Arbre pondéré, formule des probabilités totales et formule de Bayes

Un arbre pondéré représente une expérience aléatoire en plusieurs étapes : chaque branche porte une probabilité, conditionnelle dès la deuxième étape. On multiplie le long d'un chemin pour obtenir la probabilité d'une intersection, et on additionne les chemins qui mènent au même résultat : c'est la formule des probabilités totales. La formule de Bayes permet ensuite de « remonter » l'arbre, pour calculer la probabilité d'une cause sachant ce qu'on a observé. Ce chapitre applique ces trois outils aux fausses alertes d'un outil de détection, à des disques de plusieurs fournisseurs et à un filtre anti-spam.

Construire un arbre pondéré

Sorbier Logistique ouvre sur Internet l'accès VPN de ses salariés nomades. Son SIEM, Wazuh, analyse chaque tentative de connexion. Une étude des journaux donne trois informations :

• 3 % des tentatives de connexion sont malveillantes (essais automatisés de mots de passe) ;
• la règle de détection lève une alerte pour 95 % des tentatives malveillantes ;
• elle lève aussi une alerte, à tort, pour 2 % des tentatives légitimes (un utilisateur qui se trompe trois fois de mot de passe, par exemple).

On choisit une tentative au hasard et on note M l'événement « la tentative est malveillante » et A l'événement « une alerte est levée ». L'énoncé donne P(M) = 0,03, P_M(A) = 0,95 et P_M̄(A) = 0,02.

L'expérience a deux étapes : la nature de la tentative, puis la réaction de la règle. On dessine un arbre pondéré :

Les règles de construction :

1. Le premier niveau porte les probabilités simples de la première étape : P(M) = 0,03 et P(M̄) = 1 − 0,03 = 0,97.
2. Le deuxième niveau porte des probabilités conditionnelles : sur la branche qui part de M, on écrit P_M(A) et P_M(Ā).
3. La somme des branches qui partent d'un même nœud vaut 1 : 0,95 + 0,05 = 1 et 0,02 + 0,98 = 1. C'est ainsi qu'on complète les branches que l'énoncé ne donne pas.

Lire l'arbre : la probabilité d'un chemin

Un chemin va de la racine à une extrémité de l'arbre (une feuille). Il représente l'intersection des événements qu'il traverse, et sa probabilité est le produit des probabilités des branches : c'est la formule du produit P(M ∩ A) = P(M) × P_M(A) du chapitre 2.

Vérification : 0,0285 + 0,0015 + 0,0194 + 0,9506 = 1. La somme des feuilles vaut toujours 1, puisque les chemins couvrent tous les cas sans se recouvrir.

La formule des probabilités totales

Quelle est la probabilité qu'une tentative déclenche une alerte ? Deux chemins mènent à A : celui qui passe par M et celui qui passe par M̄. Ils sont incompatibles, donc on additionne leurs probabilités :

P(A) = P(M ∩ A) + P(M̄ ∩ A)
     = P(M) × P_M(A) + P(M̄) × P_M̄(A)
     = 0,03 × 0,95 + 0,97 × 0,02
     = 0,0285 + 0,0194
     = 0,0479

Environ 4,8 % des tentatives déclenchent une alerte. C'est la formule des probabilités totales. Elle s'applique dès que les événements de la première étape forment une partition de l'univers : ils sont deux à deux incompatibles, et leur réunion est l'univers (chaque issue tombe dans un et un seul d'entre eux). M et M̄ forment toujours une partition ; avec trois fournisseurs, trois catégories ou trois causes, la partition a trois éléments.

Le programme précise que la formule elle-même n'est pas un attendu, mais que sa mise en œuvre doit être maîtrisée : sur une copie, tu peux te contenter de dire « d'après l'arbre, deux chemins mènent à A » et d'additionner.

Exemple à trois branches. Une entreprise achète ses disques durs à trois fournisseurs. Le fournisseur F₁ livre 50 % des disques, avec 2 % de disques défectueux ; F₂ en livre 30 %, avec 5 % de défectueux ; F₃ en livre 20 %, avec 8 % de défectueux. On note D l'événement « le disque est défectueux ». F₁, F₂ et F₃ forment une partition :

P(D) = 0,50 × 0,02 + 0,30 × 0,05 + 0,20 × 0,08
     = 0,010 + 0,015 + 0,016
     = 0,041

4,1 % des disques achetés sont défectueux.

Remonter l'arbre : la formule de Bayes

Le responsable sécurité reçoit une alerte. Quelle est la probabilité que la tentative soit vraiment malveillante ? Il cherche P_A(M) : la probabilité de la cause M sachant l'effet observé A. L'arbre donne l'inverse, P_M(A). On revient à la définition :

            P(M ∩ A)     0,0285
P_A(M)  =  ——————————  =  ————————  ≈ 0,5950
              P(A)        0,0479

Seulement 59,5 % des alertes signalent une vraie attaque : quatre alertes sur dix sont des fausses alertes, alors que la règle ne se trompe que sur 2 % des connexions légitimes. Ce paradoxe apparent vient de la rareté des attaques : les connexions légitimes sont 32 fois plus nombreuses, et 2 % d'un grand nombre finit par peser presque autant que 95 % d'un petit (194 fausses alertes pour 285 vraies, sur 10 000 tentatives).

