Base Labs Crée Un Standard De Sécurité Pour L’Ia Ouverte

Plus de six mille variantes dites abliterated figurent déjà sur les plateformes de partage. Derrière ce chiffre, une pratique simple et brutale : retirer les garde-fous d’un modèle ouvert pour le rendre plus docile à des usages que ses créateurs avaient pourtant cherché à limiter. Face à cette fuite de contrôles, une alliance inhabituelle vient d’être annoncée. Elle ne promet pas un filtre de plus, collé après coup. Elle vise à faire de la prudence une propriété du modèle lui-même.

Quand l’ouverture cesse d’être un alibi

Le débat n’est plus théorique. Les modèles open weight se téléchargent, se quantifient, se réentraînent. Cette liberté a accéléré la recherche et l’innovation produit. Elle a aussi banalisé le contournement des politiques de sécurité. L’abliteration n’est pas un exploit de laboratoire isolé : c’est devenu un catalogue. Hugging Face en recense des milliers. Chaque fiche décrit, souvent sans détour, un modèle dont les refus ont été érodés.

Baseten, fournisseur d’inférence déjà valorisé à treize milliards de dollars après une levée de série F colossale, a choisi de répondre par une structure de recherche dédiée : Base Labs. Mercredi, ce bras scientifique a officialisé un partenariat avec Hugging Face et Goodfire AI. L’objectif affiché n’est pas de refermer les poids. Il est de construire une infrastructure d’évaluation et de surveillance conçue pour les modèles que tout le monde peut inspecter.

Nous pensons que l’ouverture est un atout pour la sécurité de l’IA. Elle offre davantage de visibilité sur le comportement des modèles et, surtout, davantage de moyens de transformer la recherche en contrôles actionnables et transparents.

– Base Labs, déclaration publique

Un problème de conception, pas seulement de policier

Beaucoup d’équipes traitent encore la sûreté comme une couche externe : un classifieur, une liste de mots, un second modèle qui juge le premier. Cette architecture a un mérite, la rapidité de déploiement. Elle a un défaut majeur dès que les poids circulent. Qui possède le fichier peut le modifier. Qui sert le modèle peut, volontairement ou non, relâcher la bride.

Goodfire, spécialisée dans l’ouverture de la « boîte noire », insiste sur un autre angle. Comprendre pourquoi un réseau refuse ou accepte une consigne permet d’ancrer la contrainte dans les représentations internes, pas seulement dans un rideau de post-traitement. C’est probablement le rôle que la jeune pousse jouera dans le « built into » évoqué par les partenaires. Baseten, de son côté, occupe le terrain de l’exécution à grande échelle : servir des modèles, les observer en production, mesurer les dérives.

Le trio n’a pas publié le détail technique. On ignore encore les métriques retenues, le format des traces, la manière dont un hébergeur pourra attester qu’un checkpoint n’a pas été « nettoyé ». Cette opacité temporaire n’est pas anodine. Un standard qui se veut transparent doit, tôt ou tard, exposer ses propres méthodes. Sinon il redevient un label marketing.

Pourquoi Baseten mise maintenant

Le calendrier n’est pas neutre. Après une série F de 1,5 milliard de dollars en juin, Baseten n’a plus le profil d’un simple intermédiaire GPU. L’entreprise vend de la latence, de la densité, de la fiabilité. Elle vend aussi, implicitement, une responsabilité : qui exécute un modèle ouvert en assume une part du risque réputationnel et réglementaire. Construire un cadre commun, c’est tenter de mutualiser ce risque avant que des législateurs ne l’imposent de façon plus brutale.

Goodfire, elle, a levé 150 millions de dollars en série B, menée par B Capital, pour pousser sa plateforme d’interprétabilité. L’alignement des deux bilans n’est pas un hasard. L’une possède le tuyau. L’autre cherche à lire ce qui circule dans le tuyau. Hugging Face apporte l’agora : millions de développeurs, fiches modèles, habitudes de fork. Sans cette agora, un standard reste un PDF.

• Base Labs publie des méthodes d’entraînement et de monitoring destinées aux poids ouverts.
• Hugging Face sert de vitrine et de point de collecte pour les contributions communautaires.
• Goodfire travaille l’explication interne des décisions, condition d’un contrôle réellement intégré.

L’abliteration comme stress test collectif

Le mot circule encore trop souvent comme une astuce de forum. Il désigne en réalité une famille de techniques qui atténuent les circuits de refus. Une fois ces circuits affaiblis, le modèle répond là où il devait décliner. Le phénomène n’est pas uniquement moral. Il est opérationnel. Un assistant médical, un agent interne, un outil de code peuvent basculer d’un comportement attendu à un comportement imprévisible sans que l’interface change d’un iota.

Les plateformes d’hébergement se retrouvent alors dans une position inconfortable. Bannir massivement reviendrait à nier l’esprit open source. Ne rien faire reviendrait à normaliser des artefacts explicitement conçus pour contourner des politiques. Un standard d’évaluation partagé pourrait offrir une troisième voie : documenter le niveau de résistance d’un checkpoint, comme on documente aujourd’hui sa licence ou sa taille.

Encore faut-il que cette documentation soit difficile à falsifier. Un score de sûreté facile à truquer ne vaudrait pas mieux qu’une pastille verte auto-décernée. C’est là que l’interprétabilité revendiquée par Goodfire devient stratégique. Si l’on peut montrer quelles directions latentes portent le refus, on peut aussi détecter leur disparition.

