Combien de temps avant une véritable répression du décensurement des modèles d’IA ?

Si vous êtes assez âgé pour vous souvenir de la scène warez, qui a connu son apogée entre 1995 et 2010 environ, vous vous rappelez peut-être les vastes collections de logiciels crackés et de films piratés — achetés en gros auprès de vendeurs de rue ou réunis par des pirates occasionnels, une fois que l’Internet haut débit a permis les téléchargements massifs et volumineux — qui s’entassaient dans plusieurs collections de DVD débordantes. La scène émergente des modèles d’IA open source « décensurés » pourrait rappeler quelque chose à certains.

De l’« âge d’or » du commerce informel de rue de logiciels et de films. Crédit – Shankar.s. « DVD piratés au marché de rue PP » – Source / Licence

À l’époque, avant que la location de logiciels ne devienne une pratique courante chez les consommateurs, un petit groupe d’amateurs de logiciels de la scène warez, particulièrement doués, s’est formé pour cracker des applications, ensuite diffusées sur les newsgroups warez, puis, plus tard, dans des groupes de partage de torrents. Il pouvait être très difficile ou très facile de contourner ces restrictions, mais, une fois les logiciels diffusés, les failles étaient généralement irréversibles.

C’est ce qui se passe aujourd’hui avec les grands modèles de langage (LLM) open source, dont les filtres de sécurité intégrés à l’entraînement sont régulièrement supprimés à grande échelle. Ces modèles ainsi décensurés sont ensuite partagés en tant d’endroits que même la fermeture de la source initiale du « crack » ne change rien à leur disponibilité.

Bienfaiteur ou malfaiteur

La question est la suivante : sous quel angle voulez-vous considérer ces activités ? Contrairement à la scène warez, personne n’est explicitement privé de revenus dans la même mesure que l’ont peut-être été les petits éditeurs de logiciels il y a 20 à 30 ans.

Il est certain que, dans de tels cas*, les conditions de licence initiales sont souvent enfreintes. Toutefois, contrairement aux publications de poids partiels de producteurs de modèles d’IA générative tels que Black Forest Labs, les distributeurs d’origine ne présentent pas les versions de « qualité inférieure » comme un moyen d’inciter à passer à des modèles plus performants, accessibles uniquement par API ; ils diffusent les modèles complets sans restriction.

Dans la plupart des cas, presque personne ne peut exécuter ces premières versions en local, car elles comportent tout simplement trop de paramètres, même pour des cartes graphiques bien équipées offrant entre 16 et 24 Go de mémoire VRAM.

Les premières versions sont donc rapidement converties en versions allégées, capables de fonctionner sur du matériel grand public, grâce à la quantification des modèles et à la conversion des poids dans des formats plus légers tels que GGUF, AWQ, PTQ, EXL2 ou MLX, propre à Apple.

Même si ces modèles sont moins performants que les modèles complets d’origine — généralement proposés à des fins commerciales sur différentes grappes de processeurs graphiques —, ils restent au moins sous le contrôle de l’utilisateur et peuvent être personnalisés pour répondre à ses besoins précis, contrairement au modèle « supérieur ».

À votre façon

Certaines de ces adaptations sont tout à fait légitimes et relèvent généralement de la licence du modèle d’origine : c’est le cas de l’ajustement fin, qui permet d’orienter spécifiquement les poids d’un modèle vers une tâche ou un domaine cible que l’utilisateur lui a transmis. Dans ce cas, si l’espace disque le permet, il est même possible d’ajuster finement plusieurs instances d’un modèle open source pour répondre à diverses tâches, à la manière d’un ensemble d’outils traditionnels dédiés, plutôt que de s’en remettre au « couteau suisse » que constitue un modèle d’origine doté de tous ses poids.

En outre, des modèles aux paramètres compatibles, mais entraînés sur des données différentes, peuvent être fusionnés ; d’autres fonctionnalités peuvent aussi être ajoutées à un modèle au moyen de filtres légers LoRA, sans risquer de compromettre les capacités initiales du modèle de base par un ajustement fin.

