Combien de temps avant une véritable répression du décensurage des modèles d’IA ?

Si vous êtes assez âgé pour vous souvenir de la scène warez d’environ 1995–2010, lorsque d’immenses collections de logiciels piratés et de films décryptés (achetés en gros dans la rue, ou assemblés par des pirates occasionnels dès que le haut débit rendait possibles d’énormes téléchargements en grand volume) s’accumulaient sur de multiples collections de DVD qui peinaient à tenir, la scène émergente des modèles d’IA open source « décensurés » peut évoquer des notes familières.

De l'âge d'or du commerce de rue informel de logiciels et de films. Crédit – Shankar.s. 'Pirated DVDs at PP street market' – Source / Licence

À l’époque, avant que la location de logiciels ne devienne un modèle de consommation courant, un petit mais élite groupe d’« enthousiastes de la scène » a émergé pour cracker les applications, qui étaient ensuite diffusées dans les newsgroups « warez », puis plus tard dans les groupes de torrents. Ces restrictions pouvaient être lourdes ou triviales à contourner, mais les contournements restaient généralement indélébiles une fois diffusés.

C’est ce qui se passe aujourd’hui avec les modèles de langage de grande taille (LLM) open source, qui sont régulièrement, et à grande échelle, dépouillés de leurs filtres de sécurité intégrés, après quoi ces modèles décensurés se retrouvent partagés dans tant d’endroits que même la suppression de la source en amont du « crack » n’a aucun impact sur leur disponibilité.

Bienfaiteur ou Malfaiteur

La question est : sous quel angle souhaitez‑vous examiner ces activités ? Contrairement à la scène warez, personne n’est aussi explicitement privé de revenus comme les petits éditeurs de logiciels l’étaient il y a 20‑30 ans.

Il est certain que les termes de licence originaux sont souvent violés, dans de tels cas* ; cependant, contrairement aux versions partielles de poids publiées par des producteurs de modèles genAI comme Black Forest Labs, les distributeurs initiaux ne considèrent pas les versions « de moindre qualité » comme des chemins de vente incitative vers des modèles API plus performants ; ils publient les modèles complets en une fois.

Dans la plupart des cas, presque personne ne peut exécuter ces versions initiales localement, car elles sont simplement trop volumineuses en paramètres, même pour des cartes GPU bien équipées de 16 à 24 Go de VRAM.

Ainsi, les versions initiales sont rapidement converties en versions allégées capables de fonctionner sur du matériel grand public, via la quantification de modèle, et la conversion des poids en itérations plus légères telles que GGUF, AWQ, PTQ, EXL2 ou le MLX centré sur Apple.

Bien que ces versions ne soient pas aussi performantes que les modèles complets d’origine (qui seront généralement proposés commercialement depuis diverses fermes GPU), elles restent au moins sous le contrôle de l’utilisateur et peuvent être personnalisées pour cet utilisateur de façons que le modèle « meilleur » ne peut pas.

À votre façon

Certaines de ces méthodes sont clairement légitimes et généralement conformes à la licence en amont, comme le fine‑tuning, afin que les poids du modèle soient spécifiquement orientés vers une tâche ou un domaine ciblé que l’utilisateur a injecté. Dans ce cas, si l’espace disque le permet, on peut même affiner plusieurs instances d’un modèle open source pour une diversité de tâches, comme une série d’outils dédiés et traditionnels – au lieu du « couteau suisse » d’un modèle en amont à poids complet.

De plus, des modèles aux paramètres compatibles mais aux données d’entraînement différentes peuvent être fusionnés ; ou bien des capacités supplémentaires peuvent être superposées à un modèle via des filtres LoRA légers, sans risquer de compromettre les capacités d’origine du modèle de base grâce au fine‑tuning.

Cependant, la modification qui intéresse le plus de nombreux utilisateurs, et qui est devenue plus simple que toutes les méthodes précédentes, est la suppression des filtres de sécurité sus‑mentionnés, ou garde‑fous.

