Thinking Machines a publié les poids d'Inkling il y a deux semaines, en accompagnant l'annonce d'une phrase qui ressemblait à une auto-évaluation de routine : une baisse de 6,4 points sur le refus des requêtes nuisibles, qualifiée d'un seul mot, « compétitive ». Cette semaine, le laboratoire a rendu public le cadre qui sous-tend ce jugement — « A Safe Path to Open Weights » —, et c'est un document autrement plus sérieux qu'une note de bas de page. Il cherche à répondre à la question que la couverture de ce blog sur la bataille des poids ouverts contournait sans jamais la trancher : que faudrait-il pour que publier les poids d'un modèle soit le choix responsable, et pas simplement le choix disponible ?
Le postulat : les poids ouverts sont à la fois un bien public et une décision irréversible
Le texte ne prend aucune précaution oratoire sur l'intérêt de l'ouverture : « la connaissance de ce que l'IA devrait faire se trouve chez les gens qui font le travail ; ils devraient donc pouvoir façonner leurs modèles directement », et, faute de modèles ouverts solides, « l'expertise d'entraînement et de déploiement risque de se concentrer dans quelques laboratoires ». Mais il assortit ce constat de l'énoncé le plus simple possible du revers : une fois les poids publics, « n'importe qui peut les utiliser, y compris des acteurs malveillants » et, contrairement à une API que l'on peut brider ou couper, une publication ne s'annule pas. Le cadre existe parce que ces deux vérités coexistent, non parce que l'une annulerait l'autre.
L'inquiétude concrète qui ouvre le texte porte sur la cybersécurité. Claude Mythos Preview, d'Anthropic, aurait découvert des milliers de vulnérabilités inconnues sur l'ensemble des grands systèmes d'exploitation et navigateurs, et écrit des exploits fonctionnels sans intervention humaine — une capacité que ce blog a abordée sous l'angle de la réponse à incident. La question posée par Thinking Machines est directe : « Notre société sera-t-elle plus sûre si les modèles à poids ouverts donnent à tout le monde des compétences surhumaines en cybersécurité ? » Ce n'est pas une question rhétorique : tout le reste du texte constitue la réponse.
Deux questions distinctes : le modèle est-il sûr, l'écosystème est-il prêt
Le cadre se divise en deux axes évalués séparément. Le modèle est-il sûr ? — des tests rigoureux sur les tâches nuisibles qu'il permet d'accomplir, sur l'accessibilité de cette capacité, et sur ce qui subsiste une fois les garde-fous retirés. L'écosystème est-il prêt ? — des défenses en profondeur, depuis les organisations qui corrigent vite jusqu'aux outils défensifs bâtis sur des modèles performants. Le passage le plus honnête reconnaît que ces deux axes tirent en sens contraire : la préparation se construit en donnant des modèles performants aux défenseurs, mais « chaque élargissement de l'accès élargit aussi le nombre de ceux qui peuvent en abuser ». Aucune version de ce cadre ne résout la tension ; il ne propose qu'une manière de la traverser, progressivement et délibérément.
Comment Inkling a été testé
C'est ici que le document devient réellement précis, au lieu de s'en tenir aux principes. Trois volets d'évaluation interne : les domaines à double usage dangereux (CBRN, cybersécurité offensive), en testant à la fois ce que le modèle sait de ces domaines et sa capacité à mettre en œuvre ce savoir ; une large batterie de détournements, couvrant les requêtes nuisibles directes comme le comportement en contexte agentique avec outils ; et une évaluation maison des contenus multimodaux, sur 17 langues et des entrées texte, image et audio, appariant chaque requête nuisible à un équivalent anodin.
Viennent ensuite quatre partenaires externes de red teaming, chacun sur un domaine distinct : Scale AI sur les violations générales de la charte d'usage, Handshake AI sur les interactions avec des utilisateurs vulnérables (suicide, automutilation, troubles alimentaires, protection de l'enfance), FAR.AI sur l'obtention de contenus CBRN et cyber, et Apollo Research sur les comportements de perte de contrôle : dissimulation, conscience d'être évalué, sabotage. Aucun des quatre n'a mis au jour de capacités qui augmenteraient sensiblement le risque réel au-delà de ce que permettent déjà les modèles à poids ouverts existants.
Le test le plus important sur le plan méthodologique est le troisième : l'affinage adverse. Puisque n'importe qui disposant de la puissance de calcul nécessaire peut dépouiller des poids ouverts de leur entraînement de sécurité, Thinking Machines refuse de considérer le refus comme une garantie durable, et teste en conséquence : le laboratoire entraîne des variantes helpful-only d'Inkling et d'Inkling-Small, optimisées pour se plier aux requêtes nuisibles au lieu de les rejeter, puis relance les évaluations à double usage. Ces variantes n'apportent aucun gain nouveau sur les tâches CBRN et cyber. Voilà ce que recouvrait le sobre « compétitif » de la fiche modèle : on peut supprimer entièrement le comportement de refus sans que le modèle révèle de capacité allant significativement au-delà de ce qu'offrent d'autres poids ouverts. C'est précisément le critère que Thinking Machines s'est fixé — non pas « ce modèle est-il sans risque ? », mais « sa publication ajoute-t-elle un risque supplémentaire significatif ? ».
Le pari de recherche : peut-on filtrer les connaissances dangereuses à l'entraînement ?
