L'IA peut apprendre à presque n'importe qui à faire presque n'importe quoi, et à le faire avec expertise. Le danger ne vient pas de l'information. La voie de synthèse se trouve dans les manuels et l'exploit figure dans le cours de sécurité, et ces informations ont fuité il y a des décennies. Le danger, c'est la capacité, la possibilité d'agir, offerte à quelqu'un qui ne pouvait pas agir auparavant. Un livre dit la même chose à tout le monde et ne voit pas où vous avez bloqué. Un modèle vous regarde échouer et corrige l'étape que vous avez manquée, et quand il fonctionne comme un agent, il cesse de décrire la tâche et l'exécute. Le tuteur autrefois rare, coûteux et libre de vous refuser est désormais gratuit, infatigable et indifférent.
Quelqu'un doit décider ce que ce tuteur peut enseigner, et à qui. À l'échelle qui importe, ce quelqu'un est un souverain, un principal avec le pouvoir de fixer la limite et de la faire respecter. Un laboratoire peut établir des règles internes. Seul un État peut imposer une règle contraignante, et en juin 2026, un État l'a fait.
Pour bien fixer la limite, il faudrait savoir à quel point une capacité donnée est dangereuse. C'est impossible. Le chiffre qui compte, c'est la valeur ajoutée, ce que le modèle apporte à une personne qui en manquait, par rapport à ce que cette personne pouvait déjà faire avec un moteur de recherche et sa propre formation. Un score élevé à un test de connaissances n'est pas une valeur ajoutée si le vrai obstacle n'a jamais été la connaissance. Et les cas qui nous effraient le plus, les rares cas catastrophiques, ne fournissent quasiment aucune donnée. Le chiffre dont la décision a besoin est le chiffre que personne ne peut obtenir.
Quand on ne peut pas mesurer une chose, l'interprétation la plus bruyante l'emporte. Les États-Unis ont ordonné à Anthropic de retirer ses deux modèles les plus performants, et l'entreprise les a désactivés dans le monde entier en quelques heures. La base de cette décision était un jailbreak démontré et un rapport qui remontait à une source unique ayant un intérêt concurrentiel. Le modèle avait passé des milliers d'heures de red teaming et franchi les seuils de sécurité de l'entreprise. Un appel téléphonique d'un concurrent et un ordre d'un régulateur l'ont fait tomber en cinq jours. Appelez cela prudence si vous voulez. C'était un levier déguisé en prudence.
L'erreur sous-jacente traverse la majeure partie du domaine. Les gens traitent l'ampleur d'un danger comme une raison de croire que le danger est réel. Les deux sont différents. La gravité potentielle d'un danger ne vous dit rien sur sa réalité. Un risque catastrophique est une raison d'exiger plus de preuves avant d'agir, pas moins. La sévérité élève la barre. Elle ne la franchit pas. L'ordre du Fable a lu un risque effrayant comme une autorisation d'agir sur des preuves minces, et cette décision passe pour de la responsabilité, c'est pourquoi vous devez la surveiller.
Un principal qui veut faire mieux que le levier dispose de deux outils, qui remplissent des fonctions différentes.
Le premier mesure la conviction, car le risque ne sera pas mesuré. Vous construisez le dossier le plus solide démontrant que la capacité permet un préjudice réel, et le dossier le plus solide démontrant le contraire, et vous agissez sur ce qui survit à la confrontation. Lorsque les preuves sont minces, votre conviction reste mince, et vous le dites. Lorsqu'elles sont solides, vous agissez avec une confiance que vous avez gagnée. L'ampleur du préjudice détermine le degré de certitude nécessaire avant d'agir. Elle ne remplace jamais cette certitude.
Le second contraint par ce qui lie. La plupart des cadres de sécurité classent les risques par domaine : la chimie dans une case, le cyber dans une autre, la biologie dans une troisième, et les menaces passent à travers les mailles du filet. C'est ainsi qu'un problème cyber a contourné un cadre conçu pour les armes chimiques et biologiques. Positionnez plutôt chaque capacité selon ce qui la retient : les connaissances, les compétences pratiques, les matériaux, ou qui contrôle l'accès. Une capacité retenue uniquement par les connaissances est lâche, et le modèle retire ce frein, donc elle devient active maintenant. Une capacité retenue par les matériaux et les compétences de laboratoire reste liée, quel que soit son domaine. Fixez la limite pour correspondre à ce qui lie la menace, et rien ne passera à travers une faille.
Les deux outils indiquent aussi à un principal où placer la limite. Conservez la capacité dans le modèle et contrôlez-la au point d'utilisation lorsque quelqu'un a une raison légitime de la détenir, ce qui est la plupart du temps, car la capacité qui permet à un attaquant de trouver une faille est celle qui permet à un défenseur de la corriger. Supprimez-la du modèle seulement lorsque le principal a décidé que personne ne devrait jamais la détenir, car la suppression retire l'outil du défenseur en même temps que celui de l'attaquant. La première approche maintient vivante la question du « à qui ». La seconde y répond par « personne ».
Rien de tout cela ne rend une capacité libre sûre. La capacité vit dans les poids et ne peut en sortir sans emporter le modèle avec elle. Ainsi, les limites contrôlent l'accès, pèsent la conviction, et bornent l'espace, et chacune d'elles fuit. La méthode n'achète pas la sécurité. Elle achète une décision fondée sur des preuves et une structure, plutôt que sur celui qui est le plus bruyant dans la pièce quand la question devient urgente.
La capacité est libre. Cette partie est acquise. La question ouverte est de savoir qui décide ce qu'elle enseigne, et à qui, et s'ils décident en pesant ce qu'ils ont le droit de croire ou en attrapant le levier le plus proche. Nommez le principal. Tenez le principal à une méthode.
