RECHERCHE
Sécurité des LLM au centre, secrets volés via NVLink et XSS à travers DoH
Semaine dominée par la sécurité des LLM : défenses pour les agents, le fine-tuning et les apps Android qui les intègrent, plus le watermarking du texte généré. Côté matériel, des canaux auxiliaires sur NVLink entre GPU et une attaque Spectre-v2 dans les moteurs JIT. S'y ajoutent une nouvelle XSS via DoH, des défauts du single sign-on mobile et la vérification du ratchet post-quantique de Signal.
1. NVBleed: Covert and Side-Channel Attacks on NVIDIA Multi-GPU Interconnect
ACM Conference on Computer and Communications Security · Yicheng Zhang, Ravan Nazaraliyev, Sankha Baran Dutta, Andrés Márquez et al. · Matériel et canaux auxiliaires
En bref: NVBleed montre que les liens NVLink entre GPU laissent fuir de l'information, permettant canaux cachés et attaques side-channel, y compris entre VM sur Google Cloud.
Les auteurs analysent NVLink V1-V3 et identifient deux sources de fuite : variations de temps dues à la contention et compteurs de performance, visibles depuis un GPU distant. Ils obtiennent un covert channel de plus de 70 kbps et des attaques side-channel qui reconnaissent les applications avec un F1 jusqu'à 96,77 %. La fuite existe aussi entre VM sur GCP, avec un F1 de plus de 88 % sur Blender.
Pourquoi c'est important. Les serveurs multi-GPU partagés dans le cloud hébergent souvent des charges de machine learning sensibles. L'interconnexion GPU doit entrer dans la surface d'attaque des modèles d'isolation.
Pour les assureurs. Pour qui assure des fournisseurs cloud ou des entreprises entraînant des modèles sur GPU partagés, l'isolation entre clients est moins solide que prévu. Une faille dans un matériel très répandu peut créer un cumul d'expositions.
2. Safeguarding LLM Agents against Long-Horizon Threats via Shadow Memory
ACM Conference on Computer and Communications Security · Yuhui Wang, Tanqiu Jiang, Jiacheng Liang, Charles Fleming et al. · Sécurité de l'IA et des LLM
En bref: ShadowMem protège les agents LLM contre les attaques qui se déroulent sur de nombreuses étapes, grâce à une mémoire dédiée à la sécurité inspirée du shadow stack.
Les attaques long-horizon exploitent de longues interactions entre utilisateur, agent et environnement pour des objectifs improbables en un seul tour. ShadowMem conserve le contexte critique pour la sécurité dans une mémoire séparée et évalue le risque de chaque action avant son exécution. Les auteurs indiquent une meilleure détection que les défenses existantes, précoce et à coût négligeable.
Pourquoi c'est important. Une défense qui ne regarde qu'un message ne voit pas une attaque étalée sur plusieurs étapes. Une mémoire de sécurité séparée est un modèle simple pour qui construit des agents.
Pour les assureurs. Pour les entreprises qui confient des tâches réelles à des agents d'IA, des contrôles testés sur des prompts isolés peuvent rassurer à tort. Une question utile pour évaluer les contrôles sur l'usage de l'IA.
3. Branch Target Reuse: Practical Spectre-v2 Attacks in JIT Engines via Stale Branch Prediction Entries
ACM Conference on Computer and Communications Security · Sander Wiebing, Yuhui Zhu, Alessandro Biondi, Cristiano Giuffrida · Matériel et canaux auxiliaires
En bref: Branch Target Reuse est la première attaque Spectre-v2 pratique dans les moteurs JIT, réutilisant des entrées de prédiction de branchement obsolètes après régénération du code.
Les processeurs rétablissent la cohérence du code après auto-modification, mais n'invalident pas toujours les entrées de prédiction de branchements indirects. Dans les moteurs JIT, ces entrées obsolètes survivent et sont réutilisées. Les auteurs l'évaluent sur SpiderMonkey, GraalVM et le JIT cBPF du noyau Linux et récupèrent le hash du mot de passe root en minutes.