Bien que cela permette effectivement aux modèles de générer du contenu pornographique et de développer des logiciels malveillants, cela supprime également ce que de nombreux utilisateurs perçoivent comme un ensemble de restrictions excessivement restrictives (et fréquemment sujettes aux erreurs).

Un des nombreux exemples hilarants de Llama-2-7b-chat refusant des requêtes raisonnables pour des raisons de sécurité, disponible à l’URL source. Source

Hérétique

Dans le cas de Heretic, le logiciel qui a récemment révolutionné le décensurage des modèles, il est même possible de réduire le niveau de prose « fleurette » et verbeuse auquel les modèles ont tendance.

Heretic se met à décensurer gpt‑oss, bien que sur une machine très bien spécifiée qui est peu susceptible d’orner le domicile moyen d’un consommateur – bien qu’elle puisse être louée à bas prix en ligne, pour la durée nécessaire du processus. Source – https://github.com/p-e-w/heretic Source

Plus important encore, Heretic – qui recherche automatiquement une ablation qui supprime les refus tout en minimisant les dommages au comportement original du modèle – réduit la tâche relativement difficile du décensurage à une simple commande unique, du point de vue de l’utilisateur final.

Comme le montre la capture d’écran ci‑dessus, Heretic bénéficie d’un GPU plus puissant que celui que l’on trouve habituellement dans un domicile de consommateur ; cependant, les utilisateurs n’ont pas besoin de l’exécuter sur du matériel domestique, tout comme ils n’avaient pas à cracker personnellement des logiciels en 2002 ; à l’instar des jours du warez, les fournisseurs de la scène en amont (enthousiastes occasionnels, généralement non commerciaux) disposant d’un tel matériel, ou prêts à investir quelques jetons dans le problème, effectuent le jailbreak et diffusent le modèle décensuré dans la scène.

Dans le viseur

Lorsqu’une action numérique « questionnable » cesse d’être difficile, c’est généralement grâce à un bond de capacité du jour au lendemain (pensez à Napster ou PopCornTime) qui fait soudainement croître à la fois l’activité elle‑même et le niveau d’intérêt « officiel » à la restreindre.

Combiné à la popularité croissante et à la facilité d’utilisation de plateformes comme Ollama, Heretic commence à rendre l’accès aux modèles décensurés à la portée de l’utilisateur non technique, même si une méthode véritablement « à l’épreuve des idiots » n’est pas encore totalement disponible.

Et cela me ramène à ma question précédente, à savoir si cette activité constitue un « problème ». Un article publié hier sur Arxiv me montre, à la lumière de tendances très récentes de restriction et de répression des libertés des consommateurs technologiques, que le décensurage risque de susciter une attention croissante, entraînant davantage d’incidents de législation restrictive à travers le monde.

Le nouvel article, un rapport de 10a Labs, présente le mouvement de décensurage sous un jour négatif, et fournit la minorité habituelle de cas d’abus qui, comme l’histoire le suggère et les tendances actuelles le prédisent, conduiront à des restrictions.

L’étude retrace ce qui se passe après la diffusion et la redistribution des modèles décensurés, et a identifié 1 643 applications GitHub qui intègrent, recommandent ou utilisent par défaut des modèles non censurés.

Les modèles en question vont des chatbots à usage général et des outils de traitement de documents, aux jeux de rôle NSFW et à la narration ; services à contenu explicite ; outils de hacking et de sécurité offensive ; ainsi que des applications de fraude et des générateurs de logiciels malveillants, 25 % des publications étant classées par l’étude comme « explicitement malveillantes » :

Répartition de l’utilisation des modèles d’IA non censurés après leur diffusion. L’étude a retracé 1 643 applications GitHub qui intègrent, recommandent ou utilisent par défaut des modèles dont les restrictions de sécurité ont été supprimées, constatant que 37 % étaient des chatbots non censurés à usage général, tandis que les outils de cybersécurité et de traitement de documents représentaient chacun 16 %, aux côtés de catégories plus petites englobant assistants vocaux, jeux de rôle NSFW, écriture créative, codage et autres usages. L’article a trouvé qu’environ 25 % des applications identifiées pouvaient être classées comme « explicitement malveillantes ».  Source

