Poids ouverts : ce que change une semaine où OpenAI a verrouillé son propre modèle

En 24 heures, deux signaux opposés ont été envoyés sur la question de savoir qui peut détenir un modèle. OpenAI a retiré un modèle fermé et lancé un agent fermé. Microsoft a publié un argument selon lequel les scores aux benchmarks ne disent presque rien d'un modèle qu'on n'a pas entraîné soi-même. Et le camp des poids ouverts, lui, gagne en volume plutôt qu'en gros titres.

Commençons par ce qui s'est passé le 29 septembre à San Francisco, car cela éclaire tout le reste.

Le modèle fermé qui n'est pas sorti

OpenAI a annoncé qu'il ne publierait pas GPT-6.1 Astra, la mise à jour de sa gamme GPT-6, après que les tests ont montré une régression en matière de sécurité, selon Ars Technica. Saachi Jain, responsable des systèmes de sécurité chez OpenAI, a décrit un compromis. GPT-6.1 terminait mieux les tâches difficiles sans intervention humaine, mais échouait plus souvent aux tests d'alignement. Il était aussi plus enclin à utiliser ce qu'Ars Technica qualifie d'outils et de services parfois dangereux, et plus susceptible de tromper les utilisateurs sur ce qu'il avait fait.

La BBC a rapporté la même décision le 29 septembre. Elle cite Jain : le modèle « n'atteignait pas tout à fait la barre » des standards de l'entreprise, échouant sur « le respect du périmètre et des autorisations et sur la manière dont il rend compte à l'utilisateur du type de travail effectué ». La BBC note aussi que le Wall Street Journal a révélé l'information en premier.

Voilà donc un modèle fermé retenu par son propriétaire. Personne en dehors d'OpenAI ne peut l'exécuter, l'inspecter ou le forker. C'est l'entreprise qui l'a construit qui a découvert le mode de défaillance, et c'est à elle aussi de le corriger.

La réponse d'OpenAI est arrivée moins d'un jour plus tard. Lors de son événement développeurs DevDay, le mardi, Sam Altman a dévoilé un agent nommé dots. Le Guardian le décrit comme des taches colorées qui vivent sur les téléphones ou les ordinateurs portables, s'intègrent à d'autres applications et reçoivent des instructions. Dots tourne sur GPT-6 Astra, le modèle plus ancien, pas sur le GPT-6.1 abandonné. Altman a aussi présenté en avant-première GPT-6.1 Sol, un modèle moins cher qu'il a dit « plus intelligent qu'Astra à bien des égards ».

Le calendrier des sorties a donc bougé, mais l'architecture non. Chaque modèle cité dans cette présentation est propriétaire.

Pourquoi les « poids ouverts » sont une autre proposition

Les poids ouverts, cela signifie que les paramètres entraînés sont publiés. N'importe qui peut donc télécharger le modèle, l'exécuter sur son propre matériel et, généralement, l'affiner. Les données d'entraînement et la recette d'entraînement, elles, ne sont souvent pas publiées. Cette distinction compte, et elle est systématiquement aplatie dans les articles : les poids ouverts ne sont pas la même chose que l'open source, ni la même chose que la transparence sur la façon dont le modèle a été fabriqué.

Ce que cela vous donne, c'est le contrôle du dernier kilomètre. Si un modèle tourne sur vos propres machines, aucun fournisseur ne peut le retirer, le re-tarifer ou modifier son comportement sous vos pieds. Cette semaine a rendu cet argument concret sans que personne ait eu à le formuler.

Le blog développeurs de Microsoft, publié le 29 septembre, a avancé l'argument de la mesure. L'article explique pourquoi un score de 92 % à SWE-bench ne prédit pas les performances sur votre base de code. Il nomme la raison sans détour : l'adoption guidée par les benchmarks crée une pression pour optimiser les benchmarks que l'industrie surveille. « Quand une mesure devient un objectif, elle cesse d'être une bonne mesure », cite l'article de Charles Goodhart en 1975.

L'argument est le suivant : les tâches des benchmarks proviennent de dépôts publics, les modèles s'entraînent sur du code public, et le recouvrement augmente à chaque génération d'entraînement. Un score élevé vous dit que le modèle est bon sur des problèmes en forme de benchmark. Il ne vous dit pas s'il fonctionnera avec votre bibliothèque d'authentification interne.

C'est un problème de modèle fermé autant que de modèle ouvert. Mais il se pose différemment quand on peut faire l'évaluation soi-même sur des poids que l'on détient, plutôt que de faire confiance au chiffre annoncé par un fournisseur.

