Ce projet open source prétend voir à travers vos murs avec un simple signal WiFi

Votre box internet vous regarde — On connaît tous un développeur paranoïaque qui met du scotch sur sa webcam (peut-être même que c'est vous). Bientôt, il devra peut-être aussi se méfier de son routeur.

RuView est un projet open source qui tend à concrétiser un concept qui relevait encore de la science-fiction il y a peu : utiliser les signaux WiFi qui baignent déjà votre appartement pour détecter des silhouettes humaines, estimer des postures corporelles et capter des constantes physiologiques comme le rythme respiratoire ou la fréquence cardiaque — du moins, selon les promesses du projet.

Le tout sans avoir besoin de caméra ni de capteur — et surtout, sans avoir besoin de voir quoi que ce soit.

Quand les ondes WiFi deviennent des yeux

Le principe repose sur une recherche de l’université Carnegie-Mellon publiée fin 2022 sous le nom de "DensePose From WiFi".

L'idée, résumée grossièrement : quand vous bougez dans une pièce, votre corps perturbe les ondes radio émises par votre routeur, et ces perturbations contiennent suffisamment d'informations pour reconstituer votre posture avec une précision surprenante.

L'équipe universitaire derrière ce papier avait alors démontré qu'un réseau de neurones pouvait mapper les signaux WiFi sur ce que DensePose appelle des "UV maps" : des grilles de coordonnées qui couvrent chaque centimètre carré de la surface du corps humain, un peu comme une texture 3D plaquée sur une silhouette. Résultat : une précision de 87,2 % sur les tests, sans la moindre caméra dans la boucle.

RuView reprend ce concept et affirme le pousser vers quelque chose de potentiellement déployable.

Le projet fonctionnerait sur un mesh de 3 à 6 modules ESP32-S3 (soit une quarantaine d'euros pour un setup complet), est censé analyser les micro-variations du signal WiFi (amplitude, phase) sur chacune des fréquences qui composent le canal, et reconstituer en temps réel la posture du corps, le rythme respiratoire et la fréquence cardiaque.

Le tout tournerait en local, sans cloud, sans internet, sur du matériel qui coûte moins cher qu'un casque Bluetooth. Sur le papier, le rapport capacités/prix a de quoi laisser songeur.

Y’a quoi sous le capot ?

Côté technique, le pipeline est écrit en Rust et revendique des performances assez dingues : 54 000 frames par seconde en traitement de signal, soit 810 fois plus rapide que l'implémentation Python d’origine du papier de recherche.

La détection de mouvement descendrait à 186 nanosecondes, et le modèle complet tiendrait dans 55 Ko de mémoire (moins qu'une cartouche de Game Boy) : il tourne directement sur le microcontrôleur ESP32, sans serveur externe.

Le projet embarque 65 modules WebAssembly pour l'edge computing : détection de chutes, analyse de démarche, détection d'intrusion, surveillance respiratoire, et même un module baptisé "ghost hunter” (sait-on jamais 💀).

Sauf que plusieurs développeurs qui ont épluché le repo en détail ont levé les sourcils : certaines variables contenaient des valeurs générées aléatoirement (ce qui suggère que certaines données pourraient être simulées plutôt que mesurées), les poids pré-entraînés sont absents du dépôt, et le tracking de posture n'a jamais été vérifié de manière indépendante. On est loin de la démo DensePose vendue dans le README.

Autrement dit, RuView a tout du projet qui fait rêver sur GitHub (plus de 40 000 étoiles en seulement quelques semaines) mais dont la réalité technique n’est à ce jour pas démontrée publiquement. Plusieurs reviewers le décrivent d'ailleurs comme "plus conceptuel que fonctionnel" en l'état.

Du triage médical à la surveillance de masse

Concept ou pas, la liste des applications envisagées a de quoi donner le tournis : surveillance de personnes âgées sans leur coller un bracelet, détection de survivants sous des décombres après un séisme, automatisation intelligente de la maison qui saurait dans quelle pièce vous vous trouvez, sans capteur de mouvement foireux.

Le projet intègre aussi un module baptisé WiFi-Mat, pensé pour le triage médical en situation de catastrophe, qui serait capable de détecter des respirations à travers 30 cm de béton.

Sauf que voilà. Un système qui "voit" à travers les murs sans caméra et sans consentement visible pose quelques questions que le fichier README n'aborde qu'en surface.

Le paradoxe "privacy-first"

RuView se présente comme "privacy-first" avec un argument recevable : pas de vidéo, pas d'images stockées, pas de reconnaissance faciale.

Techniquement, c'est vrai. Mais franchement, quand votre système peut détecter combien de personnes sont dans une pièce, ce qu'elles font, à quelle vitesse elles respirent et si elles sont debout ou allongées, la notion de vie privée prend une tournure un peu particulière.

La recherche originale de l’université avait d'ailleurs suscité un débat nourri en 2023 : Kaspersky avait publié une analyse tempérée, rappelant que les conditions de laboratoire restent très éloignées d'un déploiement réel. Mais le standard IEEE 802.11bf, qui vise à formaliser les capacités de sensing WiFi, est en cours de finalisation. Ce qui était un exploit de labo en 2022 pourrait devenir une fonctionnalité native de votre prochaine Freebox.

Le vrai point de friction, c'est que contrairement à une caméra de surveillance (visible, identifiable, réglementée par le RGPD), le sensing WiFi est par nature invisible. Pas de LED rouge qui clignote, pas de panneau "vous êtes filmé", juste des ondes radio qui font ce qu'elles ont toujours fait, sauf que maintenant quelqu'un pourrait les consulter.

Un projet à surveiller (dans tous les sens du terme)

RuView n'est pas le premier projet à explorer le WiFi sensing, mais c'est l’un des plus ambitieux sur le papier en open source à ce jour.

Le code est sur GitHub (une démo interactive permet même de visualiser le concept), la documentation est importante, et le coût d'entrée annoncé dérisoire. La vraie question reste de savoir si les capacités annoncées sont réelles ou si on est face à un proof-of-concept très bien marketé qui surfe sur la recherche légitime de l’université Carnegie-Mellon.

Pour les makers et les passionnés d'IoT, c'est un terrain de jeu fascinant, à condition de ne pas prendre le README pour argent comptant. Pour les défenseurs de la vie privée, c'est un signal d'alarme de plus, qu'il fonctionne aujourd'hui ou dans deux ans.

En attendant, la prochaine fois que vous verrez un routeur clignoter, vous saurez qu'il pourrait transmettre autre chose que vos requêtes Netflix.