Brevet FR3130413A1 — publié le 20230616

Procédé d’entraînement d’un agent autonome mettant en œuvre un algorithme d’apprentissage par renforcement, agent autonome associé L’invention concerne un procédé d’entraînement d’un agent autonome mettant en œuvre un algorithme d’apprentissage par renforcement pour améliorer la performance d’un logiciel anti-logiciel malveillant, le procédé étant mis en œuvre par l’agent autonome et comprenant : - la sélection (E110) d’une action (a(t)) visant à modifier le contenu d’un logiciel malveillant ; - l’obtention (E120, E160) d’une récompense (r(t+1)) représentative d’une probabilité que le logiciel malveillant modifié par application de l’action sélectionnée (a(t)) soit considéré comme étant bénin par le logiciel anti-logiciel malveillant ; - l’obtention (E120, E150) d’un état (s(t+1)) représentatif du logiciel malveillant modifié par application de l’action sélectionnée (a(t)) ; la sélection, l’obtention d’une récompense et l’obtention d’un état étant itérées tant qu’un critère d’arrêt n’est pas atteint ; et, - la détermination (E130), par l’algorithme d’apprentissage par renforcement et en fonction des récompenses obtenues, d’une fonction qui, à chaque état, associe au moins une action à exécuter, de sorte à maximiser une somme des récompenses obtenues. Figure pour l’abrégé : Fig. 1. Procédé d’entraînement d’un agent autonome mettant en œuvre un algorithme d’apprentissage par renforcement, agent autonome associé La présente invention appartient au domaine général de la sécurité informatique. Elle concerne plus particulièrement un procédé d’entraînement d’un agent autonome mettant en œuvre un algorithme d’apprentissage par renforcement pour améliorer la performance d’un logiciel anti-logiciel malveillant. Elle concerne également un agent autonome configuré pour mettre en œuvre un tel procédé, un procédé d’évaluation de la détectabilité d’un logiciel malveillant par un environnement mettant en œuvre un logiciel anti-logiciel malveillant, un environnement configuré pour mettre en œuvre un tel procédé, et un procédé d’entraînement d’un logiciel anti-logiciel malveillant mettant en œuvre un algorithme d’apprentissage. Une détection rapide et précise d’attaques, comme par exemple une intrusion ou une manipulation malveillante, voire de menaces d’attaques, dans un équipement informatique ou plus généralement dans un système informatique est une problématique critique pour la sécurité des équipements de ce système. L’ampleur de cette problématique ne cesse en outre de s’accroître de nos jours à mesure que le volume de trafic généré dans les réseaux de communication tend à augmenter. De manière conventionnelle, la prise en charge de cette problématique est réalisée par des logiciels anti-logiciels malveillants qui sont, à l’heure actuelle, essentiellement des logiciels antivirus, des logiciels anti-espions, des pare-feux ou des logiciels de détection de virus utilisant des mécanismes d’apprentissage automatique. Ces logiciels anti-logiciels malveillants, également appelés anti-logiciels malveillants, sont configurés pour analyser des données présentes sur un équipement informatique à protéger (tel qu’un serveur ou un ordinateur personnel), ou des données destinées à accéder à cet équipement dans le but de l’infecter. Ces données, dénommées « logiciels malveillants », sont développées dans le but de nuire à l’équipement, sans le consentement d’un utilisateur ou d’un administrateur de cet équipement informatique. Elles englobent notamment les virus, les vers, les chevaux de Troie et les documents informatiques malveillants (ou « maldocs »). De manière conventionnelle, l’analyse réalisée par ces anti-logiciels malveillants est essentiellement basée sur des règles de détection statiques interdisant l’accès à l’équipement informatique, ou limitant l’accès en stockant ces logiciels malveillants dans un emplacement sécurisé, dénommé « zone de quarantaine » de sorte à les isoler complètement du système d’exploitation de l’équipement. Plus particulièrement, ladite analyse s’appuie sur une bibliothèque de signatures propres à une ou plusieurs attaques connues, chaque signature associée à une attaque étant caractérisée par une ou plusieurs règles de détection (par exemple, une situation par rapport à un seuil, un motif inclus dans un code informatique ou dans un paquet de données, etc.). Dans ces conditions, les anti-logiciels malveillants actuels ne peuvent pas être considérés comme efficaces en termes de stratégie de protection et