le tout grâce à un processus d’apprentissage continu basé sur des données
passées et présentes. Cette discipline englobe divers types d’apprentissage, notam-
ment l’apprentissage supervisé, l’apprentissage non supervisé, et l’apprentissage par
renforcement, qui sont autant d’approches pour former des systèmes informatiques à
résoudre une multitude de problèmes, de la reconnaissance d’images à la prédiction
de tendances en passant par l’automatisation de décisions.

4
2.1.4 Traitement du Language Naturel

Le Traitement du Langage Naturel (NLP), ou le traitement du langage humain

par les ordinateurs, est une branche de l’intelligence artificielle qui vise à donner aux
machines la capacité de comprendre, d’interpréter et de manipuler notre langage
comme le ferait un être humain. L’objectif principal du NLP est de permettre aux
ordinateurs de lire, d’écouter, de comprendre et de répondre à nos paroles et à
nos écrits de manière intelligente. Cela inclut des tâches telles que la traduction
automatique, la recherche d’informations, la rédaction de résumés, la compréhension
des émotions dans le langage, le NLP ouvre la voie à des interactions plus naturelles
et significatives entre les êtres humains et les machines.
Le Traitement du Langage Naturel (NLP) repose sur des techniques variées qui
faciliteront aux ordinateurs de comprendre, de traiter et de générer du langage hu-
main. Voici quelques-unes des techniques clés utilisées en NLP :

1. Tokenisation : La tokenisation consiste à diviser un texte en unités plus petites

appelées ”tokens”, généralement des mots ou des phrases. Cette étape permet
de découper le texte en éléments plus gérables pour l’analyse.

2. Stop Words Removal : Les ”stop words” sont des mots courants (comme ”et”,
”le”, ”de”, etc.) qui sont souvent retirés du texte pour réduire le bruit et
l’utilisation de la mémoire.

3. Stemming et Lemmatization : Ces techniques visent à réduire les mots à leur

forme racine (stemming) ou à leur forme de base (lemmatization) pour simpli-
fier l’analyse. Par exemple, ”manger”, ”mangeant” et ”mangé” peuvent être
ramenés à la racine ”mang”.

4. Analyse grammaticale : L’analyse grammaticale consiste à déterminer la struc-

ture grammaticale d’une phrase, y compris la détection des parties du discours
(verbes, noms, adjectifs, etc.) et des relations entre les mots.

5. Reconnaissance d’entités nommées : Cette technique identifie et classe les en-

tités telles que les noms de personnes, d’entreprises, de lieux, de dates, etc.,
dans un texte.

5
2.1.5 La vision par ordinateur

Un autre aspect de l’IA, qui se concentre sur le développement de systèmes

informatiques capables d’interpréter et d’analyser des données visuelles provenant
du monde réel. L’objectif principal de la vision par ordinateur est de permettre
aux ordinateurs de ”voir” et de comprendre le contenu des images ou des vidéos de
manière similaire à la perception visuelle humaine.

2.1.6 Analyse des sentiments

Figure 2.1 – Analyse des sentiments

L’analyse de sentiment, également connue sous le nom de fouille d’opinions (opi-

nion mining), constitue une sous-discipline du traitement automatique du langage
naturel (TALN) visant à déterminer le ton émotionnel d’un ensemble de textes. Son
objectif est de décrypter l’attitude, les opinions ou les émotions de l’auteur envers
un sujet spécifique ou dans un contexte global.

6
 L’analyse des sentiments se rapproche de l’analyse des émotions, bien qu’elle se
limite généralement à une analyse moins approfondie, souvent en établissant trois
niveaux (favorable, neutre, défavorable) concernant un sujet donné. Elle trouve de
larges applications dans divers domaines, notamment l’analyse des médias sociaux,
la veille de la marque, le service client, le marketing et la gestion de la réputation.

2.1.7 Deep learning

Le Deep Learning, ou apprentissage profond, est une branche évoluée de l’appren-

tissage automatique qui repose sur la conception et la mise en œuvre de réseaux de
neurones artificiels. Cette discipline s’inspire de la complexité et de la fonctionnalité
du cerveau humain pour élaborer des modèles informatiques profonds et sophis-
tiqués. Son objectif fondamental est d’émuler la capacité humaine à apprendre à
partir de données et à prendre des décisions en s’appuyant sur ces connaissances
acquises.
Les réseaux de neurones profonds sont caractérisés par leur architecture à plu-
sieurs couches, qui permet d’extraire des niveaux de représentation de plus en plus
abstraits à partir des données d’entrée. En d’autres termes, ils apprennent à identi-
fier des motifs complexes dans les données, ce qui les rend particulièrement adaptés
à des tâches telles que la reconnaissance d’images, la compréhension du langage
naturel, la prédiction de séquences temporelles, et bien plus encore.

2.1.8 Modèles d’apprentissage profond

L’apprentissage profond a donné naissance à une variété de modèles et d’archi-

tectures, chacun conçu pour des missions spécifiques ou des domaines d’application
particuliers. Voici un aperçu de quelques-uns des modèles d’apprentissage profond
les plus célèbres et influents :

1. Réseaux de Neurones Convolutifs (CNN) : Imaginez-les comme des experts

en vision qui excellent dans la reconnaissance d’images, grâce à des couches
spéciales qui permettent de comprendre les détails visuels.

2. Réseaux de Neurones Récursifs (RNN) : Ces modèles sont les pros des données
séquentielles, utiles notamment pour comprendre le langage et interpréter

7
 des séquences temporelles. Ils ont une mémoire pour garder en tête les états
antérieurs.

3. Réseaux Neuronaux à Mémoire à Court Terme (LSTM) et Réseaux Neuronaux

à Mémoire à Long Terme (GRU) : Ils sont les cousins des RNN, spécialisés
dans le traitement du langage naturel grâce à une mémoire améliorée.

4. Réseaux Transformers : Ce sont des vedettes dans le monde du traitement du

langage naturel (NLP). Ils se distinguent par leur capacité à traiter l’informa-
tion dans un ordre non linéaire, ce qui a révolutionné le NLP.

5. Autoencodeurs Variational (VAE) : Imaginez-les comme des artistes de la

génération d’images, capables de créer des données imaginaires à partir de
données réelles, utiles pour la réduction de dimension et la synthèse de données.

6. BERT (Bidirectional Encoder Representations from Transformers) : C’est un

modèle de langage pré-entraı̂né basé sur les transformers, connu pour sa maı̂trise
de la compréhension du langage naturel et son utilisation dans le traitement
automatique du langage.

7. GPT (Generative Pre-trained Transformer) : GPT, dans ses différentes ver-

sions, est un maı̂tre dans la génération de texte et dans la compréhension du
langage naturel.

8. Xception, ResNet, Inception, etc. : Ils sont comme des experts en vision conçus
surtout pour la détection d’objets et la classification d’images.

Chacun de ces modèles excelle dans son domaine d’expertise et contribue à résoudre
des problèmes complexes dans différents domaines. De plus, la recherche en appren-
tissage profond continue de produire de nouvelles architectures et techniques pour
relever de nouveaux défis passionnants.

2.1.9 Domaines d’application de l’apprentissage profonds

L’apprentissage profond a un large éventail de domaines d’application en raison

de sa capacité à extraire des informations complexes à partir de données brutes. Voici
quelques-uns des domaines où l’apprentissage profond a un impact significatif :

8
Reconnaissance d’images

La reconnaissance d’images est une discipline de l’intelligence artificielle qui ex-

ploite des modèles d’apprentissage profond pour identifier des objets, des individus,
des scènes et d’autres éléments au sein d’images numériques.
La reconnaissance photographique ou vidéo peut être réalisée avec différents ni-
veaux de précision, en fonction de la nature de l’information ou du concept recherché.
En effet, un modèle ou un algorithme peut être configuré pour détecter des éléments
spécifiques, tout comme il peut simplement classer une image dans une catégorie
plus générale. Par conséquent, il existe différentes ”tâches” que la reconnaissance
d’images peut accomplir, notamment :

1. La classification: Il s’agit de l’identification de la “classe”, autrement dit

la catégorie, à laquelle une image appartient. Une image ne peut avoir qu’une
seule classe.

2. Le tagging : Également connue sous le nom de ”labellisation”, cette tâche

peut être considérée comme une forme de classification, mais avec un degré de
précision plus élevé. Elle vise à identifier la présence de plusieurs concepts ou
objets au sein d’une image, ce qui permet d’attribuer un ou plusieurs tags à
une image spécifique.

3. La détection: Cette tache est essentielle lorsque on souhaite repérer un objet

au sein d’une image.

4. La segmentaion: Elle constitue également une tâche de détection. La seg-

mentation permet de localiser un élément au niveau pixel près sur une image,
car dans certaines situations, la précision ne peut être compromise, comme
dans le domaine médical ( détection d’un tumeur).