Toutefois, la modification qui intéresse le plus de nombreux utilisateurs et qui est devenue plus facile à réaliser que toutes les méthodes mentionnées précédemment consiste à supprimer les filtres de sécurité susmentionnés, ou garde-fous.

Certes, cela permet d’obtenir des modèles capables de produire du contenu pornographique et d’aider au développement de logiciels malveillants, mais cela supprime aussi un ensemble de restrictions que de nombreux utilisateurs jugent excessivement contraignant et souvent sujet à des erreurs.

L’un des nombreux exemples hilarants de Llama-2-7b-chat refusant des demandes raisonnables pour des raisons de sécurité, disponible à l’URL source. Source

Heretic

Avec Heretic, le logiciel qui a récemment révolutionné le décensurement des modèles, il est même possible d’atténuer le ton « fleuri » et la prolixité auxquels les modèles ont tendance à recourir.

Heretic se met à décensurer gpt-oss, même si, il faut le reconnaître, cela nécessite une machine très bien équipée, peu susceptible de se trouver chez le consommateur moyen — mais qu’il est possible de louer à bas prix en ligne, le temps nécessaire au processus. Source

Plus important encore, Heretic — qui recherche automatiquement une ablitération supprimant les refus tout en réduisant au minimum les effets néfastes sur le comportement initial du modèle — ramène, du point de vue de l’utilisateur final, la tâche relativement difficile de la décensure à une simple commande.

Comme le montre la capture d’écran ci-dessus, Heretic tire généralement parti d’un GPU plus puissant que ceux que l’on trouve habituellement chez les particuliers. Toutefois, les utilisateurs n’ont pas besoin de l’exécuter sur leur matériel personnel, pas plus qu’ils n’avaient à cracker eux-mêmes des logiciels en 2002 : comme à l’époque du warez, des fournisseurs de la scène en amont — des passionnés occasionnels, généralement non commerciaux — disposant d’un tel matériel ou prêts à consacrer quelques jetons à cette tâche effectuent le jailbreak, puis diffusent le modèle décensuré au sein de la scène.

Dans le viseur

Lorsqu’une activité numérique « douteuse » devient facile, c’est généralement à la faveur d’un bond soudain des capacités (que l’on pense à Napster ou à PopCornTime) qui amplifie brusquement à la fois l’activité elle-même et l’intérêt « officiel » à la réprimer.

Associé à la popularité croissante et à la facilité d’utilisation de plateformes comme Ollama, Heretic commence à rendre l’accès à des modèles décensurés à la portée des utilisateurs non techniciens, même si une méthode véritablement « à l’épreuve des idiots » n’est pas encore tout à fait disponible.

Cela me ramène à ma question précédente : cette activité constitue-t-elle ou non un « problème » ? Un article paru hier sur Arxiv me laisse penser que, compte tenu de tendances très récentes au recul des libertés numériques des consommateurs et au durcissement de leur contrôle, la décensure attirera probablement de plus en plus l’attention, ce qui entraînera une multiplication des lois restrictives dans le monde.

Le nouvel article, un rapport de 10a Labs, présente le mouvement de décensure sous un jour négatif et met en avant le nombre habituellement minoritaire de cas d’abus qui, l’histoire le montre et que les tendances actuelles laissent présager, conduiront à des restrictions.

L’étude retrace ce qui se passe après la publication et la redistribution de modèles décensurés, et a recensé 1 643 applications GitHub qui intègrent des modèles non censurés, les recommandent ou les définissent par défaut.

Les modèles concernés vont des assistants conversationnels généralistes et des outils de traitement de documents aux jeux de rôle et récits NSFW, aux services de contenu explicite, aux outils de piratage et de sécurité offensive, ainsi qu’aux applications de fraude et aux générateurs de logiciels malveillants. Selon l’étude, 25 % des modèles publiés étaient classés comme « explicitement malveillants » :

Répartition des usages des modèles d’IA non censurés après leur publication. L’étude a recensé 1 643 applications GitHub qui intègrent des modèles dont les restrictions de sécurité ont été supprimées, les recommandent ou les définissent par défaut. Elle a constaté que 37 % étaient des assistants conversationnels généralistes non censurés, tandis que les outils de cybersécurité et de traitement de documents représentaient chacun 16 %, à côté de catégories moins importantes couvrant les assistants vocaux, les jeux de rôle NSFW, l’écriture créative, le codage et d’autres usages. L’article a conclu qu’environ 25 % des applications recensées pouvaient être classées comme « explicitement malveillantes ». Source

