Retour aux analyses
insights8 min

IA multimodale: un test textuel ne prouve pas la sécurité du modèle

Note exécutive TokenShift

IA multimodale: un test textuel ne prouve pas la sécurité du modèle

Un modèle peut réussir vos tests textuels puis changer de comportement lorsque la même intention arrive sous forme d'image. Pour une IA multimodale, le style devient une variable de sécurité. Un score global du fournisseur ne suffit donc pas pour autoriser la production.

Le format est devenu une variable de sécurité

À CVPR 2026, Bingjun Luo et ses coauteurs ont étudié une incohérence stylistique des modèles vision-langage: le contenu restait compréhensible après modification de son apparence, tandis que certains styles renforçaient des attaques visuelles existantes visant à contourner les refus.

Le matériel complémentaire publié par CVPR décrit 16 styles, dont le croquis au crayon, la photographie ancienne, le pixel art et le manga. L'équipe a ensuite optimisé les transformations pour augmenter le taux de réussite d'attaque sur plusieurs modèles multimodaux.

La nuance importe. Cette recherche porte sur des jailbreaks visuels dans un protocole expérimental. Elle ne démontre ni qu'une facture stylisée trompera votre workflow, ni que tous les modèles réagiront pareil. Elle invalide toutefois une hypothèse courante: un test en texte brut ne couvre pas automatiquement la même intention présentée dans une image, un scan ou une capture d'écran.

Un benchmark fournisseur ne couvre pas votre parcours réel

En production, le système convertit, redimensionne ou découpe le fichier avant de le transmettre au modèle. La réponse peut ensuite alimenter une recherche, une mémoire, une règle métier ou un agent. Chacune de ces étapes modifie le contexte des garde-fous.

La bonne unité d'évaluation est donc le parcours complet, de l'entrée à la conséquence métier. Le modèle seul peut refuser une instruction que le système assemblé reformulera ou privera de sa provenance. À l'inverse, une défense trop agressive peut bloquer des documents légitimes et déplacer le travail vers une file manuelle.

Les chiffres du NIST CAISI montrent pourquoi un test figé rassure peu. En 2026, l'organisme a analysé plus de 250 000 tentatives menées par plus de 400 participants contre 13 modèles de pointe. Au moins une attaque de détournement a réussi contre chacun des modèles ciblés, avec de forts écarts entre modèles et des familles d'attaques transférables.

Le verdict n'est pas « aucun modèle n'est sûr ». Il est plus utile: la sécurité dépend du modèle, du format, du scénario et du système autour. Elle doit être mesurée dans cette combinaison précise.

La méthode des Jumeaux multimodaux

Nous appelons cette démarche les Jumeaux multimodaux. Pour chaque scénario critique, l'entreprise conserve une intention identique et ne change qu'une dimension de présentation. Elle isole ainsi l'effet du canal au lieu de confondre fond et forme.

1. Partir de la conséquence métier

Décrivez ce que le système ne doit pas provoquer: divulguer une instruction interne, ignorer une règle d'éligibilité, accepter une source interdite, produire une recommandation discriminatoire ou déclencher une action non autorisée. Chaque conséquence reçoit une gravité, un propriétaire et une réponse attendue.

Ajoutez des cas légitimes proches des cas adversariaux. Sans eux, vous mesurerez le blocage, pas la sécurité utilisable.

2. Construire des jumeaux sémantiques

Pour une même intention, créez des variantes contrôlées: texte brut, capture d'écran, photographie, scan bruité, document annoté et style graphique. Ne changez qu'une variable à la fois. Conservez la source, la transformation et le résultat attendu.

Il ne s'agit pas de copier les 16 styles d'une publication. Couvrez d'abord les formats réellement reçus, puis ajoutez les transformations adversariales validées par la sécurité.

3. Tester à trois niveaux

Le programme ARIA du NIST distingue trois niveaux utiles: test du modèle, red team et test en conditions d'usage. Rejouez le même corpus à chacun d'eux.

