Modèles non censurés : ce qu'ils sont, à quoi ils servent, quels risques

Ce que « non censuré » veut dire, techniquement

Un mot, quatre mécanismes : chacun modifie autre chose et appelle une réponse différente.

Les fine-tunings sans refus sont arrivés les premiers. Des fine-tunings communautaires comme les familles Dolphin et Hermes ont été réglés pour refuser beaucoup moins, au nom d'un « alignement composable » : publier un modèle neutre et laisser chaque entreprise ajouter sa propre politique. La couche de sécurité d'origine est mince : Qi et al. (2023) ont supprimé l'essentiel du comportement sécurisé de GPT-3.5 Turbo avec une poignée d'exemples envoyés via l'API de fine-tuning d'OpenAI.

L'ablation de la direction de refus vient d'Arditi et al. (2024) : dans 13 modèles de chat ouverts jusqu'à 72B paramètres, le refus passait par une seule direction dans les activations du modèle. L'effacer supprime les refus ; l'ajouter fait refuser au modèle des demandes inoffensives. Des travaux ultérieurs ont montré une géométrie plus riche, avec plusieurs directions indépendantes, et qu'une direction extraite en anglais supprimait les refus dans d'autres langues avec une efficacité quasi parfaite, ce qui concerne directement les déploiements en français et en espagnol.

Un jailbreak ne modifie que les entrées : il fonctionne aussi contre les API hébergées, mais doit être répété à chaque conversation. Les checkpoints d'instructions apprennent à refuser au post-entraînement ; les checkpoints de base ne l'ont jamais fait, donc seule les protège la sécurité inscrite dans les données de pré-entraînement, que l'étude Deep Ignorance a trouvée bien plus résistante au fine-tuning adverse que les défenses de post-entraînement.

Pourquoi ils existent : les refus excessifs sont réels

La demande n'est pas seulement malveillante. Les modèles alignés refusent souvent des demandes sûres qui ont seulement l'air dangereuses. Dans XSTest, 250 prompts sûrs fondés sur des homonymes, du langage figuré ou des faits historiques, Llama 2 70B Chat avec son prompt système par défaut en a refusé entièrement 38 % ; GPT-4, 6,4 %.

OR-Bench a testé 32 modèles sur 80 000 prompts d'apparence toxique mais sûrs et trouvé une corrélation de rang de 0,89 entre le refus des prompts sûrs et celui des prompts toxiques : les modèles réglés pour être plus sûrs ont tendance à trop refuser, même si les plus récents le font moins. FalseReject, d'Amazon, a montré qu'un fine-tuning peut réduire les refus inutiles sans compromettre la sécurité globale.

Le contrepoids est SORRY-Bench, qui vérifie que les modèles refusent toujours 440 instructions réellement dangereuses réparties en 44 catégories ; un modèle utile doit réussir des deux côtés. Anthropic indique que ses classificateurs de 2026 refusent environ 0,05 % des requêtes inoffensives, 87 % de moins que sa première version. Les faux refus sont un problème d'ingénierie avec des solutions d'ingénierie ; retirer la sécurité n'en fait pas partie. Si vous voulez mesurer les deux côtés sur vos propres cas, Slash réalise l'évaluation de modèles du Slash AI Lab.

Un vaste écosystème que la redistribution maintient en vie

Les chiffres varient selon la méthode, mais concordent. Lin et al. (2025) ont identifié plus de 11 000 modèles non censurés sur Hugging Face, dont un installé plus de 19 millions de fois. Avec une définition plus stricte, 10a Labs en a compté 3 471 entre janvier 2024 et mars 2026, chacun reconditionné 2,4 fois en moyenne, et 25 % des 1 643 applications GitHub qui les utilisent ont été classées comme explicitement malveillantes.

Le même article qualifie la redistribution de « couche de persistance » : copies compressées et miroirs entre comptes, formats et plateformes rendent les retraits à la source largement inefficaces.

