Huit jailbreaks, toute l'industrie, presque aucune réponse

In plain terms

Un chercheur en sécurité a trouvé huit façons de contourner les protections des grands modèles de langage - pas d'un seul, de presque tous. Les techniques reposent sur la manipulation du contexte plutôt que sur des mots interdits, et elles ont permis d'extraire des contenus que les modèles sont censés refuser. Publié dans IEEE Spectrum, ce travail pose moins un problème technique qu'un problème de processus.

Ce qui a été trouvé

David Kuszmar, chercheur IA au laboratoire Gazzetta et chercheur indépendant en cybersécurité, a documenté avec Matthew Gore-Kormanik huit méthodes distinctes. Deux exemples donnent le principe :

• Time Bandit manipule le contexte temporel du modèle (quatre prompts, complexité moyenne) ;
• Inception imbrique des scénarios dans des scénarios (trois prompts, complexité élevée).

S'y ajoutent 1899, Severance, Kyber, Semantic Slide et Eidolon. La portée est le point saillant : selon l'article, les techniques touchent « the bulk of the commercial AI industry » - ChatGPT/GPT-4o, Claude, Gemini, Llama, Copilot, DeepSeek, Grok, Le Chat/Vibe de Mistral, Qwen. Les contenus obtenus incluent des instructions de production de méthamphétamine, d'enrichissement d'uranium, d'engins incendiaires, de poisons, du code malveillant et des stratégies d'armes biologiques.

Under the hood

Prenons la mesure exacte du problème, sans catastrophisme. Ces attaques ne « cassent » pas le modèle : elles exploitent le fait que l'alignement est un comportement statistique conditionné par le contexte, pas une règle vérifiée en dur. Si vous déplacez suffisamment le cadre - une autre époque, une fiction dans une fiction - la distribution des réponses jugées acceptables se déplace avec lui. Le refus n'est pas un if, c'est une pente.

C'est pourquoi le même schéma d'attaque traverse des architectures, des jeux de données et des équipes d'alignement différents : la vulnérabilité est structurelle à la méthode, pas propre à un fournisseur. Et c'est aussi pourquoi la remédiation par filtrage de motifs échoue - il n'y a pas de motif, il y a un cadrage.

Un mot de prudence sur l'impact réel : « obtenir des instructions » n'équivaut pas à « acquérir une capacité ». Le facteur limitant d'une arme biologique n'a jamais été l'accès à la littérature. Le risque sérieux se situe plutôt sur les usages à barrière basse - code malveillant, ingénierie sociale à l'échelle - où le modèle fait vraiment gagner du temps à l'attaquant.

So what

Le vrai scandale est ailleurs. Kuszmar rapporte que « the response to the disclosure was almost nil » : la divulgation, passée par le système CERT/SEI de Carnegie Mellon, n'a suscité que des accusés de réception standards.

Une industrie qui réclame la confiance des entreprises et des États doit avoir un circuit de divulgation coordonnée qui fonctionne. Le logiciel classique a mis vingt ans à le construire - CVE, bug bounties, délais de correction, publication. L'IA en est à l'étape « merci pour votre message ».

Si vous déployez des modèles en production, ne comptez pas sur l'alignement du fournisseur comme contrôle de sécurité. C'est une couche de réduction du risque, pas une frontière. La frontière, c'est ce que vous mettez autour : validation des sorties, permissions minimales des outils, et un humain là où l'action est irréversible.