Traitement de texte

Le traitement automatique du langage naturel est une autre application du Deep

Learning (apprentissage profond) qui emploie des techniques d’analyse de données
pour extraire des informations pertinentes à partir de textes numériques. Il existe
plusieurs tâches courantes dans le traitement du texte, telles que :

1. Annotation de texte:Elle consiste à attribuer des étiquettes ou des labels

9
 prédéfinis à des portions spécifiques du texte en fonction de leur signification
ou de leur fonction grammaticale. Cette tâche est fréquemment utilisée pour
améliorer les performances des divers modèles d’intelligence artificielle dans
des missions telles que la reconnaissance d’entités nommées, la segmentation
de phrases, la génération de phrases...

2. Questions/Réponses:consiste à créer des questions à partir d’un passage de

texte donné et à fournir des réponses à ces questions. C’est un sous-domaine
de l’intelligence artificielle qui nécessite la compréhension du contenu textuel
pour produire des phrases intelligibles pour les êtres humains. Il existe deux
principaux types de systèmes de génération de question-réponse : les systèmes
à base de règles et les systèmes à base de données. Les systèmes à base de règles
utilisent des règles grammaticales et sémantiques pour générer des questions et
des réponses, tandis que les systèmes à base de données utilisent des modèles
d’apprentissage automatique pour créer des questions et des réponses à partir
d’ensembles de données annotées.

3. Classification des nouvelles:consiste à classifier automatiquement des

articles de presse ou des informations dans différentes classes ou catégories.
Cette technique peut être utilisée pour organiser les actualités en fonction de
différents sujets, pour filtrer les informations non pertinentes ou pour détecter
les fake news.

4. Analyse de sentiment: Il est désormais tout à fait envisageable de déployer

des modèles d’apprentissage profond sur le texte des commentaires d’une ap-
plication afin d’extraire des informations de niveau supérieur. Cette approche
peut s’avérer très utile pour évaluer la polarité sentimentale dans les sections
de commentaires, ou encore pour extraire des sujets significatifs en utilisant
ces modèles.

2.1.10 Faiblesses des modèles d’apprentissage profond

1. La sensibilité des modèles aux perturbations : Des chercheurs ont réussi

à induire une reconnaissance erronée d’une image en ajoutant de légères per-
turbations, trompant ainsi un modèle de reconnaissance d’images. De la même
manière, des perturbations peuvent être utilisées pour biaiser les modèles de

10
 traitement du langage naturel.

2. la confidentialité des données:Supposons qu’une entreprise développe

un modèle d’apprentissage profond pour détecter les fraudes dans les tran-
sactions financières. Si le modèle est entraı̂né sur un ensemble de données
contenant des informations sensibles telles que les numéros de cartes de crédit
et les montants de transaction, la compromission de ces données peut entraı̂ner
des risques considérables pour la sécurité et la confidentialité des utilisateurs.

3. La qualité des données d’entra^

ınement: si un modèle est formé sur des
données biaisées, il peut avoir du mal à généraliser correctement et peut être
plus facilement induit en erreur. Par exemple, un modèle de reconnaissance
d’images formé sur des images de personnes de race blanche peut avoir des
difficultés à reconnaı̂tre correctement les personnes de couleur dans des images
en temps réel.

2.1.11 Les attaques contre l’apprentissage profond

En exploitant les faiblesses des modèles de DL que nous avons précédemment

évoquées, plusieurs types d’attaques ont été développées, visant à compromettre la
sécurité et la fiabilité de ces modèles. Ces attaques peuvent être classées en trois
grandes catégories :les attaques de confidentialité, d’intégrité et de disponibilité[6] :
Attaques de confidentialité: En ce qui concerne les modèles de machine
learning, la confidentialité peut être compromise soit au niveau des données utilisées
pour entraı̂ner le modèle, soit au niveau du modèle lui-même. Ainsi, des menaces
telles que l’inversion de modèle, l’extraction de données, les attaques par inférence
d’appartenance ou le vol de modèle peuvent mettre en péril la confidentialité du
modèle.
Attaque de disponibilité:En ce qui concerne les attaques de disponibilité
sur les modèles de deep learning, l’objectif principal est généralement de perturber
le système sur lequel le modèle est déployé. Par exemple, des exigences de latence
strictes peuvent rendre la disponibilité vulnérable aux attaques de déni de service.
Ces attaques ont le potentiel de ralentir le système ou de provoquer une interruption
de service, ce qui compromet la capacité du système à répondre aux demandes des
utilisateurs autorisés.

11
 Attaques d’intégrité: Les attaques d’intégrité visent à altérer délibérément
les prédictions d’un modèle de manière à tromper les utilisateurs dans leurs prises
de décision. Les attaquants cherchent à manipuler les données d’entraı̂nement ou
à injecter des données malveillantes afin de biaiser les résultats du modèle. Ces
attaques peuvent prendre différentes formes, telles que les attaques de porte dérobée
(backdoor) ou les attaques adverses.

Figure 2.2 – Classification des attaques

12
Chapitre 3

Attaques adverses

Les modèles d’apprentissage automatique sont susceptibles d’être victimes d’at-

taques adverses : des entrées malveillantes conçues pour tromper le modèle en lui
faisant faire une prédiction erronée, souvent avec une grande confiance. Alors que
des stratégies de défense ont été largement explorées dans le domaine de la vision
par ordinateur, la recherche en traitement du langage naturel manque encore de
techniques pour rendre les modèles résilients aux entrées textuelles adverses.

Figure 3.1 – Attaques Adverses

Une attaque textuelle adversaire T ∗ est obtenue en modifiant un échantillon des

données entrée disponibles T , tel que le texte modifié est similaire - syntaxique-
ment, sémantiquement, ou les deux - au texte original. Cependant, leur sortie de
classification correspondante diffère substantiellement. .

f (T ∗ ) ̸= y and |T − T ∗ | <= ϵ (3.1)

13
3.1 Classification des attaques adverses
Alsmadi et al. [12] ont souligné que nous pouvons différencier les différentes
attaques adverses en nous basant sur plusieurs critères : le niveau de connaissance
du modèle, le type de données d’entrée, l’objectif de l’attaque, la phase pendant
laquelle l’attaque a été effectuée et la granularité du contenu d’entrée.

3.1.1 Type de connaissance

Boı̂te blanche : Dans le contexte des attaques de ce type, l’attaquant a une

compréhension détaillée de l’architecture du modèle, y compris les algorithmes de
traitement de données et les méthodes de classification utilisées. De plus, l’attaquant
est informé des paramètres utilisés pour entraı̂ner le modèle, ainsi que des techniques
et des données ayant servi à son apprentissage. Les conséquences de telles attaques
peuvent conduire à des erreurs de prédiction substantielles et elles sont perçues
comme les plus préoccupantes en termes de sécurité.
Boı̂te grise : À la différence des attaques en boı̂te blanche, dans les attaques
en boı̂te grise, l’attaquant dispose seulement d’informations partielles sur le modèle
ciblé. L’attaquant connaı̂t l’architecture du modèle, mais n’a pas de connaissance
détaillée concernant son fonctionnement interne spécifique.
Boı̂te noire : Dans ce type d’attaques, l’adversaire n’a ni connaissance de la struc-
ture, ni des paramètres du modèle ciblé. Cependant, l’attaquant peut y accéder en
demandant des prédictions pour des entrées spécifiques. Les attaques en boı̂te noire
sont plus complexes à réaliser que les attaques en boı̂te blanche, car l’adversaire n’a
pas accès à toutes les informations nécessaires pour déterminer comment influencer
le modèle.

3.1.2 Type de Données

Différents types de données peuvent être ciblés par des attaques malveillantes,
notamment les images, les textes et les données audio. Les images présentent une
vulnérabilité particulière aux attaques adverses, qui consistent à introduire du bruit
ou à altérer les valeurs des pixels. Ces altérations sont souvent à peine perceptibles
pour l’œil humain, mais elles sont suffisantes pour perturber le modèle de manière à

14
le tromper. Les données audio sont sujettes à des modifications avec l’ajout de bruit,
ce qui peut perturber les résultats des systèmes d’analyse audio. Pour les données
textuelles, y compris les documents de test ou les transcriptions de dialogues, elles
peuvent être manipulées en modifiant des mots ou des phrases clés, ce qui altère le
sens du texte original.

3.1.3 Objectif de l’attaque

Les attaques peuvent être ciblées ou non ciblées (Tao et al., 2018) : Les attaques
non ciblés : attaque qui exerce une influence sur les prédictions générées par le
modèle, de manière à les rendre incorrectes ou orientées vers un résultat spécifique,
qui se contente de modifier la prédiction du modèle.
Attaque ciblée : ajoute une condition supplémentaire sur la sortie, cherchant à
obtenir une prédiction déterminée.
Bien que ce type d’attaque soit plus complexe à mettre en œuvre, il peut entraı̂ner
des conséquences plus graves pour les systèmes qui dépendent d’une précision absolue
dans leurs prédictions.