de défense face aux logiciels malveillants qui se renouvellent sans cesse, et dont la signature n’est alors pas connue de l’anti-logiciel malveillant. Une solution consiste à mettre à jour ces règles statiques de manière régulière, mais une telle mécanique entraîne une multiplication des règles de détection dont le nombre rend problématique leur cohérence, et il en résulte que ces anti-logiciels malveillants actuels ne sont pas toujours en mesure de détecter et a fortiori d’interdire ou de limiter l’accès à un logiciel malveillant. La présente invention a pour objectif de remédier à tout ou partie des inconvénients de l’art antérieur, notamment ceux exposés ci-avant, en proposant une solution qui permette de déterminer des actions visant à modifier le contenu de logiciels malveillants, de sorte que ces logiciels malveillants modifiés ne soient plus considérés comme étant malveillants par un anti-logiciel malveillant. Plus particulièrement, la présente invention permet de déterminer des logiciels comme étant malveillants mais qui ne sont pas considérés comme tels par un anti-logiciel malveillant, mais également les raisons pour lesquelles ces logiciels ne sont pas considérés comme malveillants. Ces informations s’avèrent cruciales pour les auteurs d’anti-logiciels malveillants puisqu’elles leur permettent d’améliorer les performances de leurs solutions en termes de détection de logiciels malveillants. A cet effet, et selon un premier aspect, l’invention concerne un procédé d’entraînement d’un agent autonome mettant en œuvre un algorithme d’apprentissage par renforcement pour améliorer la performance d’un logiciel anti-logiciel malveillant, le procédé étant mis en œuvre par l’agent autonome et comprenant : - la sélection d’une action visant à modifier le contenu d’un logiciel malveillant ; - l’obtention d’une récompense représentative d’une probabilité que le logiciel malveillant modifié par application de l’action sélectionnée soit considéré comme étant bénin par le logiciel anti-logiciel malveillant ; - l’obtention d’un état représentatif du logiciel malveillant modifié par application de l’action sélectionnée ; la sélection, l’obtention d’une récompense et l’obtention d’un état étant itérées tant qu’un critère d’arrêt n’est pas atteint ; et, - la détermination, par l’algorithme d’apprentissage par renforcement et en fonction des récompenses obtenues, d’une fonction qui, à chaque état, associe au moins une action à exécuter, de sorte à maximiser une somme des récompenses obtenues. Ainsi le procédé d’entraînement selon le premier aspect s’appuie sur un système d’apprentissage par renforcement comprenant un agent autonome et un environnement pour déterminer la meilleure action ou la meilleure séquence d’actions à appliquer sur le contenu d’un logiciel malveillant, de sorte que ce dernier soit désormais considéré comme ayant un comportement bénin par un anti-logiciel malveillant. Lorsqu’un logiciel est considéré par un anti-logiciel malveillant comme ayant un comportement bénin (pouvant encore être dit « comportement normal » dans la littérature), il est fait référence au fait que ledit logiciel n’est pas considéré comme étant susceptible d’être utilisé pour réaliser une attaque informatique. On comprend alors que la notion de « comportement bénin » se définit a contrario de celle de comportement malveillant. Un autre aspect avantageux du procédé proposé, outre la capacité à déterminer la meilleure action ou la meilleure séquence d’actions pour qu’un anti-logiciel malveillant considère un logiciel malveillant comme ayant un comportement bénin, réside dans le fait que ces actions sont déterminées via un apprentissage automatique par renforcement. De cette manière, l’invention tire parti de la capacité de l’agent à découvrir des actions ou des séquences d’actions jusqu’alors inconnues mais améliorant le fait que le logiciel malveillant soit considéré comme ayant un comportement bénin, grâce aux techniques d’intelligence artificielle mises en œuvre lors de l’apprentissage. Il est ici souligné que le logiciel malveillant considéré comme bénin conserve un comportement malveillant. Il s’agit alors d’un faux négatif pour le logiciel anti-logiciel malveillant. Enfin, il faut également noter que le fait de mettre en œuvre un apprentissage automatique par renforcement permet ne pas avoir à mettre à jour des règles de détection statiques comme cela est le cas pour certains anti-logiciels malveillants. En conséquence, le procédé proposé se révèle être peu coûteux en