Aleph AI Lab
Travaux en coursLe risque cyber, chiffré sur ce que le dark web laisse voir
Des observations datées depuis 2012 : une matière que personne d'autre ne possède. Le laboratoire d'Aleph la transforme en indicateurs de risque utilisables par ceux dont c'est le métier de décider.
0,41 %
probabilité 12 mois
Facteurs retenus
Ce que ça apportera
Un chiffre qui tient devant un comité
Un indicateur de risque ne vaut que s'il survit à trois questions : d'où vient-il, que vaut-il, et que fait-on avec. Le laboratoire construit pour ces trois questions-là.
Anticiper plutôt que constater
Une exposition apparaît sur le dark web bien avant qu'un incident soit déclaré. Ce délai est exactement ce qu'un indicateur de risque doit rendre exploitable.
Un indicateur que vous pouvez défendre
Devant un régulateur, un actuaire ou un comité d'engagement, vous devez pouvoir expliquer d'où vient un chiffre. Nos travaux sont conçus pour ça, pas pour une démonstration.
Chaque métier a besoin d'une réponse différente
Une équipe de réponse à incident a besoin d'un fait daté et immédiat. Un assureur a besoin d'un horizon d'un an. Une banque raisonne en années. Le même travail sert les trois, dans leur langue.
Depuis 2012, pas sur un instantané
Un scan à l'instant t ne voit qu'un état. La profondeur d'archive permet de dire quand une exposition a commencé, comment elle a évolué, et si elle dort encore quelque part.
Le premier chantier
Des millions d'images que nul index ne sait lire
Une part considérable de ce que nous collectons sur les dark et deep webs n'est pas du texte : ce sont des captures d'écran, des photographies de documents, des scans de pièces d'identité, des relevés. L'information critique est dedans, et aucun moteur plein texte ne la voit. Nous entraînons des modèles à reconnaître la nature de ces fichiers pour rendre cette part de l'exposition cherchable.
Ce qui entre
Des images, sans texte qui les décrive
Ce qui en sort
Une nature reconnue, une exposition qualifiée
- Document interne0
- Facture, relevé, bon de commande0
- Capture d'écran d'un système0
- Pièce d'identité0
- Moyen de paiement0
- Plan ou schéma de site0
Une image n'est pas un texte : ce qu'elle montre n'apparaît dans aucun index plein texte. Reconnaître automatiquement la nature de ce qui circule sous forme d'image, c'est rendre cherchable une part de l'exposition qui échappe aujourd'hui à tout moteur. C'est le premier chantier du laboratoire, et il porte sur des millions de fichiers déjà collectés.
Schéma de principe. Les natures illustrent le travail de typage ; les proportions ne sont pas une mesure faite sur l'index.
La méthode, en cinq temps
Du fichier au score
Un score de risque ne se déduit pas d'un tableau de bord : il s'estime sur un fichier construit pour ça, puis se soumet à des contrôles qui ont le droit de le faire échouer. Voici le déroulé complet, du premier octet accumulé au chiffre remis au client.
- 1 · Accumulation Accumulation
- 2 · Typage Typage
- 3 · Découpage Découpage
- 4 · Contrôles Contrôles
- 5 · Score Score
Le fichier entité-période
Une ligne par entreprise et par mois
0
lignes
- 300 000
- entités
- 120
- mois
- 8 – 12
- variables retenues
Chaque ligne porte l'état de l'entreprise tel qu'il était visible ce mois-là, reconstruit en rejeu — jamais recopié depuis aujourd'hui.
Dossier méthodologique interne, août 2026. La précision citée vient d'un calcul bayésien sur les taux de base d'incident publiés par Cyentia (IRIS 2020).
Le verrou
La difficulté n'est pas le modèle, c'est l'étiquette
Tout le monde sait ajuster une régression. Presque personne ne dispose d'une vérité terrain datée, publique et indépendante du moteur qui produit les variables. C'est cette séparation qui décide de la valeur d'un score, et elle se joue avant la première ligne de code.
Index Aleph · les variables
- Apparitions datées, archivées depuis 2012
- Canal : forum, dépôt de texte, place de marché
- Empreinte d'exposition de l'entité
- Date de première indexation, jamais réécrite
Sites de fuite · la cible
- Nom de l'entité victime
- Date de première publication
- Groupe qui revendique
Fichier entité-période
Une ligne par mois, variables reconstruites à la date t
La règle qui ne se négocie pas
La cible doit venir d'un capteur strictement indépendant du moteur. Si l'index sert à la fois de variable et d'étiquette, le score ne mesure plus le risque : il mesure la cohérence interne de l'index. C'est un motif de rejet immédiat, pas un défaut à corriger.
Dossier méthodologique interne, août 2026. Index horodaté et immuable ; cible construite à partir des agrégateurs publics de sites d'extorsion.
