Anthropic juge GLM-5.3 dangereux pour la cybersécurité et relance le débat sur les modèles ouverts

Fin septembre, Anthropic a publié un rapport dans lequel elle affirme que le modèle GLM-5.3 crée un risque sérieux pour la cybersécurité. Il est rare qu'un des principaux laboratoires désigne publiquement le modèle d'un concurrent comme une menace. Le point de friction est d'ordre formel : GLM-5.3 est un modèle ouvert, c'est-à-dire que ses poids sont téléchargeables. Dans sa rubrique Explains, MIT Technology Review s'appuie sur ce rapport pour traiter une question plus large : les bénéfices des modèles ouverts l'emportent-ils sur les risques qui leur sont associés ?

Une réserve importante. Dans le fragment de l'article dont nous disposons, la formulation de la thèse principale du rapport s'interrompt en plein milieu d'une phrase. Ce qui suit porte donc sur la logique du débat lui-même, et non sur un résumé ligne à ligne du document d'Anthropic.

Ce qui distingue un modèle ouvert d'un modèle fermé

Un modèle fermé, comme Claude ou GPT, s'utilise via une API. Le fournisseur voit les requêtes, peut bloquer les scénarios suspects, mettre à jour ses filtres et couper l'accès aux contrevenants. Avec un modèle ouvert, tout change. Les poids sont chez l'utilisateur, l'exécution se fait sur son propre matériel, et tous les mécanismes de protection peuvent être réentraînés ou supprimés.

C'est là que passe la frontière du risque. Une fois les poids publiés, il est impossible de les retirer. Si l'on découvre plus tard que le modèle aide à automatiser la recherche de vulnérabilités ou l'écriture d'exploits, il n'existe plus de moyen de corriger le problème de façon centralisée. Il ne reste qu'à compter sur des mesures de protection externes.

Ce que les modèles ouverts apportent en échange

Les arguments des partisans de l'ouverture sont concrets, et on ne peut pas les réduire à de l'idéologie :

• Vérifiabilité. Des chercheurs indépendants peuvent étudier le comportement du modèle, y chercher des vulnérabilités et reproduire les résultats. Avec les systèmes fermés, c'est impossible.
• Contrôle sur les données. L'entreprise exécute le modèle à l'intérieur de son périmètre, et ses documents sensibles ne partent pas chez un fournisseur tiers.
• Économie. Le modèle peut être réentraîné pour une tâche précise et exécuté sur ses propres GPU, sans dépendre des tarifs ni des limites des API.
• Concurrence. Les modèles ouverts tirent les prix vers le bas et empêchent le marché de se refermer sur deux ou trois fournisseurs.

S'y ajoute un argument des défenseurs : les outils d'IA sont aussi nécessaires à ceux qui se protègent. Les équipes de sécurité utilisent elles aussi des modèles pour analyser du code, chercher des vulnérabilités et traiter des incidents. Si les modèles ouverts performants disparaissent, ceux qui ont accès aux systèmes fermés et le budget qui va avec en profiteront.

Où l'argument de la menace tient, et où il faiblit

La logique d'Anthropic se comprend : plus un modèle est capable en programmation et en travail avec des agents, plus il est utile pour automatiser des attaques, et sa version ouverte n'offre aucun levier de contrôle. Mais les objections sont elles aussi sérieuses. Pour la plupart des attaques, les acteurs malveillants n'ont pas besoin d'un modèle de pointe : le phishing et les exploits standard fonctionnent depuis longtemps sans lui. Par ailleurs, un laboratoire qui vend lui-même des modèles fermés a intérêt à influencer la manière dont la régulation est formulée. Cela n'invalide pas ses conclusions, mais impose de les vérifier de manière indépendante.

Le débat oppose deux modèles de sécurité différents. L'un repose sur le contrôle d'accès exercé par le fournisseur. L'autre mise sur la transparence et une protection distribuée. Chacun fonctionne bien là où l'autre est plus faible.

Conclusions pratiques

Pour les entreprises, le choix entre modèle ouvert et modèle fermé doit se faire selon la tâche, et non selon l'idéologie. Si le traitement local des données et le réglage fin sont nécessaires, un modèle ouvert convient, mais il faudra alors construire soi-même les filtres, la journalisation des requêtes et la limitation des droits des agents. Si la maîtrise du service et le support du fournisseur comptent davantage, une API fermée est plus judicieuse.

Pour les équipes de sécurité, le rapport d'Anthropic est un signal : il faut dès maintenant intégrer les modèles du niveau de GLM-5.3 au modèle de menaces et y tester ses propres systèmes de défense. Pour les régulateurs, la question reste la même et sans réponse pour l'instant : peut-on limiter les risques là où tout contrôle après publication est impossible, et cela ne risque-t-il pas de nuire aux chercheurs et aux entreprises qui dépendent des poids ouverts ?