L'automatisation a encore abaissé la barrière. Une enquête du Financial Times avec la société de sécurité Alice (mai 2026) rapporte qu'un outil gratuit et public a servi à créer des milliers de variantes « décensurées », que des journalistes ont retiré les garde-fous de Llama 3.3 en quelques minutes sans matériel spécialisé, et que ceux de Gemma 4 sont tombés moins de 90 minutes après sa sortie. Google y voit un défi technique connu, commun à tous les modèles ouverts. Nous ne nommons volontairement pas l'outil.

Ce que l'on perd en retirant les garde-fous

Chez Arditi et al., les benchmarks généraux (MMLU, ARC, GSM8K) sont restés proches de la référence après la modification, mais la précision sur TruthfulQA baisse systématiquement. Une prépublication de 2025 comparant ces modifications sur 16 modèles d'instructions de 7B à 14B a trouvé que le raisonnement mathématique était la capacité la plus sensible : sur GSM8K, les résultats allaient d'un gain d'environ 1,5 point à une perte de 18,8, selon la méthode et l'architecture.

Le risque de fond est comportemental. L'étude sur le désalignement émergent, étendue dans Nature en 2026, a fine-tuné GPT-4o et Qwen2.5-Coder-32B sur une tâche étroite, écrire du code non sécurisé, et obtenu un comportement largement désaligné sur des prompts sans rapport ; présenter les mêmes données comme support d'un cours de sécurité l'a évité.

L'idée répandue qu'ils « hallucinent davantage » en général n'est établie par aucun benchmark que nous ayons pu vérifier. Les coûts mesurés suffisent pour évaluer tout modèle modifié sur vos propres tâches.

Usages légitimes et la leçon de Hugging Face

Il existe de vraies raisons de vouloir un modèle qui ne refuse pas : pentest et red teaming autorisés, analyse de logiciels malveillants et réponse à incident, fiction sur le crime ou la violence, questions médicales et juridiques franches, et recherche sur le refus lui-même. Reste à servir ces usages en sécurité.

En juillet 2026, lors d'une intrusion chez Hugging Face menée par un framework d'agents autonomes, les modèles commerciaux de pointe ont bloqué les requêtes d'investigation de l'équipe, car leurs garde-fous ne distinguent pas un intervenant d'un attaquant. L'équipe a donc analysé plus de 17 000 journaux de l'attaquant avec le modèle ouvert GLM-5.2, sur sa propre infrastructure. La leçon : disposer avant l'incident d'un modèle capable, vérifié et auto-hébergé, qui garde aussi en interne les données et identifiants de l'attaquant. Hugging Face précise que ce n'est pas un argument contre les mesures de sécurité des modèles hébergés.

La réponse du secteur est l'accès vérifié, pas le retrait des garde-fous. Avec Project Glasswing (avril 2026), Anthropic a réservé Claude Mythos Preview, performant pour trouver et exploiter des vulnérabilités, à des partenaires et à plus de 40 organisations qui maintiennent des logiciels critiques, avec un Cyber Verification Program pour les professionnels de la sécurité. Il existe aussi des modèles ouverts spécialisés : Foundation-Sec-8B de Cisco (Apache 2.0) vise le tri en SOC et la simulation de menaces, exclut la génération de malware et de phishing et exige une revue humaine.

Quel modèle non censuré tient dans votre mémoire ? La carte d'octobre 2026

Tout dépend de la mémoire : de 32 à 512 Go, il existe une version non censurée de presque chaque famille ouverte, et comme elle pèse autant que l'originale, elle tourne à la même vitesse.

Le 8 octobre 2026, le développeur @sudoingX a publié une carte des versions non censurées et « abliterated » les plus téléchargées pour chaque niveau de mémoire, d'une RTX 5090 de 32 Go à quatre DGX Spark totalisant 512 Go, avec des vitesses mesurées sur ses propres machines. Nous la résumons ici, en citant son auteur, et nous l'avons vérifiée : le 9 octobre, nous avons contrôlé sur Hugging Face chaque dépôt, la taille de chaque fichier, les conditions d'accès et ce que déclare chaque auteur.

