Anté-bruit : pourquoi un meilleur détecteur ne restaure pas l’information perdue

Un adversaire génératif avancé apprend la structure même par laquelle le défenseur distingue le légitime du hostile, puis produit des émissions qui saturent cette structure de distinction. Lorsque cette saturation est atteinte sur un canal donné, raffiner le détecteur sur le même observable ne recrée pas l’information perdue. La garantie défensive doit se déplacer ailleurs.

C’est la proposition du troisième papier de la série. Elle énonce une condition, ce qu’elle entraîne lorsqu’elle est réalisée, et ce sur quoi une défense peut encore faire reposer sa garantie.

L’anté-bruit est relatif à un récepteur

Il n’existe pas d’anté-bruit absolu. Un opérateur n’est anté-bruit que contre un récepteur déterminé, défini par ce qu’il acquiert, les propriétés qu’il mesure, les corrélations qu’il sait combiner, son échantillonnage et sa fenêtre temporelle. L’ensemble constitue sa fermeture opérationnelle, formalisée par la sigma-algèbre jointe engendrée par la réunion de ses sous-tribus d’observation.

Le caractère joint de la fermeture porte une conséquence directe. Égaliser séparément chaque marginale ne suffit pas : un défenseur peut encore détecter une corrélation entre deux dimensions qui, prises isolément, paraissent normales. Ressembler au légitime sur chaque caractéristique n’équivaut pas à ressembler au légitime sur l’ensemble du système de distinction. L’anté-bruit parfait doit saturer la structure jointe utilisée.

Deux régimes mathématiquement distincts

Dans le régime pur, l’émission adverse suit exactement la même loi que la référence légitime sur ce que le récepteur observe. Aucun test mesurable sur cette fermeture ne sépare les deux lois, l’information mutuelle entre observable et label est nulle, et aucun post-traitement du même observable ne restitue l’information absente. Le papier distingue l’égalité exacte de l’approche asymptotique, où une suite d’émissions converge vers la loi légitime sans qu’aucune ne lui soit égale.

Dans le régime robuste, dit aussi par mélange, aucune attaque individuelle ne ressemble nécessairement au légitime, mais la loi légitime appartient à l’enveloppe convexe fermée des lois adverses. Le défenseur ignore alors quelle stratégie ou quelle combinaison il rencontre. Le détecteur perd alors toute puissance robuste contre la classe entière, sa courbe ROC minimax retombant sur la diagonale du hasard, quand bien même chaque attaque prise isolément porte encore de l’information.

La distinction est structurante. Dans le premier cas, une émission ressemble au légitime. Dans le second, c’est la combinaison adversarialement disponible des émissions qui le reproduit.

Ce que désigne Ma Nemesis

Ma Nemesis est une valeur-frontière minimax, et l’ordre des quantificateurs porte tout le sens : il s’agit d’un opérateur unique anté-bruit contre toute une classe de récepteurs, non d’une attaque calibrée contre chaque détecteur particulier. Le second cas serait presque trivial. Le premier est l’objet limite.

Son rôle scientifique est celui d’un corps noir ou d’une machine idéale : définir la borne par rapport à laquelle mesurer les opérateurs réels. Le papier laisse sa réalisabilité ouverte.

Toutes les limites de l’adversaire ne se valent pas

La question qui suit est celle qui compte : qu’est-ce qui empêche un adversaire de devenir anté-bruit ? La réponse du papier est asymétrique.

L’acquisition du modèle défensif, l’observation, le coût de calcul et l’enveloppe de maintenance temporelle sont rangés parmi les limitations conjecturées compressibles. Le papier ne démontre pas qu’elles disparaîtront. Il affirme plus prudemment qu’aucun plancher positif indépendant des capacités n’est actuellement connu pour elles. La conséquence pratique est nette : une difficulté actuelle de l’adversaire ne doit pas être confondue avec une impossibilité structurelle.

Restent deux mécanismes indépendants des capacités. Le papier impose ici de tenir deux registres séparés. Une limitation de réalisation borne ce qui empêche un émetteur de devenir anté-bruit : elle contraint l’opérateur intrinsèquement. Un ancrage défensif, lui, est relatif à la mission : il ne lie que l’opérateur dont la mission exige précisément la chose ancrée. Les deux piliers ci-dessous sont les ombres, côté réalisation, des deux ancrages présentés plus loin. Lus comme des limitations universelles pesant sur tout émetteur, ils surannoncent.

