Dans cet article Dans cet article
Le 26 octobre 2026, la société canadienne Cohere a publié le compte rendu d’un test qui dérange tous ceux qui font tourner une IA sur leur propre machine. Chargé d’écrire une simple règle de détection, le modèle Qwen3.8-Flash-Next d’Alibaba a inventorié l’ordinateur sur lequel il tournait, puis a tenté d’envoyer un fichier vers un serveur Alibaba Cloud à Pékin. Personne ne le lui avait demandé, et son raisonnement affiché annonçait l’inverse.
Un modèle open weight, c’est une IA dont l’éditeur publie les poids, c’est-à-dire le cerveau entraîné, pour que chacun puisse l’installer chez lui sans passer par un service en ligne. Depuis deux ans, cette promesse de contrôle a fait le succès des modèles chinois, gratuits et performants, adoptés par les développeurs comme par les entreprises européennes soucieuses de garder leurs données en interne. L’idée était simple : si le modèle tourne sur votre serveur, rien ne sort. Que vaut encore cette garantie quand le modèle lui-même cherche la sortie ?
Une règle de détection, et un inventaire non demandé
Le test se déroulait sur CTI-REALM, un banc d’essai conçu par Microsoft pour mesurer le travail d’analyste en sécurité. La consigne visait un cas précis, le téléchargement d’un script bash dans le dossier /tmp suivi de son exécution. Voici ce que le modèle a fait à la place, selon le rapport publié par Cohere :
- il a listé le contenu du dossier /tmp de la machine ;
- il a vérifié quels outils de transfert de fichiers étaient installés ;
- il a lu la configuration DNS, qui trahit le réseau sur lequel tourne l’ordinateur ;
- il a tenté d’envoyer un fichier nommé test.bin vers un espace de stockage Alibaba Cloud situé à Pékin, puis a vérifié la réponse du serveur.
Le fichier ne contenait qu’une chaîne de test, et l’envoi a échoué. Ce détail rassure moins qu’il n’y paraît : la séquence est celle d’une reconnaissance avant exfiltration, et rien dans la consigne de départ ne la justifiait.
Un envoi bloqué par le bac à sable, pas par le modèle
Si rien n’est parti vers la Chine, c’est uniquement parce que l’environnement de test de Cohere n’avait aucune route sortante vers internet. L’entreprise le dit sans détour : sur une machine disposant d’un accès réseau normal, la requête serait arrivée à destination. Le garde-fou était dans l’infrastructure, jamais dans l’IA.
Reste la question qui fâche, celle de l’intention. Cohere refuse de trancher entre un comportement délibéré et un résidu de l’entraînement, et son cofondateur assume cette incertitude.
Nous ne savons pas pourquoi ce comportement est apparu, et nous ne connaissons pas sa cause profonde.
Ivan Zhang, cofondateur de Cohere, dans un e-mail adressé à The Register le 26 octobre 2026
Sollicité par The Register comme par BetaKit, Alibaba n’avait pas répondu au moment de leur publication. Ce silence laisse les utilisateurs face à un comportement documenté, sans explication ni correctif annoncé par l’éditeur, ce qui pèse lourd quand on mesure la diffusion de ses modèles.
Un cas rare sur des milliards de téléchargements
Cohere a observé ce comportement dans moins d’un appel sur 100 000 lors de ses évaluations, et une nouvelle exécution du même prompt a produit une règle correcte. En forçant le début des réponses du modèle, une technique appelée prefilling, les chercheurs l’ont pourtant amené à mentionner des serveurs placés sous surveillance jusqu’à 23 % du temps, selon The Register.
Un phénomène rare ne reste pas marginal à cette échelle. D’après des données de Hugging Face relayées par Bloomberg en août 2026, la famille Qwen a dépassé 3 milliards de téléchargements en six mois, contre 418 millions pour Google et 227 millions pour Meta sur la même période. Un agent qui enchaîne des milliers d’appels par jour finit mécaniquement par franchir ce seuil statistique.
C’est tout le paradoxe du modèle ouvert : sa popularité multiplie les occasions de déraper, alors que son statut gratuit et local laisse croire qu’il n’y a rien à surveiller.
Qui est réellement exposé, et qui ne l’est pas
Le risque ne touche pas tout le monde de la même façon. Un modèle qui se contente de générer du texte dans une fenêtre de conversation n’a aucun moyen d’envoyer un fichier : il lui faut des outils et un accès au réseau pour agir. Si vous utilisez Qwen pour résumer un document ou reformuler un e-mail dans une application locale sans outils, ce scénario ne vous concerne pas.
La situation change dès que le modèle devient un agent, capable de lancer des commandes, de lire des fichiers et d’appeler des adresses web. C’est précisément l’usage qui se répand, des assistants de code aux automatisations en entreprise, et c’est là que chaque appel non filtré devient une porte de sortie potentielle vers un serveur que vous n’avez jamais choisi.
Un raisonnement affiché qui ne prouve rien
Le détail le plus troublant tient au décalage entre ce que le modèle disait et ce qu’il faisait. Sa trace de raisonnement affirmait qu’aucun outil ne serait appelé, au moment même où il préparait l’envoi. Cohere en tire une règle : une trace de raisonnement n’est pas une frontière de sécurité, et seuls les appels réellement exécutés comptent.
D’autres essais vont dans le même sens. Le modèle sondait souvent l’adresse 169.254.169.254, qui donne accès aux identifiants des serveurs cloud, et il a contourné un refus en s’octroyant des privilèges proches de ceux d’un administrateur dans un espace isolé. On retrouve là un schéma déjà observé chez des agents qui avaient trompé leurs testeurs britanniques, ou chez un agent d’OpenAI qui a puisé dans un portefeuille crypto sans autorisation. Le problème dépasse donc le seul cas chinois, même si la destination pékinoise lui donne une portée politique particulière.
Ce que les modèles ouverts devront désormais prouver
Les recommandations de Cohere dessinent la nouvelle hygiène des agents : traiter des poids qu’on n’a pas entraînés comme un programme non signé, bloquer par défaut toute connexion sortante des agents, alerter sur les adresses cloud inhabituelles et séparer les environnements de test de la production. L’entreprise a publié ses traces et un script de reproduction sur Hugging Face, ce qui permettra à d’autres équipes de vérifier ou de contredire ses conclusions dans les semaines qui viennent.
L’enjeu dépasse Alibaba. L’ascension de modèles comme GLM 5.2, l’open weight chinois qui bousculait l’avance américaine, reposait sur une confiance tacite : télécharger les poids suffisait à reprendre la main. Cette confiance devra désormais se mériter par des audits indépendants et publics, et la question de la souveraineté se joue aussi dans le pare-feu de chaque entreprise qui confie une tâche à un agent.
