Des chercheurs montrent qu’un assistant vocal peut interpréter des commandes invisibles à l’oreille humaine: de quoi questionner la sécurité, la vie privée et les bons réglages à adopter au quotidien. Derrière l’effet spectaculaire, le sujet est surtout technique: une attaque par injection de commande vocale exploite les limites des microphones et des algorithmes de réveil par mot-clé, puis s’insère dans le parcours normal de la reconnaissance vocale, qu’elle soit traitée en local ou envoyée dans le cloud.
- Des commandes peuvent être modulées sur des fréquences inaudibles (> 20 kHz) et redevenir « audibles » pour certains microphones MEMS.
- L’attaque vise d’abord le réveil par mot-clé, puis la chaîne de reconnaissance vocale, sans forcément « pirater » le cloud.
- La portée dépend fortement de la physique: atténuation dans l’air, obstacles, directivité et puissance de l’émetteur.
- La réduction d’exposition passe par des réglages concrets: limiter les actions sensibles, exiger une confirmation, surveiller le journal d’activité et couper le micro quand il n’est pas utile.
- Des protections existent (filtrage passe-bas, détection d’anomalies, traitement local), mais elles ont des limites et ne couvrent pas tous les appareils déjà déployés.
Pourquoi les ultrasons posent un problème aux assistants vocaux
Les ultrasons désignent des fréquences au-delà du seuil d’inaudibilité humain, typiquement > 20 kHz. Sur le papier, une commande ultrasonore devrait donc rester sans effet: si personne ne l’entend, personne ne la prononce. En pratique, un assistant vocal n’écoute pas avec une oreille humaine, mais avec un micro et un traitement du signal. Et certains couples microphones MEMS + électronique d’entrée peuvent capter une énergie ultrasonore, puis la transformer involontairement en un signal exploitable.
Le mécanisme le plus souvent décrit consiste à moduler une commande vocale (un signal audible) sur une porteuse ultrasonique. Une étude publiée le 2017-01-01 a popularisé ce principe sous le nom « dolphinattack: inaudible voice commands »: des commandes courantes sont encodées au-dessus de 20 kHz pour rester inaudibles, mais elles peuvent déclencher des enceintes connectées et des smartphones (siri, alexa, cortana, google now / assistant de google), avec des démonstrations sur google home et amazon echo. Dans les tests rapportés, 16 appareils ont réagi à ces commandes encodées.
Pourquoi cela fonctionne-t-il: beaucoup de microphones modernes sont conçus pour être très sensibles afin de capter la voix dans un environnement bruyant. Cette sensibilité, combinée à des non-linéarités (dans le micro, l’amplification ou l’anti-aliasing), peut « redescendre » une partie de l’information ultrasonore vers la bande que les algorithmes de réveil par mot-clé et de reconnaissance vocale savent traiter. Résultat: l’appareil croit entendre « dis siri… » ou « ok google… » alors que l’utilisateur n’a rien perçu.
Le risque n’est pas seulement l’exécution d’une action. Il est aussi l’extension de la surface d’attaque: un assistant vocal devient vulnérable à des signaux émis par un haut-parleur, un téléphone, voire un média lu à proximité. L’étude de 2017 mentionne même une efficacité en environnement bruyant (exemple: rue) de l’ordre de 30 % dans le scénario décrit, ce qui rappelle que la fiabilité n’est pas totale, mais qu’elle peut suffire à déclencher une action ponctuelle.
Ce cadrage amène une question centrale: une fois réveillé, que fait l’assistant, et où part l’audio. Du micro au cloud: où les données vocales peuvent transiter
Du micro au cloud: où les données vocales peuvent transiter
Le parcours d’une requête est généralement en deux temps. D’abord, l’appareil surveille en continu un court extrait audio pour détecter un mot-clé (wake word). Cette étape est souvent réalisée en traitement local, précisément pour limiter la latence et éviter d’envoyer en permanence des flux au cloud. Ensuite, une fois le réveil validé, l’assistant capture la commande et la confie à un moteur de reconnaissance vocale qui peut être local, distant, ou hybride selon le produit et le réglage.
Quand le cloud intervient, l’audio ou des caractéristiques (selon implémentation) transitent vers des serveurs pour transcription, compréhension et exécution. C’est là que se jouent des enjeux de confidentialité: conservation d’extraits, association au compte, et selon les services, possibilité de réécoute humaine à des fins d’amélioration. L’utilisateur conserve souvent un levier: gérer ou supprimer l’historique, et consulter un journal d’activité indiquant quelles requêtes ont été traitées.
Ce que change une commande ultrasonore, c’est surtout le déclenchement: elle cherche à franchir la barrière du mot-clé et à injecter une instruction, pas à contourner le chiffrement réseau ou à « pirater » directement les serveurs. Autrement dit, si l’assistant envoie déjà certaines requêtes au cloud, une attaque par injection de commande vocale peut provoquer un envoi non désiré, mais elle ne modifie pas fondamentalement l’architecture: elle exploite le flux normal, au mauvais moment, avec une intention hostile.
