Des auditeurs ont démasqué 7,7 To de « poids d’Anthropic » grâce à 192 millions de correspondances

7,7 To de fichiers, une architecture plausible, des poids proprement répartis en shards et des milliers de téléchargements : tout ressemblait à une fuite majeure chez Anthropic. Pourtant, aucune trace d’un modèle entraîné ne se trouvait à l’intérieur. Les nombres avaient été générés de manière déterministe à partir des noms des tenseurs, ce qui permettait de fabriquer cet immense checkpoint sans entraînement ni accès à l’infrastructure de l’entreprise.

Il ne s’agit pas seulement d’un canular amusant. C’est un excellent test de résistance pour la méthode habituelle d’évaluation des modèles publiés par des tiers : examiner la taille des fichiers, la configuration et les hachages, puis conclure que l’artefact est authentique. Pour les développeurs, la conclusion est désagréable mais utile : un emballage crédible prouve uniquement que son auteur sait produire un emballage crédible.

Comment sept téraoctets se sont transformés en générateur de nombres aléatoires

Le dépôt burner22/numbat sur Hugging Face était présenté comme le checkpoint d’une exécution interne d’Anthropic : environ 14 000 milliards de paramètres, 114 couches, une architecture hybride GDN/MLA, un mélange de 1 224 experts et des poids sur quatre bits. Les calculs concordaient, l’organisation des fichiers semblait cohérente et les sommes de contrôle correspondaient à l’index publié.

La solution s’est révélée presque outrageusement simple. Le chercheur prenait le nom d’un tenseur, calculait son SHA-256, utilisait les huit premiers octets comme seed pour NumPy PCG64, puis générait un tableau de nombres aléatoires suivant une loi normale et présentant la forme requise. Après mise à l’échelle et arrondi, les valeurs obtenues correspondaient au contenu des fichiers.

Prenons un exemple concret. Supposons que le modèle contienne une matrice nommée model.layers.42.mlp.weight. Son nom est converti en hachage, le hachage fournit un nombre servant à initialiser le générateur, et celui-ci recrée à chaque fois la même séquence. Toute personne appliquant la même recette reconstituera les mêmes « poids » : aucun entraînement n’intervient dans le processus.

La recette a d’abord été testée sur 43 tenseurs complets : les 730 368 valeurs correspondaient toutes. L’audit a ensuite été étendu aux matrices sur quatre bits et a obtenu 162 246 496 correspondances de symboles sur 162 246 496. La vérification finale a couvert l’ensemble des fichiers et, selon l’audit publié, confirmé le même mécanisme sur environ 192 millions de symboles FP4. Un tel résultat exclut pratiquement une coïncidence : des poids entraînés ne peuvent pas être intégralement reproduits à partir du seul nom d’un tableau.

Pourquoi les hachages n’ont pas suffi

Dans cette affaire, SHA-256 répondait à une autre question que celle que les observateurs lui attribuaient. Une somme de contrôle peut montrer que le fichier téléchargé est identique à celui de l’auteur. Elle ne prouve pas que le fichier résulte d’un entraînement, appartient à Anthropic ou contient même un modèle fonctionnel.

Il en va de même pour la taille et la cohérence interne. Il est possible de produire des téraoctets de données correctement structurées, de choisir des formes de matrices réalistes et de rédiger une configuration convaincante. Plus l’auteur connaît l’architecture des LLM modernes, plus le décor sera crédible. Même le nom de code numbat pouvait être authentique : il avait déjà été découvert dans des sources de Claude Code ayant fuité. Mais le véritable nom d’un projet ne transforme pas des nombres aléatoires en checkpoint réel.

Cette vérification présente elle aussi une limite. La correspondance avec le générateur démontre l’origine artificielle des poids publiés, mais n’explique pas à elle seule les motivations de l’auteur et ne confirme pas les autres récits entourant le nom numbat. Anthropic n’a pas publiquement confirmé l’origine du dépôt ; rien ne permet donc de le rattacher à l’entreprise au-delà de l’utilisation de sa marque.

Ce que doivent faire les développeurs et les équipes produit

Il n’est pas nécessaire de télécharger les 7,7 To en entier. Pour une vérification initiale, il suffit de récupérer un shard, de sélectionner une grande matrice, de reproduire la recette annoncée et de comparer au moins les symboles de plusieurs millions de valeurs. Si la correspondance est systématique, vous observez la sortie d’un générateur, pas le résultat d’un entraînement.

Les modèles dont dépend un produit doivent satisfaire à un seuil minimal plus strict : signature de l’éditeur, historique de publication vérifiable, documentation de l’entraînement, tests comportementaux indépendants et chaîne d’approvisionnement clairement établie. N’exécutez pas des fichiers inconnus ni du code personnalisé provenant du dépôt uniquement pour mener la vérification : l’analyse du format des poids doit se dérouler dans un environnement isolé.

La principale leçon de cette affaire dépasse ce faux particulier. La taille, de belles métadonnées et des hachages concordants donnent une impression de preuve, mais ils attestent seulement que l’artefact est cohérent avec lui-même. L’authenticité commence lorsqu’un chercheur indépendant peut vérifier la provenance et obtenir un résultat explicable.