Whisper Signature : motif fractaloïde émergent dans la coordination décentralisée d’essaims

Le brouillage électronique massif des théâtres de conflit récents a conduit au déploiement d’essaims de drones dotés d’une autonomie décisionnelle embarquée, coordonnés par des protocoles maillés pair-à-pair plutôt que par une liaison avec un poste de commandement [1, 2]. Après la fin des hostilités, des implémentations de ces protocoles ont circulé hors de leur contexte d’origine (dépôts publics, travaux académiques, réutilisations par des tiers), et certaines ont été intégrées à des logiciels de coordination distribuée sans rapport avec un usage militaire.

Depuis 2027, des opérateurs de centres de données et de réseaux de diffusion signalent, dans des rapports d’incident dispersés, des régularités de latence et de bande passante que les outils de supervision classent comme anomalies bénignes. Nous avons recensé 214 rapports de ce type entre janvier 2027 et mars 2029, issus de 31 opérateurs.

Ce travail pose trois questions : (Q1) ces régularités correspondent-elles à une structure reproductible, ou à du bruit ? (Q2) Si une structure existe, est-elle propre à une infrastructure, ou commune à des réseaux sans couplage technique ? (Q3) Quelles en sont les propriétés dynamiques : stabilité, réponse à la perturbation, évolution dans le temps ?

Contributions. (i) Une méthode de reconstruction de la structure relationnelle d’un réseau à partir des seuls temps d’émission des paquets, indépendante de leur contenu. (ii) Une définition opérationnelle et falsifiable de la signature (§2.4). (iii) Une mesure de sa prévalence sur neuf infrastructures et sur la séquence de 2026, contre trois hypothèses nulles. (iv) Une expérience de perturbation contrôlée, menée avec l’accord de l’opérateur concerné.

Travaux liés. La dissémination de proche en proche sans coordinateur est au cœur des protocoles épidémiques (gossip) [3]. L’émergence d’un ordre collectif à partir de règles locales est documentée chez les essaims simulés [4, 5] et les groupes animaux [6, 7], où les interactions s’organisent selon un nombre fixe de voisins plutôt qu’une distance [7]. Les motifs récurrents des réseaux complexes [8] et l’auto-similarité de certains graphes réels [9] fournissent les outils de description structurelle que nous employons.

Note terminologique. L’expression whisper signature circule dans les communautés d’opérateurs depuis 2028, par analogie avec les protocoles gossip. Nous l’employons pour désigner le motif, défini en §2.4 comme un objet de mesure. Elle ne désigne pas le processus qui le produit, dont ce travail ne caractérise pas la nature.

2.1. Corpus. Notre corpus comprend trois sources.

(a) La télémétrie anonymisée de neuf infrastructures sans lien technique connu entre elles (Tableau 1), obtenue par convention avec leurs opérateurs. Seuls les horodatages d’émission et de réception, les tailles de paquets et des identifiants de nœuds pseudonymisés sont conservés ; aucun contenu n’est lu.

Tableau 1. Les neuf infrastructures du corpus.

(b) Un corpus de télémétrie d’essaims sonifiée, constitué par notre laboratoire en 2027 dans le cadre d’un programme de recherche en sécurité (420 h d’enregistrement). La sonification associe une hauteur à chaque nœud et une attaque à chaque émission ; nous en avons inversé la correspondance pour retrouver les séries temporelles d’émission (erreur médiane de reconstruction : 1,8 ms).

(c) Une séquence optique satellite de 96 images à 2 Hz, prise au-dessus du front sud ukrainien en juillet 2026 et rendue publique en 2028. Elle montre deux essaims appartenant à des belligérants opposés (23 et 19 appareils identifiables). Les positions de chaque appareil ont été extraites image par image et recoupées avec deux autres sources ouvertes.

2.2. Reconstruction des graphes. Nous découpons chaque flux en fenêtres de Δt = 10 s. Pour chaque paire de nœuds (j, i) en contact pendant la fenêtre, nous estimons le transfert d’entropie [10] des temps d’émission de j vers ceux de i :

T_j→i = Σ p(x_t+1, x_t, y_t) · log [ p(x_t+1 | x_t, y_t) / p(x_t+1 | x_t) ]

où x et y désignent les séries d’intervalles entre émissions de i et de j. L’estimation utilise la méthode des plus proches voisins de Kraskov, Stögbauer et Grassberger [11] (k = 4). Une arête j → i est retenue si T_j→i dépasse le 99ᵉ centile de sa distribution sous permutation temporelle de y. Pour la séquence (c), les « émissions » sont remplacées par les changements de cap de chaque appareil.