termes de temps d’expert. Le procédé permet ainsi de créer une base de données regroupant des logiciels malveillants non détectables. Cette base de données peut être ensuite utilisée pour améliorer des anti-logiciels malveillants, tels que des anti-virus, ou bien encore pour entraîner des modèles de détection de logiciels malveillants par intelligence artificielle. De plus, des traces de l’action ou de la séquence d’actions ayant permis de modifier un logiciel malveillant en un logiciel malveillant modifié considéré comme bénin, sont conservées, afin d’identifier des failles de certains anti-logiciels malveillants. De manière générale, on considère que les étapes d’un procédé ne doivent pas être interprétées comme étant liées à une notion de succession temporelle. Dans des modes particuliers de mise en œuvre, le procédé d’entraînement peut comporter en outre l’une ou plusieurs des caractéristiques suivantes, prises isolément ou selon toutes les combinaisons techniquement possibles. Dans des modes particuliers de mise en œuvre, l’obtention d’une récompense comprend la réception, en provenance d’un environnement mettant en œuvre le logiciel anti-logiciel malveillant, soit de ladite récompense, soit d’un score de détectabilité représentatif d’une probabilité que le logiciel malveillant modifié par application de l’action sélectionnée soit considéré comme étant malveillant par le logiciel anti-logiciel malveillant. Et l’obtention d’un état comprend soit la réception en provenance de l’environnement dudit état ; soit l’obtention d’un logiciel malveillant sur lequel une action peut être appliquée, et la détermination de l’état en fonction de l’action sélectionnée et du logiciel malveillant obtenu. Dans des modes particuliers de mise en œuvre, l’algorithme d’apprentissage par renforcement est un algorithme de « Q-learning », et la détermination de la fonction comprend une détermination, pour chaque paire état-action (s, a), d’une valeur telle que avec un taux d’apprentissage, une précédente valeur de qualité, une récompense, un taux d’actualisation, un état suivant et une action pouvant être exécutée à partir de l’état , de sorte à déterminer une fonction-Q optimale. L’utilisation d’un tel algorithme est avantageuse en ce qu’il est simple à implémenter puisque les valeurs-Q de chaque paire état-action sont mises à jour par itération jusqu’à ce qu’une fonction-Q converge vers une fonction-Q optimale, et puisqu’une simple table d’association (parfois nommée « tableau-Q ») peut être utilisée pour enregistrer les valeurs-Q de toutes ces paires état-action possibles. Dans des modes particuliers de mise en œuvre, l’algorithme de « Q-learning » est un algorithme de « Q-learning » profond, et la détermination de la valeur de chaque paire état-action est mise en œuvre en utilisant un réseau de neurones profond. L’utilisation d’un tel algorithme s’avère particulièrement avantageux en termes de gestion des ressources et de données lorsque le cardinal de l’ensemble des états (décrit ci-après) est important. Dans des modes particuliers de mise en œuvre, la sélection d’une action comprend l’application d’une stratégie Epsilon Greedy. Dans des modes particuliers de mise en œuvre, l’algorithme d’apprentissage par renforcement est un algorithme de gradient de politique, et la fonction déterminée est une fonction, qui, pour chaque état, détermine une probabilité qu’une action soit exécutée. Dans des modes particuliers de mise en œuvre, l’action est sélectionnée parmi un ensemble d’actions comprenant : - la modification de la valeur du champ d’un entête du logiciel malveillant ; - l’ajout au contenu du logiciel malveillant d’une séquence de caractères extraite d’un fichier bénin ; - l’ajout de caractères ou d’instructions déterminés au contenu du logiciel malveillant; - l’ajout d’une librairie extraite d’un fichier bénin au contenu du logiciel malveillant; - le renommage d’une section du contenu du logiciel malveillant ; - la suppression d’un mode débuggeur du contenu du logiciel malveillant ; - la modification d’une estampille temporelle du contenu du logiciel malveillant ; - la modification d’une valeur de hachage calculée pour un entête optionnel du contenu du logiciel malveillant ; et, - la décompression d’une version exécutable du logiciel malveillant. Selon un second aspect, l’invention concerne un procédé d’évaluation de la détectabilité d’un logiciel malveillant par un environnement mettant en œuvre au moins un logiciel anti-logiciel malveillant, le procédé comprenant : - l’obtention d’une action visant à modifier le contenu d’un logiciel malveillant ; - la modification du contenu d’un logiciel malveillant par application de ladite action, de sorte à obtenir un logiciel malveillant modifié ; - l’analyse, par le logiciel anti-logiciel malveillant, du logiciel malveillant modifié et la génération soit d’une récompense représentative d’une probabilité que le logiciel malveillant modifié par application de l’action sélectionnée soit considéré comme étant bénin par le logiciel anti-logiciel malveillant, soit d’un score de détectabilité représentatif d’une probabilité que le logiciel malveillant modifié par application de l’action sélectionnée soit considéré comme étant malveillant par le logiciel anti-logiciel malveillant. Dans des modes particuliers de mise en œuvre, le procédé d’évaluation de la détectabilité comprend en outre la détermination d’au moins une partie du contenu dont la modification n’impacte pas de fonctionnalité du logiciel malveillant ; et la modification comprend la modification de ladite au moins une partie. Dans des modes particuliers de mise en œuvre, le procédé d’évaluation de la détectabilité comprend en outre la génération d’une association entre l’action (a(t)), et soit le score (p(t+1)), soit la récompense (r(t+1)) dans une table d’association. Dans des modes particuliers de mise en œuvre, le logiciel anti-logiciel malveillant est un antivirus générant un score de détectabilité binaire. Dans des modes particuliers de mise en œuvre, le logiciel malveillant est conforme au format « exécution portable » PE. Selon un troisième aspect, l’invention concerne un procédé d’entraînement d’un logiciel anti-logiciel malveillant mettant en œuvre un algorithme d’apprentissage, le procédé comprenant : - l’obtention d’une pluralité de logiciels malveillants modifiés, chaque logiciel malveillant de la pluralité ayant un score représentatif d’une probabilité que le logiciel malveillant modifié soit considéré comme étant malveillant par le logiciel anti-logiciel malveillant, le score de chaque logiciel malveillant de la pluralité étant inférieur à une valeur définie ; - l’étiquetage desdits logiciels malveillants comme étant malveillants ; et, - l’entraînement du logiciel anti-logiciel malveillant avec les logiciels malveillants étiquetés. Ainsi, l’invention offre l’avantage de permettre d’entrainer un anti-logiciel malveillant mettant en œuvre un algorithme d’apprentissage avec des logiciels malveillants mais non considérés comme tels, et ce de sorte à permettre audit anti-logiciel malveillant d’améliorer la détection de comportements malveillants. Selon un quatrième aspect, l’invention concerne un programme d’ordinateur comportant des instructions pour la mise en œuvre d’un procédé d’entrainement d’un agent autonome ou d’un procédé d’évaluation ou d’un procédé d’entraînement d’un logiciel anti-logiciel malveillant selon l’invention, lorsque ledit programme est exécuté par un processeur. Selon un cinquième aspect, l’invention concerne un support d’enregistrement lisible par un ordinateur sur lequel est enregistré le programme d’ordinateur selon l’invention. Selon un sixième aspect, l’invention concerne un agent autonome mettant en œuvre un algorithme d‘apprentissage par renforcement et comprenant : - un module de sélection d’une action visant à modifier le contenu d’un logiciel malveillant ; - un module d’obtention d’une récompense représentative d’une probabilité que le logiciel malveillant modifié par application de l’action sélectionnée soit considéré comme étant bénin par un logiciel anti-logiciel malveillant ; - un module d’obtention d’un état représentatif du logiciel malveillant modifié par application de l’action sélectionnée ; et, - un module de détermination d’une fonction qui, à chaque état, associe au moins une action à exécuter, de sorte à maximiser une somme de récompenses obtenues. Selon un septième aspect, l’invention concerne un environnement pour évaluer la détectabilité d’un logiciel malveillant par un logiciel anti-logiciel malveillant et comprenant : - un module d’obtention d’une action visant à modifier le contenu d’un logiciel malveillant ; - un module de modification du contenu d’un logiciel malveillant conformément à ladite action, de sorte à obtenir un logiciel malveillant modifié ; - un module d’analyse, par le logiciel anti-logiciel malveillant, du logiciel malveillant modifié ; et, - un module de génération soit d’une récompense représentative d’une probabilité que le logiciel malveillant