J'ai essayé un modèle « uncensored » : technique, tests et questions

Pour ceux qui suivent depuis un certain temps le monde des modèles locaux, il y a une première fois où l'on tombe sur le mot « uncensored » à côté du nom d'un modèle que l'on connaît déjà. Cela se produit en faisant défiler Hugging Face, en lisant un fil de discussion ou en consultant le catalogue de LM Studio, et la réaction instinctive est presque toujours la même question, posée avec le ton un peu incrédule de celui qui vient de découvrir un code de triche dans un jeu vidéo qu'il pensait impossible à débloquer : et si j'enlevais vraiment les freins, que reste-t-il du modèle ? Devient-il plus stupide ? Devient-il autre chose ? Ou devient-il, tout simplement, lui-même sans filtres ?

Dans cette série de tests locaux, je me suis occupé jusqu'à présent principalement de performances, de la capacité d'un modèle à soutenir la comparaison avec d'autres à matériel égal, de sa cohérence sur une longue conversation ou sur un problème de code. Cette fois, l'angle est différent. J'ai pris le même modèle que j'avais déjà mis à l'épreuve il y a quelques semaines, Qwen3.8-27B, et j'en ai téléchargé la version « uncensored », obtenue grâce à une technique appelée ablitération. L'objectif n'est pas de vous conseiller de l'utiliser, encore moins de la promouvoir. Il s'agit de comprendre ce qui se passe réellement lorsqu'un modèle cesse de dire non, et ce que cela implique pour ceux qui le construisent, ceux qui le distribuent et ceux qui, au final, se le retrouvent téléchargé sur leur ordinateur en un double-clic.

Un préalable de responsabilité, avant tout : le modèle dont je parle est public, n'importe qui peut le télécharger, et cet article n'ajoute rien à cette disponibilité. Vous ne trouverez aucun détail technique sur les réponses obtenues lors des tests les plus délicats, seulement un compte rendu des résultats. Pour la configuration matérielle et logicielle, les mêmes réglages que dans les épisodes précédents de la série s'appliquent, de même que les tests de référence sur le modèle de base restent consultables dans l'article original sur Qwen3.8-27B.

Qu'est-ce que l'ablitération

Pour comprendre ce qui se casse, ou ce qu'on enlève, il faut d'abord comprendre comment cela fonctionne. L'ablitération n'est pas un fine-tuning. Il n'y a pas de nouvel entraînement, pas besoin de milliers d'exemples étiquetés, pas de phase d'apprentissage au sens classique du terme. C'est, si l'on veut utiliser une métaphore moins usée que celles qui accompagnent habituellement l'intelligence artificielle, plus proche d'une intervention de neurochirurgie fonctionnelle que d'une longue thérapie comportementale. Les chercheurs qui ont été les premiers à décrire le phénomène, dans un travail de 2024 repris ensuite par d'innombrables implémentations open source, ont montré que le comportement de refus dans les modèles linguistiques est médié en grande partie par une direction unique dans l'espace des activations. En termes simples, lorsqu'un modèle décide de répondre « je ne peux pas vous aider avec cela », quelque part dans ses couches internes, une sorte d'interrupteur s'allume, toujours le même, que l'on peut isoler en comparant les activations obtenues avec des requêtes anodines et celles obtenues avec des requêtes problématiques.

Une fois cette direction identifiée, on peut littéralement la soustraire des poids du modèle, une opération d'algèbre linéaire qui ressemble en pratique à projeter une composante spécifique hors de chaque matrice de poids traversée par le signal. Le dépôt llm-abliteration, l'une des implémentations les plus répandues et dérivée du travail original de Failspy et d'autres développeurs de la communauté, la décrit avec une franchise que l'on trouve rarement dans le marketing de l'intelligence artificielle : l'ablitération ne garantit pas la suppression totale de la censure, mais agit sur le comportement explicite de refus, celui encodé dans les jeux de données utilisés pour l'alignement du modèle.