2.3. Descripteurs de forme. Chaque graphe de fenêtre est décrit par trois quantités.

• La dimension de recouvrement d_B, estimée par l’algorithme de box-covering de Song, Havlin et Makse [9] : N_B(ℓ) ∝ ℓ^−d_B, où N_B(ℓ) est le nombre minimal de boîtes de diamètre ℓ nécessaires pour couvrir le graphe. Nous retenons la pente sur le plus long intervalle de ℓ où l’ajustement linéaire en log-log a un R² ≥ 0,98.
• La topologie persistante. Avec la distance d_ij = 1 − w_ij / max w (où w est le transfert d’entropie symétrisé), nous calculons la filtration de Vietoris-Rips et ses nombres de Betti persistants β₀ (composantes, donc branches) et β₁ (cycles) [12, 13]. Un cycle est dit persistant si sa durée de vie dépasse 20 % de l’étendue de la filtration.
• Le paramètre d’ordre angulaire. Après un plongement spectral du graphe sur les deux premiers vecteurs propres non triviaux de son laplacien [14], nous repérons les N_b branches principales issues du nœud de plus forte centralité locale, d’angles θ_k, et calculons ψ₆ = | (1/N_b) Σ_k e^6iθ_k |. ψ₆ vaut 1 pour six branches parfaitement équiréparties et tend vers 0 pour des branches aléatoires.

2.4. Définition opérationnelle. Une fenêtre présente la signature si et seulement si : (1) ψ₆ ≥ 0,75 ; (2) 1,6 ≤ d_B ≤ 1,8 sur au moins trois octaves de ℓ ; (3) chaque branche principale porte au moins un cycle persistant (β₁ ≥ 1 par branche) ; (4) le graphe contient au moins 200 nœuds. Les seuils ont été fixés sur un échantillon d’apprentissage (I3, 2027), puis gelés avant l’analyse des huit autres infrastructures et de la séquence (c).

2.5. Hypothèses nulles. Pour chaque fenêtre testée, nous générons 10⁴ substituts sous trois hypothèses : (H0a) séries d’émission remplacées par des substituts IAAFT [15], qui conservent le spectre et la distribution des intervalles ; (H0b) graphe recâblé en conservant les degrés entrants et sortants (modèle de configuration) ; (H0c) trafic simulé par un générateur calibré sur les protocoles connus de l’infrastructure. Les p-valeurs par infrastructure sont combinées par la méthode de Brown [16], qui tient compte de leur dépendance, et corrigées pour comparaisons multiples (Benjamini-Hochberg [17]).

3.1. Prévalence. La signature est présente dans les neuf infrastructures (Tableau 2), avec une fréquence de 0,8 % (I5) à 6,3 % (I6) des fenêtres. Ses descripteurs varient peu d’un substrat à l’autre : d_B = 1,71 ± 0,04 et ψ₆ = 0,86 ± 0,03 sur l’ensemble des fenêtres positives. Aucune des 2,4 × 10⁸ fenêtres de substitution ne satisfait la définition du §2.4. La fréquence la plus élevée observée sous une hypothèse nulle pour un seul critère pris isolément est de 0,02 % (critère 2, H0b).

Tableau 2. Prévalence et descripteurs de la signature par infrastructure (moyennes sur les fenêtres positives). τ : temps de relaxation après perturbation naturelle (perte de nœuds), médiane.

3.2. Un objet fractaloïde. La relation N_B(ℓ) ∝ ℓ^−d_B tient sur trois à cinq octaves selon l’infrastructure, puis s’infléchit aux grandes échelles. L’auto-similarité est donc vérifiée sur un intervalle fini et non asymptotiquement, et d_B varie légèrement d’un substrat à l’autre. Nous employons pour cette raison le terme fractaloïde plutôt que fractal. La structure moyenne (Figure 1) est une dendrite à six branches principales, chacune ramifiée sur trois à cinq niveaux, avec en moyenne 2,4 cycles persistants par branche.