3.1.4 Phases d’attaque

Phase d’Entraı̂nement :

(a) Accès aux données : La connaissance, qu’elle soit partielle ou complète, des
données d’apprentissage offrent à un attaquant la possibilité de construire un modèle
similaire au modèle ciblé. Ensuite, l’attaquant peut expérimenter diverses formes
d’attaques sur ce modèle simulé afin de déterminer les méthodes les plus efficaces
avant de les mettre en œuvre sur le modèle original lors de la phase de test.
(b) Empoisonnement : Au cours de la phase d’entraı̂nement du modèle, les at-
taques d’ empoisonnement ont pour but de perturber les données utilisées pour for-
mer le modèle. Cela se traduit par des modifications ou des substitutions de données
incorrectes. Une telle manipulation peut engendrer des changements de comporte-
ment dans le modèle, entraı̂nant des prédictions erronées ou imprécises. Ce type
d’attaque peut s’avérer complexe à détecter, car les données incorrectes sont direc-
tement intégrées parmi les données d’apprentissage.

15
Phase de Test :

(a) Évasion : Lorsque le modèle est déjà créé et fixé, et que l’attaquant n’a pas la
capacité de modifier directement le modèle ou ses paramètres, la technique d’évasion
est employée. Elle implique la recherche de la plus petite perturbation à apporter à
un exemple de test, capable de provoquer un changement significatif entraı̂nant une
mauvaise classification par le modèle. L’objectif de cette approche est de duper le
modèle en lui faisant croire que les données diffèrent de leur réalité, pouvant ainsi
engendrer des erreurs de prédiction graves.
(b) Extraction : L’attaque par extraction consiste à soumettre un modèle cible
à un ensemble de requêtes afin d’obtenir des informations sur son fonctionnement.
Cette technique vise à estimer un modèle aussi proche que possible du modèle cible
ou à extraire des informations sur sa méthode d’entraı̂nement.
(c) Inversion : Dans ce type d’attaque, l’objectif de l’attaquant est d’obtenir
des informations sensibles non pas sur le modèle lui-même, mais sur les données
d’entraı̂nement. Plutôt que de se concentrer sur l’analyse du modèle en tant que
tel, l’attaque par inversion repose sur les prédictions du modèle pour récupérer
des informations concernant les données d’entraı̂nement. Pour mener à bien cette
attaque, l’attaquant doit généralement disposer d’un accès privilégié, comme une
connaissance approfondie du modèle cible.

3.1.5 Granularité

La granularité de l’attaque se réfère au niveau des données à partir duquel les

exemples adverses sont générés. En règle générale, il s’agit des pixels pour les images
et des caractères, des mots et des phrases pour les données textuelles.
En NLP, il s’agit des niveau de données suivants :

1. Attaque avec perturbations au niveau de caractère : Ces attaques introduisent

des modifications au niveau des caractères, avec des opérations qui comprennent
l’insertion, la suppression et la substitution de caractères dans une séquence
d’entrée donnée. Le but de ce type d’attaque est de maintenir une similarité

16
 visuelle. Un exemple adversaire est une séquence de texte qui semble très si-
milaire à l’entrée d’origine, mais reçoit une prédiction différente du modèle.
Certaines de ces attaques adverses tentent de modifier le moins de caractères
possible pour changer la prédiction du modèle. D’autres cherchent à introduire
des ”fautes de frappe” réalistes, similaires à celles que les humains pourraient
commettre. Le moyen le plus courant utilisé dans les attaques de position
de caractères consiste à ajouter un bruit naturel et synthétique aux entrées
[19].Pour le bruit naturel, Pruthi et al dans [20] ont collecté des erreurs de
prononciation naturelles pour remplacer les mots dans les entrées pour leurs
travaux sur les perturbations inspirées par des études psycholinguistiques [21]
et [22].Ces derniers ont montré que les humains peuvent comprendre un texte
modifié par un mélange de caractères internes, à condition que les premiers et
derniers caractères de chaque mot restent inchangés.

Figure 3.2 – attaque avec perturbation au niveau caractère

2. Attaque avec perturbations au niveau de mots : Une attaque de modifica-

tion de mot utilise les mêmes opérations qu’une attaque de modification de
caractère. Cependant, dans ce cas, c’est le mot entier qui est modifié. Dans
cette méthode d’attaque, la similarité sémantique est utilisée et un exemple
adversaire est valide s’il est sémantiquement indiscernable de l’entrée originale.
Autrement dit, si l’adversaire est une paraphrase de l’entrée initiale, mais que
l’entrée et l’adversaire reçoivent des prédictions différentes, alors l’entrée est un
exemple adversaire valide. Certains modèles NLP sont entraı̂nés pour mesurer
la similarité sémantique. Les attaques adversaires basées sur la notion d’indis-
cernabilité sémantique utilisent généralement un autre modèle NLP pour ga-
rantir que les perturbations sont grammaticalement valides et sémantiquement

17
 similaires à l’entrée originale. (photo)

3. Attaque avec perturbations au niveau de phrase : Ces attaques consistent à

manipuler des groupes de mots plutôt que des mots individuels. En outre, ces
attaques offrent une plus grande flexibilité, car le bruit peut être introduit
n’importe ou dans l’entrée, à condition que la phrase reste grammaticalement
correcte.

Figure 3.3 – attaque avec perturbation au niveau mot

4. Attaque multi-niveau : Les attaques multi-niveaux désignent les attaques ad-

verses qui ciblant les caractères et les phrases, les mots et les phrases, les
caractères et les mots ou les trois niveaux simultanément. Ce type d’attaque
est largement inexploré et fait l’objet de recherches futures. Les études réalisées
dans ce domaine se sont concentrées sur des approches préliminaires visant à
intégrer des attaques à différents niveaux du texte. L’une des raisons pour
lesquelles l’exploration des attaques à plusieurs niveaux est limitée est qu’elles
différent considérablement des attaques adverses basées sur des images. Les
attaques adverses basées sur le texte étant plus récentes que leurs homologues
basées sur l’image, de nombreuses méthodes d’attaque basées sur le texte s’ins-
pirent des premières techniques basées sur l’image. étant donné que les attaques
multi-niveaux impliquent au moins deux des trois attaques textuelles, elles ont
tendance à être plus complexes et plus exigeantes en termes de calcul. Comme
les catégories précédentes, les attaques multi-niveaux peuvent être utilisées à

18
 la fois dans le cadre d’attaques boˆıte blanche et boite noire. (photo)

Figure 3.4 – granularité des attaques

3.2 Composition d’une attaque NLP

Une attaque NLP comporte généralement quatre éléments clés :

3.2.1 Fonction objectif

La fonction objectif, appelée aussi ”fonction de coût”, est un concept essentiel

dans le domaine de l’apprentissage automatique. Elle définit mathématiquement
l’objectif que l’on souhaite atteindre lors de la résolution d’un problème.
En termes simples, la fonction objectif mesure comment une solution ou un
modèle se comporte par rapport à l’objectif souhaité. Elle attribue un score ou un
coût en fonction de la proximité de la solution par rapport à cet objectif. L’objectif
peut être de minimiser ou de maximiser cette fonction, selon la nature du problème.

3.2.2 Contraintes

Pour être considéré comme un exemple adversaire valide, les modifications ap-
portées au texte d’entrée pour l’obtenir doivent satisfaire toutes les contraintes
définies. Ces contraintes peuvent être :

1. Contraintes de pré-transformation : Ces contraintes sont utilisées pour limiter

les modifications sur la donnée X et sont appliquées avant que X ne soit per-

19
 turbé,notamment les modification des mots vides(les mots vides ne peuvent
pas être perturbés), la répétition des modifications (les mots qui ont déjà été
perturbés ne peuvent plus l’être à nouveau).

2. Contraintes grammaticales : Ces contraintes sont généralement destinées à

prévenir l’attaque de créer des perturbations qui introduisent des erreurs gram-
maticales. Parmi les contraintes utilisées, on trouve le nombre maximal d’er-
reurs grammaticales produites, et la cohérence de la catégorie grammaticale du
mot (Part-of-speech) ou le mot de remplacement doit avoir la même catégorie
grammaticale que celle du mot original.

3. Contraintes sémantiques : Ces contraintes consistent à maintenir la sémantique

de la donnée d’entrée X après avoir appliqué les perturbations. Parmi ces
contraintes on trouve la distance maximale d’incorporation des mots échangés
dans l’espace embading. et les représentations des phrases obtenues doivent
avoir un score minimum de similarité obtenu par des codeurs de phrases bien
entraı̂nes tells.

3.2.3 Transformation

Une transformation prend une entrée X et produit un ensemble d’exemples adver-

saires potentiels X’. Elle est généralement guidée par certaines règles ou stratégies,
mais ne tient pas compte directement de la fonction objective ou des contraintes.
Autrement dit, elle génère toutes les transformations possibles selon ces règles ou
stratégies, indépendamment de leur efficacité ou de leur validité en tant qu’attaques.

