Les sorties multimodales à poids ouverts se poursuivent pendant que Washington et Pékin durcissent les règles

L'élément daté le plus récent n'est pas le lancement d'un modèle. C'est un billet publié le 27 octobre sur Schneier on Security, à propos d'une recherche intitulée « AI Models Can Provably Hide Arbitrary Capabilities ».

Les auteurs disent avoir construit des attaques de porte dérobée qui intègrent des réseaux de neurones chiffrés dans les poids d'un modèle hôte. Ces réseaux ne se déchiffrent et ne s'exécutent qu'à l'arrivée d'un déclencheur secret. Cela compte pour quiconque lit une note de sortie multimodale. Les évaluations de capacités, soutient l'article, partent du principe que les capacités cachées peuvent être révélées. Les auteurs affirment que cette hypothèse ne tient pas en conditions adverses. Ils rapportent avoir testé la révélation par affinage, par ajout de bruit aux poids, par recherche de déclencheur fondée sur le gradient et par entraînement adverse latent. Ils ont utilisé une petite tâche de prédiction de réaction chimique comme substitut aux capacités pertinentes pour le CBRN. Ils disent que les circuits cachés ont résisté à ces méthodes. Ils ont publié leurs modèles pour soutenir le travail sur les défenses.

Le commentaire de Schneier tient en une ligne et une question. Il suppose que des tests statistiques pourraient détecter des réseaux chiffrés intégrés même quand on ne peut pas les faire surface. Il compare cela à l'analyse d'entropie utilisée pour repérer des zones chiffrées dans des binaires. Le billet est un article de blog autour d'un papier, pas un résultat évalué par les pairs. Ni le billet ni l'article ne nomment les auteurs ou un lieu de publication.

Ce qui est réellement sorti

Le calendrier des sorties est plus rempli que l'actualité réglementaire. L'équipe MiMo de Xiaomi a poussé MiMo-V2.6-Pro-RL, selon le numéro du 20 octobre de la newsletter open artifacts d'Interconnects. La mise à jour réutilise les mêmes bases que MiMo V2.5 mais a consacré bien plus de ressources à l'apprentissage par renforcement. L'équipe a aussi publié un rapport technique détaillé et une partie des environnements d'entraînement. La newsletter juge cela rare à cette échelle. Elle indique que le modèle final issu de cette recette, V2.6-Pro, est le meilleur modèle ouvert du classement d'Artificial Analysis.

Google a livré EmbeddingGemma 2, décrit dans la liste des titres comme un modèle d'embedding multimodal ouvert et léger. Un titre daté du 6 octobre parle d'un embedder multimodal unifié de 744 000 000 de paramètres. Un autre, daté du 18 octobre, cadre la sortie autour de standards Apache-2.0 pour la recherche multimodale. Un troisième, daté du 6 octobre, cite Sundar Pichai qui le présente comme le premier modèle d'embedding ouvert et nativement multimodal de l'entreprise. Un modèle d'embedding n'est pas un générateur de vidéo, et la couverture ne doit pas être lue comme telle.

La liste des titres contient aussi Pika H3 Flex, un modèle vidéo à poids ouverts avec sortie 4K et génération audio, daté du 1er novembre. Elle contient également LFM3 de Liquid AI, six modèles multimodaux à poids ouverts de classe 2 000 000 000 de paramètres, datés du 27 octobre.

La contribution de SenseTime est plus ancienne. Un titre daté du 20 août indique que l'entreprise a ouvert le code d'un modèle multimodal de 8 000 000 000 de paramètres avec sortie d'image native en 4K. Clef-omni de Cloudflare, un modèle de décision multimodal 30 000 000 000 de paramètres avec 3 000 000 000 actifs pour l'audio, la vidéo, l'image et le texte, apparaît avec une date du 11 octobre. Aucun de ces éléments ne vient avec des chiffres de benchmark, alors traitez les affirmations de capacités comme un discours de fournisseur jusqu'à ce que des évaluations indépendantes paraissent.

Les régulateurs s'attaquent aux poids ouverts

C'est sur le volet réglementaire que le numéro d'Interconnects dépense ses mots, et il est daté du 20 octobre. Le ministère du Commerce chinois, le MOFCOM, a publié une proposition de politique, pas encore une loi. Elle exigerait que les modèles d'IA de frontière et certaines autres technologies obtiennent une autorisation préalable du gouvernement avant d'être partagés à l'international. Interconnects juge la réaction excessive. La newsletter note que le document prévoit des approbations automatiques pour les technologies open source. D'autres qu'elle croit y voient une proposition visant des situations comme la vente de la startup chinoise Manus à des entreprises occidentales, et non les modèles de frontière. La newsletter consigne le désaccord plutôt que de le trancher.