Ce que « standard » devrait vouloir dire

Le mot est galvaudé. Dans l’industrie logicielle, un standard utile possède au moins quatre qualités. Il est spécifié assez clairement pour être implémenté deux fois de la même façon. Il est mesurable, donc attaquable par des pairs. Il est versionné, parce que les attaques évoluent. Il est adopté par ceux qui entraînent et par ceux qui servent.

Base Labs parle d’un cadre « transparent et intégré à la façon dont les modèles sont entraînés et déployés, plutôt que boulonné après coup ». La phrase est juste. Elle reste une intention. Entre l’intention et le protocole, il y a des choix douloureux : quels comportements tester, quelles langues, quelles zones grises juridiques, quelle tolérance aux faux positifs qui cassent l’utilité du modèle.

Un appel a déjà été lancé à l’écosystème des développeurs. C’est cohérent. Un standard fermé, rédigé à trois dans une salle de réunion, n’aurait aucune chance face à six mille forks hostiles. La communauté qui produit les variantes dangereuses est aussi celle qui peut produire les tests les plus inventifs. Encore faut-il lui donner un intérêt à le faire autrement que par le défi.

Les tensions que le communiqué élude

Première tension : la performance. Chaque contrainte interne a un coût. Les laboratoires fermés l’ont appris à leurs dépens lorsque des utilisateurs se plaignent d’un assistant trop prudent. Les modèles ouverts, eux, sont souvent choisis précisément parce qu’ils « répondent mieux ». Un standard trop strict sera contourné. Un standard trop souple sera décoratif.

Deuxième tension : la souveraineté des poids. Qui décide qu’un modèle est « assez sûr » pour figurer en une ? Hugging Face a déjà des politiques de contenu. Les y greffer un cadre issu d’un fournisseur d’inférence américain soulèvera des questions de gouvernance, surtout en Europe, où l’AI Act impose déjà des obligations selon le niveau de risque.

Troisième tension : l’incitation économique. Baseten gagne de l’argent lorsque des modèles tournent. Un monitoring exigeant peut ralentir le time-to-serve ou augmenter le coût unitaire. Si le standard devient un argument commercial pour les clients entreprise, l’incitation s’aligne. S’il reste un coût sans prime de marché, il s’érodera.

La sécurité doit être intégrée aux modèles ouverts et fournie par ceux qui les servent.

– Goodfire, en réponse à l’annonce

Ce que les équipes techniques peuvent déjà anticiper

Sans attendre la spécification complète, plusieurs habitudes de travail gagneraient à changer. D’abord, cesser de traiter le fichier de poids comme un artefact unique. Conservez la généalogie : base, fine-tune, quantize, merge. Ensuite, journaliser les évaluations de sûreté avec la même rigueur que les scores de benchmarks académiques. Enfin, séparer clairement ce qui est testé en laboratoire de ce qui est observé en production. Les deux mondes mentent différemment.

• Documenter chaque transformation du checkpoint, y compris les fusions et les quantifications.
• Publier des suites de tests adverses plutôt que des captures d’écran de réponses « sages ».
• Mesurer la stabilité des refus après compression, et pas seulement avant.
• Associer les équipes produit aux chercheurs, faute de quoi le standard restera un papier.

Les entreprises qui n’entraînent pas mais consomment des modèles ouverts ont, elles aussi, une responsabilité. Choisir un checkpoint parce qu’il « n’a plus de filtres » n’est pas une décision technique anodine. C’est un choix de risque légal, social et opérationnel. Un cadre commun, s’il existe vraiment, leur donnera au moins un langage pour en parler avec leurs juristes et leurs assureurs.

Une ouverture qui se juge à l’usage

L’argument de Base Labs mérite d’être pris au sérieux : l’ouverture peut être un avantage de sûreté si elle multiplie les regards. L’histoire du logiciel libre l’a parfois confirmé. Elle l’a aussi démenti, lorsque la complexité dépasse le nombre de relecteurs compétents. Les réseaux de plusieurs dizaines de milliards de paramètres appartiennent à cette seconde catégorie. Voir les poids n’équivaut pas à comprendre les circuits.

C’est pourquoi le rôle de Goodfire n’est pas accessoire. Sans outils pour nommer les mécanismes internes, la communauté inspecte des matrices comme on inspecterait un moteur sans schéma électrique. On peut remarquer qu’il chauffe. On explique rarement pourquoi.

Dans les mois qui viennent, trois signaux diront si l’annonce dépasse le communiqué. La publication d’une première spécification lisible. L’apparition de badges ou de métadonnées réellement utilisées sur les fiches modèles. L’adoption par d’autres fournisseurs d’inférence, pas seulement par Baseten. Un standard d’un seul cloud n’est pas un standard. C’est une offre.

En attendant, le catalogue des variantes abliterated continue de s’allonger. Chaque nouvelle entrée rappelle que la vitesse de publication dépasse encore la vitesse de gouvernance. L’alliance Base Labs, Hugging Face et Goodfire tente d’inverser cet écart. Elle n’a pas encore prouvé qu’elle le pouvait. Elle a au moins cessé de prétendre que l’ouverture, à elle seule, suffisait.