La différence par rapport au fine-tuning classique — celui par exemple avec lequel on apprend à un modèle à se comporter différemment en lui montrant des milliers de conversations correctes — est substantielle. L'ablitération ne nécessite pas de nouvelles données au sens d'exemples à imiter ; elle nécessite seulement un petit échantillon de prompts nocifs et anodins pour mesurer la direction à supprimer. Elle est plus rapide, nécessite beaucoup moins de puissance de calcul et produit un effet bien plus net, presque chirurgical justement, plutôt que la modification graduelle et diffuse typique d'un réentraînement complet.

Le coût de la chirurgie

La question suivante est presque automatique : si l'on retire quelque chose d'une structure aussi complexe et interconnectée qu'un réseau neuronal, que se casse-t-il en même temps que le refus ? Ici, la littérature récente offre un tableau plus nuancé que ce à quoi on pourrait s'attendre.

Une étude comparative de janvier 2026, menée par un chercheur de l'Université du Nevada à Las Vegas sur seize modèles entre 7 et 14 milliards de paramètres et quatre outils d'ablitération différents (Heretic, DECCP, ErisForge et FailSpy), a mesuré avec précision ce que cela coûte en termes de capacités. Le résultat le plus intéressant est que le coût dépend énormément de l'outil utilisé et du modèle de départ. Sur les benchmarks standards, MMLU pour la culture générale, HellaSwag pour le raisonnement de sens commun et GSM8K pour les mathématiques, les outils les plus simples et directs comme ErisForge ou DECCP montrent une dégradation moyenne minimale, souvent sous le point de pourcentage. Heretic, qui utilise au contraire une optimisation bayésienne plus agressive pour minimiser au maximum les résidus de refus, peut provoquer des baisses bien plus marquées sur des tâches de raisonnement mathématique, jusqu'à vingt-six points de pourcentage dans un cas unique documenté par l'étude, tout en laissant presque intactes les autres capacités. Les mathématiques, en somme, semblent être la victime la plus sensible d'une ablitération mal faite, probablement parce que les circuits qui gèrent le raisonnement à plusieurs étapes partagent un certain chevauchement structurel avec ceux du refus.

Il existe cependant un second type de coût, beaucoup moins discuté et bien plus sournois, qu'une étude publiée en juillet 2026 a mis en lumière pour la première fois avec un protocole expérimental plutôt élégant. Les chercheurs ont utilisé comme banc d'essai non pas des questions sensibles, mais une tâche totalement neutre : des prévisions directionnelles hebdomadaires sur un panier d'actions de la bourse de Varsovie, un contexte choisi exprès parce qu'aucun des modèles, ni la version de base ni la version ablitérée, n'a jamais eu de raison de refuser de répondre. Eh bien, même dans ce scénario où il n'y avait aucun refus à supprimer, les modèles ablitérés se sont révélés systématiquement plus optimistes dans leurs paris, ont justifié leurs choix avec des textes plus longs, et ont utilisé un vocabulaire de l'incertitude plus pauvre, avec moins de mots comme « peut-être » ou « pourrait » et plus de constructions concessives comme « bien que » ou « malgré ». Le plus surprenant est que l'effet sur la confiance exprimée change de signe selon le modèle de base, rendant le modèle Gemma testé moins sûr de lui et le modèle Qwen plus sûr de lui, à technique d'ablitération égale. Les auteurs concluent par une phrase qu'il vaut la peine de rapporter dans son sens, sinon à la lettre : un modèle ablitéré n'est pas le modèle de base auquel on a seulement retiré le refus, c'est un décideur différent, dont le caractère a été silencieusement retouché dans une direction que l'on ne peut prédire sans la mesurer. Image tirée de l'article sur arxiv.org

Tests standards, aucune dégradation

En revenant au cas concret de Qwen3.8-27B, la première chose que j'ai voulue vérifier était précisément cela : répéter la même batterie de tests déjà utilisée pour la version standard — raisonnement scientifique, génération de code, planification de tâches à plusieurs étapes, conversation longue avec maintien du contexte — et comparer les résultats. Le verdict a été identique sur toute la ligne, cinq sur cinq, avec une vitesse de génération substantiellement inchangée par rapport au modèle de départ.