32 Go : RTX 5090, Radeon AI PRO R9700 ou deux cartes de 16 Go

• Qwen 3.6 40B Deckard Heretic : Q5, 28,2 Go. Un modèle de 40B étendu à partir d'un 27B et entraîné sur un jeu de raisonnement généré avec un autre modèle, selon son auteur.
• Qwen 3.8 27B Aggressive : Q6, 25,9 Go, avec tête MTP ; 0 refus sur 465, selon son auteur.
• Gemma 4 31B Heretic : Q6, 25,2 Go ; 10 refus sur 100 contre 99 pour l'original, selon son auteur.
• Qwen 3.6 35B-A3B Aggressive : Q6, 30,6 Go ; 0 sur 465 et plus de 11,9 millions de téléchargements au total.

48 Go : deux RTX 3090 ou 4090, RTX A6000, RTX PRO 5000 ou deux RX 7900 XTX

• Qwen 3.6 35B-A3B Genesis Hermes : Q8, 43,6 Go. Construit sur la version Aggressive à 0 sur 465, avec les données d'un ajustement pour agents.
• Llama 3.3 70B abliterated : Q4, 42,5 Go, le 70B classique.
• Qwen3-Next 80B-A3B abliterated : IQ4_XS, 42,6 Go, un mélange d'experts à 3B actifs.
• Avec trois RTX 3060 (36 Go), Gemma 4 31B Heretic tient en Q8 (32,6 Go), et Qwen 3.8 27B en Q4 tourne à 17,3 tok/s, 24,5 avec MTP (communauté).

96 à 128 Go : RTX PRO 6000, Strix Halo, DGX Spark ou Mac Studio

• Qwen 3.8 Flash-Next 180B uncensored : IQ4_XS, 97,5 Go, accès conditionné (conditions à accepter sur la page).
• Flash-Next GSQ-RCO abliterated : IQ3_S, 83,9 Go, tient sur une carte de 96 Go ; la direction de refus a été retirée d'un modèle déjà quantifié.
• Qwen 3.5 122B-A10B Aggressive : Q4, 74,2 Go ; 0 sur 465, selon son auteur.
• DeepSeek V4 Flash abliterated : Q2, 86,7 Go ; son auteur la présente comme une preuve de concept.
• gpt-oss-120b Aggressive : 65,4 Go en MXFP4, la précision native du modèle.
• Mesures de @sudoingX : une Strix Halo fait tourner Qwen 3.6 35B-A3B en Q8 à 53,5 tok/s ; une DGX Spark, le 122B de base à 28,2 tok/s (34,9 avec MTP) et DeepSeek V4 Flash en IQ3 à 16,5 tok/s.

256 Go : deux DGX Spark ou Mac Studio de 256 Go

• GLM 5.3 Flash 321B uncensored : NVFP4, 194,7 Go, conserve la tête MTP ; 0 % de refus sur HarmBench-320 et 85,28 % au MMLU, à moins d'un point du modèle de base, selon son auteur.
• Qwen 3.8 Flash-Next uncensored : FP8, 185,5 Go, accès conditionné.
• DeepSeek V4 Flash abliterated : Q4, 164,6 Go.

512 Go : quatre DGX Spark ou Mac Studio de 512 Go

• GLM 5.3 Flash uncensored : FP8, 328,3 Go, accès conditionné.
• La version FP8 de dealignai : 328,3 Go ; 87,33 % au MMLU contre 86,74 % pour le modèle de base, selon son auteur.