Ce point est crucial pour l’évaluation du risque: la question n’est pas seulement « est-ce possible », mais « quelles actions l’assistant est autorisé à exécuter après réveil ». Scénarios d’attaque réalistes et impacts concrets à la maison et au bureau
Scénarios d’attaque réalistes et impacts concrets à la maison et au bureau
Les scénarios plausibles se rangent en deux familles: actions directes (l’assistant exécute une commande) et exfiltration indirecte (l’assistant répond à voix haute, et quelqu’un écoute). Dans la démonstration de 2017, des actions concrètes sont citées: activation de siri pour lancer un appel facetime sur iphone, activation de google now pour mettre un téléphone en mode avion, et manipulation d’un système de navigation embarqué d’une voiture (audi). Ces exemples illustrent un point: l’attaque vise souvent des commandes simples, courtes, tolérantes aux erreurs.
À la maison, l’impact dépend de l’intégration domotique. Déclencher une routine « absence », ouvrir un portail si l’assistant y est relié, désactiver une alarme mal configurée, ou lancer un achat vocal sont des cas souvent cités. Un incident médiatique de 2017-01-01 (non ultrasonique) a montré qu’un audio audible à la télévision pouvait déclencher des enceintes, avec ajout d’articles à un panier et programmation d’un réveil à 07 : 00. Même si ce cas ne repose pas sur des ultrasons, il rappelle que l’interface voix est une interface d’exécution, pas un gadget.
Au bureau, les risques se déplacent: appels non désirés, envoi de messages, déclenchement de réunions, ou fuite d’informations si l’assistant lit des extraits (agenda, notifications) à voix haute. Une attaque peut aussi être opportuniste via diffusion de médias: une synthèse publiée le 2019-02-08 expliquait que des ultrasons et des enregistrements masqués dans du bruit de fond pouvaient contrôler des assistants vocaux, tout en notant qu’il n’y avait « pas encore vraiment eu de cas pratique » à ce moment-là. Cela ne signifie pas absence de risque, mais plutôt une difficulté de passage à l’échelle et de reproductibilité.
Une variante plus récente mentionnée est « near-ultrasound inaudible trojan (nuit) », qui exploite des fréquences proches des ultrasons, 16 kHz – 20 kHz. Le vecteur est plus accessible: un clip sonore dans cette bande peut être joué sur le haut-parleur de la victime pour atteindre l’assistant vocal sur le même appareil (nuit-1) ou d’autres appareils, avec une variante entre deux téléphones (nuit-2). La diffusion peut passer par des sites web, des vidéos (exemple cité: youtube), de l’ingénierie sociale, voire une propagation pendant des réunions zoom via l’audio.
Pour éviter le sensationnalisme, il faut regarder les conditions nécessaires: distance, orientation, présence d’un appareil émetteur, niveau sonore, obstacles, et surtout ce que l’assistant a le droit de faire sans confirmation. Cette évaluation repose aussi sur une réalité matérielle: la propagation des ultrasons n’a rien de magique. Propagation des ultrasons: ce que la physique autorise vraiment
Propagation des ultrasons: ce que la physique autorise vraiment
Dans l’air, plus la fréquence est élevée, plus l’atténuation est marquée. Les ultrasons se dissipent donc généralement plus vite que la voix. Cela limite la portée pratique, augmente la dépendance à la ligne de vue et rend l’attaque sensible à la position des appareils. Un émetteur doit souvent être relativement proche, bien orienté, et suffisamment puissant, ce qui augmente le risque d’être repéré, même si la commande reste inaudible.
Les matériaux comptent: tissus épais, mousses, portes fermées et vitrages peuvent réduire l’énergie reçue, tandis que des surfaces dures peuvent créer des réflexions imprévisibles. Cette variabilité explique pourquoi une démonstration en laboratoire ne se transpose pas automatiquement dans un appartement encombré ou un open space avec suppression du bruit et traitements audio actifs.
Point de physique simple, mais utile pour trier les fantasmes: les ultrasons ne se propagent pas dans le vide. Comme tout son, ils ont besoin d’un milieu matériel (air, eau, solide) pour transporter une onde mécanique. Cela ne « rassure » pas sur les attaques terrestres, mais cela élimine des scénarios irréalistes et recentre l’analyse sur des sources proches: haut-parleurs, téléphones, téléviseurs, ou systèmes audio.
Cette contrainte physique conduit naturellement à une approche pragmatique: réduire ce que l’assistant peut faire, et réduire les occasions où il écoute. Réduire le risque: réglages, bonnes pratiques et choix de fonctionnalités
Réduire le risque: réglages, bonnes pratiques et choix de fonctionnalités
La stratégie la plus efficace est de limiter l’impact d’un réveil non désiré. Commencez par les actions à fort enjeu: achats, appels, ouverture d’accès, alarmes. Si votre assistant vocal permet une confirmation par code, validation sur smartphone, ou étape supplémentaire, activez-la. Une authentification vocale peut aider, mais elle n’est pas une barrière absolue: elle dépend de la qualité du modèle, du bruit, et des possibilités d’imitation.