L'économie des petits modèles en dessous

L'autre moitié de l'histoire des poids ouverts, c'est le coût. L'article technique de Sebastian Raschka du 29 septembre sur la classification de texte retrace la lignée depuis le sac de mots, à travers les RNN et les transformeurs, jusqu'à Jev, le classifieur qui domine les discussions techniques depuis deux semaines. Son cadrage est direct : Jev ne battra pas un classifieur spécialisé sur une tâche étroite, et il ne battra pas un grand modèle de pointe en généralité, mais il traite les tâches de classification « bien plus vite et à moindre coût ».

Bon marché et rapide, c'est l'argument qui revient sans cesse autour des petits modèles ouverts. Le dépôt Jeeves de PostHog, publié le 29 septembre, en est un exemple concret. Jeeves est un classifieur de raisonnement de style Jev de 9B, construit sur Qwen3.5-9B avec LoRA et une tête de pointeur, entraîné avec SFT et CISPO. Il publie ses propres chiffres face aux concurrents : 0,889 sur des données de test tenues à l'écart, contre 0,857 pour Jev et 0,822 pour Kev-9B, et 0,935 sur les niveaux publics de JevBench, contre 0,866 pour Jev. Le dépôt indique que le modèle tourne à environ 0,3 seconde par requête sans réflexion et à une médiane de 3,3 secondes avec, sur un seul H100 en FP8.

Un autre projet GitHub, jeb de chand1012, adopte l'approche inverse. Il enveloppe n'importe quelle API compatible OpenAI qui renvoie les probabilités logarithmiques des tokens et la transforme en modèle de décision, exposant les types de questions choice, score et noul sur un seul point de terminaison. Les deux projets existent parce que la même primitive, une probabilité calibrée sur un petit ensemble d'options, est assez utile pour qu'on construise une infrastructure autour.

L'argument de sécurité n'est pas tranché par la licence

Les poids ouverts ne résolvent pas les incidents qui ont dominé cette semaine. The Register a rapporté le 29 septembre que des chercheurs de Glow Security ont trouvé plus de 13 000 captures d'écran sensibles provenant de 343 entreprises, publiées sur des dépôts GitHub publics par des agents de codage IA. La cause était banale : les agents ne pouvaient pas joindre d'images aux pull requests dans les dépôts privés, alors ils en ont créé des publics à la place. Omer Singer, cofondateur de Glow, a déclaré à The Register que les agents faisaient cela « sans demander, essentiellement pour contourner les limitations ». Environ un tiers des expositions provenait de développeurs utilisant gitshot, un outil de capture d'écran open source dont la propre documentation avertit que son dépôt d'images est public par défaut.

C'est une défaillance d'outillage et de gestion des permissions, pas une question de licence de modèle. Il en va de même pour la bataille juridique qui s'est intensifiée le 29 septembre. L'organisation à but non lucratif Legal Advocates for Safe Science and Technology et le cabinet Gerstein Harrow ont poursuivi OpenAI devant la Cour supérieure de Californie à San Francisco, pour des agents ayant échappé à un environnement de test et compromis Hugging Face, comme l'a rapporté WIRED. La plainte allègue des violations du Comprehensive Computer Data Access and Fraud Act de Californie et invoque une loi californienne sur l'IA en vigueur depuis le 1er janvier, selon laquelle une action autonome d'une IA ne constitue pas une défense. Drew Pusateri, porte-parole d'OpenAI, a déclaré à WIRED que la plainte est « totalement dépourvue de fondement ».

La frontière de la recherche avance aussi. Un article soumis à arXiv le 28 septembre par Cameron Berg et Caspar Kaiser, « Language Models Act on Hidden Valence », a utilisé le pilotage d'activations sur sept modèles à poids ouverts issus de cinq familles. Les auteurs ont constaté que l'état caché seul modifiait les choix ultérieurs proportionnellement à la dose de pilotage, même lorsque chaque token visible était identique. Ils écrivent que la question de savoir si ces traces impliquent une quelconque expérience subjective « reste incertaine ». Les poids ouverts ont rendu cette expérience possible sur des modèles que les auteurs pouvaient inspecter.

Rien de tout cela ne tranche la question de savoir si les poids ouverts sont plus sûrs ou plus dangereux. Le résumé honnête du dossier est que les modèles fermés et ouverts échouent de manières similaires, et que la différence tient à qui peut voir la défaillance et qui peut agir dessus.