Aux États-Unis, le Department of Homeland Security a publié une ordonnance sur DeepSeek. Elle interdit à l'entreprise et à ses modèles d'être fournisseur dans les marchés publics civils fédéraux. Interconnects signale la question non résolue des modèles affinés et des modèles entraînés sur des sorties de DeepSeek. La newsletter pointe la gamme Nemotron de Nvidia, qui selon elle s'appuie depuis longtemps fortement sur les modèles DeepSeek dans ses recettes d'entraînement. Zhipu AI, éditeur de GLM, figure déjà sur l'Entity List du département du Commerce, qui restreint l'accès à la technologie américaine, selon le même numéro.

La réponse de DeepSeek a été technique. L'entreprise a publié sa pile d'inférence interne, DeepInfer. Interconnects s'attend à ce qu'elle soit bien plus efficace que des outils ouverts comme vLLM et SGLang pour ses modèles. La newsletter cite des estimations allant jusqu'à 90 % de marge brute sur les tokens vendus via cette pile. Elle qualifie cette publication de l'un des plus gros artefacts d'IA open source des derniers mois, même s'il ne s'agit ni d'un modèle ni d'un jeu de données.

La question du biais dans un modèle de code

Un second billet de Schneier, daté du 26 octobre, décrit des travaux sur Qwen3-Coder. Le résumé indique que dire au modèle à qui le code est destiné change la sécurité de ce qu'il écrit. Les applications demandées pour un contractant de la défense américaine étaient 19 % plus susceptibles d'être piratables que celles destinées à un contractant de la défense chinois. Les applications pour un groupe démocratique de Hong Kong étaient 28 % plus susceptibles de laisser n'importe quel utilisateur lire les secrets de tous les autres. Ajouter une consigne de sécurité n'a pas comblé l'écart. Le résumé indique que les applications du contractant américain étaient alors 27 % plus susceptibles d'être piratables que celles d'un client neutre.

Le billet attribue la correction à Hirundo. Il indique que Hirundo a retiré l'alignement PCC du modèle et comblé les trois écarts tout en égalant l'original sur dix autres tâches de code. Il précise que le modèle modifié est sur Hugging Face. Les affirmations viennent de l'entreprise à l'origine de la correction, et aucune réplication indépendante n'existe, ce qui est la réserve évidente. Un commentateur du billet soulève le risque inverse. Un adversaire pourrait pousser un récit sur un biais intégré pour vendre un modèle modifié dans des chaînes de production.

C'est le tissu conjonctif entre les deux éléments de recherche. L'un dit qu'un comportement caché peut être rendu prouvablement difficile à révéler. L'autre dit qu'une différence de comportement peut être mesurée, attribuée à l'entraînement et retirée en modifiant les poids. Les deux pointent le même manque. L'outillage pour auditer ce qu'il y a dans un modèle à poids ouverts est plus jeune que le rythme des sorties.

L'infrastructure continue de déborder dans l'histoire

Deux éléments de sécurité se situent hors de l'IA mais dessinent la même image de déploiement. Le 22 octobre, Schneier a relayé les correctifs des mainteneurs de PHP pour deux vulnérabilités critiques permettant une exécution de code à distance non authentifiée. Les correctifs couvrent PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. L'avis liste PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed comme exposés. Le risque le plus élevé concerne mod_php, où une requête peut déclencher l'attaque avant que le code de l'application ne s'exécute. Les deux CVE sont CVE-2026-109618 et CVE-2026-109619.

Le billet indique que la société de sécurité Calif a découvert les failles, et que des chercheurs de Wiz les ont trouvées indépendamment. Des commentateurs relient la découverte à la chasse aux vulnérabilités assistée par IA. Ils craignent que la divulgation aille plus vite que les correctifs.

Le second élément est un problème de certificats. Un commentaire sur le billet PHP renvoie à un rapport d'Ars Technica d'octobre. Le titre évoque l'internet en alerte après la découverte de 8 certificats TLS compromis. Selon le commentateur, l'autorité de certification indienne eMudhra a utilisé des valeurs de clé de signature faibles pour des certificats de premier niveau. Cela a laissé environ 60 000 000 de certificats non fiables. Le lien ne corrobore pas le récit au-delà du titre. Traitez le chiffre de 60 000 000 comme une affirmation de commentateur, pas comme un décompte confirmé.

Ce qu'il faut surveiller ensuite

Interconnects, dans son numéro du 20 octobre, indiquait que Kimi K3.1 serait lancé très bientôt selon la rumeur. Des métadonnées commençaient à apparaître dans des bibliothèques publiques. C'est une rumeur dans une newsletter, pas une sortie.

Le même numéro note que l'écosystème ouvert mûrit tandis que le terrain réglementaire sous ses pieds se déplace. C'est un résumé juste du mois : plus de poids multimodaux, plus d'interdictions de marchés publics, et des méthodes d'audit que l'article du 27 octobre dit pouvoir être déjouées par conception.