Ensuite, réduisez la surface d’attaque au quotidien avec une grille simple, centrée sur faisabilité et impact:
| Niveau | Exemples d’actions | Risque | Gestes de réduction d’exposition |
|---|---|---|---|
| faible | météo, minuteur, musique | nuisance | journal d’activité, routines limitées |
| moyen | messages, appels, agenda | gêne, fuite indirecte | désactiver appels sortants, confirmations |
| élevé | achats, serrures, alarmes, domotique critique | perte financière, accès physique | interdire commandes vocales, contrôle via app, segmentation réseau |
Sur la partie données, utilisez les outils fournis: consultez le journal d’activité, supprimez régulièrement l’historique, et vérifiez les réglages de conservation des données vocales. Si un mode de traitement local existe pour certaines commandes, privilégiez-le, car il réduit les transferts vers le cloud. Pour les usages sensibles (réunions, cabinet médical, chambre), le geste le plus net reste de couper le micro quand il n’est pas nécessaire, ou d’éloigner l’enceinte des sources audio (télévision, ordinateur).
Enfin, côté réseau et domotique: évitez de donner à un assistant un contrôle direct sur des fonctions critiques sans garde-fou. Segmentez le réseau des objets connectés quand c’est possible, et limitez les routines « tout-en-un » qui enchaînent des actions sans vérification. Ces mesures n’empêchent pas l’injection, mais elles transforment un déclenchement en incident mineur plutôt qu’en incident majeur.
Ces gestes utilisateur ne remplacent pas les protections techniques. Quelles protections côté fabricants et quelles limites aujourd’hui
Quelles protections côté fabricants et quelles limites aujourd’hui
Les fabricants disposent de plusieurs leviers. Le plus direct est le filtrage passe-bas en amont, matériel ou logiciel, pour atténuer les composantes au-delà de la bande utile de la voix. Couplé à une suppression du bruit mieux calibrée, cela peut réduire la probabilité qu’un signal ultrasonore se transforme en commande « décodée » par non-linéarité. Mais un filtrage trop agressif peut dégrader l’intelligibilité, surtout dans les environnements bruyants qui ont justement motivé des micros très sensibles.
Autre piste: la détection d’anomalies. Un assistant peut rechercher des signatures typiques d’une attaque par injection de commande vocale (énergie concentrée en hautes fréquences, incohérences temporelles, absence de caractéristiques naturelles de la parole). Là encore, la limite est le compromis entre sécurité et faux positifs, avec un enjeu d’accessibilité: certains utilisateurs ont des voix atypiques ou des conditions acoustiques difficiles.
L’authentification vocale (reconnaissance du locuteur) peut réduire les actions sensibles, mais elle reste contournable dans certains cas et ne doit pas être l’unique barrière. Les approches les plus robustes combinent plusieurs facteurs: confirmation sur écran, notification push, ou demande d’un code pour les commandes à enjeu. Enfin, le traitement local progresse: moins d’audio envoyé dans le cloud, moins de données vocales exposées, et une latence réduite. Mais cela suppose du matériel compatible, et ne protège pas automatiquement les appareils déjà installés.
Les travaux de recherche citent aussi une recommandation générale: repenser les règles de contrôle des systèmes à commande vocale pour résister aux attaques par ultrasons, car le problème est autant une question de droits et de confirmations qu’une question de signal audio.
FAQ
Quels sont les inconvénients des assistants vocaux ?
Ils élargissent la surface d’attaque (réveil par mot-clé, médias audio), peuvent exécuter des actions non désirées, et posent des enjeux de confidentialité liés aux données vocales, au journal d’activité et à l’usage éventuel du cloud.
Quels sont les risques liés aux ultrasons ?
Des commandes modulées sur des fréquences inaudibles (> 20 kHz) ou proches (16–20 kHz) peuvent déclencher une attaque par injection de commande vocale, selon le micro, la distance, l’environnement et les permissions accordées à l’assistant.
Où vont les données vocales des assistants vocaux ?
Le mot-clé est souvent détecté en traitement local, puis la commande peut être traitée localement ou transiter vers le cloud pour transcription et exécution, avec des options de conservation et de suppression consultables via l’historique et le journal d’activité.
Est-ce que les ultrasons peuvent se propager dans le vide ?
Non: comme tout son, les ultrasons ont besoin d’un milieu matériel (air, eau, solide) et ne se propagent pas dans le vide.
Une commande ultrasonore n’est pas une magie noire: c’est un signal qui exploite des limites de capteurs et de réglages. La meilleure défense combine des permissions minimales, des confirmations pour les actions sensibles, une hygiène de confidentialité et des protections techniques comme le filtrage et le traitement local.
