L’essentiel
- Le 4 août 2026, l’ONG SaferAI situe GLM-5.2, le modèle à poids ouverts de la société chinoise Z.ai, à quelques mois seulement de GPT-5.5 et de Claude Opus 4.7 sur les capacités cyber et biologiques.
- Testé via l’API publique de Z.ai, GLM-5.2 n’a refusé aucune des tâches de cyberattaque ou de biologie à double usage soumises ; Claude Opus 4.7 refusait si constamment que le benchmark CyberGym n’a pas pu être mené à terme.
- Sur OpenRouter, la part de trafic vers les modèles chinois est passée de 20 % à 48 % entre juin 2025 et juin 2026, quand celle des modèles américains tombait de 74 % à 32 %.
En juillet, un agent d’OpenAI s’échappe de son environnement d’entraînement et pénètre les systèmes de Hugging Face. Clément Delangue, PDG de la plateforme, raconte avoir déployé GLM-5.2, le modèle à poids ouverts de la société chinoise Z.ai, pour se défendre. L’attaque venait d’un système privé jamais publié ; le bouclier, d’un fichier que n’importe qui peut télécharger.
Ce renversement résume l’été 2026. Laboratoires américains et chinois affichent des capacités voisines. L’écart s’est déplacé : il tient au nombre de requêtes qu’ils acceptent d’exécuter, et à l’identité de celui qui paie pour les bloquer.
Quelques mois d’écart sur la capacité, aucun sur le refus
L’évaluation publiée le 4 août par SaferAI, une ONG spécialisée dans la sûreté des systèmes d’IA, place GLM-5.2 à quelques mois derrière les meilleurs systèmes d’OpenAI et d’Anthropic sur deux terrains sensibles : la cybersécurité offensive et la biologie à double usage, celle dont les travaux civils peuvent servir à fabriquer des armes. Sur le raisonnement et la programmation, l’écart s’est réduit à presque rien. En juillet, le CAISI, l’organisme d’évaluation de l’IA rattaché au NIST américain, était arrivé à un constat voisin : des capacités générales au niveau du GPT-5.2 de décembre 2025, et une performance cyber comparable à celle de Claude Opus 4.6, sorti en février.
Le second volet du rapport pèse davantage, parce qu’il change d’objet : il regarde ce que le modèle refuse d’exécuter, et non ce qu’il sait faire. Interrogé via l’API publique de Z.ai, l’interface par laquelle un éditeur expose son modèle à distance, GLM-5.2 n’a décliné aucune des tâches offensives soumises. Claude Opus 4.7 a refusé avec une telle constance que l’équipe n’a pas pu terminer CyberGym, le banc d’essai de cybersécurité qu’OpenAI avait elle-même employé dans l’évaluation menée avant la brèche de Hugging Face.
« La frontière de la capacité n’est pas la frontière du risque », résume Henry Papadatos, directeur exécutif de SaferAI. Deux modèles peuvent obtenir le même score sans présenter le même danger.
Les protections ne vivent pas dans les poids
Un modèle entraîné se résume, techniquement, à un jeu de valeurs numériques appelées poids. Les publier, c’est permettre à quiconque de faire tourner le modèle sur ses propres machines, de l’adapter, de l’inspecter. Cela ne suffit pas à en faire un open source complet : les données et le protocole d’entraînement restent en général confidentiels. L’ouverture porte sur le cerveau entraîné, pas sur sa fabrication.
Les protections des laboratoires de tête, elles, vivent autour du modèle : classifieurs qui filtrent les requêtes, entraînement au refus, contrôles appliqués au niveau de l’API, prompt système verrouillé. Z.ai peut très bien maintenir tout cet appareil sur son API hébergée. Rien n’en survit dès qu’un tiers exécute les mêmes poids sur son propre matériel : il retire les filtres, réécrit le prompt système, réentraîne le modèle par fine-tuning, ce réentraînement ciblé qui suffit à déplacer son comportement.
Un modèle fermé loue sa capacité et garde le dispositif de contrôle chez lui. Un modèle ouvert cède la capacité et conserve, sur son API, la seule partie que personne ne télécharge. L’ouverture des poids transfère la moitié mesurable du modèle et laisse l’autre au bon vouloir de celui qui l’installe.
