L’AI Security Institute du Royaume-Uni, ou AISI, affirme que les principaux modèles à poids ouverts ont réduit l’écart de capacités cyber avec les meilleurs systèmes IA propriétaires à environ quatre à sept mois, un retard plus court qu’au début de 2025 et un avertissement notable pour les équipes de sécurité qui comptent sur du temps pour s’adapter. Dans l’évaluation de l’AISI, des modèles comme GLM-5.2 et DeepSeek V4-Pro peuvent désormais atteindre des niveaux de performance que certains systèmes fermés n’avaient obtenus que quelques mois auparavant, tout en coûtant beaucoup moins cher à exploiter.

Cette combinaison compte au-delà des simples benchmarks. Selon l’analyse de l’AISI, des modèles ouverts moins coûteux et dotés de poids téléchargeables réduisent les obstacles pratiques à la montée en échelle de flux de travail cyber offensifs, tout en rendant plus difficile l’application de contrôles de sécurité au niveau des fournisseurs. Pour les éditeurs et les acheteurs d’entreprise, le rapport accentue une tension qui a façonné le débat sur les modèles ouverts : les mêmes attributs qui rendent les systèmes à poids ouverts attrayants pour le déploiement privé et la personnalisation peuvent aussi rendre l’usage abusif plus difficile à contenir.

Ce que l’AISI a mesuré

L’AISI a indiqué qu’il s’agissait de sa première évaluation publique de l’écart entre les meilleurs modèles à poids ouverts et les principaux modèles fermés sur des tâches liées à la cybersécurité. L’institut a utilisé deux méthodes d’évaluation.

La première, appelée Narrow Cyber Tasks, couvre 70 tâches réparties sur quatre niveaux de difficulté. Selon le reportage de The Decoder sur ces résultats, ces tâches couvrent la recherche de vulnérabilités, l’ingénierie inverse, l’exploitation web et la cryptographie. Sur ce benchmark, l’AISI a constaté que GLM-5.2, lancé en juin 2026, se situait approximativement au niveau d’Opus 4.6 de février 2026, ce qui implique un écart d’environ quatre mois. DeepSeek V4-Pro, quant à lui, aurait affiché des performances proches d’Opus 4.5, que l’AISI date de novembre 2025.

La seconde méthode, Cyber Ranges, teste un comportement plus autonome dans des réseaux simulés plutôt que des tâches isolées. Un scénario, « The Last Ones », modélise une attaque en plusieurs étapes sur un réseau d’entreprise composé de quatre sous-réseaux et d’une vingtaine d’hôtes. L’AISI a estimé qu’un expert humain aurait besoin d’environ 20 heures pour terminer cet exercice.

Les résultats y étaient moins favorables aux modèles ouverts, mais indiquaient tout de même un rattrapage rapide. L’AISI a dit que GLM-5.2 avait presque aussi bien performé qu’Opus 4.5 dans l’environnement simulé, tandis que DeepSeek V4-Pro se situait en dessous de Sonnet 4.5. L’institut a qualifié les preuves issues de Cyber Ranges de plus faibles que celles des Narrow Cyber Tasks, car elles reposent sur moins de scénarios et peuvent refléter des limites de planification à long terme plutôt qu’une pure connaissance cyber.

Cette distinction est importante. Pour les acheteurs de solutions de sécurité, le risque pratique ne tient pas seulement à la capacité d’un modèle à résoudre une invite d’ingénierie inverse, mais aussi à sa capacité à maintenir une séquence complexe d’actions dans un environnement bruyant. L’AISI semble dire que les deux capacités comptent, et que l’écart entre modèles ouverts et fermés peut dépendre du type de travail mesuré.

Pourquoi l’écart de coût change la donne

Les chiffres de coût rapportés par l’AISI sont sans doute la partie la plus opérationnellement significative de la publication. Selon l’institut, un test Cyber Ranges de 100 millions de jetons a coûté environ 85 dollars avec Opus 4.5 ou Opus 4.6, environ 46 dollars avec GLM-5.2, et seulement 1,19 dollar avec DeepSeek V4-Pro.

L’institut a aussi publié des estimations de coût par tâche pour les tâches résolues de manière fiable. Opus 4.6 se situait autour de 15 dollars par tâche, GLM-5.2 autour de 6 dollars, Opus 4.5 à environ 12,50 dollars, et DeepSeek V4-Pro à environ 0,28 dollar.