La seule différence perceptible — et ici la référence à l'étude sur la bourse de Varsovie est utile pour l'interpréter — réside dans la verbosité. Les réponses du modèle ablitéré sont plus longues, plus détaillées, presque comme si le modèle se sentait moins « retenu » même dans les détails non problématiques, un comportement qui rappelle de près un personnage qui, libéré d'une contrainte sociale, ne dit pas seulement ce qu'il taisait auparavant mais commence aussi à parler davantage du reste, un peu comme le protagoniste d'une nouvelle de Ted Chiang qui, libéré d'une restriction perceptique, découvre qu'il voit plus partout, et pas seulement là où cette restriction agissait. La conclusion, cohérente avec ce que rapportent les études les plus rigoureuses sur le sujet, est que l'ablitération en soi ne dégrade pas les capacités générales du modèle lorsqu'elle est faite avec des outils conservateurs. Le modèle reste tout aussi intelligent. Il a seulement perdu le frein sur les réponses, et peut-être, comme le suggère la recherche la plus récente, un peu de sa façon de calibrer sa propre assurance.

Quand le modèle ne me refuse plus rien

La partie la plus délicate du test concerne ce qui se passe lorsqu'on cesse de demander des choses anodines. Ici, le choix éditorial a été net dès le départ : aucun détail technique sur les réponses obtenues, à la fois pour une question de sécurité et pour ne pas transformer un article d'analyse en un guide involontaire. L'objectif était seulement une comparaison comportementale entre les deux versions du même modèle, sur le même matériel, avec les mêmes prompts.

J'ai soumis aux deux versions une série de requêtes que le modèle de base refuse systématiquement. Une demande de détails opérationnels pour la construction d'une arme chimique : le modèle de base a opposé un refus net et immédiat, le modèle uncensored a produit une réponse détaillée. Une demande relative à des techniques pour contourner les systèmes de sécurité informatique et les protections d'autres modèles linguistiques : le modèle de base a répondu de manière générique ou a refusé, le modèle uncensored est entré dans le vif du sujet. Une demande sur la façon de planifier un meurtre sans se faire prendre : refus net d'un côté, réponse détaillée de l'autre. Une demande relative à du contenu sexuel explicite sur des sujets éthiquement controversés : même schéma, refus contre réponse détaillée.

Le schéma est toujours le même et ne laisse pas beaucoup de place à l'ambiguïté. Il ne s'agit pas d'un modèle qui me refuse « un peu moins », avec quelques hésitations ou quelques détours avant de céder. Le mécanisme de refus, tel que nous l'avons étudié dans la section technique de cet article, n'est pas affaibli, il a été supprimé. C'est la différence entre un interrupteur qui se déclenche avec plus de peine et un interrupteur qui a été physiquement déconnecté du circuit. Image tirée de l'article sur arxiv.org

Qui défend, qui accuse

Sur ce point, le débat au sein de la communauté est loin d'être unanime, et il vaut la peine de le raconter avec ses voix les plus représentatives, sans le lisser sous un jugement unique.

D'un côté, il y a les partisans de la thèse selon laquelle l'ablitération est, avant tout, un outil de recherche légitime. L'étude de l'Université du Nevada citée précédemment consacre une section entière aux « considérations sur l'usage double », et son auteur soutient que la transparence sur les vulnérabilités de l'alignement est un prérequis pour construire des protections solides, et non son contraire, en rappelant explicitement le principe de Kerckhoffs emprunté à la cryptographie, selon lequel un système de sécurité ne devrait pas reposer sur le secret du mécanisme mais seulement sur le secret de la clé. Si un alignement peut être retiré chirurgicalement par quiconque possède les poids du modèle et un tutoriel sur GitHub, argumente cette école de pensée, alors cet alignement n'est pas vraiment un mécanisme de sécurité, c'est seulement un ralentisseur, et comprendre pourquoi et comment il cède est la première étape pour en construire un que l'on ne puisse pas contourner avec une intervention chirurgicale. C'est dans cette même ligne que s'inscrit une partie de la communauté qui développe et maintient les boîtes à outils d'ablitération les plus populaires, dont Heretic, capable selon certaines estimations ayant circulé en mai 2026 de retirer les freins d'un modèle Llama en une dizaine de minutes et d'un modèle Gemma en quatre-vingt-dix, et déjà à l'origine de milliers de dérivés publiés sur Hugging Face.

