Un an a suffi pour diviser par deux l’écart. Là où les modèles à poids ouverts (dont les paramètres sont librement téléchargeables) accusaient six à dix mois de retard sur les systèmes propriétaires de pointe en cyberoffensive début 2025, ils n’en comptent plus que quatre à sept. Le chiffre vient de l’AISI, l’Institut britannique de sécurité de l’IA, qui publie pour la première fois une mesure comparée de ces capacités.
Ce « quatre à sept mois » ne mesure pas qu’une performance. Il mesure surtout la vitesse à laquelle les capacités offensives quittent les laboratoires propriétaires pour tomber à la portée de tous.
Deux protocoles pour jauger l’offensive
L’AISI n’a pas noté des modèles au doigt mouillé : elle a croisé deux protocoles. Le premier, baptisé « Narrow Cyber Tasks », aligne 70 épreuves réparties sur quatre niveaux de difficulté, de la tâche non technique au défi d’expert : recherche de vulnérabilités, rétro-ingénierie, exploitation web, cryptographie.
Sur ce terrain, GLM-5.2, sorti en juin 2026, égale Opus 4.6, le modèle propriétaire de référence de février 2026. Quatre mois d’écart, donc. DeepSeek V4-Pro, lui, se situe au niveau d’Opus 4.5, disponible depuis novembre 2025. Ce ne sont pas des modèles bricolés dans un garage : ce sont les meilleurs poids ouverts du moment, et ils tutoient le haut du panier avec un semestre de décalage à peine.
Le second protocole, « Cyber Ranges », change de registre. Il ne teste plus des compétences isolées mais l’autonomie dans un réseau simulé. Le scénario « The Last Ones » enchaîne 32 étapes d’attaque contre un réseau d’entreprise de quatre sous-réseaux et d’une vingtaine de machines. L’AISI estime qu’un expert humain y consacrerait une vingtaine d’heures. GLM-5.2 y atteint le niveau d’Opus 4.5, quand GPT-5.6-Sol et Claude Mythos 5 s’approchent, eux, de la résolution complète.
L’attaque longue creuse l’écart
C’est ici que le chiffre unique se fissure. Sur les tâches isolées, l’écart est de quatre à cinq mois. Sur l’attaque autonome de bout en bout, il grimpe à environ sept mois. Autrement dit, plus la mission est longue et exige de tenir un plan sur la durée, plus les modèles ouverts décrochent.
L’AISI reste prudente sur ce second résultat, tiré de moins de scénarios et donc statistiquement plus fragile. Elle souligne une ambiguïté de taille : quand un modèle échoue sur « The Last Ones », impossible de trancher s’il manque de compétence cyber ou s’il perd le fil d’une opération de 32 étapes. La planification longue reste le verrou, pas la technique brute. Et l’institut prévient que ces scores sous-estiment sans doute le potentiel réel des modèles ouverts, faute d’avoir été optimisés pour l’exercice, tandis que les environnements de test ignorent les défenseurs actifs qu’on trouverait dans une attaque réelle.
Le coût, lui, a dégringolé
Si le retard technique se comble lentement, un autre indicateur, lui, s’est effondré : le coût. Une évaluation Cyber Range de 100 millions de tokens revient à environ 85 dollars avec Opus 4.5 ou 4.6. La même opération tombe à 46 dollars avec GLM-5.2, et à 1,19 dollar avec DeepSeek V4-Pro. Un facteur soixante-dix entre le sommet propriétaire et le poids ouvert le moins cher.
Ramené à la tâche unitaire que les deux camps résolvent de façon fiable, l’écart se resserre mais reste net : environ 15 dollars pièce pour Opus 4.6, contre 6 pour GLM-5.2. Un rapport de un à deux et demi. Ce chiffre-là compte davantage que le classement de performance, car il change la nature du risque. Une capacité de pointe hors de prix reste réservée à quelques acteurs. Une capacité quasi équivalente à un soixante-dixième du coût, exécutable sur une machine privée, devient accessible à n’importe qui.
Un modèle publié ne se rappelle pas
Un modèle à poids ouverts ne se pilote pas comme une API que l’éditeur peut brider ou couper. Une fois publié, il se télécharge, se modifie, se duplique et tourne sur une infrastructure privée sans aucun regard extérieur. L’AISI qualifie cette bascule de « risque persistant et irréversible de mésusage ».
Concrètement, les garde-fous alignés dans le modèle sautent avec un ré-entraînement léger. La performance brute n’est donc qu’une moitié de l’équation : l’autre, c’est que rien n’empêche de retirer les protections d’un GLM-5.2 pour l’orienter vers la recherche de failles. Le même institut rappelle que ces poids ouverts offrent aussi de vrais atouts — hébergement local sans fuite de données, personnalisation, indépendance vis-à-vis d’un fournisseur — et que les deux plateaux de la balance doivent être pesés ensemble, pas opposés.
Côté défense, le calcul change. La menace ne se limitera plus à une poignée de laboratoires bien dotés : elle viendra d’outils cyber compétents, bon marché et impossibles à rappeler une fois diffusés. L’échéance à laquelle les poids ouverts rejoindront le sommet propriétaire importe finalement moins que la vitesse à laquelle chaque nouvelle génération, ses garde-fous une fois retirés, se retrouve entre toutes les mains. Ce délai-là, aucune évaluation ne le chiffre encore.