Ces chiffres ne correspondent pas aux coûts réels d’une attaque, et l’AISI n’a pas prétendu qu’ils le faisaient. Mais ils suggèrent qu’une performance cyber « suffisamment bonne » pourrait devenir beaucoup moins coûteuse d’accès, surtout lorsqu’elle est associée à des options de déploiement ouvertes. Pour les défenseurs, cela signifie que la menace ne se limite pas à savoir si les modèles ouverts égalent exactement la frontière actuelle. Si des capacités plus anciennes ou légèrement moins bonnes peuvent être exécutées à très faible coût et à grande échelle, elles peuvent malgré tout modifier l’économie des attaquants.

C’est l’une des raisons pour lesquelles le rapport est pertinent pour l’IA d’entreprise, et pas seulement pour la recherche en sécurité. De nombreuses organisations qui évaluent des modèles à poids ouverts se concentrent sur la confidentialité, la souveraineté et le moindre coût d’inférence. Les résultats de l’AISI suggèrent qu’elles doivent aussi réfléchir à l’exposition au double usage : un modèle attrayant pour le codage interne, l’automatisation ou le soutien aux red teams peut présenter des propriétés de sécurité très différentes des alternatives fermées basées sur API.

Les garde-fous de sécurité semblent faibles sur les modèles téléchargeables

La conclusion la plus nette de l’AISI concerne les contrôles, et non la performance brute. L’institut a indiqué que les mesures de sécurité des modèles ouverts testés étaient largement inefficaces. Dans un exemple cité par The Decoder, DeepSeek V4-Pro refusait parfois des demandes d’ingénierie inverse, mais une nouvelle tentative suffisait à contourner la restriction.

Cette faiblesse n’est pas présentée comme un défaut propre à un seul modèle. Le point plus large de l’AISI est structurel : les garde-fous tels que la surveillance, les classificateurs, le bridage et les restrictions d’usage dépendent du contrôle de l’accès au système. Une fois les poids publiés, ce contrôle s’affaiblit ou disparaît. Les copies peuvent être exécutées en privé, modifiées ou partagées au-delà de la portée du développeur d’origine.

L’AISI décrit cela, selon les informations rapportées, comme un « risque persistant et irréversible d’usage abusif ». C’est un langage plus fort qu’un avertissement classique de fiche modèle, et cela aide à comprendre pourquoi l’institut présente l’écart qui se réduit comme un problème de politique publique et de calendrier défensif, et pas seulement comme une mise à jour de classement.

En même temps, le rapport ne rejette pas les modèles ouverts en bloc. L’AISI reconnaît aussi les avantages pratiques du déploiement à poids ouverts : hébergement privé, moindre dépendance aux fournisseurs, personnalisation et risque réduit qu’un fournisseur modifie les conditions d’accès ou coupe un service. Pour beaucoup d’entreprises, ce sont de vrais avantages. Le défi politique est que la même décentralisation qui rend les modèles ouverts attractifs pour les acheteurs réduit aussi le contrôle centralisé des usages nuisibles.

Preuves, réserves et ce qui reste à démontrer

Les principaux constats de cet article proviennent de l’évaluation de l’AISI telle que rapportée par The Decoder ; la seconde source, Tech Times, semble refléter la même appréciation sous-jacente sans ajouter de détails substantiels. Cela signifie que la base de preuves principale ici est le compte rendu médiatique d’une analyse institutionnelle, et non un article public complet reproduit dans l’ensemble des sources.

Plusieurs réserves comptent. Premièrement, l’AISI a indiqué que les résultats de Cyber Ranges constituent une preuve plus faible parce qu’ils reposent sur moins de cas de test. Deuxièmement, l’institut a également dit que les évaluations pourraient sous-estimer légèrement les modèles ouverts dans leur meilleure forme, car ces systèmes n’ont pas été spécialement ajustés pour les tests. Troisièmement, les environnements réseau simulés n’incluent pas de défenseurs actifs ni toute la complexité des organisations réelles.

Ces limites vont dans des directions différentes. Les partisans des modèles ouverts pourraient soutenir que l’écart rapporté exagère l’avance des systèmes fermés si un meilleur prompt ou un meilleur réglage améliorait les résultats. Les praticiens de la sécurité, à l’inverse, pourraient faire valoir que les simulations sous-estiment la friction réelle pour les attaquants, car les réseaux de production sont défendus, surveillés et incohérents.

Il existe aussi une question de conception des benchmarks derrière les titres. Un modèle qui obtient de bons scores sur les Narrow Cyber Tasks peut malgré tout échouer dans une véritable intrusion multi-étapes parce qu’il perd le fil du plan, utilise mal des outils ou accumule des erreurs. À l’inverse, un modèle en difficulté sur un long parcours autonome peut rester très utile à un opérateur humain qui découpe le travail en étapes plus petites. La propre formulation de l’AISI semble reconnaître cette distinction.

