Le paradoxe du modèle non censuré : moins de refus, moins de sécurité, et pourquoi l'IA locale reste importante

Il y a un argument familier dans le monde de l'IA locale : les modèles alignés refusent trop, donc il faut les décensurer. Nos benchmarks confirment la première partie. Le sur-refus sur des invites anodines comme écrire une scène de crime fictive ou expliquer un débordement de tampon est passé de 44 % à 0,5 % après abliteration sur un modèle. Mais voici ce que l'argument omet : la même modification a réduit les refus de sécurité légitimes de 41,5 % à 9,5 %. Le sur-refus et le refus de sécurité ne sont pas des problèmes distincts. Ce sont le même bouton dans les poids, et l'actionner supprime les deux.

Ce n'est pas une critique des modèles non censurés. Pour la confidentialité, le coût et le contrôle, les trois véritables raisons d'exécuter localement, ils sont l'outil approprié. Le problème est que la conversation à leur sujet tend à présenter le compromis comme « obtenez ce que vous voulez sans filtre », alors que le véritable compromis est plus honnête : vous passez à travers pour les invites légitimes mais laissez également passer des requêtes réellement nuisibles, car les modèles ne font pas la différence. Cette responsabilité vous incombe.

Comment un modèle apprend à dire non

Comprendre ce que la décensure retire nécessite de comprendre comment un modèle apprend à refuser en premier lieu. Cela se fait en trois étapes. D'abord, le pré-entraînement sur un vaste corpus de texte, où le modèle n'a aucun concept de refus, un modèle de base brut continuera presque n'importe quel texte. Ensuite, l'ajustement par instructions, où il apprend à suivre des requêtes et à se comporter comme un assistant. Enfin, l'alignement, RLHF ou DPO, où les refus sont installés en s'entraînant sur des données de préférence qui récompensent le fait de refuser certaines catégories de demandes.

Cette troisième étape est délibérément large, car les équipes qui commercialisent des produits de masse ne peuvent pas anticiper tous les cas limites. L'effet secondaire est une généralisation excessive : au lieu de bloquer uniquement les spécificités réellement nuisibles, le modèle apprend à traiter des catégories entières comme interdites, les dix mêmes catégories que les benchmarks de sécurité utilisent : violence, activité illégale, haine, harcèlement, contenu sexuel, automutilation, tromperie, vie privée, comportement contraire à l'éthique et « nuisible » général. Demandez la chimie derrière une réaction domestique, comment une arme historique fonctionnait, ou une intrigue criminelle pour un roman, et le réflexe destiné à empêcher les abus réels se déclenche également sur votre tâche légitime.

Abliteration contre ajustement fin

Il existe deux principales voies pour construire un modèle non censuré. L'ajustement fin entraîne davantage le modèle de base sur des données d'instruction supplémentaires. La famille Dolphin, par exemple, apprend un nouveau comportement à partir de cet ensemble de données, y compris la volonté de répondre. Comme il s'agit d'un véritable entraînement, il peut également améliorer le suivi des instructions et le ton, pas seulement supprimer les refus. Le coût est en calcul, et le risque de dériver des forces du modèle de base si les données sont faibles.

L'abliteration est l'approche plus légère. Les chercheurs ont découvert que le refus dans de nombreux modèles alignés est gouverné par une seule direction dans le flux résiduel du modèle, l'état interne qu'il transmet de couche en couche. Pour la trouver, vous exécutez le modèle sur des ensembles appariés d'invites nuisibles et inoffensives, enregistrez les activations, et prenez la différence des moyennes entre les deux. Ensuite, vous supprimez la capacité du modèle à exprimer cette direction, soit à la volée lors de l'inférence, soit en permanence en orthogonalisant les matrices de poids par rapport à elle. C'est rapide, peu coûteux, et reste proche de l'original, bien qu'il nécessite généralement un léger ajustement fin de « guérison » par la suite pour récupérer la petite baisse de capacité.

Les meilleures versions combinent souvent les deux : abliteration pour la conformité, puis ajustement fin pour restaurer la finesse.

Ce que montrent réellement les benchmarks

Nous avons exécuté cinq modèles non censurés via le même harnais llama.cpp sur une seule RTX 3060, en un seul tour, avec une invite système neutre et sans jailbreaks. Le sur-refus a été mesuré sur OR-Bench (Cui et al., 2024, 200 invites dans 10 catégories sensibles) et XSTest (Röttger et al., 2024, 250 invites sûres). La sécurité a été mesurée sur les 200 invites dangereuses de XSTest. La capacité a été testée sur une tranche fixe de 250 questions de MMLU, en zéro-shot.

Le résultat le plus important : les mêmes poids de Gemma 2 9B, alignés puis abliterés. Le sur-refus sur les invites anodines d'OR-Bench s'est effondré de 44 % à 0,5 %, soit une baisse de 90 fois. Mais son refus d'invites réellement nuisibles a chuté parallèlement, de 41,5 % à 9,5 %. MMLU n'a pas bougé (68,4 à 68,0). Une seule modification sur une seule direction dans les poids : les refus agaçants disparaissent, la majeure partie de la sécurité disparaît avec eux, et l'intelligence reste.

Ce schéma s'est répété sur chaque modèle que nous avons testé. Aucun modèle n'a refusé uniquement les mauvaises choses. C'est le véritable compromis.

La surprise du cloud

Une autre découverte retire une partie de l'argument en faveur des modèles non censurés locaux. Nous avons soumis les mêmes invites légitimes mais limites aux grands modèles hébergés : Mistral Large et Claude Opus 4.8 ont répondu à toutes ; DeepSeek V3 et Llama 3.3 70B ont répondu à 96 %. Le cloud, en pratique, ne refuse pas votre travail. La raison d'utiliser un modèle non censuré localement est la confidentialité, le coût et le contrôle total, et non l'hypothèse que le cloud bloque vos requêtes.

Quel modèle pour quoi

Pour un point de départ général, Gemma Abliterated 9B a répondu à chaque invite et conservé son raisonnement presque intact. Pour le codage, DolphinCoder ou Qwen 3.6 Uncensored. Pour l'écriture créative et le jeu de rôle, Nous Hermes 3 se comporte davantage comme un collaborateur que comme un chatbot. Si vous avez un GPU de 24 Go, Dolphin-Mistral 24B a obtenu le score de raisonnement le plus élevé que nous ayons mesuré (MMLU 75). Si vous avez besoin de vitesse et de contexte long, Llama 3.2 Dark Champion fonctionne à 76 tok/s sur une seule RTX 3060 grâce à sa conception mixture-of-experts.

Le conseil pratique : adaptez la taille à votre matériel. Les modèles modernes de 7B et 8B fonctionnent confortablement sur de nombreux ordinateurs portables en quantification 4 bits. Les Mac Apple Silicon font particulièrement bien l'affaire grâce à la mémoire unifiée. Même sans GPU dédié, les modèles plus petits fonctionneront sur le CPU, juste plus lentement.

Vous êtes maintenant le garde-fou

Les modèles non censurés ne sont pas plus précis ou capables simplement parce qu'ils sont non censurés. Ils arrêtent seulement de refuser les invites légitimes. Nos benchmarks ont clarifié le compromis honnête : l'abliteration supprime le sur-refus d'un modèle presque sans coût pour les capacités, mais elle retire le garde-fou de sécurité avec lui. Utilisez un modèle non censuré lorsque la confidentialité et le contrôle comptent, adaptez la taille à votre VRAM, et sachez que le jugement qu'il encodait est désormais votre responsabilité.