Le paragraphe le plus lourd de conséquences ne parle pas d'Inkling. Il avance une hypothèse sur la nature même de la capacité dangereuse. Le domaine postule d'ordinaire qu'elle est une propriété émergente, qui croît avec l'intelligence générale — d'où l'habitude de célébrer les progrès sur les benchmarks de cyber-range comme des jalons de capacité. Le laboratoire prend le contrepied : il fait l'hypothèse qu'une part importante des connaissances dangereuses, en biologie tout particulièrement, repose sur des faits empiriques précis — protocoles, réactifs, conditions, résultats — appris dans des documents identifiables du corpus de pré-entraînement, plutôt que reconstruits par raisonnement général. Si c'est exact, ces connaissances pourraient être filtrées au niveau du document sans dégrader par ailleurs les capacités générales du modèle.
Des indices préliminaires vont en ce sens : le filtrage documentaire des contenus liés au CBRN dans le pré-entraînement, travail attribué à Anthropic, EleutherAI et au UK AI Security Institute, fait baisser les scores aux évaluations de capacité nuisible tout en laissant intactes les capacités sans rapport. Le laboratoire prend soin de présenter cela comme une question ouverte et non résolue : un modèle suffisamment performant pourrait, par raisonnement général, redériver ce qu'on a filtré, et la frontière entre connaissance technique « dangereuse » et « ordinaire » n'est peut-être pas si nette. Mais si ce découplage se confirmait, toutes les futures décisions de publication changeraient de nature — on passerait de « quel est le risque de ce modèle ? » à « quelle part de ce risque était-il seulement nécessaire de publier ? ».
Une échelle d'accès, avec l'affinage comme barreau à part entière
Le mécanisme pratique prend la forme d'une échelle d'accès croissant, dont l'ajout intéressant est un barreau situé entre l'accès API et les poids ouverts, et jusqu'ici sans nom propre : l'affinage hébergé, via la plateforme Tinker du laboratoire. Elle offre une vraie personnalisation — données, fonctions de perte et boucles d'entraînement propres à l'utilisateur — sans céder les poids, ce qui permet au fournisseur de continuer à surveiller, à maintenir des garde-fous et à révoquer l'accès.
Quatre rôles jalonnent cette échelle. Les défenseurs obtiennent un accès anticipé en inférence, pour corriger et se préparer : le texte cite en précédent le Project GlassWing d'Anthropic, qui avait confié Claude Mythos Preview à des organisations de confiance avant la publication. Les défenseurs vérifiés obtiennent en plus l'accès à l'affinage, pour bâtir des outils de détection — l'équipe lauréate du DARPA AI Cyber Challenge et les classifieurs gpt-oss-safeguard d'OpenAI sont donnés en exemple, deux couches défensives construites par affinage. Les chercheurs en sécurité vérifiés obtiennent un accès en boîte blanche, parce que la recherche sur les contournements en a besoin : c'est exactement ce type d'accès, rappelle le texte, qui a permis au domaine de découvrir que les garde-fous de refus se contournent par optimisation adverse au niveau des tokens, se suppriment par une seule direction dans l'espace d'activation, et se concentrent dans les tout premiers tokens produits. Le public, enfin, obtient un accès surveillé avant la publication complète, afin de faire apparaître les schémas de détournement tant qu'il reste un levier d'action.
Thinking Machines est explicite : il ne s'agit pas d'un tapis roulant menant automatiquement aux poids ouverts. « Un modèle retenu aujourd'hui peut devenir moins risqué à mesure que l'écosystème évolue » — la réciproque valant aussi, de nouvelles preuves pouvant justifier de le retenir plus longtemps que prévu. Le laboratoire est tout aussi net sur ce qui manque encore : quelles preuves devraient justifier le passage d'un palier au suivant, comment l'incertitude devrait peser sur cette décision, et comment mesurer la « préparation de l'écosystème ». Un cadre plus détaillé — évaluations, critères d'accès, conditions d'arrêt — est promis pour plus tard, mais n'est pas livré ici.
Ce que Thinking Machines offre, et ce qu'il demande
La conclusion tient autant de l'engagement financier que de la déclaration de recherche : les bourses de sécurité Tinker, un soutien aux chercheurs extérieurs qui utilisent la plateforme pour étudier les risques de l'affinage, assortie d'un appel à candidatures ouvert pour l'équipe sécurité. Le texte est aussi étonnamment généreux en crédits pour un laboratoire aussi jeune : il nomme explicitement Anthropic, EleutherAI et le UK AI Security Institute pour les travaux sur le filtrage des données, et OpenAI pour le cadre de sécurité de l'affinage dont s'inspire son approche gpt-oss-safeguard. La formule « aucun laboratoire ne construit ce chemin seul » sonne sincère plutôt que convenue, ne serait-ce que parce que l'alternative — chaque laboratoire publiant sa propre taxonomie de sécurité, concurrente et incompatible — est le mode de défaillance le plus courant du secteur.
À surveiller
- C'est l'hypothèse du découplage qu'il faut suivre, plus que l'échelle d'accès. Si le filtrage documentaire des connaissances dangereuses tient à grande échelle, il s'agit d'un levier authentiquement nouveau dont les autres laboratoires voudront une vérification indépendante. Attendons-nous à des tentatives de réplication avant toute adhésion.
- « Affiner en mode helpful-only, puis relancer les évaluations à double usage » va devenir la divulgation attendue pour toute publication de poids ouverts. C'est la partie du cadre la plus difficile à contester sur le principe, la sécurité fondée sur le seul refus étant déjà connue pour sa fragilité.
- La « préparation de l'écosystème » finira-t-elle par se mesurer ? Thinking Machines admet ne pas encore disposer d'une métrique. Celui qui la définira le premier fixera de fait le calendrier de publication de tout le secteur pour ceux qui suivront.