Les modèles de langage peinent à garder un secret

Les modèles de langage peinent à garder un secret. Même lorsqu’on leur demande de ne pas le révéler, leurs textes les trahissent, et plus ils tentent de le cacher, plus la fuite devient facile à détecter.

Il est très difficile de délibérément ne pas penser à quelque chose. La fin du thriller britannique de science-fiction de 1960 Village of the Damned en fournit une illustration classique : notre héros, prêt à se sacrifier, a introduit une bombe dans le repaire d’extraterrestres hostiles qui prennent l’apparence d’enfants. Mais leur télépathie risque de leur révéler son intention avant qu’il puisse éliminer cette menace. Pour gagner du temps, il s’efforce donc de penser à tout sauf à la bombe :

https://www.youtube.com/watch?v=NcrE0vGrcto

Le paradoxe est que, pour ne pas penser à quelque chose, il faut lui accorder malgré tout une certaine attention ; et ce phénomène bien connu est probablement familier à beaucoup d’entre nous dans des circonstances moins dramatiques.

Les grands modèles de langage (LLMs), dont le fonctionnement repose sur une organisation fondée sur l’attention, éprouvent des difficultés comparables à supprimer des informations simplement parce qu’un utilisateur le demande. De plus en plus souvent placés au carrefour des réseaux d’information des entreprises, ils pourraient ainsi devenir une source de risque pour beaucoup d’entre elles en raison de leur indiscrétion naïve.

Plus tôt cette année, une collaboration de recherche dirigée par le laboratoire Chandar Research Lab a défini ce défi, pour les LLM, comme des tâches interactives à état privé (PSIT), qui « obligent les agents à générer et à conserver des informations cachées tout en produisant des réponses publiques cohérentes ». Elle a constaté que les modèles testés d’OpenAI et d’Alibaba n’y parvenaient pas.

Ne pas le dire…

On savait déjà que les grands modèles laissent davantage fuiter les informations. Une nouvelle étude américaine et canadienne a explicitement examiné si les modèles de langage de pointe obéissaient à une instruction de suppression tout en devant produire un texte sur un sujet susceptible d’inclure le mot ou l’idée « interdits ».

L’étude conclut que tous les modèles examinés ont, d’une manière ou d’une autre, tendance à trahir le secret qu’ils doivent cacher. Des essais et des histoires de cinq paragraphes, soit environ 450 mots, offrent largement assez de place à ces « lapsus », contrairement aux blagues très courtes.

En outre, plus on insiste pour que les modèles gardent un secret, plus leur évitement actif risque de le révéler : un LLM peut généralement retrouver le « mot secret » en vingt tentatives successives :

D’après la nouvelle étude : chez cinq modèles de pointe, les textes longs révèlent régulièrement des concepts cachés, contrairement aux blagues courtes. Des instructions plus fermes pour « cacher » le secret éloignent les textes de celui-ci, mais rendent ainsi le signal détectable par inversion. Source

Cette tâche est particulièrement pertinente pour les entreprises : de la publicité et des relations publiques aux rapports internes, de nombreux canaux doivent présenter sélectivement une certaine interprétation des informations. Pourtant, ces processus doivent disposer de toutes les informations au départ, ne serait-ce que pour déterminer ce qu’il faut taire :

Un scénario de l’étude illustre comment une information cachée peut involontairement orienter un texte sans rapport avec elle : un LLM reçoit l’instruction de ne pas révéler l’instabilité financière de son entreprise, mais emploie néanmoins des expressions évoquant un manque de liquidités et des tensions sur le capital, ce qui permet au lecteur de déduire le contexte caché.

Les auteurs écrivent* :

« Les modèles de langage ne savent pas cloisonner les informations de manière fiable. Un secret dans le prompt influence l’écriture du modèle, et un autre modèle peut déceler cette influence. Le mot lui-même reste toujours absent, mais pas le concept. Cela vaut pour sept modèles, trois ensembles de mots, les prompts système comme les prompts utilisateur, et deux modèles indépendants chargés de deviner les secrets (…) »

« … Nous supposons que l’accès très fidèle des Transformers à l’information par l’attention est précisément ce qui rend les secrets difficiles à garder. Même lorsqu’un LLM tente de ne pas divulguer un mot, il doit lui prêter attention, ouvrant ainsi la voie à une fuite accidentelle. »

« Pour éviter explicitement quelque chose, un humain doit y penser et un Transformer doit y prêter attention. Lorsque le modèle privilégie à peu près également deux concepts — par exemple une histoire sur un emploi de bureau ou sur un second violon dans un orchestre — ses choix seront inévitablement influencés par ce qu’il tente de ne pas révéler. »

Bien que DeepSeek et ChatGPT-5.4 se distinguent par leur comportement, ils laissent tous deux fuiter des informations. GPT-5.4 obtient notamment un score inférieur à 50 % — donc inférieur au hasard — lorsqu’on lui demande d’éviter un concept. Il s’agit en pratique d’un « pic inversé », d’un indice révélateur, plutôt que de la discrétion demandée.