Avec un effectif fictif, c'est encore plus clair. Sur 10 000 tentatives, 300 sont malveillantes, dont 285 déclenchent une alerte. Parmi les 9 700 légitimes, 194 déclenchent une alerte. Au total, 479 alertes, dont 285 justifiées : 285 / 479 ≈ 0,595.

Le programme du BTS ne nomme pas la formule de Bayes, mais il cite les « fausses alertes » et le « contrôle qualité » comme situations types : c'est exactement ce calcul, que tu peux toujours mener avec la définition P_A(B) = P(A ∩ B) / P(A).

L'autre question utile : une tentative ne déclenche pas d'alerte ; quelle est la probabilité qu'elle soit malveillante ? P(Ā) = 1 − 0,0479 = 0,9521, et :

P_Ā(M) = P(M ∩ Ā) / P(Ā) = 0,0015 / 0,9521 ≈ 0,0016

Moins de deux tentatives silencieuses sur mille sont des attaques : l'absence d'alerte est très rassurante. Pour un outil de détection, on cherche un compromis entre les faux négatifs (attaques manquées, ici 5 %) et les faux positifs (fausses alertes, ici 2 % des connexions légitimes). Trop de fausses alertes, et les analystes finissent par ne plus les lire ; le cours Wazuh montre comment trier et ajuster les règles.

Bayes avec trois causes. Un disque se révèle défectueux. De quel fournisseur vient-il le plus probablement ?

Le disque vient le plus probablement de F₃, alors que ce fournisseur ne livre que 20 % des disques. Vérification : 0,2439 + 0,3659 + 0,3902 = 1, puisque F₁, F₂ et F₃ forment aussi une partition quand on sait D réalisé.

Le filtre anti-spam bayésien

Les premiers filtres anti-spam efficaces, au début des années 2000, appliquaient la formule de Bayes mot par mot. Sur une messagerie, 40 % des courriels reçus sont des spams (S). Le mot « gratuit » apparaît dans 80 % des spams et dans 10 % des courriels légitimes. On note G l'événement « le courriel contient gratuit ».

P(G)   = 0,40 × 0,80 + 0,60 × 0,10 = 0,32 + 0,06 = 0,38
P_G(S) = 0,32 / 0,38 = 16/19 ≈ 0,8421

Un courriel qui contient « gratuit » est un spam avec une probabilité d'environ 0,84. Un vrai filtre combine des centaines de mots en supposant leurs apparitions indépendantes sachant la classe du courriel : c'est le classifieur bayésien naïf, encore utilisé en apprentissage automatique pour classer des textes. Un exercice ci-dessous en traite un cas à deux mots.

Deux étapes sans remise

Les arbres servent aussi quand la deuxième étape dépend de la première parce que la première a modifié la situation. Une boîte contient 10 disques reconditionnés, dont 2 sont défectueux. Un technicien en prend deux au hasard, l'un après l'autre, sans remettre le premier. On note D₁ et D₂ les événements « le premier (le second) disque est défectueux ».

• P(D₁) = 2/10. Si le premier est défectueux, il reste 1 défectueux sur 9 : P_D₁(D₂) = 1/9.
• Si le premier est bon, il reste 2 défectueux sur 9 : P_D̄₁(D₂) = 2/9.

La probabilité que les deux soient défectueux est 2/10 × 1/9 = 2/90 = 1/45 ≈ 0,0222. La probabilité que le second soit défectueux est, par les probabilités totales, 2/10 × 1/9 + 8/10 × 2/9 = 2/90 + 16/90 = 18/90 = 0,2. Sans surprise, c'est la même chance que pour le premier : sans information sur le premier tirage, le second disque est un disque pris au hasard.

Méthode pour un exercice d'arbre

1. Nomme les événements avec des lettres, et écris les probabilités de l'énoncé avec la bonne notation : « 95 % des tentatives malveillantes déclenchent une alerte » se traduit par P_M(A) = 0,95, pas par P(A) = 0,95.
2. Repère l'ordre des étapes : la première étape est celle dont l'énoncé donne les probabilités simples (ici, la nature de la tentative).
3. Dessine l'arbre et complète chaque nœud pour que la somme fasse 1.
4. Calcule les feuilles dont tu as besoin, en multipliant le long des chemins.
5. Additionne les chemins pour une probabilité totale ; divise un chemin par une probabilité totale pour une probabilité « sachant » l'événement final.
6. Vérifie que chaque résultat est entre 0 et 1, et interprète-le par une phrase.

Exercices