Pourquoi c'est important. Les mitigations Spectre existantes ne couvrent pas cette réutilisation d'entrées obsolètes dans les moteurs JIT. Cela rappelle que l'exécution transitoire reste un problème ouvert sur du matériel répandu.
Pour les assureurs. Pour les assureurs, une attaque qui extrait des secrets en contournant des mitigations connues sape des contrôles tenus pour efficaces. Vu la diffusion des moteurs JIT, c'est aussi un scénario de cumul.
4. An Empirical Study of Observability Limits in Advanced Software Supply Chain Attacks
ACM Conference on Computer and Communications Security · Zhuoran Tan, Wenbo Guo, Jiewen Luo, Taylor Brierley et al. · Chaîne d'approvisionnement logicielle
En bref: SynthChain est un jeu de données multi-sources avec vérité terrain pour les attaques avancées de la chaîne d'approvisionnement logicielle et montre les limites de l'observabilité à l'exécution.
Les attaques avancées de la chaîne d'approvisionnement laissent des traces fragmentées. Les auteurs publient SynthChain, sept scénarios sur PyPI, npm et C++, avec 2 919 indicateurs vérifiés sur 22 logs. Aucune source unique ne reconstruit plus de 40% des étapes ; en combiner deux améliore d'environ 1,6 fois, mais le choix des sources compte.
Pourquoi c'est important. Reconstruire une chaîne d'attaque exige plusieurs sources de télémétrie, pas seulement plus de données. Le travail offre des lignes directrices de planification de télémétrie utiles aux défenseurs.
Pour les assureurs. Pour les sinistres et la forensique liés à la chaîne d'approvisionnement, une seule source de log suffit rarement à reconstruire les faits. Les assureurs peuvent intégrer la couverture de télémétrie aux contrôles exigés.
5. PiMRef: Deducing Ever-evolving Spear-phishing Emails with Knowledge Base Invariants
ACM Conference on Computer and Communications Security · Ruofan Liu, Yun Lin, Yuxin Wang, Xiwen Teoh et al. · IA appliquée à la sécurité
En bref: PiMRef détecte les e-mails de spear-phishing générés par LLM en vérifiant l'identité déclarée de l'expéditeur contre une base de connaissances de faits.
Les auteurs montrent que les LLM génèrent du spear-phishing crédible qui trompe les détecteurs. PiMRef identifie l'identité déclarée de l'expéditeur, vérifie son domaine contre une base de connaissances extensible et déduit les appels à l'action. Il réduit les faux positifs à 0,81% avec 90,7-93,1% de rappel, et atteint 86,4% sur SpearMail (14 672 e-mails par LLM).
Pourquoi c'est important. Le spear-phishing généré par LLM déjoue les détecteurs à base de règles et de features. Vérifier des faits réfutables sur l'expéditeur résiste mieux à l'évolution des attaques.
Pour les assureurs. Le phishing déclenche souvent des sinistres cyber, du ransomware à la fraude. Une détection qui tient face au spear-phishing par LLM concerne les contrôles de messagerie sur lesquels comptent les assureurs.
6. XSS-over-DoH: On the Adverse Side Effects of DoH on Web Security
ACM Conference on Computer and Communications Security · Matthias Gierlings, Lukas Knittel, Jörg Schwenk, Christian Mainka · Web et mobile
En bref: XSS-over-DoH est une nouvelle classe d'attaques web qui détourne DNS-over-HTTPS pour obtenir du XSS et contourner la Content Security Policy.
Le DoH introduit HTTP comme protocole supplémentaire et réutilise le port 443 sans imposer d'en-têtes essentiels. Les auteurs montrent Direct-XSS-over-DoH, qui obtient du XSS sans injection de markup, et CSP-Bypass-over-DoH, qui contourne une CSP forte. Sur 3 M+ de domaines, ils trouvent 1 297 serveurs DoH, 72 % aux en-têtes non sûrs, et 2 265 CSP vulnérables, dont Proton Mail.
Pourquoi c'est important. Une fonction introduite pour améliorer la confidentialité du DNS peut invalider des défenses web établies comme la CSP. Les nouveaux composants web exigent une étude approfondie avant adoption.