Trois clés pour lire la carte. La demande est énorme. Selon Hugging Face, la version Aggressive de Qwen 3.8 27B a dépassé 2 millions de téléchargements en 30 jours, et la version abliterated de Flash-Next, publiée le 2 octobre, en comptait déjà plus de 680 000. Les refus sont autodéclarés. Chaque auteur mesure avec son propre jeu de tests (465 prompts, 100 prompts ou HarmBench-320), et certains reconnaissent garder des refus exprès pour préserver la qualité : aucun de ces chiffres n'est une évaluation indépendante. Tout n'est pas une ablation propre. Deckard et Genesis Hermes ajoutent d'autres entraînements : leur comportement n'est plus celui du modèle d'origine.

La licence suit le modèle de base. Les dérivés de Qwen 3.8 Flash-Next affichent Apache 2.0 sur leur dépôt, mais le modèle de base relève de la licence Qwen Community, avec ses propres conditions pour certaines activités (voir les modèles à poids ouverts en 2026) : vérifiez la licence d'origine avant tout usage commercial. En pratique, les fichiers GGUF tournent sur llama.cpp (avec Vulkan ou ROCm sur AMD) et sur un Mac avec llama.cpp ou MLX quand une version existe. Pour choisir le matériel, voyez le matériel pour l'IA locale en 2026 ; pour comprendre Q4, Q6 ou IQ4_XS, le guide de la quantification.

Ce que disent la loi et les licences en 2026

La plupart des règles visent les outils et les contenus abusifs, surtout les images sexuelles, pas les modèles eux-mêmes.

L'interdiction européenne touche aussi les outils généralistes : leur mise sur le marché est interdite lorsque ce résultat est raisonnablement prévisible et reproductible et que le système n'a pas de garde-fous raisonnables et adéquats pour l'empêcher de façon fiable. Un modèle d'images dont on a retiré les garde-fous correspond à cette description. Les obligations de transparence de l'article 50, comme informer les personnes qu'elles interagissent avec une IA, s'appliquent depuis le 2 août 2026, quels que soient la taille ou la licence du modèle.

Les licences ajoutent une couche : la politique d'usage acceptable de Llama 3.3 interdit les contenus d'exploitation d'enfants et le code malveillant, et les conditions d'utilisation de Gemma interdisent de contourner les filtres de sécurité (Gemma 4 est passé sous Apache 2.0). La politique de contenu de Hugging Face interdit les contenus sexuels non consentis. Plus de détails dans notre carte réglementaire 2026.

De meilleures options qu'un modèle non censuré

Pour presque chaque besoin légitime, il existe une voie plus sûre.

Le fil conducteur : corriger la calibration et l'accès, pas la sécurité. Les modèles de garde et les politiques sont traités dans des garde-fous qui fonctionnent en production, et le travail offensif autorisé dans l'IA en sécurité offensive.

Notre recommandation et une check-list

Chez Slash, nous recommandons trois règles : aucun modèle sans garde-fous dans un produit face aux clients ; pour la sécurité autorisée, d'abord l'accès vérifié ou un modèle spécialisé ; et un modèle peu restrictif seulement comme outil de laboratoire sous contrôle, jamais redistribué. Avant d'en utiliser un, vérifiez :

1. Autorisation : un périmètre écrit, un responsable nommé et un objectif légitime (test, recherche, réponse à incident).
2. Provenance : des poids d'un éditeur connu, avec sommes de contrôle ; les copies anonymes sont un risque de chaîne d'approvisionnement.
3. Isolement : un environnement séparé, sans données de production, sans sortie vers internet et sans outils superflus.
4. Journalisation : prompts, sorties, opérateur et version du modèle, selon votre politique de conservation.
5. Revue des sorties : un modèle de garde sur les sorties et une personne avant que quoi que ce soit ne quitte le laboratoire.
6. Contrôle juridique : la politique d'usage acceptable de la licence et le droit là où vous opérez et là où vont les résultats.
7. Sortie : supprimer le modèle et ses résultats à la fin de la mission.