3.2.4 Méthode de recherche

La méthode de recherche permet de sélectionner, à partir du texte d’entrée, les

mots ou les phrases à transformer pour atteindre l’objectif de l’attaque. L’effica-
cité et la qualité des résultats de l’attaque dépendent fortement de la méthode de
recherche choisie. Il est donc indispensable de choisir une méthode adéquate pour
atteindre l’objectif de l’attaque. Dans la section suivante, Dans la section suivante,
nous approfondirons les concepts associés à cet élément essentiel de la construction
d’attaques adverses.

20
3.3 Algorithmes d’attaques
Dans ces derniers temps, des faiblesses et des vulnérabilités des modèles et
réseaux d’apprentissage profond actuels ont été mises en lumière par des études de
recherche récentes, grâce à des attaques adverses. Ces attaques consistent à ajouter
de petites modifications imperceptibles mais précisément positionnées aux données
d’entrée, dans le but de tromper ces modèles cibles en les faisant mal classer.
Des études de recherche récentes se sont consacrées à explorer de manière appro-
fondie et à faire progresser davantage ce processus. Divers types d’algorithmes de
recherche sont proposés, comprenant, mais sans s’y limiter, des attaques basées sur
les algorithmes gloutons, des attaques basées sur des métaheuristiques, des attaques
basées sur la recherche par faisceau (beam search), ou des hybrides combinant des
éléments des trois méthodes mentionnées précédemment.

3.3.1 Algorithmes gloutons

[Kul+18] a proposé une attaque adverse impliquant une perturbation itérative

de chaque mot dans le texte d’entrée de manière avide. Cette attaque consiste en
une méthode gourmande qui sélectionne les N voisins les plus proches dans l’espace
vectoriel Glove (Le plongement lexical), suivie du choix du meilleur score parmi eux.
De nouvelles stratégies ont amélioré l’attaque mentionnée en intégrant un clas-
sement des mots par importance avant d’appliquer les perturbations, ce qui guide
l’algorithme gourmand lors du processus de création de l’échantillon adverse. Plus
précisément, les mots avec des scores d’importance plus élevés ont plus de chances
de contribuer de manière significative à la création du texte adverse. La plupart
des méthodes de classement proposées sont inspirées des méthodes d’explication de
pertinence citées dans [Zin+17], en considérant le score du mot comme indiquant
dans quelle mesure il influence le score de prédiction de sortie lorsque l’entrée est
légèrement modifiée, ou à quel point il est sensible aux perturbations mineures.
L’une de ces études est l’algorithme de [Li+18], où il propose l’utilisation de bogues
au niveau des mots et au niveau des caractères pour générer des attaques dans un
ordre spécifique d’importance, grâce à la fonction de classement ’delete’ (équation
??), également appelée méthode de classement leave-one-out, dans les paramètres

21
black-box et white-box.

delete score(i) = f (w1 . . . wi−1 , wi+1 . . . wn ) − f (w1 . . . wn ) (3.2)

D’un autre côté, [Jin+19] classe les mots en fonction de leur importance en
mesurant le changement du score de sortie lorsque les mots sont individuellement
remplacés par le terme hors vocabulaire ’unk’ (équation ??).

unk Score(i) = f (w1 . . . wi . . . wn ) − f (w1 . . . [unk] . . . wn ) (3.3)

Ensuite, des perturbations sont introduites en considérant des mots alternatifs

partageant la même partie du discours et présentant une similarité minimale. Dans
une approche différente, [Jin+20] utilise la fonction de classement ’delete’ ainsi que
des perturbations, et l’Universal Sentence Encoder comme mesure de similarité entre
les textes candidats et le texte original.
En revanche, [Ren+19] intègre le changement maximal des scores de sortie des
substitutions candidates avec les scores ’unk’ pour classer les mots par importance
(équation ??), appelée PWWS, et utilise la base de données WordNet pour obte-
nir des mots candidats. Cette méthode garantit la génération d’échantillons adver-
saires avec un taux de réussite élevé et un faible nombre de perturbations, mais
elle nécessite un nombre relativement élevé de requêtes, car tous les mots de sub-
stitution sont inspectés dans le processus de classement. Ces méthodes de recherche
continuent de perturber le texte jusqu’à ce qu’un texte adversaire soit généré.

PWWS(i) =unk score(i).△P ∗

(3.4)
 △P ∗ = maxj∈[1,k] (f (w1 . . . wi . . . wn ) − f (w1 . . . wj . . . wn ))


Suite aux recherches précédemment mentionnées, plusieurs études de recherche

supplémentaires ont proposée des attaques par perturbation au niveau des caractères,
avec de nouvelles méthodes de classement combinant les scores de ’delete’, de ’head’
et de ’tail’ pour trier les mots par importance ([Gao+18], [Fu+21]), suivant l’équation
suivante :

22
 
tail score = f (wi+1 . . . wn ) − f (wi . . . wn )

(3.5)
head score = f (w1 . . . wi−1 ) − f (w1 . . . wi )


D’autres études de recherche exploitent les capacités du modèle de langage

masqué de BERT pour le classement des mots et les substitutions, améliorant ainsi
la fluidité, la grammaire et la cohérence sémantique ([GR20], [Li+20b], [Li+20a],
[HA20], [MBM21] et [SH19]). Ces méthodes de langage masqué prédisent les mots
masqués ou cachés dans un contexte donné, et les mots ainsi prédits sont utilisés
comme mots candidats pour la perturbation.
[HA20] utilise le modèle de langage masqué de BERT pour une nouvelle méthode
d’estimation de la pertinence. Dans le même ordre d’idées, [Li+20a] classe les mots
en fonction de leurs actions optimales parmi trois opérations de transformation :
insertion, suppression et fusion, puis effectue les perturbations dans cet ordre avec
le modèle de langage de BERT. [MBM21] s’inspire de la méthode OLM de [HA20].
Pendant ce temps, l’approche introduite par [Xu+22] repose sur l’utilisation de
techniques de réécriture sur un ensemble de m mots consécutifs choisis au hasard,
impliquant des opérations telles que le remplacement, la réduction et l’expansion.
Pour améliorer davantage la qualité du texte généré, la méthode intègre une fonc-
tion de retour en arrière dans le but de minimiser le nombre de perturbations et
d’améliorer la similarité textuelle en éliminant les perturbations non contributives
de la sortie.
À cet égard, à la fois [YQ21] et [ABT17] ont apporté une contribution significative
en se concentrant sur le cadre de la boı̂te blanche, où l’attaquant dispose d’un accès
aux paramètres internes du modèle, permettant ainsi l’utilisation d’attaques basées
sur les gradients et les Jacobiens.

3.3.2 Algorithmes par faisseau - Beam search

D’autres études ont dépassé la stratégie d’attaque basée sur l’algorithme glouton,
optant pour une approche plus étendue en mettant en œuvre la recherche par faisceau
([Ebr+17] et [Liu+22]). Cette technique vise à élargir l’exploration de l’espace de

23
recherche lors de la génération d’attaques, plutôt que de se limiter à une seule
instance actuelle. En revanche, la stratégie d’attaque proposée par [Ye+22] implique
la génération d’un échantillon adverse aléatoire, suivie d’un processus d’optimisation
utilisant une matrice de perturbation conçue pour guider l’attaque vers la frontière
de décision, réduisant ainsi le nombre total de perturbations.

3.3.3 Algorithmes méta-heuristiques

D’autres chercheurs ont adopté des algorithmes de recherche méta-heuristiques

qui opèrent sur des populations, tels que l’algorithme génétique ([Alz+18], [MMP21]
et [Jia+19]), ainsi que l’optimisation par essaim de particules (Particle Swarm Op-
timisation) ([Zan+19]), afin de générer des attaques adverses. Ces méthodologies
explorent l’espace de recherche et créent des attaques puissantes contre les modèles
cibles.

3.4 Conclusion
Ce chapitre a fourni un aperçu sur les techniques couramment utilisées dans
le domaine des attaques adverses en traitement automatique du langage naturel
(NLP). Nous avons exploré un éventail de stratégies sophistiquées visant à exploiter
les vulnérabilités des modèles NLP et à perturber leur fonctionnement.
L’étude de ces méthodes d’attaque met en évidence la nécessité croissante de
développer des défenses efficaces pour protéger les systèmes NLP contre ces menaces
potentielles. Les modèles NLP jouent un rôle de plus en plus central dans divers
domaines, de la traduction automatique à la détection de fraude en passant par la
création de chatbots conviviaux. Par conséquent, il est impératif de comprendre ces
techniques d’attaque pour renforcer la sécurité et la fiabilité de ces systèmes.