Compte tenu des restrictions récemment instaurées par le Royaume-Uni sur l’accès au Web (et de son intention désormais suspendue de restreindre également l’accès aux VPN qui permettent de les contourner), de l’obligation imposée par la Californie à partir de 2027 à la plupart des systèmes d’exploitation de recueillir la tranche d’âge des utilisateurs et de la communiquer aux applications, du dispositif de l’UE visant à vérifier l’âge pour accéder aux contenus pour adultes en ligne, ainsi que de l’interdiction australienne des comptes sur les réseaux sociaux pour les moins de 16 ans, ce nouvel article semble s’inscrire dans une tendance où une attention accrue finit par entraîner un renforcement de la surveillance et de la réglementation, voire des interdictions partielles ou totales.

Cela ne pourrait pas arriver ici

Non, cela pourrait tout à fait arriver ici, en partie en raison de la forte proportion d’usages malveillants estimée par les auteurs de la nouvelle étude et, sans doute, parce que des mesures de contrôle imposeraient de nouvelles restrictions à la tendance croissante à utiliser l’IA localement, qui pourrait être perçue par les gouvernements et les institutions comme une menace — d’autant plus lorsque les modèles sont libérés de leurs entraves.

En présentant les activités de décensure comme facilitant la génération de contenus pour adultes et le piratage malveillant, il est possible de faire passer la décensure pour une fausse alternative binaire : puisqu’elle peut servir à faire le mal, elle doit être soumise à une réglementation. En pratique, il ne semble pas y avoir de moyen réaliste de réglementer une telle fonctionnalité du tout , si ce n’est en l’interdisant purement et simplement, tant les cas d’usage possibles sont nombreux.

De plus, lorsque la décensure d’un LLM pourrait permettre à un modèle de générer, par exemple, de la fiction pédopornographique, une réglementation restrictive semblerait s’imposer comme une évidence, car toute personne qui s’y opposerait pourrait être implicitement présentée comme favorable aux usages malveillants d’un modèle décensuré, plutôt qu’à ses usages raisonnables.

Cela ne tient toutefois pas compte du fait qu’un modèle affiné ou modifié par LoRA peut produire bien plus efficacement des résultats dans n’importe quel domaine précis que l’utilisateur souhaite lui imposer, car les poids de base du modèle sont tellement déformés en faveur de cette tâche qu’ils anéantissent complètement de toute façon les protections intégrées lors de l’entraînement.

Tout est question de facilité

C’est la facilité d’utilisation qui déclenche l’adoption à grande échelle, et cette adoption suscite des pressions sur les gouvernements pour qu’ils légifèrent (qu’elles viennent de groupes de pression, de lobbyistes du secteur ou de pressions intergouvernementales).

Si l’affinage et les LoRA permettent presque certainement d’obtenir des résultats mieux ciblés que le simple déverrouillage d’un modèle de base FOSS, ces méthodes exigent une certaine rigueur et des efforts de mise en œuvre.

Lorsque l’exécution locale d’un modèle décensuré et quantifié ne demandera véritablement plus que quelques clics (puisque l’utilisateur téléchargera presque certainement un modèle déjà « libéré » au lieu de le débrider lui-même avec Heretic), cette pratique sortira de l’obscurité du monde des geeks pour entrer dans le domaine public, où ses dérives risquent de devenir des enjeux politiques.

Cet été, NVIDIA a mené une coalition de poids lourds de la technologie pour devancer les restrictions gouvernementales visant les modèles open source, en publiant une lettre ouverte qui défend une nouvelle fois l’idée que les abus commis par une minorité ne devraient pas compromettre le potentiel d’une technologie à profiter à tous. Mais cette position s’est révélée impopulaire ces dernières années.

*La sincérité des créateurs de modèles lorsqu’ils affirment vouloir restreindre l’activité des utilisateurs est souvent mise en doute, et les protections de sécurité sont même qualifiées de « théâtre ».