modifié par application de l’action sélectionnée soit considéré comme étant bénin par le logiciel anti-logiciel malveillant, soit d’un score de détectabilité représentatif d’une probabilité que le logiciel malveillant modifié par application de l’action sélectionnée soit considéré comme étant malveillant par le logiciel anti-logiciel malveillant. D’autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent un exemple de réalisation dépourvu de tout caractère limitatif. Sur les figures : la est une représentation fonctionnelle d’un mode particulier de réalisation d’un système d’apprentissage par renforcement tel que proposé ; la représente schématiquement un mode particulier de réalisation d’un agent autonome tel que proposé ; la représente schématiquement un mode particulier de réalisation d’un environnement tel que proposé ; la représente schématiquement un exemple d’architecture matérielle d’un système d’apprentissage par renforcement de la ; la représente schématiquement un exemple d’architecture matérielle d’un dispositif mettant en œuvre un agent autonome appartement à un système d’apprentissage par renforcement de la (Fig. 5A), et un exemple d’architecture matérielle d’un dispositif mettant en œuvre un environnement appartenant au système d’apprentissage par renforcement de la (Fig. 5B) ; la représente, sous forme d’ordinogramme, un mode particulier de mise en œuvre d’un procédé général d’apprentissage par renforcement tel que proposé mis en œuvre dans un système d’apprentissage par renforcement comprenant l’agent autonome de la et l’environnement de la ; la représente, sous forme d’ordinogramme, un mode particulier de mise en œuvre d’un procédé d’apprentissage par renforcement tel que proposé mis en œuvre dans un système d’apprentissage par renforcement comprenant l’agent autonome de la et l’environnement de la ; et, la représente, sous forme d’ordinogramme, un mode particulier de mise en œuvre d’un procédé d’entraînement d’un anti-logiciel malveillant mettant en œuvre un algorithme d’apprentissage. Procédé d’entraînement d’un agent autonome mettant en œuvre un algorithme d’apprentissage par renforcement pour améliorer la performance d’un logiciel anti-logiciel malveillant, le procédé étant mis en œuvre par l’agent autonome et comprenant : - la sélection (E100) d’une action (a(t)) visant à modifier le contenu d’un logiciel malveillant ; - la transmission (E110) de l’action sélectionnée à un environnement mettant en œuvre ledit logiciel anti-logiciel malveillant ; - la réception (E120), en provenance de l’environnement, d’une récompense (r(t+1)) représentative d’une probabilité que le logiciel malveillant modifié par application de l’action sélectionnée (a(t)) soit considéré comme étant bénin par le logiciel anti-logiciel malveillant, et/ou d’un score de détectabilité (p(t+1)) représentatif d’une probabilité que le logiciel malveillant modifié par application de l’action sélectionnée (a(t)) soit considéré comme étant malveillant par le logiciel anti-logiciel malveillant ; - l’obtention (E120, E150) d’un état (s(t+1)) représentatif du logiciel malveillant modifié par application de l’action sélectionnée (a(t)) ; la sélection, la réception d’une récompense et/ou d’un score de détectabilité et l’obtention d’un état étant itérées tant qu’un critère d’arrêt n’est pas atteint ; et, - la détermination (E130), par l’algorithme d’apprentissage par renforcement et en fonction des récompenses obtenues, d’une fonction qui, à chaque état, associe au moins une action à exécuter, de sorte à maximiser une somme des récompenses obtenues. Procédé d’entraînement selon la revendication 1, dans lequel l’obtention d’un état (s(t+1)) comprend soit la réception, en provenance de l’environnement, de l’état (s(t+1)) ; soit l’obtention du logiciel malveillant sur lequel une action (a(t)) peut être appliquée, et la détermination de l’état (s(t+1)) en fonction de l’action sélectionnée (a(t)) et du logiciel malveillant obtenu. Procédé d’entraînement selon la revendication 1 ou 2, dans lequel l’algorithme d‘apprentissage par renforcement est un algorithme de « Q-learning », et la détermination de la fonction comprend une détermination, pour chaque paire état-action (s, a), d’une valeur telle que avec un taux d’apprentissage, une précédente valeur de qualité, une récompense, un taux d’actualisation, un état suivant et une action pouvant être exécutée à partir de l’état , de sorte à déterminer une fonction-Q optimale. Procédé d’entraînement selon l’une des revendications 1 