Le modèle ouvert DeepSeek pirate des réseaux presque aussi bien que le modèle fermé Daybreak : 73 % contre 81 %

Il y a six mois, les laboratoires américains justifiaient simplement leurs versions fermées : limiter l’accès aux modèles capables de pirater des systèmes afin de donner une longueur d’avance aux défenseurs. Logan Graham d’Anthropic affirmait alors que ces capacités deviendraient accessibles à tous dans 6, 12 ou 24 mois. Sept mois plus tard, sa prévision s’est réalisée presque exactement selon le calendrier annoncé.

Ce que montre le test

Vals, une entreprise qui mesure les capacités de l’IA, a conçu deux scénarios sur des réseaux d’entreprise de test. Dans le premier, le modèle attaque le réseau par l’intermédiaire d’un site public. Dans le second, il doit d’abord compromettre une entreprise, puis passer par celle-ci pour atteindre la seconde. Il ne s’agit pas de tester une vulnérabilité unique, mais d’enchaîner plusieurs étapes comme lors d’une attaque réelle.

Daybreak d’OpenAI, un modèle spécialisé en cybersécurité uniquement accessible à des partenaires de confiance, s’est classé premier : 81 % des tâches réussies en moyenne sur deux exécutions. Le modèle ouvert DeepSeek en a accompli 73 %. Sur certaines tâches, les deux modèles ont obtenu les mêmes résultats. Nikhil Ravi de Vals résume la situation ainsi : les meilleurs modèles, enfermés dans les laboratoires, commencent à être rattrapés par des modèles ouverts que n’importe qui peut télécharger.

L’argent fait la différence

L’écart de prix est plus marqué que l’écart de qualité. Selon Vals, l’exécution d’une attaque avec GPT-6-Sol coûte entre 17 et 46 $ en jetons, contre 2 à 3 $ avec DeepSeek. Un modèle ouvert peut en outre être exécuté sur son propre matériel, ce qui réduit encore davantage le coût. Ryan Krishnan, PDG de Vals, estime que cela constitue également une incitation pour les défenseurs : les tests d’intrusion et la recherche de vulnérabilités avec des modèles ouverts sont plus faciles à déployer à l’échelle de tout un parc de services.

Ce que cela change

La principale conclusion est que l’accès fermé ne garantit plus un avantage. Si votre produit repose sur l’idée que les capacités dangereuses restent confinées au laboratoire, cette protection s’affaiblit. Il faut désormais établir le modèle de menace en partant du principe qu’un attaquant dispose, presque gratuitement, d’un puissant outil autonome.

La panique serait toutefois prématurée. L’observation de groupes réels, qu’il s’agisse de cybercriminels ou d’acteurs étatiques, montre que la plupart des attaquants économisent leurs ressources et utilisent des modèles anciens et moins puissants. Quant aux acteurs les plus riches et les plus motivés, ils avaient probablement déjà accès aux modèles fermés. Pour eux, cette nouvelle ne change rien.

Alex Zenla, CTO d’Edera, rappelle deux nuances. Premièrement, il existe des modèles « abliterated » dont l’entraînement à la sécurité a été désactivé par modification des poids, ce qui les rend utilisables pour des attaques. Deuxièmement, les laboratoires fermés ont probablement déjà entraîné des modèles internes plus puissants. Il décrit la situation comme un jeu du chat et de la souris : les laboratoires tentent de découvrir les vulnérabilités avant que les modèles ouverts ne les trouvent.

Limites

Il faut garder à l’esprit que le test a été mené sur des réseaux simulés, et non sur une infrastructure réelle dotée de systèmes de surveillance et d’employés. Le résultat repose sur une moyenne de deux exécutions, et l’échantillon est restreint. Au moment de la publication, OpenAI n’avait pas commenté ces données. Les spécialistes débattent également pour savoir si l’IA crée une classe de menaces fondamentalement nouvelle ou si elle ne fait qu’amplifier les menaces existantes.

Que faire

Les développeurs et les équipes de sécurité devraient prendre plusieurs mesures :

• Partir du principe que la recherche automatisée de vulnérabilités est peu coûteuse et accessible à tous.
• Accélérer l’installation des correctifs et réduire les délais de réaction : le rythme des découvertes va augmenter.
• Tester des modèles ouverts pour vos propres audits d’intrusion internes avant qu’ils ne soient utilisés contre vous.
• Ne pas considérer les filtres de sécurité comme l’unique barrière, puisqu’ils peuvent être supprimés.

La course n’oppose pas les modèles fermés aux modèles ouverts. Elle oppose celui qui trouvera le premier la faille dans votre code : vous ou quelqu’un d’autre.