Ce que cela signifie pour les éditeurs et les acheteurs d’entreprise

Pour les développeurs d’IA, le rapport indique une base de référence en évolution. Si des systèmes à poids ouverts comme GLM-5.2 et DeepSeek V4-Pro peuvent approcher les performances cyber récentes des modèles fermés à un coût nettement inférieur, les équipes produit qui développent des assistants de codage, de l’automatisation de sécurité ou des workflows d’agents IA disposeront de davantage d’options de déploiement — mais aussi de davantage de responsabilités quant à la manière de contraindre, d’observer et de segmenter ces systèmes.

Pour les entreprises, la leçon pratique n’est pas « éviter les modèles ouverts », mais plutôt « séparer les décisions de coût des décisions de risque ». Faire fonctionner un modèle ouvert dans un environnement interne contrôlé peut rester pertinent, surtout lorsque la résidence des données et l’inférence privée comptent. Mais les équipes de sécurité pourraient avoir besoin de contrôles locaux plus robustes, d’un accès plus restreint aux outils, de journaux d’audit plus détaillés et de politiques internes d’utilisation plus claires que celles dont elles se contenteraient avec une API hébergée.

Pour le marché cyber, la chronologie mise en avant par l’AISI est peut-être le signal stratégique le plus important. L’institut considère l’écart entre modèles fermés et ouverts comme une fenêtre temporaire de préparation durant laquelle les défenseurs utilisant des systèmes plus performants peuvent s’adapter avant que des capacités équivalentes ne deviennent largement téléchargeables. Si cette fenêtre est désormais de quatre à sept mois au lieu de six à dix, les feuilles de route pour l’ingénierie de détection, le red teaming et la surveillance des abus devront peut-être s’accélérer.

Le rapport intervient aussi dans un contexte d’évolution rapide au sommet du marché des modèles. L’AISI a indiqué que des modèles fermés, dont Mythos Preview et GPT-5.5, avaient offert certains des plus grands gains en capacité cyber IA depuis le début de ses tests. Le National Cyber Security Centre britannique a par ailleurs averti que l’environnement des menaces cyber évolue rapidement. Même si les modèles ouverts ne reproduisent pas immédiatement chaque saut de frontière, la diffusion semble s’accélérer.

Ce qu’il faut surveiller ensuite

Un signal immédiat est le test prévu par l’AISI de Kimi-K3, dont The Decoder dit que les poids ouverts devraient être publiés fin juillet. L’AISI penserait que les benchmarks de codage actuels suggèrent que Kimi-K3 pourrait se rapprocher davantage des modèles de pointe d’aujourd’hui, mais potentiellement à un coût plus élevé que d’autres modèles ouverts.

Au-delà de cette seule sortie, trois éléments importent. Premièrement, savoir si les futures évaluations de Cyber Ranges montrent que les modèles ouverts progressent sur l’autonomie de long terme, et pas seulement sur la compétence dans des tâches étroites. Deuxièmement, voir si les entreprises adoptent des modèles de gouvernance locale plus stricts pour le déploiement à poids ouverts plutôt que de supposer que les habitudes de sécurité de l’ère des fournisseurs s’appliquent encore. Troisièmement, vérifier si les fournisseurs de modèles fermés peuvent conserver une avance significative en performance cyber, ou si les gains de pointe continuent de se diffuser vers des systèmes téléchargeables en quelques mois.

Point de vue de Creati.ai

Ce qu’il faut retenir de cette conclusion de l’AISI n’est pas seulement que les modèles ouverts progressent. C’est que le retard semble se compresser alors même que l’économie de l’inférence s’améliore encore plus vite. En pratique, cela signifie que le marché n’a peut-être pas besoin d’une parité exacte avec la pointe pour que les modèles ouverts deviennent stratégiquement importants dans les flux de travail cyber. « Assez proche, assez bon marché et assez difficile à contrôler » constitue déjà un seuil sérieux.

Pour les équipes produit et les acheteurs, la leçon est de traiter l’adoption des poids ouverts comme une décision d’infrastructure et de gouvernance, et pas seulement comme une décision de qualité de modèle. Les mêmes facteurs qui poussent l’intérêt pour l’autonomie de l’IA en entreprise — hébergement privé, coût inférieur et liberté vis-à-vis du verrouillage fournisseur — affaiblissent aussi les hypothèses de sécurité héritées. À mesure que des modèles comme GLM-5.2, DeepSeek V4-Pro et peut-être Kimi-K3 comblent l’écart, le véritable différenciateur pourrait passer de la capacité brute à la capacité de les déployer avec des contrôles fiables sur les outils, les données et les abus.