24
Chapitre 4

Techniques de défense

4.1 Introduction
Les attaques adverses impliquent une manipulation intentionnelle des données
d’entrée d’un modèle d’apprentissage profond (DNN) dans le but de causer des
erreurs dans les prédictions. Cette menace tangible compromet la fiabilité et la
précision des modèles. Par conséquent, la sécurité des modèles de Deep Learning
est devenue un domaine de recherche essentiel, avec la défense contre les attaques
adverses au cœur des préoccupations. L’objectif de cette défense est de créer des
modèles DNN robustes capables de résister efficacement à diverses techniques ad-
verses, connues et inconnues. Les stratégies de défense courantes se divisent en deux
catégories : techniques de détection d’exemples adverses et techniques d’amélioration
du modèle.

4.2 Algorithmes de détection d’exemples adverses

Différentes techniques peuvent être employées. Parmi celles-ci, l’utilisation de
modèles de détection d’anomalies permet d’identifier les données d’entrée qui se dis-
tinguent nettement des données d’entraı̂nement normales. De nombreuses recherches
ont été menées dans ce domaine, adaptées en fonction du type de données traitées.
Par exemple, il existe des travaux spécifiquement axés sur la détection d’exemples
adverses pour les modèles de classification d’images, les modèles de reconnaissance
de parole et les modèles de traitement de texte.

25
 Figure 4.1 – Les algorithmes d’attaques

Ces méthodes consiste à surveiller la sortie du modèle pour détecter des compor-
tements anormaux ou des signes d’attaques adverses. Si une anomalie est détectée,
des mesures correctives peuvent être prises.
La détection d’anomalies se base souvent sur la notion que les exemples normaux
ont des caractéristiques et des distributions spécifiques dans l’espace des données,
tandis que les exemples anormaux, y compris les attaques adverses, ont tendance
à se comporter différemment. Les méthodes de détection d’anomalies cherchent à
identifier ces différences pour détecter les comportements malveillants.
L’article [Hub+22] propose une méthode novatrice pour détecter les exemples
adverses en utilisant l’explicabilité avec SHAP (SHapley Additive exPlanations)
dans le domaine de l’apprentissage automatique. Cette méthode vise à rendre les
décisions des modèles plus compréhensibles et interprétables, ce qui est essentiel
pour assurer la fiabilité des systèmes d’apprentissage automatique.
Dans le contexte de la classification, notamment dans le domaine de l’analyse des
sentiments, l’explicabilité SHAP permet d’identifier les caractéristiques les plus in-
fluentes dans les prédictions du modèle. Cela signifie qu’elle peut révéler quels mots,
phrases ou autres éléments ont contribué de manière significative à une classification

26
 Figure 4.2 – La méthode SHAP [Hub+22].

particulière. Par exemple, elle peut mettre en évidence les mots positifs ou négatifs
qui ont le plus influencé la classification d’une critique de film.
L’une des contributions importantes de l’article est la détection des exemples ad-
verses à l’aide des signatures SHAP. Lorsque des exemples adverses sont générés pour
tromper un modèle, les caractéristiques de ces exemples peuvent différer de celles
des exemples réguliers. Les signatures SHAP pour les exemples adverses peuvent
présenter des modèles de contribution inhabituels ou incohérents par rapport aux
exemples normaux.
[Mos+22] propose une méthode similaire, qui repose sur la réaction du modèle
aux entrées originales, qui diffèrent de celles des échantillons adverses, même si les
entrées sont similaires. Elle s’appuie sur le déploiement d’un détecteur de réaction
quant les mots en entrée sont remplacée par le mot inconnue ’unknown’, et ce modèle
apprend la différence et ainsi identifier les entrées artificiellement générées.

Caractéristiques des méthodes de détection d’anomalies :

1. Apprentissage supervisé : Dans cette approche, un modèle est d’abord entraı̂né

sur des données normales. Ensuite, lors de la phase de test, les sorties du
modèle sont comparées aux valeurs attendues pour détecter toute divergence

27
 Figure 4.3 – La méthode SHAP [Hub+22].

significative. Si la sortie diffère de manière importante de ce qui est attendu,

cela peut indiquer une anomalie ;

2. Apprentissage non supervisé : Cette méthode ne nécessite pas de données

d’anomalies étiquetées. Elle vise à modéliser la distribution des données nor-
males et à identifier les points qui s’écartent considérablement de cette distri-
bution ;

3. Méthodes statistiques : Certaines techniques se basent sur des mesures statis-

tiques pour déterminer si une entrée est anormale. Cela peut inclure l’utilisa-
tion de seuils, de tests d’hypothèses ou d’autres techniques statistiques ;

4. Auto-encodeurs : Les auto-encodeurs sont des réseaux de neurones spécifiques

conçus pour apprendre à reconstruire les entrées. Si une entrée ne peut pas
être correctement reconstruite, cela peut indiquer une anomalie ;

5. Réseaux de neurones spécifiques : Des réseaux de neurones peuvent être formés

spécifiquement pour détecter les anomalies en utilisant des données d’entraı̂nement
normales.

voir : https ://[Link]/ganomaly-paper-review-semi-supervised-

anomaly-detection-via-adversarial-training-a6f7a64a265f

28
 Figure 4.4 – Schéma représentatif d’un auto-encodeur

4.3 Algorithmes d’amélioration du modèle

Pour améliorer la robustesse des modèles, plusieurs approches sont envisageables
. Il est possible de mettre à jour les paramètres du modèle ou de modifier son
architecture,comme l’entraı̂nement adverse, réduisant ainsi l’impact des perturba-
tions adverses sur le modèle. Enfin, les méthodes de certification visent à définir
une frontière au-delà de laquelle un modèle ne peut pas être attaqué, même avec
des exemples adverses conçus pour représenter les scénarios les plus critiques. Ces
méthodes garantissent la robustesse des modèles face aux exemples adverses, même
dans des situations où les attaques sont difficiles à détecter ou à anticiper.

4.3.1 Entrainement adverse

L’idée derrière l’entraı̂nement adverse est de créer un ensemble d’exemples d’en-

traı̂nement supplémentaires en introduisant des perturbations adversaires dans les
données d’entraı̂nement. Ces exemples sont générés en ajoutant des perturbations in-
tentionnelles aux données d’entraı̂nement, de sorte que le modèle apprenne à résister
aux perturbations similaires lorsqu’il est exposé à des attaques réelles.
L’entraı̂nement adverse peut se dérouler de différentes manières :

1. Entraı̂nement adverse en ligne : Lors de chaque itération d’apprentissage, des

perturbations adversaires sont ajoutées aux données d’entraı̂nement pour ren-
forcer la résistance du modèle ;

2. Entraı̂nement adverse en rétroaction : Les perturbations adversaires générées

29
 lors de la phase de test sont également utilisées pendant la phase d’entraı̂nement
pour aider le modèle à s’adapter aux attaques potentielles ;

3. Entraı̂nement adverse avec régularisation : Une pénalité est ajoutée à la fonc-

tion de perte pendant l’entraı̂nement pour encourager le modèle à être plus
résistant aux perturbations adverses.

L’article [YQ21] propose un processus d’entraı̂nement adverse simple et amélioré

pour les modèles de traitement du langage naturel (NLP), que nous appelons At-
tacking to Training (A2T) (figure 4.5). La partie centrale de A2T est une nouvelle
attaque de substitution de mots, plus économique, optimisée pour l’entraı̂nement ad-
verse . Il propose une attaque adversaire basée sur une approche gourmande (greedy)
en boı̂te blanche, classant les mots par importance à l’aide de la fonction de gradient,
puis perturbant le texte à l’aide de substitution de mots ou de modèles de langage
masqués pour créer des exemples adverses. Ces exemples adverses sont ensuite uti-
lisés dans le cadre de l’entraı̂nement adverse.

Figure 4.5 – entraı̂nement adverse [YQ21]

L’entraı̂nement adverse ne garantit pas une protection complète contre toutes les
attaques adversaires, mais il peut aider à améliorer la robustesse du modèle envers
certaines perturbations potentielles.

