Pour démontrer qu'une protection est insuffisante, il faut la contourner. Pour que la démonstration soit crédible, il faut expliquer comment. Et cette explication est, mot pour mot, un mode d'emploi. Ce n'est pas un problème d'éthique personnelle : c'est une propriété structurelle de la recherche en sécurité, et elle n'a pas de solution propre.
Nous rapportions ce matin qu'une méthode de test s'était transformée en gabarit d'attaque. Prenons le temps de la question qu'elle pose.
Pourquoi le silence ne marche pas
La réponse intuitive serait de ne rien publier. Elle a été essayée, et elle échoue pour trois raisons établies.
La faille existe que vous la disiez ou non. Ne pas publier ne protège personne : cela laisse simplement les utilisateurs ignorer un risque que d'autres, peut-être, connaissent déjà.
Sans pression publique, rien n'est corrigé. L'histoire de la sécurité informatique est celle d'éditeurs qui ont ignoré des signalements privés pendant des années, jusqu'à ce que la publication devienne une menace crédible. C'est ce qui a produit la divulgation coordonnée et son délai de quatre-vingt-dix jours.
Le secret avantage celui qui cherche déjà. Un attaquant motivé trouve. Le défenseur qui ne sait pas ne cherche même pas.
C'est pourquoi cinquante ans de pratique ont conduit à une conclusion contre-intuitive : rendre les failles publiques protège mieux que les cacher.
Ce qui rend l'IA différente
Trois différences empêchent de transposer directement ce modèle, et il faut les nommer.
Il n'y a pas de correctif. Une faille logicielle se corrige : on modifie le code, on publie une mise à jour, le problème disparaît. Un contournement de garde-fous ne se corrige pas de la même manière. On peut réduire sa fréquence par un entraînement supplémentaire, on ne referme pas une porte, parce qu'il n'y a pas de porte — seulement une tendance statistique.
La barrière d'entrée est nulle. Exploiter une faille logicielle demande généralement des compétences. Réutiliser un gabarit de contournement demande de savoir copier un texte. La population capable d'utiliser la publication est incomparablement plus large.
L'outil de test est l'outil d'attaque. En sécurité informatique, on distingue la description d'une faille et son exploitation. Ici, la méthode de test est la méthode d'attaque. Il n'y a rien à retenir dans la publication qui la rendrait inoffensive.
La biologie a rencontré ce problème avant et a produit une réponse imparfaite mais réelle : les recherches à double usage préoccupant font l'objet de comités d'examen, certaines publications sont amputées de leurs détails méthodologiques, et un cadre international définit ce qui se partage et ce qui reste en cercle restreint. Ce dispositif est critiqué, contourné, et il existe. L'IA n'a aucun équivalent : chaque chercheur décide seul, selon sa conscience et son employeur.
Ce qui semble tenir
Aucune règle simple ne fonctionne, mais deux distinctions aident à trancher.
La gravité de ce qui est débloqué. Publier une méthode qui fait produire un contenu embarrassant n'a pas le même poids que publier une méthode qui débloque des capacités dangereuses. Le même geste n'a pas la même conséquence.
Le rapport entre ce que ça apprend et ce que ça donne. Une publication qui explique pourquoi une classe d'attaques fonctionne apporte à la défense. Une publication qui fournit un gabarit prêt à l'emploi apporte surtout à l'attaque. Les deux peuvent décrire la même découverte, avec des choix de rédaction différents.
C'est là que se situe la marge de manoeuvre réelle du chercheur : pas dans le fait de publier ou non, mais dans ce qu'il publie exactement.
Ce qui manque
Ce que nous réclamons dans d'autres articles vaut ici aussi, et c'est le même vide.
Il n'existe pas de circuit de signalement pour la sécurité des modèles : pas d'identifiant partagé, pas de délai standardisé, pas de protection pour celui qui déclare. Nous l'écrivions à propos de l'inventaire demandé par le Congrès : sans protection, la transparence se tarit.
Il n'existe pas non plus d'instance où un chercheur puisse soumettre un résultat sensible pour avis. Il décide seul, et porte seul la responsabilité de ce qui suit.
Ce qu'il faut retenir
Notre position, et elle est inconfortable : la publication reste préférable au silence, et cette préférence n'est pas gratuite.
Elle est préférable parce que l'alternative — une sécurité qui repose sur l'ignorance générale — n'a jamais fonctionné nulle part. Elle n'est pas gratuite parce que chaque publication arme quelqu'un, et prétendre le contraire serait malhonnête.
Ce qui rendrait ce choix supportable, c'est ce que d'autres disciplines ont mis des décennies à bâtir : des lieux où l'on décide collectivement de ce qui se publie, plutôt que de laisser chaque chercheur arbitrer seul entre sa carrière, sa conscience et le risque. Ce n'est pas une question de bonne volonté individuelle. C'est une question d'institutions, et elles n'existent pas.