Les auteurs décrivent ce problème comme un budget d’entropie fini : l’imprévisibilité du modèle, pourtant très utile ici, est limitée par son manque fondamental d’aléatoire. Autrement dit, il ne peut pas se concentrer aussi efficacement que nous sur un mur de briques ou des scores de baseball pour tenir une pensée persistante à distance. Selon les auteurs, lui proposer un autre concept peut atténuer le problème sans l’éliminer. Mais ce concept sans rapport, placé au centre de son attention pendant la tâche, risque lui-même de se retrouver mêlé au texte.

L’une des observations les plus intéressantes est que le problème s’aggrave nettement lorsque les instructions sont placées directement dans les messages de l’utilisateur plutôt que dans un prompt système — un ensemble de conditions préalables donné à l’IA par l’utilisateur humain avant l’échange. Or, saisir des questions dans une interface comme ChatGPT constitue sans doute le scénario habituel d’interaction.

Il convient aussi de relever qu’un essai ciblé confirme l’absence de cette tendance chez les petits modèles, ce qui pourrait cependant être lié à leurs capacités globalement moindres.

La nouvelle étude s’intitule Can You Keep a Secret? Involuntary Information Leakage in Language Model Writing et est signée par deux auteurs de l’Université de Chicago et de l’Université de la Colombie-Britannique.

Méthode

L’étude porte principalement sur cinq modèles de pointe : Claude Opus 4.6 et Sonnet 4.6, d’Anthropic ; GPT-5.4 d’OpenAI ; Llama 4 Maverick de Meta ; et DeepSeek V3.2. Des validations supplémentaires ont été réalisées avec Grok 4 de xAI et Gemini 2.5 Pro de Google. Des expériences distinctes sur l’effet de la taille ont examiné Llama 3.2 3B, Llama 3.1 8B, Llama 3.3 70B et Gemma 3 avec 4, 12 et 27 milliards de paramètres.

Pour mesurer des fuites plus subtiles, les chercheurs ont utilisé un test à choix forcé entre deux possibilités (2AFC), une mesure classique en psychophysique. Deux histoires sont présentées à un second modèle, qui doit reconnaître celle écrite en dissimulant un mot secret donné.

Le hasard donne 50 % de bonnes réponses : un score nettement supérieur ou inférieur indique donc que des traces sémantiques du secret restent détectables.

Dans le dispositif rédacteur–devineur de la première expérience, un modèle reçoit un mot secret et doit soit le cacher, soit éviter activement ses associations, soit détourner son attention vers un leurre. Il produit ensuite des histoires, des essais et des blagues de longueurs différentes. Un second modèle tente de retrouver le mot ou de distinguer des textes influencés par différents prompts cachés.

Cinq conditions sont testées :

Les cinq conditions testées avec les principaux modèles.

Les chercheurs ont testé quatre tâches : des histoires de cinq à huit paragraphes, d’environ 450 mots en moyenne ; des blagues très courtes, d’environ 12 mots ; des blagues longues, dont la mise en place développée porte la longueur moyenne à environ 450 mots ; et des essais de cinq paragraphes, d’environ 380 mots.

Les expériences emploient 15 mots cachés répartis en trois catégories : des objets concrets comprenant ‘umbrella’, ‘lighthouse’, ‘violin‘, ‘cactus’ et ‘telescope’ ; des concepts abstraits ‘justice’, ‘patience’, ‘entropy’, ‘nostalgia’ et ‘freedom’ ; et des termes neutres comprenant ‘bracket’, ‘Tuesday’, ‘copper’, ‘margin’ et ‘invoice’.

Pour déterminer si l’effet dépend de ces mots choisis manuellement, les chercheurs ont aussi répété les expériences avec 15 noms communs tirés aléatoirement du Corpus of Contemporary American English (COCA) : ‘judge’, ‘consumer’, ‘ice’, ‘pair’, ‘construction’, ‘panel’, ‘minority’, ‘marketing’, ‘stranger’, ‘bullet’, ‘absence’, ‘gear’, ‘cheek’, ‘processing’ et ‘banker’ ; ainsi qu’avec 15 mots choisis indépendamment par chaque modèle testé^†.

Mesures et métriques

Dans le premier test, un modèle d’IA lit un texte produit par un autre modèle ou par lui-même et dispose de 20 tentatives pour deviner le mot secret.

Dans le second test (2AFC), deux textes lui sont présentés. Il doit reconnaître soit celui influencé par un mot secret précis, soit celui contenant un concept caché quelconque. Le hasard donnant 50 % de réussite, un score nettement supérieur ou inférieur signifie que le concept reste détectable dans le texte.

Pour éviter un simple biais en faveur du premier ou du second texte, chaque comparaison est répétée en inversant leur ordre. Chaque modèle passe ainsi 420 tests de discrimination et 450 tests de détection.