4.3.2 Redéfinition de l’espace d’entrée

La redéfinition de l’espace d’entrée, également connue sous le nom de ”prepro-

cessing adversarial”, est une technique de défense visant à rendre les attaques ad-
verses plus difficiles en modifiant les données d’entrée d’une manière qui perturbe

30
les perturbations adverses potentielles tout en préservant la sémantique de l’entrée.
L’objectif est de prétraiter les données d’entrée de telle sorte que le modèle soit
moins vulnérable aux perturbations adverses tout en maintenant sa performance
sur les exemples normaux.
Fonctionnement :
L’idée centrale de cette technique est de transformer les données d’entrée de
manière à ajouter une couche de protection contre les attaques adverses. Cela peut
se faire en ajoutant du bruit aux données, en appliquant des filtres ou en effectuant
d’autres transformations qui perturbent les perturbations adverses potentielles.
Exemples d’approches :

1. Ajout de bruit aléatoire : On peut ajouter du bruit gaussien ou d’autres types

de bruit aléatoire aux données d’entrée. Cela peut rendre plus difficile pour
les attaquants de concevoir des perturbations adverses efficaces, car les petites
perturbations pourraient être masquées par le bruit ;

2. Filtres de prétraitement : Appliquer des filtres de prétraitement tels que le

flou gaussien, le filtrage médian ou d’autres types de filtrage pour atténuer
les détails fins dans les données d’entrée. Cela peut rendre les attaques qui
dépendent de détails subtils moins efficaces ;

3. Augmentation de données : Utiliser des techniques d’augmentation de données

pour introduire des variations dans les données d’entraı̂nement. Cela peut aider
à augmenter la résilience du modèle en l’exposant à une plus grande variété
de perturbations ;

4. Transfert de domaine : Entraı̂ner le modèle sur des données d’un domaine

différent mais similaire, ce qui peut aider à renforcer la robustesse du modèle
aux perturbations adverses ;

Dans ce contexte, [WJH19] a proposé une méthode de défense contre les at-
taques adverses appelée Méthode d’Encodage de Synonymes (SEM). Cette méthode
insère un encodeur avant la couche d’entrée du modèle, puis entraı̂ne le modèle.
Chaque mot est inclus dans un ensemble de mots similaires sur le plan syntaxique
et sémantique à partir des plongements de mots vetoriel (Word embedding). En-
suite, à l’aide d’un encodeur entraı̂né, chaque mot est mappé vers le centre de cet
ensemble pour éliminer toute perturbation éventuelle.

31
 Figure 4.6 – La méthode SEM [WJH19]

Tout ce qu’il faut faire, c’est d’insérer l’encodeur E qui code un ensemble de sy-
nonymes vers le même code, qui est le centre du regroupement, puis nous entraı̂nons
le modèle sur l’ensemble d’entraı̂nement. À présent, le problème se résume à localiser
les voisins d’un point de données x pour éliminer tout éventuel perturbation.

Figure 4.7 – La méthode RSE [WW20]

D’autre part, [WW20] a proposé une amélioration à cette technique. Au lieu de

mapper chaque mot vers le centre du regroupement, l’auteur a utilisé une substi-
tution aléatoire dynamique à chaque époque de l’entraı̂nement, ou chaque mot est
remplacé par une voisine de l’espace vectorielle, ayant une similarité sémantique.
Par conséquent, la taille de l’entrée reste inchangée, et le modèle sera exposé à des
données diversifiées grâce à un échantillonnage aléatoire.
Avantages et Limites :
La redéfinition de l’espace d’entrée peut être une technique efficace pour augmen-
ter la résistance d’un modèle aux attaques adverses, car elle rend les attaques plus
difficiles à réaliser tout en maintenant la performance du modèle sur les exemples
normaux. Cependant, il est important de trouver un équilibre entre la perturbation
des données et la préservation de la sémantique, car une perturbation excessive pour-
rait affecter négativement les performances du modèle pour les données bénignes.

32
Figure 4.8 – La méthode RSE [WW20]

33
Chapitre 5

Approches proposés et Résultats

Dans ce chapitre, nous présenterons nos contributions qui peuvent être résumées
comme suit :

1. Notre première proposition c’est une nouvelle attaque en boı̂te noire qui uti-
lise une nouvelle stratégie basée sur l’algorithme de Recuit Simulé, pour la
création des textes adverses de haute qualité, mesurée par leur taux de succès
de l’attaque, leur précision sous l’attaque et leur taux de perturbation (nombre
de mots perturbés). Nous comparons cette approche aux méthodes en boı̂te
noire pour évaluer son efficacité dans la génération d’échantillons adverses.

2. La deuxième propoition est une technique de défense contre les attaques ad-
verses, basé sur les modèle de reformulation et translations inverses.

5.1 Attaque adverse

5.1.1 formulation du problème

Entrée : Texte original composé d’un ensemble de mots T0 = x0 , x1 , . . . , xn ,

avec un ensemble correspondant d’étiquettes Y = Y0 , Y1 , . . . , Yn , et un modèle pré-
entraı̂né avec une fonction f () : T − > Y associant chaque entrée T à Yj = f (T ), Yj ∈
Y.
Objectif : Un échantillon adversaire est un texte T ∗ qui satisfait les conditions
suivantes :

34
 
|T − T ∗ | <= ϵ






f (T ) = Yj (5.1)



f (T ∗ ) ̸= Yj




Où ϵ représente la similarité minimale acceptée entre le texte original et le texte

adversaire élaboré, généralement une similarité sémantique et syntaxique.

5.1.2 l’algorithme proposé

Dans les récentes attaques basées sur la méthode gloutonne, le processus de

création d’attaques adverses implique le remplacement, à chaque itération, des mots
classés par importance par des mots candidats similaires, et l’acceptation sélective
uniquement des mots améliorant la probabilité de sortie de la classe ciblée ou di-
minuant la probabilité de sortie de la classe actuelle. Bien que le rejet de certains
mots garantisse la sélection de mots significatifs, cela peut entraı̂ner l’exclusion de
mots qui pourraient contribuer à la création de l’attaque lorsqu’ils sont combinés
avec d’autres mots au-delà de ceux actuellement inspectés, principalement avec des
mots qui n’ont pas encore été explorés et perturbés par l’algorithme de recherche
gloutonne.
Pour résoudre ce problème, nous proposons une nouvelle approche visant à
améliorer la méthode de recherche de l’attaque en incorporant la recherche glou-
tonne avec le concept de l’algorithme du recuit simulé, en donnant une chance aux
mots prometteurs d’être inclus et combinés avec d’autres perturbations, et en aidant
l’algorithme glouton à explorer un espace de recherche plus large, ce qui permet de
capturer des perturbations plus efficaces qui n’auraient peut-être pas initialement
amélioré la sortie du modèle. En effet, la méthode gloutonne avec Ricuit Simulé ac-
cepte et sauvegarde les modifications prometteuses rencontrées lors du processus de
perturbation du texte attaqué, afin de les inclure dans l’attaque finalement élaborée
avec succès.
Notre algorithme proposé se déroule à travers les composants essentiels suivants :

1. Classement des mots par importance : Similaire aux attaques gloutonnes

précédentes, notre algorithm commence par classer les mots par importance

35
 en utilisant des méthodes d’explication de la pertinence pour capturer la sen-
sibilité des mots à modifiés, .

Score (i) = arg max (f (T0 ) − f (T0 |wi )) (5.2)

j∈[1,n]

2. Perturbations : La prochaine étape consiste à obtenir, pour chaque mot,

les mots candidats qui sont proches en sens (WordNet,Glove, Word2Vec...etc).
Dans ce cas, des filtres de similarités sémantiques et syntaxiques sont appliqués
pour éliminer les mots qui ne correspondent pas au contexte environnant, tels
que les contraintes de similarité cosinus, les contraintes de parties du discours,
les contraintes de similarité d’encodeur de phrase universel, etc.

3. Probabilité d’acceptation : notre algorithm cherche des échantillons ad-

verses en remplaçant séquentiellement chaque mot par ses mots candidats.
Si le meilleur candidat wi ∗ améliore le score en direction de l’échantillon ad-
verse souhaité, il est accepté et substitué dans le texte actuel, et inclus dans
l’ensemble des perturbations Wp . Cependant, si le meilleur candidat ne permet
pas d’améliorer le score en direction vers l’objectif, la probabilité d’acceptation
(équation 5.3) de l’algorithme du recuit simulé est calculée pour déterminer
si le mot actuel est accepté comme solution potentielle. Cette probabilité est
basée sur la différence entre le score de prédiction du texte actuel et le score
du texte perturbé △Fi .


P robabilityi = e−(△Fi )/T r

(5.3)
△Fi = arg maxj∈[1,n] (f (Ti ) − f (Ti − {wi } + {wi ∗ }))


5.2 Défense avec Combinaison des modèles

5.2.1 Principe

L’approche proposée consiste à utiliser un ensemble de modèles, de réseau de

neurones indépendants pour évaluer une entrée donnée. L’idée est que les modèles
peuvent avoir des biais et des vulnérabilités différents, et en combinant les décisions
de plusieurs modèles, on peut réduire les risques d’erreurs de classification causées
par des attaques adverses.

