La biométrie piratée via des réponses « accepté/rejeté » : le gabarit reconstitué dans 97,6 à 100 % des cas

Un système de reconnaissance faciale qui répond uniquement « accepté » ou « rejeté » est considéré comme assez sûr : ni le score de similarité ni le gabarit lui-même ne fuitent à l'extérieur. Une équipe de chercheurs composée d'Eliron Rahimi, Margarita Osadchy et Orr Dunkelman démontre que cela ne suffit pas. Un seul bit de retour par requête permet de reconstituer un gabarit biométrique protégé de façon presque parfaite : l'erreur de reconstruction s'avère inférieure à 1 % du seuil d'authentification dans 97,6 à 100 % des cas. La prépublication a été mise en ligne sur arXiv sous la référence 2610.25118, le code a été publié sur GitHub.

Une fuite via l'interface elle-même

Les systèmes biométriques modernes protègent de plus en plus leurs gabarits par des mécanismes spécifiques : les vecteurs du visage ne sont pas stockés en clair. Mais la vérification se résume toujours à une comparaison : le système accepte l'utilisateur si la similarité avec la référence dépasse un seuil. Chaque « oui » ou « non » indique à l'attaquant de quel côté de la frontière se situe son vecteur test. Les auteurs exploitent précisément les contraintes géométriques de cette procédure. Une série de requêtes soigneusement choisies restreint progressivement la zone où peut se trouver la référence, et permet finalement de la calculer avec une précision limitée seulement par l'erreur numérique.

La conclusion principale de ce travail est que le résultat ne dépend pas du schéma de protection des gabarits. La fuite ne survient pas dans le stockage, mais dans le processus d'authentification lui-même. Jusqu'ici, les attaques en reconstruction s'appuyaient sur les scores de similarité renvoyés par le système. Les systèmes binaires, qui n'affichent qu'une décision, étaient considérés comme nettement plus robustes, car un seul bit transporte beaucoup moins d'information. Rahimi et ses coauteurs affirment être les premiers à avoir mené une telle attaque jusqu'à un résultat pratique.

Comment la distribution des gabarits accélère le piratage

La deuxième partie du travail porte sur le coût de l'attaque. Le nombre de requêtes adressées au système reste la principale contrainte : les services réels peuvent bloquer une activité suspecte. C'est pourquoi les auteurs ont proposé des méthodes de sélection des requêtes qui tiennent compte de la distribution des gabarits biométriques. Pour les systèmes qui renvoient des scores, cela réduit le nombre de requêtes nécessaires jusqu'à un facteur 5 par rapport aux attaques récentes. Le modèle de menace devient plus réaliste : l'attaquant a besoin de moins d'interactions avec l'interface.

La troisième étape combine les deux résultats. Un prior de diffusion préentraîné pour les visages est intégré à l'attaque géométrique binaire. Il indique à quoi ressemblent des visages plausibles et permet d'écarter les zones où le gabarit ne peut manifestement pas se trouver. La complexité en nombre de requêtes diminue d'environ un facteur 5. Ici, l'IA générative n'attaque pas directement le système : elle agit comme une source de connaissance sur la distribution des données, ce qui rend la recherche exhaustive bien plus économique.

Résultats clés

• Une rétroaction binaire (accepté/rejeté) suffit à reconstituer le gabarit. • L'erreur de reconstruction est inférieure à 1 % du seuil d'authentification dans 97,6 à 100 % des cas. • Le choix des requêtes en fonction de la distribution réduit leur nombre jusqu'à un facteur 5 dans les attaques par scores. • Un prior de diffusion préentraîné pour les visages réduit la complexité de l'attaque binaire d'environ un facteur 5. • La reconstruction est possible indépendamment du mécanisme de protection des gabarits. • Auteurs : Eliron Rahimi, Margarita Osadchy, Orr Dunkelman.

Ce que les concepteurs de systèmes doivent changer

La principale conclusion pratique est la suivante : chiffrer ou transformer les gabarits lors du stockage ne résout pas le problème tant que l'interface de vérification peut être interrogée presque sans restriction. Les équipes qui construisent une authentification biométrique devraient évaluer le modèle de menace en même temps que l'API elle-même : combien de tentatives sont autorisées, comment sont-elles comptabilisées au niveau de l'appareil, du compte et du réseau, comment détecter des séries de requêtes structurellement proches. La limitation du débit de requêtes et la surveillance des séquences anormales deviennent une composante de la protection des gabarits, et non une simple mesure accessoire.

Une conclusion plus générale s'impose également. Les modèles de diffusion entraînés sur des visages offrent à l'attaquant une connaissance toute faite de la distribution des données, et chaque nouveau modèle génératif rend ces attaques moins coûteuses. Ceux qui choisissent un schéma de protection biométrique ont intérêt à en tester la résistance face aux attaques utilisant des priors génératifs, et pas seulement face à la recherche exhaustive et au forçage classiques.

Les auteurs soulignent que les conclusions de ce travail portent sur une limite fondamentale : tant qu'un système renvoie une décision, celle-ci porte une information géométrique. Supprimer totalement la fuite ne peut se faire qu'en réduisant la rétroaction elle-même et le nombre de tentatives autorisées.