Pour les assureurs. La CSP est un contrôle sur lequel beaucoup comptent pour contenir le XSS. Si le DoH la contourne, les assureurs devraient intégrer la configuration des serveurs DoH et des en-têtes aux facteurs de risque web.
7. Automated Side-Channel Analysis of Cryptographic Protocol Implementations
ACM Conference on Computer and Communications Security · Faezeh Nasrabadi, Robert Künnemann, Hamed Nemati · Méthodes formelles
En bref: Une toolchain extrait des modèles de protocole de binaires réels et les analyse pour les canaux auxiliaires, trouvant une fuite de cache dans WhatsApp Desktop.
Les auteurs comblent l'écart entre spécifications vérifiées et exécutables : ils relèvent le code machine, l'instrumentent avec des contrats de fuite pour constant-time et spéculation de type Spectre-PHT, et traduisent les traces pour Tamarin, ProVerif et DeepSec. Sur WhatsApp Desktop, ils identifient un canal auxiliaire de cache d'instructions permettant l'inférence du graphe social.
Pourquoi c'est important. La vérification formelle ignore d'habitude le code compilé et les canaux microarchitecturaux. Partir des binaires réels trouve des fuites que les modèles symboliques manquent.
Pour les assureurs. La pertinence assurantielle directe est limitée. Le travail montre toutefois qu'une app de messagerie répandue peut exposer des métadonnées relationnelles par canaux auxiliaires, utile pour évaluer le risque de confidentialité.
8. Understanding and Preserving Safety in Fine-Tuned LLMs
ACM Conference on Computer and Communications Security · Jiawen Zhang, Yangfan Hu, Kejia Chen, Lipeng He et al. · Sécurité de l'IA et des LLM
En bref: SPF préserve l'alignement de sécurité des LLM pendant le fine-tuning en retirant les composantes du gradient en conflit avec un sous-espace de sécurité de faible rang.
Le fine-tuning peut dégrader la sécurité même avec des données anodines. Les auteurs constatent que les gradients de sécurité occupent un sous-espace de faible rang, souvent en conflit avec ceux d'utilité, et estimable à partir d'un seul échantillon. SPF retire les composantes en conflit, garantissant la convergence d'utilité tout en bornant la dérive de sécurité, même sous fine-tuning adverse.
Pourquoi c'est important. Le dilemme sécurité-utilité rendait le fine-tuning fragile. Une méthode légère qui tient les deux aide ceux qui appliquent les LLM à des tâches précises.
Pour les assureurs. Pour les assureurs de services de fine-tuning de LLM, un contrôle qui préserve l'alignement réduit le risque qu'un modèle perde ses protections. Il désigne une mesure technique concrète.
9. One Click to Leak: Characterizing the Real-World Usage and Threat Impact of MNO-based Single Sign-On Websites
ACM Conference on Computer and Communications Security · Jiasheng Huang, Mingxuan Liu, Pei Chen, Baojun Liu et al. · Identité et authentification
En bref: Une étude du Single Sign-On fondé sur les opérateurs mobiles (MSSO) sur le web trouve des défauts de confiance qui laissent une seule visite fuiter des numéros de téléphone.
Les auteurs identifient trois défauts de confiance dans le flux MSSO et démontrent One-Click-to-Leak, où une seule visite expose le numéro de téléphone. Sur un an et 116 852 URL de 729 domaines, 73,6 % présentent au moins un défaut : 69,4 % exposent des identifiants de développeur et 27,1 % émettent des jetons privilégiés avant le consentement.
Pourquoi c'est important. Le login sans mot de passe via opérateur mobile se répand sur le web, mais ses implémentations exposent des données d'identité. Le consentement arrive souvent après l'émission du jeton.
Pour les assureurs. Les numéros de téléphone fuités nourrissent fraude et SIM swap, déclencheurs de sinistres cyber. Pour les assureurs, les implémentations MSSO sont un contrôle d'authentification à vérifier, pas un acquis.