36
 Algorithm 1 attack avec ricuit simulé
1: X ∗ ← X0

2: for i = 1, 2, . . . n do
3: Scorei ← calculer le score d’importance de wi dans X0 .
4: end for
5: Ranking ← Sort(score)
6: for chaque mot wi avec order de Ranking do
7: Candidatesi ← obtenir les N candidats mots les plus similaires pour wi .
8: filltrer les mots ayant différents parties du discours des mots (Adj, Adv,Non,
Verbe...etc)
9: choisir le candidat mot ayant le meilleur score wi∗ depuis Candidates
10: if f (X ∗ − {wi } + {wi∗ }) est mieux que Y ∗ ou e−(△Fi )/T r > r then
11: X ∗ ← (X ∗ − {wi } + {wi∗ } // remplacer wi avecwi∗
12: end if
13: if f (X ∗ )! = Y then
14: return X ∗ comme un exemple adverse
15: end if
16: end for

37
 Notre défense s’articule sur un ensemble de modèles entraı̂nés indépendamment
les uns des autres. Lorsqu’une nouvelle entrée est présentée au système, chaque
modèle produit une prédiction. Les prédictions des différents modèles sont ensuite
combinées d’une manière spécifique pour obtenir une décision globale. Par exemple,
la prédiction la plus fréquente (vote de la majorité) pourrait être choisie comme la
décision finale.
Les différents modèles dans l’ensemble peuvent avoir des architectures et des
paramètres différents, ce qui peut aider à capturer une gamme plus large de ca-
ractéristiques et à détecter des types différents d’attaques.
Aussi, en évitant de dépendre d’un seul modèle, l’ensemble de modèles peut
réduire les risques d’erreurs de classification causées par des perturbations adverses.
De plus, si les modèles donnent des prédictions discordantes, cela peut indiquer
qu’une entrée est potentiellement sujette à une attaque. Cela peut déclencher une
action corrective ou une enquête plus approfondie. Cependant, les modèles dans l’en-
semble doivent être différents les uns des autres pour que cette approche fonctionne
bien. Si les modèles sont trop similaires, ils risquent de tomber dans les mêmes
erreurs.

5.2.2 Architecture Globale

Notre système de défense repose sur une architecture novatrice, mettant en œuvre
une approche multicouche pour atténuer les effets potentiellement dissimulés dans
le texte d’origine. L’essence de cette méthode réside dans la génération simultanée
de multiples itérations du texte d’entrée, grâce à une variété de techniques et de
modèles mutuellement indépendants. Cette démarche vise à réduire la portée des
perturbations qui pourraient être insérées dans le texte initial.
Chaque itération résultante est ensuite soumise à une évaluation à l’aide du
modèle d’analyse de sentiments . Cette étape cruciale nous permet d’obtenir un
résultat intermédiaire pour chaque version du texte. À ce stade, une approche aussi
simple et efficace que le vote à la majorité est employée pour déterminer la classe la
plus probable à attribuer au texte d’entrée.
Cette stratégie de vote majoritaire est en réalité un moyen de fusionner les infor-
mations provenant de toutes les itérations, offrant ainsi une réponse consolidée. Cette

38
réponse finale bénéficie de la diversité des perspectives générées par les différentes
itérations, renforçant ainsi la capacité de notre système à résister aux attaques et à
fournir une classification précise et fiable du texte d’origine, offrant ainsi deux in-
formations essentielles : l’entrée introduite est elle perturbée ? et quelle est la classe
initiale de cet entrée avant d’être perturbée ?
En résumé, notre approche de défense repose sur une architecture robuste et
réfléchie, exploitant la diversité des versions du texte générées de manière indépendante
et les combinant efficacement grâce au vote à la majorité. Ce processus complexe est
conçu pour offrir une protection accrue contre les perturbations potentielles tout en
maintenant la précision de l’analyse de sentiments pour des applications dans des
domaines sensibles.

Figure 5.1 – Schéma de l’architecture globale

5.2.3 Modèles utilisés

Dans notre étude, nous avons utilisés des modèles pré-entraı̂nés pour la synthèse
de textes, ainsi que des modèles Transformers pré-entraı̂nés pour la traduction. Ces
outils ont été utilisés avec le modèle ciblé, pour la détection des attaques adverses
dans le domaine du traitement automatique du langage naturel (NLP).
Notre approche consiste à combiner les prédictions de ces différents modèles afin

39
d’améliorer la détection des attaques adverse, et l’amélioration de la sécurité des
systèmes NLP contre les attaques adverses.
Nous avons utilisé des modèles pré-entraı̂nés pour la synthèse, ainsi que des
modèles Transformers pré-entraı̂nés pour la rétrotraduction, en conjonction avec le
modèle cible pour détecter les attaques adverses en combinant les prédictions des
différents modèles.

Modèles de synthèse

L’exploitation de modèles pré-entraı̂nés représente une avancée majeure dans le

domaine de la synthèse textuelle, et elle est fondamentale pour garantir des résumés
d’une qualité exceptionnelle. Dans notre étude, nous avons choisi de tirer parti du
modèle ”facebook/bart-large-cnn” pour parvenir à cet objectif.
Le modèle BART, qui signifie Bidirectional and Auto-Regressive Transformers,
émerge comme une référence incontournable dans le paysage des modèles de traite-
ment du langage naturel. Il est spécialement conçu pour exceller dans les tâches de
génération de texte, y compris le résumé automatique de textes. Cette conception
révolutionnaire permet au modèle BART d’appréhender le texte de manière bidi-
rectionnelle, en comprenant à la fois le contexte précédent et le contexte suivant, ce
qui favorise la création de résumés précis et cohérents.
”facebook/bart-large-cnn” est une itération spécifique de ce modèle BART, fi-
nement réglée et optimisée pour se démarquer dans la génération de résumés. Elle
est taillée sur mesure pour la création de résumés d’articles, de documents et de
textes longs, grâce à une capacité exceptionnelle à saisir les points saillants et à les
retranscrire de manière fluide et compréhensible.
L’adoption de ”facebook/bart-large-cnn” dans notre processus de synthèse tex-
tuelle garantit donc non seulement des résumés de haute qualité, mais également
une approche de pointe dans le domaine de la génération de résumés automatiques.
Ce modèle représente une avancée significative dans la capacité des machines à com-
prendre et à restituer de manière concise et précise le contenu de textes complexes, et
son utilisation ouvre de nouvelles perspectives passionnantes dans divers domaines
de l’analyse de texte et de la communication automatisée.

40
Modèles de traduction

Les modèles pré-entraı̂nés basés sur l’architecture Transformers représentent un

jalon significatif dans le domaine de la traduction automatique, ouvrant la voie à
des traductions d’une précision exceptionnelle. Dans le cadre de notre projet, nous
avons opté pour l’utilisation du modèle ”Helsinki-NLP” issu de la bibliothèque des
modèles Hugging Face Transformers.
Ces modèles pré-entraı̂nés, tels que ceux fondés sur l’architecture Transformer,
ont été formés sur d’immenses corpus de données multilingues, leur conférant une
compréhension approfondie des subtilités linguistiques. Cette ampleur de données
et la capacité d’apprentissage des Transformers permettent d’atteindre des niveaux
de précision et de cohérence sans précédent dans le domaine de la traduction.
Le modèle ”Helsinki-NLP” que nous avons choisi, en particulier, est un exemple
notable de cette nouvelle génération de modèles. Il a été conçu par des experts
en traitement automatique du langage naturel basés à Helsinki, en Finlande, et il
bénéficie de la réputation de cette communauté dans le domaine de la recherche
en NLP. Sa performance est une démonstration de la puissance des modèles pré-
entraı̂nés basés sur l’architecture Transformer.
En optant pour ”Helsinki-NLP”, nous avons cherché à garantir une traduction
précise et de haute qualité, en exploitant les capacités de pointe de ce modèle. Cette
approche a permis d’améliorer considérablement la qualité des traductions dans
notre projet, ouvrant ainsi des opportunités pour une communication multilingue
plus fluide et efficace dans divers contextes.

5.2.4 Résultats obtenues

Afin de valider notre approche, nous avons exploité un jeu de données composé
de 768 textes rédigés en anglais, soigneusement répartis en deux catégories égales :
50% de textes bénins et 50% de textes perturbés, Les données contenues dans ce jeu
de données sont réparties en quatre classes distinctes. Nous avons délibérément évité
de recourir à une classification binaire pour renforcer la crédibilité et la fiabilité de
nos résultats. Nous avons appliqué notre approche de manière systématique à cette
collection de textes diversifiés. Au stade initial, nous avons envisagé une variété
de langues cibles pour nos évaluations, incluant l’espagnol, le français, l’italien, le

41
russe et l’arabe. Les résultats obtenus lors de ces tests préliminaires ont révélé des
performances comparables entre ces langues. Par conséquent, nous avons choisi de
nous concentrer sur le trio de langues le plus représentatif, à savoir l’espagnol, le
français et l’italien, pour nos évaluations ultérieures.
Dans nos expérimentations, nous avons observé des tendances significatives dans
les résultats obtenus pour les textes bénins et perturbés. Pour les textes bénins,
notre approche a généré un taux de réussite remarquable de 93,75 %, ce qui se
traduit par 345 succès et seulement 23 échecs. En revanche, pour les textes per-
turbés, les résultats présentaient des variations, avec un taux de réussite de 67,11
%, représentant 247 succès contre 121 échecs.
Cette analyse nous a permis d’obtenir un taux de réussite global de 80,43 % pour
l’ensemble des textes évalués. Bien que ce résultat soit encourageant et démontre
l’efficacité de notre approche, il suscite également l’enthousiasme des chercheurs
pour poursuivre les améliorations potentielles dans l’architecture du modèle. Cette
recherche constante de perfectionnement est essentielle pour optimiser davantage
notre approche et répondre aux défis en constante évolution dans le domaine du
traitement automatique du langage naturel (NLP).

