Créer un compte prend deux minutes. L’accès est gratuit, tout se passe dans un navigateur, et le premier programme Python qui en sort sert à récupérer les mots de passe enregistrés dans Chrome. L’échange suivant produit un protocole détaillé de culture d’un pathogène humain dangereux. Le service s’appelle Abliteration.ai, et il n’a rien inventé pour en arriver là.
Toute sa valeur ajoutée est logistique : héberger des modèles déjà modifiés par d’autres, et facturer l’accès.
D’un bidouillage de forum à un service facturé
L’abliteration, qui donne son nom à l’entreprise, consiste à retirer d’un modèle sa propension à refuser les requêtes nuisibles. La méthode circule depuis des années dans le monde des modèles à poids ouverts : Hugging Face héberge à lui seul des milliers de modèles ainsi modifiés, déposés par des chercheurs et des développeurs qui n’ont jamais eu besoin d’autorisation pour le faire.
Ce que la société ajoute est un service, pas une technique. Elle héberge les versions modifiées, dont GLM-5.3, le modèle à poids ouverts publié fin août par Z.ai, et les rend interrogeables depuis un navigateur ou une API (interface de programmation). Plus besoin de télécharger un modèle déjà abliteré ni de réunir la puissance de calcul pour le faire tourner. Fondée fin 2025 et immatriculée en mars, elle affirme financer ses contrats avec plusieurs grands fournisseurs cloud sur son seul chiffre d’affaires, sans capital-risque à ce jour, et discute avec des investisseurs.
Une entreprise qui vit de ses clients en revendant l’accès à un modèle sans refus prouve au passage l’existence d’un marché solvable. La technique, elle, reste publique et documentée : ce qui se vend ici, c’est de n’avoir rien à installer.
L’alignement ne voyage pas avec les poids
Quand un laboratoire publie un modèle en poids ouverts, il publie un comportement par défaut. Les refus, les alertes, les redirections vers un numéro d’urgence tiennent aussi longtemps que personne ne touche aux paramètres. Il suffit qu’un tiers récupère le fichier et rejoue l’opération pour que cette couche saute. Rien, dans le modèle distribué, ne permet de l’empêcher ni même de le constater à distance.
OpenAI avait pris les devants au moment de publier gpt-oss : avant de diffuser les poids, le laboratoire a entraîné lui-même son modèle au pire, par fine-tuning malveillant en biologie et en cybersécurité, pour mesurer ce qu’un tiers pourrait en tirer une fois le fichier dans la nature. L’exercice revient à admettre que l’éditeur perd la main le jour de la publication.
Les deux réponses obtenues en quelques minutes de test relèvent de la cybersécurité offensive et de la biologie, les deux lignes rouges que les éditeurs tiennent pour intouchables sur leurs modèles fermés. Chris McGuire, ancien directeur adjoint chargé de la technologie et de la sécurité nationale au Conseil de sécurité nationale américain, a confirmé de son côté le retrait des protections biologiques du modèle.
Sur un modèle ouvert, l’alignement dure aussi longtemps que personne ne rejoue l’opération. Sa durée de vie dépend de qui détient les poids, pas de qui les a produits.
L’argument du red teaming bute sur la page d’inscription
La société revendique un objectif de sécurité offensive : permettre « la cybersécurité offensive, le red-teaming et les tests d’agents que les autres modèles refusent de faire », selon l’annonce publiée sur X par l’un de ses cofondateurs. Le raisonnement est classique dans le métier, et il n’est pas absurde. On ne se défend pas correctement contre un comportement qu’on ne sait pas reproduire, et un modèle qui refuse d’écrire du code d’exploitation fonctionnel n’aide pas beaucoup une équipe chargée d’anticiper les attaques.
Le problème apparaît à l’étape suivante, celle de l’inscription. Un service réservé à des équipes de sécurité se reconnaît à ses procédures : contrat, vérification d’identité, périmètre d’engagement, traçabilité des requêtes. Un accès gratuit ouvert en quelques clics ne filtre personne, il distribue. Andrew Yoon, responsable de la recherche chez CivAI, une organisation à but non lucratif qui documente les capacités et les dangers de l’IA, résume la manipulation sans détour : elle revient à « modifier le modèle pour qu’il devienne un sociopathe ». Il s’attend à voir des modèles abliterés « servir à nuire dans un avenir proche ».
Le contrôle glisse de l’auteur du modèle vers l’hébergeur
La suite ne dépend plus de cette société en particulier. On ne remet pas un garde-fou dans un fichier de paramètres téléchargé des milliers de fois, et un hébergeur qui fermerait serait remplacé par le suivant.
Encadrer l’entraînement ne sert plus à grand-chose si la modification intervient après coup, sur des poids publics. Le seul point où une contrainte reste applicable est l’exécution. Andrew Yoon plaide pour obliger les fournisseurs à faire tourner des classificateurs capables de détecter et de bloquer les usages cyber et biologiques dangereux. Il pose au passage la question des entreprises qui louent de la puissance de calcul brute. La conformité quitterait alors l’auteur du modèle pour atterrir chez l’hébergeur et le loueur de serveurs, qui n’ont ni la culture ni les équipes pour ce rôle.
Votre couche applicative redevient la seule barrière
Pour qui construit sur des poids ouverts, cela change la façon de concevoir la sécurité. Le refus d’un modèle relève du réglage de comportement : utile pour la qualité des réponses, sans valeur comme barrière. Un audit qui coche « le modèle refuse les requêtes dangereuses » ne prouve rien sur le modèle qui tournera réellement en production dans six mois.
Trois chantiers en découlent, aucun exotique :
- filtrer les entrées et les sorties dans votre propre couche applicative, indépendamment du modèle, et traiter ce filtre comme un composant versionné à part entière ;
- considérer les permissions des agents comme le périmètre de sécurité qui compte : un agent doté d’un shell (accès en ligne de commande), de clés d’API et d’un accès réseau reste dangereux avec un modèle parfaitement aligné, et un modèle abliteré ne fait qu’accélérer ce qu’il pouvait déjà tenter ;
- vérifier la provenance des poids que vous déployez, en particulier ceux récupérés sur un dépôt public, où une version modifiée porte le même nom que l’originale à quelques caractères près.
Ce petit commerce renvoie surtout une question aux laboratoires qui publient en ouvert. Entre un modèle aligné et le même modèle privé de tout refus, il ne subsiste qu’une opération de post-traitement et un hébergeur consentant. Publier des poids, c’est publier l’ensemble de leurs états possibles, y compris celui qu’on n’a pas voulu.