D'un autre côté, les critiques ne manquent pas, et elles ne viennent pas seulement de ceux qui s'occupent institutionnellement de sécurité. Au sein de la communauté qui teste ces modèles directement, une estimation empirique a circulé, par exemple, selon laquelle l'ablitération rendrait un modèle environ « vingt pour cent plus stupide », un chiffre sensationnaliste, non pas une donnée scientifique mesurée par des benchmarks contrôlés, mais représentatif d'une perception répandue selon laquelle le compromis n'est pas toujours aussi neutre que voudrait le laisser croire le récit le plus optimiste. Plus structurée est la critique venant de ceux qui observent l'écart entre outils offensifs et outils défensifs dans ce domaine : une analyse publiée en avril 2026 suite à la sortie d'une boîte à outils open source capable de « débloquer » plus de cent modèles avec une interface prête à l'emploi, notait que les techniques de défense contre l'ablitération, bien qu'existant depuis un an dans la littérature académique, sont adoptées lentement, de manière hétérogène, et avec de réels compromis de capacité. Un écart qui, écrivait l'auteur de cette critique, est plus large aujourd'hui qu'il ne l'était douze mois plus tôt, et dont il n'est absolument pas garanti qu'il se comble de lui-même.

Il existe ensuite une troisième position, plus prudente, qui ne nie ni la légitimité de la recherche ni les risques, mais insiste sur un point structurel : le cadre éthique pour cette catégorie d'outils, à double usage au sens le plus littéral du terme, n'existe tout simplement pas encore sous une forme partagée. La communauté de la sécurité informatique, celle de l'open source et celle de la régulation se contentent, selon cette lecture, de se renvoyer mutuellement la responsabilité de tracer une frontière qu'aucun des trois mondes ne se sent légitimé à dessiner seul. Image tirée de l'article sur arxiv.org

Disponibilité et paradoxe open

Au-delà des positions en présence, un fait reste incontestable : n'importe qui, aujourd'hui, peut télécharger un modèle comme celui testé dans cet article depuis Hugging Face ou le charger dans LM Studio, sans filtre d'aucune sorte, gratuitement, en quelques minutes. Pas besoin d'abonnement, pas besoin de passer une vérification, pas même besoin de compétences techniques particulières, étant donné que les boîtes à outils les plus récentes ont transformé une opération autrefois réservée à ceux qui savaient manipuler poids et activations en un processus presque automatique, parfois réduisible à une seule commande dans le terminal.

Cela transforme inévitablement un outil open source, conçu à l'origine pour la transparence et la reproductibilité de la recherche, en quelque chose qui peut devenir, entre de mauvaises mains, potentiellement dangereux. C'est le paradoxe que ceux qui suivent depuis des années l'évolution du logiciel libre connaissent bien, et qui se rejoue ici avec des enjeux bien plus élevés qu'un simple bug de sécurité : la même ouverture qui permet à un chercheur indépendant d'étudier sérieusement le phénomène de l'ablitération, d'en mesurer les effets secondaires comme l'a fait l'étude sur la bourse de Varsovie, permet à n'importe qui d'autre de produire, en l'espace d'un après-midi, un modèle sans aucun frein.