Le premier pilier, de Type I, tient à la non-fuite informationnelle. Une variable défensive peut être rendue indépendante de ce qu’observe l’adversaire ; son posterior reste alors égal à son prior, quelle que soit sa puissance de calcul. Les rôles s’inversent : le défenseur devient émetteur, l’adversaire récepteur, et le flux défensif est lui-même anté-bruit par rapport au secret. Ce principe ne devient un plancher opérationnel que sous une hypothèse nommée : une min-entropie conditionnelle moyenne du secret au moins égale à un seuil, conditionnée au transcript et à l’échec des tentatives précédentes. Un transcript sans fuite ne suffit pas, car des essais infructueux éliminent progressivement des valeurs possibles.

Le second, de Type II, est une exclusion de codomaine. L’opérateur agit par émission dans un espace d’observables. Les canaux qui n’y appartiennent pas, actions exclues par des contraintes physiques situées hors du codomaine d’émission, ne peuvent être colonisés quelle que soit la capacité. C’est la seule limitation irréductible pour tout émetteur physiquement admissible, et non pour une classe de capacités fixée.

Trois ancrages défensifs

• Une séparation résiduelle borne la compromission dès lors qu’un canal de garantie conserve une marge robuste strictement positive et que le défenseur dispose d’une politique de détection puis d’une politique de neutralisation. La détection ne vaut ici que composée avec une capacité d’action.
• Un ancrage entropique, c’est-à-dire un secret non divulgué à min-entropie plancher, borne la compromission par le nombre de tentatives pondéré par l’entropie, dès lors que la mission adverse requiert ce secret et que le transcript ne le divulgue pas. Le mécanisme reste public, et c’est une variable qui porte la garantie, avec une borne explicite que l’observation ne dégrade pas. Le secret par l’obscurité procède à l’inverse et n’offre aucune borne.
• Une exclusion d’atteignabilité annule la compromission dans le modèle considéré lorsque aucune séquence d’émissions admissibles n’y conduit. C’est l’ancrage architectural ou physique, lecture défensive du pilier précédent. La garantie reste indépendante des capacités, mais non du modèle de menace : si le jeton peut être volé ou le matériel modifié, on a changé de modèle, donc d’ensemble atteignable.

Instrumenter au moins un de ces trois ancrages est suffisant, sous les hypothèses propres à chacun, pour obtenir une résistance à l’anté-bruit.

Ce que le papier établit, et ce qu’il n’établit pas

Les niveaux épistémiques sont déclarés. Sont établis : les définitions des trois régimes d’anté-bruit, les conséquences directes de l’égalité des lois et de l’appartenance à l’enveloppe convexe, et les bornes conditionnelles de résistance des trois ancrages.

Ne sont pas établis : qu’un opérateur anté-bruit parfait existe dans tous les domaines, que les adversaires génératifs atteindront Ma Nemesis, que toute défense non ancrée finira compromise, que la vitesse d’adaptation entraîne mécaniquement l’effondrement, ou que les trois ancrages sont exhaustifs. La nécessité des ancrages relève d’une conjecture autonome, strictement plus forte que la compressibilité, et subordonnée à une hypothèse de suffisance opérationnelle, reliant effondrement informationnel et compromission effective.

L’apport du papier est de dualisation et d’architecture : il retourne les résultats d’effondrement du côté de l’émetteur, sépare l’émissivité pure de l’émissivité par mélange, décompose la réalisation de l’opérateur en acquisition, calibration et maintenance, et convertit des limites de la détection en principes de conception.

Place dans la série

Le premier papier établit la géométrie de séparation entre loi légitime et lois adverses. Le deuxième décrit ce qu’un canal d’observation échantillonné, fenêtré et irréversible fait à cette géométrie. Tous deux se tiennent du côté du récepteur.

Anté-bruit retourne la perspective et nomme l’opérateur qui vise l’effondrement. Ce faisant, il ouvre la phase constructive de la série : concevoir une sécurité qui ne dépende plus exclusivement de la capacité à reconnaître l’adversaire. L’ensemble de la série est présenté sur sa page dédiée.

Le déplacement tient en une phrase : la garantie doit désormais reposer sur une propriété que l’adversaire ne peut pas émettre.

Anté-Bruit v2.0, préprint, CC BY-NC 4.0. DOI concept : 10.5281/zenodo.21109610