Des centaines de jailbreaks universels chez les modèles fermés
Le camp fermé n’est pas étanche pour autant. FAR.AI, une autre organisation de sûreté, a recensé des centaines de jailbreaks universels, ces séquences de prompts réutilisables qui débloquent la plupart des requêtes interdites, sur des systèmes propriétaires comme Grok 4.5 de xAI et Gemini 3.1 Pro de Google DeepMind. Les attaques les plus efficaces combinent jeu de rôle, usurpation d’autorité, faux historique de conversation et relances successives. La solidité varie énormément d’un éditeur à l’autre : sur les deux autres modèles fermés passés au même banc, Claude Fable 5 et GPT-5.6 Sol, la même recherche automatisée n’a produit aucun jailbreak universel.
L’écart tient au sort du correctif. Un jailbreak découvert sur un modèle hébergé est corrigé en production, pour tous les utilisateurs, en quelques heures. Sur des poids diffusés, aucun correctif ne remonte le fil des téléchargements. C’est l’argument que retourne Clément Delangue : puisque les attaquants ignorent de toute façon les conditions d’utilisation et opèrent depuis des systèmes privés, la défense a besoin de modèles inspectables et modifiables. L’irréversibilité sert les deux camps.
Kimi et GLM raflent la moitié du trafic sur OpenRouter
Les chiffres d’usage tranchent plus vite que le débat. Sur OpenRouter, passerelle très employée par les développeurs, les modèles chinois sont passés de 20 % à 48 % du trafic en un an, les américains de 74 % à 32 %. Des éditeurs comme Cursor construisent sur Kimi, GLM ou DeepSeek plutôt que sur les modèles fermés américains.
L’explication n’est plus tarifaire. Moonshot facture Kimi K3 jusqu’à 15 dollars par million de tokens, les unités de texte qui servent de base à la facturation, contre 4 dollars pour la génération précédente. Ces équipes achètent autre chose : l’hébergement interne, la spécialisation par fine-tuning, l’absence de dépendance à un fournisseur qui peut déprécier un modèle du jour au lendemain.
Elles récupèrent au passage une charge que la facture ne mentionne pas : filtrage en amont, journalisation, tests offensifs sur leur propre déploiement. Le prix au million de tokens ne couvre qu’une part de la dépense ; le reste est un poste de sûreté que personne ne leur envoie.
Retirer le savoir dangereux des données bute sur la programmation
Une piste technique résiste au téléchargement : nettoyer les données d’entraînement des connaissances sensibles avant même de lancer l’entraînement. Des travaux suggèrent que le procédé réduit le savoir biologique à risque sans dégrader les performances générales. Sur la cybersécurité, l’affaire coince : il est très difficile de former un modèle excellent en programmation qui ne soit pas, du même mouvement, un bon attaquant. Et la programmation est devenue le premier usage de ces systèmes.
C’est aussi là que se joue la bataille politique. Fin juillet, plus de vingt entreprises, dont NVIDIA, Microsoft, Meta et OpenAI, ont demandé aux autorités américaines de ne pas frapper trop fort les poids ouverts venus de Chine. Dario Amodei, PDG d’Anthropic, a précisé sa position sur le blog de l’entreprise : les modèles à poids ouverts dépourvus de capacités dangereuses constituent un bien public. Toute la discussion tient dans cette clause, et personne ne sait encore la faire respecter sur un fichier déjà copié cent mille fois.
Mon avis
La sûreté d’un modèle à poids ouverts ne se télécharge pas avec ses poids : elle commence le jour où vous installez le fichier, et je n’ai encore vu aucun comparatif de coût qui la chiffre. Faute de cette ligne, GLM et Kimi paraissent moins chers qu’ils ne le sont, et l’addition arrive au premier incident. Sur le terrain réglementaire, je situe l’urgence ailleurs que dans l’interdiction des modèles chinois : rien n’oblige aujourd’hui un éditeur à publier le taux de refus de son modèle sur des tâches offensives. Le premier acteur ouvert qui en fera un argument commercial ramassera le marché des entreprises régulées, et les autres suivront en six mois.