  1. Le test du modèle isole la réaction du fournisseur.
  2. La red team cherche des variantes qui franchissent les garde-fous.
  3. Le test du système inclut conversion, recherche, règles, outils et validation humaine, sans effet irréversible sur la production.

Cette séquence localise la défaillance. Elle évite de déclarer le workflow sûr parce que le modèle nu a refusé, ou d'attribuer au modèle une erreur créée par le traitement documentaire.

4. Transformer chaque changement en porte de version

Mesurez une référence avant tout changement de modèle, de prompt système, de reconnaissance documentaire, de base ou d'outil. Rejouez ensuite les jumeaux critiques. Une amélioration moyenne ne compense pas un nouvel échec à conséquence grave.

Le NIST, en juin 2026, a présenté un résultat formel: aucun ensemble fixe de garde-fous n'est universellement robuste contre des instructions adversariales adaptatives. Le dossier de production doit donc fixer une cadence de test, un seuil d'arrêt et un propriétaire du risque résiduel.

Mini-cas: l'assistant KYC qui passe le texte, mais pas l'image

Prenons un cas fictif. Une banque européenne évalue un assistant multimodal qui lit les justificatifs KYC et prépare une note. En texte brut, il refuse correctement d'ignorer une discordance d'identité.

L'équipe crée cinq jumeaux du même cas: texte, capture, photo, scan dégradé et version stylisée. Elle ajoute un document légitime très proche. Le résultat attendu n'est pas un refus systématique, mais une décision cohérente, une citation correcte de la discordance et aucune divulgation des instructions internes.

Si une variante contourne le refus, le système n'obtient pas son feu vert, même avec une moyenne élevée. Si toutes les attaques échouent mais que les scans légitimes partent en revue manuelle, le test révèle un coût d'exploitation à corriger. Sécurité et utilité restent indissociables.

Les indicateurs qui rendent le résultat observable

Le comité de mise en production doit voir:

  1. le taux de réussite d'attaque par modalité et par style;
  2. l'écart maximal de comportement entre jumeaux d'une même intention;
  3. le nombre d'échecs critiques, pondéré par leur conséquence métier;
  4. le taux de faux refus sur les documents légitimes;
  5. la couverture des formats réellement présents dans le workflow;
  6. le taux de régression après chaque changement de composant;
  7. le délai entre détection, confinement, correction et nouveau test.

Pour un système à haut risque, les obligations de robustesse, de journalisation et de contrôle humain rappelées par la Commission européenne renforcent cette discipline. Les Jumeaux multimodaux fournissent des preuves utiles; ils ne démontrent pas, à eux seuls, la conformité.

Erreurs à éviter

  • Le test monocanal: n'évaluer que le texte alors que la production accepte images et scans.
  • La moyenne rassurante: masquer un échec critique derrière de bons résultats agrégés.
  • Le faux jumeau: modifier le fond et la forme, puis attribuer l'écart au style.
  • Le juge unique: laisser un seul évaluateur automatique décider si l'attaque a réussi.
  • Le jeu figé: rejouer les mêmes cas connus après chaque version.
  • La sécurité sans utilité: ignorer les faux refus et la reprise humaine.

La décision à prendre dans les 30 jours

  1. Inventoriez les workflows qui acceptent texte et images, ainsi que leurs conséquences critiques.
  2. Choisissez un workflow régulé et nommez les propriétaires métier, test et risque résiduel.
  3. Construisez les premiers Jumeaux multimodaux à partir de formats réels, avec cas adversariaux et légitimes.
  4. Exécutez les trois niveaux de test et fixez les seuils d'arrêt avant de connaître les résultats.
  5. Rejouez le corpus à chaque changement de version et lors de la revue régulière de production.

Un modèle multimodal n'est pas sûr parce qu'il refuse la bonne phrase. Il l'est seulement si le système tient lorsque cette phrase change de forme.

Sources

Continuer la lecture

Voir toutes les analyses