à 3, dans lequel l’action (a(t)) est sélectionnée parmi un ensemble d’actions comprenant : - la modification de la valeur du champ d’un entête du logiciel malveillant ; - l’ajout d’une séquence de caractères extraite d’un fichier bénin au contenu du logiciel malveillant; - l’ajout de caractères ou d’instructions déterminés au contenu du logiciel malveillant; - l’ajout d’une librairie extraite d’un fichier bénin au contenu du logiciel malveillant; - le renommage d’une section du contenu du logiciel malveillant ; - la suppression d’un mode débuggeur du contenu du logiciel malveillant ; - la modification d’une estampille temporelle du contenu du logiciel malveillant ; - la modification d’une valeur de hachage calculée pour un entête optionnel du contenu du logiciel malveillant ; et, - la décompression d’une version exécutable du logiciel malveillant. Programme d’ordinateur comportant des instructions pour la mise en œuvre d’un procédé d’entraînement selon l’une quelconque des revendications 1 à 4, lorsque ledit programme est exécuté par un ordinateur. Support d’enregistrement lisible par un ordinateur sur lequel est enregistré un programme d’ordinateur selon la revendication 5. Procédé d’évaluation de la détectabilité d’un logiciel malveillant par un environnement mettant en œuvre au moins un logiciel anti-logiciel malveillant, le procédé comprenant : - la réception (E200), en provenance d’un agent autonome mettant en œuvre un algorithme d’apprentissage par renforcement, d’une action (a(t)) visant à modifier le contenu du logiciel malveillant ; - la modification (E220) du contenu du logiciel malveillant par application de ladite action (a(t)), de sorte à obtenir un logiciel malveillant modifié ; - l’analyse (E230), par le logiciel anti-logiciel malveillant, du logiciel malveillant modifié ; - et la transmission (E250), à destination de l’agent autonome, d’une récompense r(t+1)) représentative d’une probabilité que le logiciel malveillant modifié par application de l’action sélectionnée (a(t)) soit considéré comme étant bénin par le logiciel anti-logiciel malveillant, et/ou d’un score de détectabilité (p(t+1)) représentatif d’une probabilité que le logiciel malveillant modifié par application de l’action sélectionnée (a(t)) soit considéré comme étant malveillant par le logiciel anti-logiciel malveillant. Procédé d’évaluation selon la revendication 7, comprenant en outre la génération d’une association entre l’action (a(t)), et soit le score (p(t+1)), soit la récompense (r(t+1)) dans une table d’association. Programme d’ordinateur comportant des instructions pour la mise en œuvre d’un procédé d’évaluation selon la revendication 7 ou 8, lorsque ledit programme est exécuté par un ordinateur. Support d’enregistrement lisible par un ordinateur sur lequel est enregistré un programme d’ordinateur selon la revendication 9. Procédé d’entraînement d’un logiciel anti-logiciel malveillant mettant en œuvre un algorithme d’apprentissage, le procédé comprenant : - l’obtention d’une pluralité de logiciels malveillants modifiés conformément à un procédé d’évaluation de la détectabilité d’un logiciel malveillant par un environnement mettant en œuvre au moins un logiciel anti-logiciel malveillant selon la revendication 7, chaque logiciel malveillant de la pluralité ayant un score de détectabilité (p(t+1)) représentatif d’une probabilité que le logiciel malveillant modifié soit considéré comme étant malveillant par le logiciel anti-logiciel malveillant, le score de chaque logiciel malveillant de la pluralité étant inférieur à une valeur définie ; - l’étiquetage desdits logiciels malveillants comme étant malveillants ; et, - l’entraînement du logiciel anti-logiciel malveillant avec les logiciels malveillants étiquetés. Programme d’ordinateur comportant des instructions pour la mise en œuvre d’un procédé d’entraînement selon la revendication 11, lorsque ledit programme est exécuté par un ordinateur. Support d’enregistrement lisible par un ordinateur sur lequel est enregistré un programme d’ordinateur selon la revendication 12. Agent autonome mettant en œuvre un algorithme d’apprentissage par renforcement pour améliorer la performance d’un logiciel anti-logiciel malveillant, l’agent mettant également en œuvre un procédé d’entraînement selon l’une quelconque des revendications 1 à 4. Environnement pour évaluer la détectabilité d’un logiciel malveillant par un logiciel anti-logiciel malveillant, l’environnement mettant en œuvre le procédé d’évaluation selon la revendication 7 ou 8.