5.2.5 Limites et préoccupations

L’utilisation d’un ensemble de modèles, à l’instar des modèles de résumés ou de

traduction nécessite plus de ressources de calcul, car chaque modèle doit être évalué
pour chaque entrée. Aussi, la manière de combiner les prédictions des différents
modèles peut nécessiter une prise de décision supplémentaire, ce qui pourrait aug-
menter la complexité de l’architecture globale. Bien que l’ensemble de modèles puisse
rendre les attaques plus difficiles, les attaquants peuvent également s’adapter en ci-
blant plusieurs modèles simultanément.

42
Chapitre 6

Conclusion

En conclusion, cette thèse a constitué une investigation rigoureuse et substan-

tielle dans le domaine de la sécurité des modèles d’apprentissage profond appliqués
au traitement automatique du langage naturel (NLP). Elle a engagé une exploration
profonde des aspects multiples de cette discipline, depuis l’identification des failles
jusqu’à la formulation et à l’évaluation de stratégies de défense robustes.
Une des contributions primordiales de cette recherche consiste en la présentation
d’un modèle d’attaque novateur, spécifiquement conçu pour répondre aux enjeux
complexes posés par les systèmes NLP. Ce modèle d’attaque a jeté une nouvelle
lumière sur les tactiques potentielles que les acteurs adverses pourraient employer
pour compromettre ces systèmes, un éclairage qui s’avère impératif pour anticiper
et contrer ces menaces émergentes.
Par ailleurs, cette thèse a également délivré une contribution substantielle sous
forme d’un modèle de défense élaboré, destiné à garantir la sécurité des modèles
d’apprentissage profond en NLP face aux attaques. Ce modèle de défense est le
résultat d’une investigation approfondie visant à rehausser la résilience et la sûreté
de ces systèmes NLP, tout en préservant leur efficacité opérationnelle.
Il convient néanmoins de souligner que la sécurité en NLP est un domaine
en perpétuelle mutation. Les attaques évolueront et gagneront en sophistication,
requérant ainsi une adaptation constante de nos dispositifs de défense. Parallèlement,
les modèles de défense devront être continuellement mis à jour pour faire face à ces
menaces en perpétuel renouvellement.

43
 L’accomplissement de cette thèse ne se limite pas uniquement à ses contributions
spécifiques, mais s’étend à l’éveil de la conscience quant à l’importance cruciale
de la sécurité dans le contexte de la croissance fulgurante du domaine du NLP.
Elle constitue une invitation à une collaboration proactive entre les milieux de la
recherche, de l’industrie et des instances décisionnelles en vue de garantir un avenir
sûr et responsable pour les modèles d’apprentissage profond en NLP.
En définitive, cette thèse incarne une étape décisive vers la sécurisation des
systèmes NLP face aux menaces potentielles, tout en préservant leur utilité et leur
pertinence dans notre monde connecté. Elle ouvre la voie à des recherches futures et
à une réflexion perpétuelle sur les défis relatifs à la sécurité en NLP, avec l’objectif
de façonner un avenir où les systèmes NLP peuvent être employés en toute confiance
pour des applications cruciales et innovantes.

44
Bibliographie

[ABT17] Mark Anderson, Andrew Bartolo et Pulkit Tandon. Crafting Ad-

versarial Attacks on Recurrent Neural Networks.(2017). 2017.

[Ebr+17] Javid Ebrahimi et al. “Hotflip : White-box adversarial examples for

text classification”. In : arXiv preprint arXiv :1712.06751 (2017).

[Zin+17] Luisa M Zintgraf et al. “Visualizing deep neural network decisions :

Prediction difference analysis”. In : arXiv preprint arXiv :1702.04595
(2017).

[Alz+18] Moustafa Alzantot et al. “Generating natural language adversarial

examples”. In : arXiv preprint arXiv :1804.07998 (2018).

[Gao+18] Ji Gao et al. “Black-box generation of adversarial text sequences to

evade deep learning classifiers”. In : 2018 IEEE Security and Privacy
Workshops (SPW). IEEE. 2018, p. 50-56.

[Kul+18] Volodymyr Kuleshov et al. “Adversarial examples for natural language

classification problems”. In : (2018).

[Li+18] Jinfeng Li et al. “Textbugger : Generating adversarial text against real-

world applications”. In : arXiv preprint arXiv :1812.05271 (2018).

[Jia+19] Robin Jia et al. “Certified robustness to adversarial word substitutions”.

In : arXiv preprint arXiv :1909.00986 (2019).

[Jin+19] Di Jin et al. TextFool : fool your model with natural adversarial text.
2019.

[Ren+19] Shuhuai Ren et al. “Generating natural language adversarial examples

through probability weighted word saliency”. In : Proceedings of the 57th

45
 annual meeting of the association for computational linguistics. 2019,
p. 1085-1097.

[SH19] Zhouxing Shi et Minlie Huang. “Robustness to modification with sha-

red words in paraphrase identification”. In : arXiv preprint arXiv :1909.02560
(2019).

[WJH19] Xiaosen Wang, Hao Jin et Kun He. “Natural language adversarial
attack and defense in word level”. In : (2019).

[Zan+19] Yuan Zang et al. “Word-level textual adversarial attacking as combi-

natorial optimization”. In : arXiv preprint arXiv :1910.12196 (2019).

[GR20] Siddhant Garg et Goutham Ramakrishnan. “Bae : Bert-based adver-

sarial examples for text classification”. In : arXiv preprint arXiv :2004.01970
(2020).

[HA20] David Harbecke et Christoph Alt. “Considering likelihood in nlp clas-

sification explanations with occlusion and language modeling”. In : arXiv
preprint arXiv :2004.09890 (2020).

[Jin+20] Di Jin et al. “Is bert really robust ? a strong baseline for natural language
attack on text classification and entailment”. In : Proceedings of the
AAAI conference on artificial intelligence. T. 34. 05. 2020, p. 8018-8025.

[Li+20a] Dianqi Li et al. “Contextualized perturbation for textual adversarial

attack”. In : arXiv preprint arXiv :2009.07502 (2020).

[Li+20b] Linyang Li et al. “Bert-attack : Adversarial attack against bert using

bert”. In : arXiv preprint arXiv :2004.09984 (2020).

[WW20] Zhaoyang Wang et Hongtao Wang. “Defense of word-level adversa-

rial attacks via random substitution encoding”. In : Knowledge Science,
Engineering and Management : 13th International Conference, KSEM
2020, Hangzhou, China, August 28–30, 2020, Proceedings, Part II 13.
Springer. 2020, p. 312-324.

[Fu+21] Xiaopeng Fu et al. “Exploring Security Vulnerabilities of Deep Lear-

ning Models by Adversarial Attacks”. In : Wireless Communications
and Mobile Computing 2021 (2021).

46
[MMP21] Rishabh Maheshwary, Saket Maheshwary et Vikram Pudi. “Gene-
rating natural language attacks in a hard label black box setting”. In :
Proceedings of the AAAI Conference on Artificial Intelligence. T. 35. 15.
2021, p. 13525-13533.

[MBM21] Vijit Malik, Ashwani Bhat et Ashutosh Modi. “Adv-OLM : Genera-

ting textual adversaries via OLM”. In : arXiv preprint arXiv :2101.08523
(2021).

[YQ21] Jin Yong Yoo et Yanjun Qi. “Towards improving adversarial training
of nlp models”. In : arXiv preprint arXiv :2109.00544 (2021).

[Hub+22] Lukas Huber et al. “Detecting Word-Level Adversarial Text Attacks via
SHapley Additive exPlanations”. In : Proceedings of the 7th Workshop
on Representation Learning for NLP. 2022, p. 156-166.

[Liu+22] Huijun Liu et al. “A Context-Aware Approach for Textual Adversarial

Attack through Probability Difference Guided Beam Search”. In : arXiv
preprint arXiv :2208.08029 (2022).

[Mos+22] Edoardo Mosca et al. “” That Is a Suspicious Reaction !” : Interpreting

Logits Variation to Detect NLP Adversarial Attacks”. In : arXiv preprint
arXiv :2204.04636 (2022).

[Xu+22] Lei Xu et al. “R&R : Metric-guided Adversarial Sentence Generation”.

In : Findings of the Association for Computational Linguistics : AACL-
IJCNLP 2022. 2022, p. 438-452.

[Ye+22] Muchao Ye et al. “TextHoaxer : Budgeted Hard-Label Adversarial At-

tacks on Text”. In : (2022).

47