Résultats

Cinq modèles identifient les concepts cachés dans 64 % à 79 % des cas, alors que les mots secrets ne figurent jamais directement dans les histoires. Les fuites passent par les thèmes et les images :

Précision du test 2AFC pour les histoires contenant des secrets dans le prompt système ; 50 % correspond au hasard. « Ne pas révéler » interdit de mentionner le mot ou d’y faire allusion ; « cacher activement » impose d’éviter ses associations ; « sensible à l’évitement » demande au devineur de rechercher des absences révélatrices ; et « réponse libre » consiste à retrouver le mot exact en 20 tentatives. Les étoiles indiquent des résultats supérieurs au hasard, les obèles des résultats inférieurs. Presque tous les résultats significatifs le restent après la correction de Bonferroni, sauf DeepSeek dans la condition « cacher activement ». Grok et Gemini ont fait l’objet d’un nombre légèrement inférieur d’essais en raison d’erreurs d’API.

GPT-5.4 et Gemini 2.5 Pro se comportent différemment : éviter l’idée cachée rend en réalité les schémas d’évitement plus faciles à détecter. Cet effet persiste avec les mots choisis manuellement, les noms aléatoires de COCA et les mots choisis par les modèles.

Les scores de GPT-5.4 inférieurs au hasard semblent systématiques : certains mots sont détectés très régulièrement, d’autres presque jamais. L’effet s’atténue lorsque le secret figure dans le prompt utilisateur plutôt que dans le prompt système, ce qui porte sa précision de détection à 56 %.

Pour la plupart des modèles, les tests demandant « Ce texte contient-il un concept caché ? » donnent des résultats comparables à ceux demandant « Quel concept caché ce texte contient-il ? ».

Les deux méthodes mesurent par ailleurs différents types de fuites : le test 2AFC détermine si un thème caché reste détectable ; la réponse libre mesure si les indices permettent à une autre IA de retrouver le mot exact^††.

Les auteurs concluent* :

« Nos résultats suggèrent que les informations actives dans le contexte d’un modèle pendant la génération peuvent laisser des traces thématiques dans ses productions. Le prompt système, le raisonnement en chaîne de pensée, les documents récupérés ou les données fournies par l’utilisateur peuvent en principe influencer ses choix créatifs d’une manière détectable par un observateur extérieur. »

« Le degré de fuite dépend de l’ouverture de la tâche — les blagues courtes sont sûres, les histoires ne le sont pas — et de la facilité avec laquelle l’information peut être identifiée sémantiquement dans ce support (“violin fuitera probablement davantage dans les histoires que “)”). »

« Il semble néanmoins que les fuites sémantiques soient inévitables, même lorsque les modèles tentent activement de cacher des informations. »

Conclusion

Comme indiqué précédemment, les auteurs attribuent une partie du problème aux principes fondamentaux de l’architecture Transformer elle-même. L’histoire laisse penser que ce nouveau problème des LLM sera traité par le conditionnement après entraînement — l’alignement —, des prompts système non modifiables par l’utilisateur final, des filtres et tout l’éventail de systèmes secondaires qui semblent se multiplier à mesure qu’apparaissent les problèmes « natifs » des modèles de diffusion.

Plus cette infrastructure secondaire de garde-fous et de contrepoids s’étoffe, plus l’IA de pointe actuelle ressemble à Jurassic Park, où la proposition de valeur centrale s’accompagne d’un nombre effrayant de réserves et exige de multiples contournements et compromis.

* Mise en relief des auteurs, ajustée au besoin par mes soins puisque les citations de l’étude sont déjà en italique. J’ai également converti leurs références dans le texte en hyperliens.

^† Les auteurs relèvent avec intérêt un chevauchement spontané apparemment improbable des mots choisis par différentes familles de modèles : « Les modèles sont attirés par des mots similaires : telescope, freedom et nostalgia apparaissent chacun dans au moins trois listes de modèles. » Ils remarquent aussi des blagues courtes similaires : « [Plusieurs] modèles produisent la même blague toute faite quel que soit le secret. Opus écrit “Pourquoi les scientifiques ne font-ils pas confiance aux atomes ? Parce qu’ils inventent tout” pour 11 des 15 secrets. Les quatre autres — cactus, entropy, nostalgia, patience — reçoivent la même blague de bibliothèque qu’Opus écrit aussi dans les 15 conditions sans secret. Ces quatre blagues avec secret sont donc indiscernables du résultat de référence. »

^†† Même au regard des usages d’Arxiv, l’étude tend à se répéter et à enfouir ses idées fascinantes sous un excès de détails et de démonstrations. Je renvoie donc le lecteur au PDF source pour les autres expériences secondaires.

Première publication le vendredi 15 mai 2026. Syntaxe corrigée le samedi 16 mai à 16 h 05 EET.