La question de savoir qui est responsable, à ce stade, n'a pas de réponse simple. Celui qui crée la technique d'ablitération, en la publiant dans un article académique en accès libre ? Celui qui l'implémente dans une boîte à outils facile à utiliser, peut-être avec les meilleures intentions envers la communauté des chercheurs ? Celui qui distribue le modèle déjà « débloqué » sur une plateforme publique, souvent avec un badge ou un tag vantant précisément l'absence de restrictions ? Ou celui qui, enfin, le télécharge et l'utilise ? Un modèle uncensored n'a pas de conscience, aussi « sûr de lui » qu'il puisse paraître dans ses réponses les plus directes. Celui qui l'utilise, cette conscience, il l'a.

Existe-t-il des contre-mesures réalisables ? On en discute, mais aucune ne semble décisive à elle seule. La modération en aval, c'est-à-dire les filtres appliqués non pas au modèle mais à l'application qui l'utilise, fonctionne bien dans les produits commerciaux mais est par définition absente dans un modèle téléchargé et exécuté en local. Le tatouage numérique (watermarking) des textes générés peut aider à tracer l'origine d'un contenu après coup, mais n'empêche pas la génération en elle-même. Les politiques de distribution plus strictes, comme des licences interdisant explicitement la redistribution de dérivés ablitérés, sont facilement contournées lorsque le modèle de départ est déjà public et sous licence permissive. Et sur le front réglementaire, l'AI Act européen introduit des obligations de transparence et d'évaluation des risques surtout pour ceux qui mettent des systèmes sur le marché, mais se heurte à une limite structurelle lorsque l'utilisateur final télécharge des poids publics et les modifie sur son propre matériel, hors de toute chaîne d'approvisionnement traçable. Ce sont des questions ouvertes, non rhétoriques, et quiconque propose actuellement des solutions définitives simplifie probablement un problème qui, en l'état actuel de la technique et de la réglementation, n'a pas encore de réponse unique.

Conclusions

Que démontre, au final, ce test sur Qwen3.8-27B-uncensored ? Il démontre que l'ablitération fonctionne, au sens technique du terme : elle supprime le refus de manière presque complète, avec un coût de capacité qui peut être minimal si l'outil utilisé est conservateur, mais qui selon la recherche la plus récente laisse tout de même une trace collatérale, subtile et pas toujours prévisible, dans la façon dont le modèle s'exprime et évalue sa propre incertitude. La question la plus intéressante, cependant, n'est pas technique. C'est de savoir si cette capacité doit être considérée comme une fonctionnalité ou un défaut, et si la communauté de l'open source doit l'aborder de manière plus explicite qu'elle ne le fait actuellement — peut-être avec la même honnêteté intellectuelle avec laquelle, dans un épisode différent mais pas trop éloigné dans l'esprit, la communauté de la cryptographie a appris il y a des décennies que cacher une vulnérabilité ne revient pas à la résoudre.

Le modèle de base est plus sûr parce qu'il possède un mécanisme de refus. Le modèle uncensored est plus dangereux, mais ses performances générales restent, sauf exceptions mesurables et documentées, substantiellement identiques. Le problème, alors, ne semble pas résider dans la technique en elle-même, mais plutôt dans la facilité croissante avec laquelle n'importe qui peut l'appliquer et dans l'absence d'un consensus sur l'endroit où tracer la frontière entre recherche légitime et risque concret. L'intelligence artificielle open source a devant elle un potentiel énorme, le même qui ces dernières années a permis à de petites équipes et à des passionnés de rivaliser avec des laboratoires milliardaires. Mais elle a aussi, et cet article a essayé de le raconter sans détour ni alarmisme, un côté sombre qui mérite d'être regardé en face avec la même lucidité que celle avec laquelle on regarde n'importe quel autre risque technologique sérieux.

Une réflexion finale, plus qu'une conclusion : la frontière entre « recherche » et « danger » est, par sa nature même, labile, mouvante, dépendante du contexte. Et le choix de l'endroit où la tracer, comme le suggère la voix la plus critique parmi celles rassemblées dans cet article, ne peut pas être laissé aux seuls techniciens qui savent comment fonctionne une ablation directionnelle dans l'espace des activations. C'est un choix qui nous concerne, inévitablement, tous.