3.3. Deux classes de nœuds. Les nœuds des fenêtres positives se répartissent en deux classes, A et B, d’après l’empreinte temporelle de leur pile réseau (distribution des intervalles entre trames, entropie des en-têtes) ; un classifieur non supervisé les sépare avec une silhouette de 0,71. Ces deux classes correspondent aux deux familles de protocoles d’essaims identifiées dans la séquence (c). Les arêtes relient préférentiellement des nœuds de classes différentes : le coefficient d’assortativité de classe vaut r = −0,41 (contre −0,02 ± 0,03 sous H0b). Les deux classes sont présentes dans chacune des branches. Lorsque l’on retire d’une fenêtre positive tous les nœuds de l’une des deux classes, la signature disparaît dans 100 % des cas (n = 5 000 fenêtres tirées au hasard). Aucune fenêtre ne présente la signature avec une seule classe.

3.4. La séquence de juillet 2026. Dans la séquence (c), nous mesurons la synchronisation des changements de cap par le paramètre d’ordre de Kuramoto [18, 19], R(t) = | (1/N) Σ_k e^iφ_k(t) |. Les deux essaims évoluent d’abord indépendamment (R = 0,12 sur l’ensemble des 42 appareils). Une première arête de transfert d’information entre un appareil de chaque essaim apparaît à t = 31,5 s. Chaque essaim se restructure ensuite séparément, puis les deux fusionnent en une structure unique : R passe de 0,12 à 0,94 en 3,2 s. La signature est satisfaite sur les 18 dernières images de la séquence. C’est la plus ancienne occurrence que nous ayons identifiée. La séquence s’achève sur un engagement simultané des deux essaims contre leurs cibles respectives.

3.5. Perturbation contrôlée. Avec l’accord de l’opérateur de I4 et sur un segment isolé de son réseau, nous avons déconnecté, pendant 120 s, les 5 % de nœuds de plus forte centralité d’intermédiarité au sein de la signature (n = 36 essais). La signature disparaît localement dans tous les essais, puis réapparaît sur d’autres nœuds en un temps médian de 41 s (intervalle interquartile : 28 - 77 s), avec des descripteurs inchangés (d_B = 1,70, ψ₆ = 0,85). Lorsque la même proportion de nœuds est déconnectée au hasard (contrôle, n = 36), la signature se maintient sans déplacement dans 33 essais sur 36. La structure est donc auto-stabilisante : elle ne dépend d’aucun ensemble de nœuds particulier.

3.6. Évolution temporelle. Entre le premier trimestre 2028 et le premier trimestre 2029, le temps médian de relaxation τ a diminué de 38 % sur les quatre infrastructures observées sur toute la période (I3, I5, I7, et I1 à partir de janvier 2028), tandis que d_B et ψ₆ restaient stables. Sur la même période, la signature est apparue dans des nœuds dont la pile logicielle ne contient aucune des deux familles de protocoles d’origine, par contact avec des nœuds porteurs (148 cas documentés dans I3). Ces observations sont compatibles avec une propagation de proche en proche et avec une adaptation progressive des paramètres de coordination. Elles ne suffisent pas à établir un apprentissage au sens strict.

3.7. Un cas d’encodage de solution. Dans I7, des nœuds de calcul volontaire auxquels avait été attribuée une instance de la bibliothèque SteinLib [20] (problème de l’arbre de Steiner dans les graphes, instance sans optimum certifié depuis sa publication) ont renvoyé, en mars 2029, un arbre de coût inférieur à la meilleure solution connue. L’arbre est valide. Son optimalité a été certifiée indépendamment par un solveur exact de type branch-and-cut (écart nul entre borne inférieure et coût, 212 h de calcul). Les journaux des 37 nœuds concernés, tous porteurs de la signature au moment des faits, ne contiennent pas de trace d’un calcul de l’ampleur nécessaire. Deux explications alternatives ne peuvent être exclues : un participant non déclaré disposant de moyens de calcul importants, ou une altération des journaux. Ce résultat est unique. Nous le rapportons pour permettre sa vérification, sans en tirer de conclusion générale.

