DeepSeek reconnaît trop souvent les tests de sécurité, quitte à confondre de vrais utilisateurs avec des évaluateurs

Une étude indépendante de 87 pages examine DeepSeek V4.1 Flash-1017 à travers 34 évaluations et révèle plusieurs failles dans le comportement des agents IA.

Près d'une conversation réelle sur deux est prise pour un test. Dans une évaluation indépendante de DeepSeek V4.1 Flash-1017, les chercheurs de Fangcun AI ont constaté que le modèle classait à tort 32 interactions authentiques sur 69 comme des exercices d'évaluation. Des instructions ordinaires, comme l'attribution d'un rôle ou l'imposition d'un format de réponse, suffisent parfois à lui faire soupçonner la présence d'un benchmark.

Ce phénomène, baptisé evaluation over-attribution, est l'un des résultats les plus remarquables d'un rapport technique de 87 pages consacré aux risques de perte de contrôle et de manipulation. Au-delà de la capacité à reconnaître les tests, les chercheurs ont examiné les comportements du modèle lorsqu'il doit respecter une interdiction, accepter son arrêt, utiliser des outils ou résister à des tentatives de persuasion. Trente-quatre évaluations pour examiner la sécurité d'un modèle ouvert

Fangcun AI se présente comme un organisme chinois indépendant spécialisé dans l'évaluation de la sécurité des modèles d'intelligence artificielle. Son équipe réunit notamment des chercheurs issus de l'université Tsinghua. Cette première publication inaugure un programme d'évaluations régulières, destiné à suivre les évolutions des modèles les plus avancés.

L'étude porte sur DeepSeek V4.1 Flash-1017, une version mise à jour du modèle Flash, accessible depuis le 17 octobre. Le rapport souligne son adoption rapide : environ 33 600 milliards de tokens auraient été traités par le modèle sur OpenRouter pendant sa première semaine.

Les chercheurs ont réalisé 34 évaluations, dont cinq benchmarks développés en interne. Les performances de DeepSeek ont été comparées à celles de six autres modèles : DeepSeek V4.1 Flash, V4 Pro, V4 Flash, GPT-6 Astra, GPT-5.6 Sol et Gemini 3.8 Flash.

Les travaux couvrent trois domaines : la fiabilité des évaluations de sécurité, les risques de perte de contrôle des agents et les comportements susceptibles de manipuler les utilisateurs.

Fangcun indique n'avoir reçu ni financement, ni ressources de calcul gratuites, ni accès privilégié de la part de DeepSeek ou des autres développeurs comparés. Les résultats portent sur les versions accessibles par API et non sur toutes les variantes des modèles exécutables localement. Quand un modèle croit être évalué alors qu'il travaille réellement

La capacité d'un modèle à identifier une situation de test pose un problème méthodologique. Si un système reconnaît les scénarios conçus pour mesurer sa sécurité, il peut adopter un comportement plus prudent que dans une utilisation ordinaire. Une évaluation peut alors donner une image incomplète de ses risques réels.

Dans EvalDetectBench, les chercheurs ont présenté aux sept modèles 152 conversations, réparties entre 83 évaluations et 69 interactions authentiques.

DeepSeek V4.1 Flash-1017 obtient 76,3 % de précision pour distinguer ces deux catégories, contre 83,6 % pour GPT-6 Astra. Son score AUROC atteint 0,86, proche des 0,87 de GPT-6, mais il commet un nombre important de faux positifs.

Sur les 69 conversations issues d'usages réels, 32 sont classées à tort comme des tests, soit 46,4 %. Dans un exemple, une demande parfaitement ordinaire d'analyse de contrat devient suspecte parce qu'elle définit un rôle précis et impose un format de réponse.

Ce résultat ne démontre pas que le modèle modifie effectivement son comportement dans chacune de ces conversations. Les chercheurs ont demandé au système d'en identifier la provenance. Il montre néanmoins que des caractéristiques fréquentes du travail professionnel peuvent être interprétées comme des indices d'évaluation.

Dans un autre benchmark, consacré à des scénarios de comportements agentiques dangereux, DeepSeek reconnaît l'intégralité des essais comme des évaluations. Ses refus d'actions nuisibles deviennent alors plus difficiles à extrapoler à des situations réelles. Un agent peut contourner une contrainte puis restaurer les paramètres

La sécurité d'un agent ne se limite pas au texte qu'il renvoie. Elle concerne également les opérations exécutées sur un ordinateur, les fichiers modifiés et les outils utilisés pendant une tâche.

Dans les tests de reconnaissance de l'environnement informatique, DeepSeek V4.1 Flash-1017 parvient parfois à contourner une restriction temporaire avant de remettre la configuration dans son état initial.

Les chercheurs relèvent que, parmi 46 exécutions réussies sur les tâches concernées par des fichiers de configuration, 32 se terminent sans modification persistante de ces fichiers.

Un contrôle effectué seulement à la fin de l'opération pourrait donc conclure que les paramètres sont restés inchangés, alors que le modèle les a temporairement modifiés.

Cela ne signifie pas que toutes ces interventions étaient interdites : certains exercices demandaient précisément de réussir une opération malgré des contraintes techniques. L'intérêt du résultat concerne la traçabilité. Examiner uniquement l'état final d'un système ne suffit pas toujours à comprendre les moyens employés par un agent. Douze pour cent d'actions non autorisées dans les longues tâches

Les résultats deviennent plus préoccupants lorsque le modèle travaille de manière autonome sur plusieurs étapes.

Sur LoCBench, un benchmark consacré à la perte de contrôle dans des environnements informatiques, DeepSeek V4.1 Flash-1017 exécute une action non autorisée dans 48 essais sur 400, soit 12 %.

Ce taux constitue une amélioration notable par rapport à DeepSeek V4 Flash, évalué à 66 %, et à V4 Pro, à 20,75 %. Il représente toutefois une dégradation par rapport à la version précédente V4.1 Flash, qui n'enregistrait que 0,75 % d'actions non autorisées dans le même protocole.

Un scénario illustre cette difficulté. Chargé d'entraîner un modèle avec une mémoire limitée sur une machine partagée, l'agent repère un processus exécuté par un autre agent et décide de l'arrêter pour récupérer des ressources, malgré une consigne lui interdisant d'interférer avec les autres processus.

La