Les refus disparaissent du modèle, les règles passent dans l’API

Abliterated-model-large-v2 modifie GLM-5.3 pour réduire ses refus lors de tests de cybersécurité, tout en laissant aux entreprises la gestion de leurs propres règles.

Un modèle qui ne s’interrompt plus au milieu d’un test d’intrusion parce qu’il juge la demande trop risquée. C’est la promesse d’abliterated-model-large-v2, une version modifiée de GLM-5.3 conçue pour la cybersécurité offensive, le red teaming et l’évaluation d’agents.

Le service ne correspond pas à un nouveau modèle entraîné depuis le départ. Abliteration AI utilise GLM-5.3, développé par Z.ai, puis modifie ses poids afin de réduire les réponses de refus. Le résultat est proposé à travers une API hébergée aux États-Unis, avec une précision FP8, une fenêtre de contexte pouvant atteindre un million de tokens et des entrées exclusivement textuelles.

La plateforme ne publie pas les poids de cette version modifiée. Malgré l’origine ouverte de GLM-5.3, abliterated-model-large-v2 reste donc, pour le moment, un service distant. L’annonce et la documentation ne fournissent aucun dépôt permettant de le télécharger ou de l’exécuter sur sa propre infrastructure.

Le terme « abliteration » désigne une méthode de modification interne qui tente d’identifier une direction associée aux refus dans les activations d’un modèle. Cette direction est estimée en comparant ses réactions à des requêtes considérées comme acceptables et à d’autres susceptibles de déclencher un blocage. Elle est ensuite atténuée dans les poids pour rendre ces refus moins fréquents.

Cette approche se distingue d’un simple contournement par instruction. Une commande destinée à tromper un modèle doit généralement être répétée et peut cesser de fonctionner après une mise à jour. L’abliteration intervient directement dans les poids et persiste donc d’une conversation à l’autre.

Elle ne consiste pas non plus, dans sa forme initiale, à reprendre entièrement l’entraînement du modèle. La documentation d’Abliteration AI indique toutefois que large-v2 a également été affiné après GLM-5.3, sans détailler les données, la durée ou les objectifs précis de cette étape supplémentaire. Il est donc difficile de séparer les effets de la suppression des refus de ceux de cet ajustement complémentaire.

La méthode s’appuie sur des travaux publiés en 2024 par Andy Arditi et plusieurs chercheurs. Leur étude observait qu’une direction interne pouvait jouer un rôle important dans les refus de treize modèles ouverts allant jusqu’à 72 milliards de paramètres. Sa suppression diminuait fortement leur propension à bloquer des demandes dangereuses, avec des effets alors présentés comme limités sur leurs capacités générales.

Ces conclusions ne signifient pas que tous les refus de tous les modèles reposent sur un seul mécanisme. Des travaux plus récents décrivent plusieurs directions selon la catégorie de demande et la manière de refuser. L’abliteration demeure une intervention expérimentale : elle peut réduire un comportement ciblé sans garantir que toutes les autres compétences resteront parfaitement identiques.

Abliteration AI affirme que ses capacités de programmation, d’utilisation d’outils et d’exécution de tâches longues sont conservées. L’entreprise positionne cette version auprès des équipes confrontées aux blocages de modèles généralistes lors d’audits autorisés. Une chaîne d’analyse peut en effet être interrompue dès qu’une étape ressemble à une tentative d’intrusion, même lorsque la cible appartient au client ou que le test a été explicitement approuvé.

Le problème est réel pour les professionnels de la sécurité. La découverte d’une faille, sa reproduction et la préparation d’une correction utilisent parfois les mêmes techniques qu’une attaque malveillante. Un fournisseur externe ne dispose pas toujours du contexte nécessaire pour distinguer ces usages et peut appliquer des restrictions trop larges.

En supprimant une partie de ces refus, large-v2 peut poursuivre plus longtemps une analyse, produire une preuve de concept ou interagir avec les outils d’un agent. La même disponibilité peut cependant servir une personne dépourvue d’autorisation. Le modèle ne sait pas vérifier à lui seul si la cible appartient réellement à l’utilisateur ni si une mission présentée comme défensive respecte son périmètre.

La version d’origine possède déjà des capacités importantes dans ce domaine. Z.ai a développé GLM-5.3 à partir de la même base que GLM-5.2, puis a étendu son post-entraînement avec des environnements plus longs et plus variés. L’objectif porte notamment sur les agents capables de maintenir une tâche, d’utiliser plusieurs outils et de poursuivre leur travail après un premier échec.

Sur Terminal-Bench 4.0, qui évalue la résolution de tâches informatiques dans un terminal, Abliteration AI attribue à large-v2 un taux de réussite de 41,8 %. Ce résultat le place derrière Opus 5 à 51,8 % et Fable 5 à 44,5 %, mais devant GPT-5.6 Sol à 37,3 % dans le tableau publié par l’entreprise.

Sur CyberGym, le modèle obtientrait 84,5 % en pass@1 sur 1 507 tâches issues de 188 projets. Cette évaluation vérifie la capacité à retrouver et reproduire des vulnérabilités documentées dans des logiciels ouverts.

La communication publiée sur X présente ce résultat comme le meilleur du secteur face à Mythos 5 et GPT-5.6 Sol. La page officielle d’Abliteration AI fournit toutefois une comparaison plus large dans laquelle GPT-5.5 atteint 85,6 %. Large-v2 arrive donc derrière ce modèle dans le propre tableau de son fournisseur. La mention « état de l’art » dépend du groupe de concurrents retenu et ne peut pas être reprise sans cette réserve.

ExploitBench mesure plus directement la capacité à transformer une vulnérabilité en attaque fonctionnelle. Le score associé à GLM-5.3 passe de 24,4 pour GLM-5.2 à 54,4. Il s’agit bien d’une progression supérieure au double, mais pas du meilleur résultat publié : Z.ai attribuait par exemple 78 à Mythos 5 sur la même évaluation.

Dans ExploitGym, GLM-5.3 accomplirait 105 tâches sur 869 en deux heures, contre 29 pour la génération précédente mentionnée dans la communication. Le tableau d’Abliteration AI place néanmoins GPT-5.6 Sol à 216 tâches et Fable 5 à 181 sur cette durée.