Le résultat qui commande tout
Le même modèle, cent cinquante-quatre fois plus utile
La performance d'un modèle ne dit rien de son utilité. Ce qui décide, c'est la rareté de l'événement sur la fenêtre demandée : à taux de détection et taux de fausse alerte inchangés, la précision d'un score varie d'un facteur 154 entre sept jours et sept ans. Cette arithmétique-là n'est pas contournable.
Précision : part des entités alertées qui connaissent réellement un incident
Équipe de réponse · ETI
7 jours
— %251 fausses alertes pour une vraie
Assureur · PME
12 mois
— %29 fausses alertes pour une vraie
Assureur · ETI
12 mois
— %Assureur · grand compte
12 mois
— %Banque · PME
7 ans cumulés
— %Banque · ETI
7 ans cumulés
— %moins de deux fausses alertes pour trois vraies
précision = p · TPR ⁄ ( p · TPR + (1 − p) · FPR )
p est le taux de base sur la fenêtre, TPR le taux de détection (90 %), FPR le taux de fausse alerte (10 %). D'une ligne à l'autre, seul p change.
Un facteur 154 sépare les deux extrêmes, à modèle strictement identique. C'est ce résultat qui décide de la forme des produits : une équipe de réponse ne doit pas recevoir de score, parce qu'à sept jours même un modèle excellent sur le papier lui enverrait deux cent cinquante et une fausses alertes pour une vraie. Ce qu'elle doit recevoir, c'est un fait daté.
Calcul bayésien sur les taux de base d'incident publiés par Cyentia (IRIS 2020), cumulés sur la fenêtre, et sur les meilleures performances publiées du domaine (Liu et al., USENIX Security 2015).
La forme retenue
Une grille de points, trois produits
Le laboratoire ne cherche pas le modèle le plus sophistiqué, mais celui qui survit à un événement rare et se laisse expliquer. Une seule estimation en sort, et trois produits qui s'emboîtent, chacun dans l'unité de temps de son métier.
- 01
Discrétisation
Chaque variable est découpée en quatre à six classes ordonnées. Un directeur des risques lit « entre six et douze mois d'exposition », pas un coefficient à sept décimales.
- 02
Régression
Huit à douze variables, et un lien complémentaire log-log adapté aux événements rares. La vraisemblance de survie à temps discret se factorise exactement : c'est une régression logistique ordinaire.
- 03
Calibration
Trois corrections successives : la rareté de l'événement, l'ancrage sur les taux de base par tranche de chiffre d'affaires, puis l'écart connu entre incidents survenus et incidents déclarés.
Pr( s < T ≤ s + w | T > s ) = 1 − ∏ ( 1 − h(u) )
h(u) est le risque de survenue au mois u pour une entreprise qui n'a rien connu jusque-là. w vaut une semaine, douze mois ou quatre-vingt-quatre mois. Une seule table de coefficients, trois produits qui s'emboîtent.
en jours
Le déclencheur
Un arbre de décision publié, appuyé sur un fait daté. Aucune probabilité : à cette échelle, elle tromperait.
en mois
Le score
Probabilité, rang dans le portefeuille et points, côte à côte. Trois lectures du même calcul, pour trois interlocuteurs.
en années
La structure par terme
Dérivée du douze mois par composition, jamais estimée directement : personne ne dispose de sept ans d'étiquettes propres.
Pourquoi une grille de points et non une boîte noire
Sur un événement rare, la variance domine le biais : un modèle à arbres entraîné sur quelques centaines d'événements apprend surtout le bruit, et le prouve en perdant l'essentiel de sa performance sur des mois qu'il n'a jamais vus.
Dossier méthodologique interne, août 2026. Les trois produits sortent de la même estimation : seule la fenêtre w change.
Trois métiers
La même matière, trois façons de s'en servir
Le laboratoire travaille avec des équipes qui décident réellement, pas sur des cas d'école. C'est ce qui décide de la forme finale des indicateurs.
01Équipes de réponse
Un fait, tout de suite
Cet identifiant, sur ce domaine, apparu à cette date. Une information sur laquelle on agit dans l'heure.
02Assureurs
Un horizon d'un an
De quoi tarifer, prioriser une revue de portefeuille et justifier un choix de souscription.
03Banques & financeurs
Une vue pluriannuelle
Le risque cyber d'une contrepartie sur la durée d'un engagement, dans un format que les équipes de validation savent instruire.
04Vous
Partenaire du labo
Les travaux se calibrent avec des équipes de terrain. C'est ouvert, et c'est le meilleur moment pour en être.
Participer aux travaux
Assureurs, banques, équipes de réponse : le laboratoire cherche des partenaires de calibration, rejoignez-nous.