Réseaux de neurones graphiques (GNNs) pour des applications robustes de sécurité des réseaux basées sur l'IA/ML – GRAPHS4SEC

GRAPHS4SEC transforme les données hétérogènes de cybersécurité en graphes dans lesquels les nœuds représentent, selon le cas d’usage, des flux, métriques, équipements, services, domaines, pages ou composants logiciels, et les arêtes leurs relations structurelles, temporelles ou fonctionnelles.
Le projet étudie plusieurs stratégies de construction de graphes, car le choix des nœuds, des arêtes et de leur dynamique influence directement les performances. Ces représentations alimentent des architectures de réseaux de neurones sur graphes, notamment des modèles convolutifs, à attention et des autoencodeurs de graphes, adaptés à la détection d’anomalies et de comportements malveillants.
L’approche expérimentale comprend :
– l’apprentissage sur des données réseau, des séries temporelles, des structures de pages web et d’autres données relationnelles ;
– la conception de modèles centralisés ou distribués, notamment pour la détection d’anomalies dans les infrastructures réseau et 5G ;
– des comparaisons systématiques avec des méthodes classiques d’apprentissage automatique et profond ;
– l’évaluation de la précision, du rappel, du score F1, de la généralisation temporelle et inter-domaines, du coût de calcul et du passage à l’échelle ;
– la simulation d’attaques adversariales modifiant les caractéristiques ou la structure des graphes afin de mesurer et renforcer la robustesse ;
– l’étude de l’intégration des détecteurs dans des chaînes de traitement réseau logicielles et des plans de données programmables.

Les solutions sont validées sur des jeux de données et des scénarios réalistes, avec une attention particulière portée au phishing, aux sites malveillants et à la détection distribuée d’anomalies.

À ce stade, GRAPHS4SEC a produit des avancées concrètes sur la conception des graphes pour la détection d’anomalies réseau. Des publications montrent que la structure du graphe ne constitue pas un simple prétraitement : elle est un déterminant majeur de l’efficacité des GNN et doit être conçue et évaluée en fonction des données, notamment pour les séries temporelles et les réseaux 5G.
Sur le cas du phishing, le modèle SpecularNet représente une page web à partir de son nom de domaine et de la structure de son arbre DOM, sans dépendre d’une base externe de sites de référence ni d’un traitement multimodal lourd. Sur les jeux de données étudiés, il atteint jusqu’à 93,9 % de score F1, avec environ 20 ms d’inférence par page sur processeur standard. Dans les études en conditions réelles, il détecte plus de 97 % des pages de phishing identifiées par des détecteurs fondés sur des références. Il conserve également de bonnes performances sur un jeu ouvert de 6 000 sites collectés en 2026, alors que son entraînement repose sur des données vieilles de près de cinq ans, et résiste à des manipulations adversariales réalistes du HTML.

Ces résultats confirment que des représentations relationnelles bien conçues et des architectures GNN spécialisées peuvent améliorer simultanément la généralisation, l’efficacité opérationnelle et la résilience des systèmes de cybersécurité.

La prochaine étape consiste à consolider les résultats dans l’ensemble des quatre cas d’usage, à harmoniser les protocoles d’évaluation entre partenaires et à mesurer plus largement les compromis entre précision, robustesse, coût de calcul, latence et passage à l’échelle.
Le projet vise ensuite des détecteurs GNN capables de fonctionner au plus près des infrastructures : systèmes distribués et auto-adaptatifs, détection précoce de menaces inédites, apprentissage sous dérive des données et intégration dans des chaînes de cybersécurité opérationnelles. Une attention particulière sera portée à la robustesse face à des adversaires capables de modifier à la fois les attributs et la structure des graphes.
Les perspectives de transfert concernent notamment la protection des réseaux 5G et futurs, des infrastructures cloud et distribuées, des services web et des utilisateurs contre le phishing. L’intégration à des technologies de traitement de paquets logiciel et à des plans de données programmables pourra rapprocher la détection de la source des événements, réduire le temps de réaction et permettre des boucles de défense automatisées.
À plus long terme, GRAPHS4SEC doit contribuer à établir des méthodes, jeux de données, références expérimentales et briques logicielles réutilisables, afin de faire des GNN une technologie de confiance pour la cybersécurité réelle.

Cressant, K., Braconnot Velloso, P. et Secci, S. “On Graph Design for GNN-Based Network Anomaly Detection.” IEEE Transactions on Network and Service Management, 2026.