10. A Formal Analysis of Signal's Sparse Post-Quantum Ratchet Protocol and its Implementation
ACM Conference on Computer and Communications Security · Karthikeyan Bhargavan, Maxime Buyse, Graeme Connell, Franziskus Kiefer et al. · Méthodes formelles
En bref: Première spécification et analyse formelle de SPQR, le ratchet post-quantique fondé sur ML-KEM que Signal a mis en production en 2025.
SPQR se combine au Double Ratchet pour une forward secrecy et une post-compromise security hybrides : elles tiennent sauf si la courbe elliptique et le KEM post-quantique cassent tous deux. Les auteurs vérifient la conception avec ProVerif et intègrent la toolchain hax à la CI de Signal pour prouver la sûreté à l'exécution de l'implémentation en production, utilisée par des millions.
Pourquoi c'est important. C'est un cas rare de vérification formelle appliquée par le projet lui-même à un protocole déployé à des millions. Il montre comment lier les garanties de conception à l'implémentation réelle.
Pour les assureurs. La pertinence assurantielle directe est faible. Le travail reste une référence sur la façon dont la vérification formelle peut réduire le risque de défauts dans un logiciel de messagerie critique.
11. Janus: Characterizing Bidirectional Privacy and Security Risks in LLM-Integrated Android Apps
ACM Conference on Computer and Communications Security · Junhua Guo, Zongze Li, Haipeng Cai · Web et mobile
En bref: Janus est une analyse statique qui mesure les risques de confidentialité et de sécurité dans les apps Android intégrant des LLM, et les trouve répandus.
Les intégrations LLM sont bidirectionnelles : des données sensibles entrent dans les prompts et le texte généré ressort vers la logique, l'UI et les API. Janus reconstruit les pipelines de bout en bout et classe les risques : clés API et system prompts exposés côté client, envoi de données sensibles à des LLM tiers sans information, et traitement exposé à l'injection de prompt.
Pourquoi c'est important. Les apps intégrant des LLM créent une classe de risques distincte des intégrations classiques. Les clés et prompts exposés côté client sont un problème concret et courant.
Pour les assureurs. Pour les assureurs de développeurs d'apps mobiles, l'intégration de LLM élargit la surface de fuite de données. Les contrôles peuvent demander comment l'assuré gère les clés, les données envoyées et les sorties des modèles.
12. PURA: Provably Unbiased and Robust Multi-Bit Watermarking for AI-Generated Text Attribution
ACM Conference on Computer and Communications Security · Yaofei Wang, Jinyang Guo, Shuchao Du, Chao Wang et al. · Sécurité de l'IA et des LLM
En bref: PURA est un watermarking multi-bits pour le texte généré par IA qui préserve la distribution du modèle et reste récupérable après édition.
L'attribution fine du texte d'IA exige des watermarks robustes et à haute capacité. PURA insère la charge utile dans l'espace d'échantillonnage latent et la récupère en traitant les tokens comme preuve d'intervalle. L'erreur par bit décroît exponentiellement avec la longueur. Avec 36 bits sur 200 tokens, il atteint 91,7 % de correspondance, plus du triple de la meilleure baseline.
Pourquoi c'est important. Attribuer le texte généré par IA soutient la responsabilité et l'audit. Un watermark qui survit aux éditions sans dégrader la qualité rend l'attribution plus fiable.
Pour les assureurs. La pertinence assurantielle directe est limitée. Le sujet touche toutefois la gouvernance des contenus d'IA et la traçabilité, utiles là où la désinformation ou la fraude par contenus est un risque.
Comment ce digest est réalisé
Les nouveaux articles sont collectés chaque jour et sélectionnés chaque semaine depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité (IEEE S&P, USENIX Security, ACM CCS, NDSS, CRYPTO, PoPETs, IEEE TIFS et d'autres). Un score fondé sur la source, le thème et les premiers signaux identifie les candidats ; un modèle d'intelligence artificielle les évalue et rédige les synthèses. Les synthèses reposent sur les abstracts : pour les détails, l'article original fait foi.
Nouveaux articles évalués dans cette édition : 799.