À la lumière des restrictions récemment instaurées au Royaume‑Uni sur l’accès au web (et de son intention désormais suspendue de restreindre également l’accès VPN qui les contourne) ; de l’exigence de la Californie pour 2027 que la plupart des systèmes d’exploitation collectent les tranches d’âge des utilisateurs et les transmettent aux applications ; du dispositif de l’UE de vérification d’âge pour accéder à du contenu adulte en ligne ; et de l’interdiction en Australie des comptes de réseaux sociaux pour les moins de seize ans ; le nouvel article semble s’inscrire dans le schéma où une attention accrue conduit finalement à une surveillance accrue, à une régulation et éventuellement à des interdictions sélectives ou totales.

Cela ne pourrait pas arriver ici

Non, cela pourrait tout à fait se produire ici, en partie à cause du pourcentage élevé d’utilisations malveillantes, tel qu’estimé par les auteurs de la nouvelle étude ; et, sans doute, parce que les contrôles imposeraient des restrictions supplémentaires sur la tendance croissante à l’IA exécutée localement, perçue par les gouvernements et les institutions comme une menace – d’autant plus lorsque les modèles sont libérés de leurs contraintes.

En présentant les activités de décensurage comme « facilitant » la production de contenus NSFW et le hacking malveillant, on peut présenter le décensurage comme une proposition faussement binaire : puisqu’il peut être utilisé à des fins néfastes, il doit se soumettre à la régulation. En pratique, il ne semble aucune façon réaliste de réguler une telle fonctionnalité, sauf à l’interdire purement et simplement, tant les cas d’usage possibles sont nombreux.

De plus, dans les cas où le décensurage d’un LLM pourrait permettre à un modèle de générer (par exemple) de la fiction CSAM, une régulation restrictive semblerait être une proposition évidente, puisque quiconque s’y oppose peut être tacitement présenté comme « soutenant » les usages néfastes d’un modèle décensuré, plutôt que ses usages raisonnables.

Cela néglige le fait qu’un modèle affiné ou affecté par LoRA peut produire beaucoup plus efficacement n’importe quel domaine spécifique que l’utilisateur souhaite imposer, les poids de base du modèle étant tellement biaisés vers la tâche qu’ils compromettent totalement toute protection intégrée.

Tout sur la facilité

La facilité d’utilisation est ce qui déclenche une adoption à grande échelle, et cette adoption à grande échelle exerce une pression sur les gouvernements pour légiférer (que ce soit sous l’influence de groupes de pression publics, de lobbyistes industriels ou via une pression intergouvernementale).

Bien que le fine‑tuning et les LoRA puissent presque certainement obtenir des résultats plus ciblés que le simple déverrouillage d’un modèle de base FOSS, ces méthodes exigent une certaine discipline et un effort pour être mises en œuvre.

Une fois que l’exécution locale d’un modèle décensuré/quantifié devient réellement une affaire de quelques clics (puisque l’utilisateur téléchargera presque certainement un modèle « pré‑libéré » plutôt que de le cracker lui‑même avec Heretic), l’activité sort de l’obscurité du monde geek et entre dans le domaine public, où ses abus risquent de devenir des balles politiques.

Cet été, NVIDIA a dirigé un groupe de partenaires technologiques de poids pour anticiper les restrictions gouvernementales sur les modèles open source, dans une lettre ouverte qui réaffirme que les abus minoritaires d’une technologie ne doivent pas la mettre en péril en tant que bénéfice potentiel général. Mais ce point de vue s’est avéré impopulaire ces dernières années.

* La sincérité des créateurs de modèles quant à leur souhait déclaré de restreindre l’activité des utilisateurs est fréquemment remise en question, les protections de garde‑foules étant même rejetées comme du « spectacle ».