Song, T., Casas, P. et Meo, M. “Phishing the Phishers with SpecularNet: Hierarchical Graph Autoencoding for Reference-Free Web Phishing Detection.” RAID, Lancaster, 2026.

Güemes-Palau, C., Casas, P., Song, T., Torrealba, J. et Barlet-Ros, P. “What Do Graph-Based Phishing Detectors Actually Learn? Structural Explainability for Web Phishing Detection.” NoF, Rome, 2026.

Güemes-Palau, C., Casas, P. et Barlet-Ros, P. “PEQUOD: An Agentic AI Framework for Phishing Detection.” TMA, Delft, 2026, poster.

Güemes-Palau, C., Casas, P., Song, T., Aravena, M., Meo, M. et Barlet-Ros, P. “DOM-SP-SHAP: Structure-Preserving Explainability for Graph-Based Phishing Detection.” TMA, Delft, 2026, poster.

Torrealba, J., Casas, P., Song, T., Bustos-Jiménez, J. et Bachmann, M. “PHISHGRAPH: When HTML Graph Simplicity Outsmarts Deep and Reference-Based Phishing Detectors.” NOMS, Rome, 2026.

Torrealba, J., Casas, P., Garcia, S., Bustos-Jiménez, J. et Bachmann, M. “Malicious Domain Names Detection with DeepDGA, a Hybrid Character and Word Embeddings Deep Learning Architecture.” AnServApp, Bologne, 2025.

Latif-Martínez, A., Vanerio, J., Casas, P., Suárez-Varela, J., Cabellos-Aparicio, A. et Barlet-Ros, P. “TSGFM: Zero-Shot Network Monitoring with Graph Neural Networks for Time Series.” CNSM, Bologne, 2025.

Latif-Martínez, A., Paillissé, J., Barlet-Ros, P. et Cabellos-Aparicio, A. “BGP Anomaly Detection Using the Raw Internet Topology.” Computer Networks, 2025.

Güemes-Palau, C., Ferriol-Galmés, M., Paillissé-Vilanova, J., López-Brescó, D., Barlet-Ros, P. et Cabellos-Aparicio, A. “RouteNet-Gauss: Hardware-Enhanced Network Modeling With Machine Learning.” IEEE Transactions on Networking, 2026.

Van Langendonck, L., Bernárdez, G., Miolane, N. et Barlet-Ros, P. “GraphUniverse: Synthetic Graph Generation for Evaluating Inductive Generalization.” ICLR, Rio de Janeiro, 2026.

Anyfantis, G. et Barlet-Ros, P. “AutoGraphAD: Unsupervised Network Anomaly Detection Using Variational Graph Autoencoders.” IEEE NetSoft, Berlin, 2026.

Carela-Español, V., Castell-Uroz, I. et Barlet-Ros, P. “A Comparison of Different GNN Architectures for Network Traffic Classification.” IEEE NetSoft, Berlin, 2026.

Anyfantis, G. et Barlet-Ros, P. “Forecasting Individual NetFlows Using a Predictive Masked Graph Autoencoder.” IEEE MNC, Naples, 2026.

Zhan, Z., Zhou, Y. et Haddadi, H. “Enhancing GNN Robustness for Network Intrusion Detection via Agent-Based Analysis.” IEEE EuroS&P, 2025, poster.

Zhan, Z., Li, J., Zhang, Y. et Haddadi, H. “HearthNet: Edge Multi-Agent Orchestration for Smart Homes.” ACM CAIS, 2026.

Zhan, Z., Li, J., Zhang, Y. et Haddadi, H. “Systems-Level Attack Surface of Edge Agent Deployments on IoT.” EuroMLSys, 2026.

Zhan, Z., Zhang, Y. et Haddadi, H. “EdgeCitadel: Hybrid NATS-MQTT Orchestration for Edge Multi-Agent Systems.” MobiSys, 2026, poster.

Zhan, Z. et Haddadi, H. “Auto-Policy, Not Auto-Skill: Compiled Agent Skills for the Physical World.” ACM CAIS Workshop, 2026.

Zhan, Z., Zhou, Y., Li, J., Jing, Y., Li, Z. et Haddadi, H. “How Adversarial Environments Mislead Agentic AI?” Findings of ACL, 2026.


Cressant, K. et Braconnot Velloso, P. “LEED: Local Embedding Evolution Distance for Over-Smoothing Estimation and Virtual Node Selection in GNN.” IEEE Transactions on Neural Networks and Learning Systems, 2026.