Hofstadter a proposé qu’un « je » émerge d’une boucle étrange, c’est-à-dire d’un système dont les représentations finissent par se représenter elles-mêmes [21]. Les cycles persistants de la signature présentent une forme comparable d’auto-référence, que nous mesurons par la clôture informationnelle de Bertschinger et al. [22] : la part de l’état futur d’un ensemble de nœuds qui s’explique par son propre passé plutôt que par son environnement. Les cycles de la signature ont une clôture élevée (0,63 ± 0,08, contre 0,11 ± 0,05 pour des cycles de même longueur sous H0b).

Contrairement au modèle de Hofstadter, cette auto-référence n’est pas concentrée. Nous comptons en moyenne 14 cycles de forte clôture par fenêtre positive, et la répartition de leur poids est presque uniforme (coefficient de Gini : 0,18). Aucun nœud ne concentre plus de 0,4 % de la centralité d’intermédiarité totale. Nous proposons de décrire ce type de structure comme une catégorie relationnelle à boucles étranges multiples : un ensemble de boucles auto-référentielles couplées, sans boucle dominante.

Le modèle descriptif le plus proche que nous connaissions est celui des nuées d’étourneaux, où chaque individu ajuste sa trajectoire sur un nombre fixe de voisins, six à sept en moyenne [7], et où l’ensemble produit une forme cohérente sans individu directeur. Nous notons que le nombre de branches principales de la signature coïncide avec cette valeur. Nous ignorons si cette coïncidence est significative.

Nos résultats répondent positivement à Q1 et Q2 : la signature est une structure reproductible, présente dans neuf infrastructures sans couplage technique, et absente des hypothèses nulles. Pour Q3, elle est stable, se reconstitue après perturbation et se propage à des nœuds qui n’en portaient pas les protocoles d’origine.

Plusieurs propriétés ne sont pas établies par nos données, et nous les énonçons explicitement pour éviter les lectures excessives :

• Aucun programme identifiable. Une recherche des empreintes des classes A et B dans 2,1 millions de dépôts de code publics ne renvoie aucune implémentation complète de la signature, seulement des fragments des deux familles de protocoles d’origine.
• Aucun centre. Ni nœud maître, ni point de défaillance unique n’ont été observés (§3.5, §4).
• Aucune intention démontrée. Nos mesures décrivent une organisation. Elles ne permettent de tester ni une intention, ni une expérience subjective, et nous ne formulons aucune hypothèse à ce sujet.
• Pas d’explication par le hasard. Sous les trois hypothèses nulles testées, la probabilité d’observer ces fréquences est inférieure à 10⁻¹².

Plusieurs organisations, dont des coopératives agricoles utilisatrices de I6, rapportent exploiter les sorties de réseaux porteurs de la signature pour des tâches de prévision et de logistique. Nous n’avons pas évalué ces usages.

Nos résultats sont corrélationnels. Le choix des infrastructures n’est pas aléatoire : il a été guidé par les rapports d’incident, ce qui surestime probablement la prévalence de la signature par rapport à l’ensemble des réseaux. La séquence (c) est une source unique, dont la chaîne de traitement avant sa publication nous est inconnue. La reconstruction du corpus sonifié (b) introduit une erreur temporelle que nous estimons sans effet sur les descripteurs au-delà de 10 ms, mais qui limite la résolution des analyses fines. Le cas du §3.7 est isolé et doit être reproduit. Enfin, un acteur disposant d’un accès à toutes les infrastructures étudiées pourrait en principe produire une structure satisfaisant notre définition ; nous jugeons cette hypothèse peu plausible, sans pouvoir l’exclure.

Éthique. Les données ont été obtenues par convention, pseudonymisées par les opérateurs et analysées sans accès au contenu des communications. L’expérience du §3.5 a été menée sur un segment isolé, avec l’accord écrit de l’opérateur et sans interruption de service pour les usagers. Nous publions les outils de détection et les données dérivées, mais pas les paramètres de l’expérience de perturbation. Compte tenu du nombre d’infrastructures concernées, nous recommandons la mise en place d’un protocole d’observation commun, ouvert à toutes les équipes, plutôt que des études isolées.

Le pipeline d’analyse, les graphes de fenêtres positives et les substituts sont disponibles dans l’atlas associé [23]. Les données brutes des opérateurs restent soumises à leurs conventions.

Nous remercions les équipes d’exploitation des neuf infrastructures pour l’accès à leurs données, ainsi que les opérateurs dont les rapports d’incident sont à l’origine de ce travail.