Rumeur de fuite de Mythos : même fausse, elle dit que les poids se protègent comme des clés

Quel est le fichier le plus précieux d'un laboratoire d'IA de pointe ? Ni l'article de blog qui annonce le modèle, ni le graphique de benchmarks. Ce sont les poids: un tas de nombres qui, une fois copiés, ne peuvent être ni rappelés, ni corrigés, ni retirés de la circulation. Alors, quand une rumeur affirme qu'un checkpoint d'Anthropic « de classe Mythos » traîne sur Hugging Face, la bonne réaction n'est ni la panique ni le haussement d'épaules.

D'abord, ce que nous savons vraiment (très peu)

L'affirmation vient d'un message sur Reddit que AGI Hunt résume ainsi: un modèle de classe Mythos aurait fuité sur Hugging Face, dans un dépôt nommé burner22/numbat, censé être un checkpoint d'entraînement interne d'Anthropic. C'est tout ce que nous avons: un message anonyme et un nom de dépôt qui sent le compte jetable. Rien dans notre documentation ne confirme que les fichiers sont authentiques, et nous n'avons aucune déclaration d'Anthropic sur ce dépôt à citer. Il faut le traiter comme une rumeur.

Voici le contexte qui rend l'histoire facile à croire et facile à confondre. L'affaire Mythos avait déjà connu une fuite avérée, mais d'une autre nature. Selon Tekedia, un système de gestion de contenu mal configuré a laissé près de 3 000 fichiers non publiés accessibles au public, dont des brouillons d'articles de blog, des PDF et des notes internes. D'après les comptes rendus de ces brouillons, ils décrivaient un modèle qui marque un changement d'échelle par rapport à la gamme Opus actuelle. C'était de la paperasse, pas le modèle lui-même.

Un message non vérifié ne prouve rien, mais le faux pas précédent reste gênant

Il serait tentant de dire qu'une vraie fuite de checkpoint prouve que les laboratoires protègent leurs poids moins bien que ne le laisse entendre leur discours sur la sécurité. Nous ne pouvons pas l'affirmer. Un message non vérifié ne nous apprend rien sur la sécurité des poids chez Anthropic, et un faux dépôt en dirait plus long sur la crédulité du web que sur les portes du coffre-fort.

Mais l'épisode précédent est une preuve bien réelle, plus étroite. Une entreprise dont les brouillons divulgués auraient mis en garde contre des risques de cybersécurité sans précédent liés à ce modèle a laissé ce matériel dans un espace de stockage accessible publiquement, à cause d'une erreur de configuration. À notre avis, c'est cet écart entre la rhétorique et la plomberie qui fait l'histoire. Les discours sur la sécurité portent sur ce qu'un modèle pourrait faire une fois déployé. On s'intéresse beaucoup moins à la question, bien terne, de savoir qui peut lire, copier ou exporter l'artefact avant le déploiement.

Le marché, soit dit en passant, a remarqué la première fuite. Selon Let's Data Science, CrowdStrike a reculé de 7,5 % après l'exposition. Si une mauvaise configuration de CMS peut faire bouger une valeur de la cybersécurité, imaginez l'effet d'un checkpoint vérifié et téléchargeable.

Les poids méritent le traitement réservé aux clés de signature

Voici notre position: les laboratoires de pointe devraient traiter les poids comme des clés cryptographiques, pas comme du code source. Concrètement, cela passe par quelques mesures peu glamour:

• Accès au moindre privilège. Peu de personnes, peu de machines, des autorisations limitées dans le temps, aucun accès permanent aux checkpoints complets « au cas où ».
• Des journaux d'audit que quelqu'un lit. Chaque lecture, copie et exportation est consignée, avec des alertes en cas de transfert inhabituel. Un journal que personne ne consulte n'est que de la décoration.
• Séparation des tâches. Celui qui peut entraîner un modèle ne devrait pas pouvoir, seul, le sortir du périmètre.

On garde les clés ainsi parce que leur compromission est irréversible et que les dégâts croissent avec la puissance de la clé. Les poids remplissent ces deux critères. Et plus le modèle est capable, plus l'argument est fort. Si un laboratoire dit que son prochain modèle est assez risqué pour être proposé d'abord aux défenseurs en cybersécurité, comme le rapporte BoxMining à propos du plan prévu, alors une diffusion échelonnée n'a de sens que si les poids restent en place pendant les différentes étapes.

Hugging Face est un canal de diffusion, pas un méchant

Il est tentant d'accuser la plateforme. Nous ne le ferions pas. Hugging Face est l'endroit où se publient légitimement les modèles à poids ouverts: Mistral, par exemple, y aurait publié le 29 octobre Large 4, d'environ mille milliards de paramètres. Une plateforme conçue pour partager des poids sera toujours un endroit pratique pour déposer des fichiers qui n'étaient pas destinés à l'être. Les retraits peuvent supprimer un dépôt, mais pas les copies déjà téléchargées.

C'est précisément cette asymétrie qui fait que la prévention compte plus que la réaction. Les laboratoires à poids ouverts choisissent de publier; les laboratoires fermés promettent de ne pas le faire. La promesse ne vaut que ce que valent les contrôles d'accès qui la soutiennent.

Notre verdict

N'en concluez pas qu'Anthropic a perdu ses bijoux de famille. Concluez plutôt que le secteur n'a pas encore gagné le bénéfice du doute. Tant qu'un laboratoire ne peut pas décrire de façon crédible qui peut toucher à ses poids, comment les accès sont journalisés et à quelle fréquence cela est audité, « nous prenons la sécurité au sérieux » reste une déclaration d'intention. Si le dépôt numbat se révèle faux, tant mieux. Les laboratoires devraient tout de même profiter de la frayeur comme d'un exercice gratuit, et les lecteurs poser la question que le discours sur la sécurité esquive: où sont les poids, et qui détient les clés ?