Pour vendre de l’éthanol à l’industrie sans le taxer comme une boisson, les administrations fiscales l’ont de longue date fait dénaturer : des additifs le rendent imbuvable sans nuire à ses usages techniques. Tout repose sur la difficulté de les en séparer. Sous la Prohibition, des chimistes clandestins redistillaient l’alcool industriel, et Washington a répondu en rendant ses dénaturants plus toxiques : une fois le bidon vendu, seule sa composition protégeait encore.
L’intelligence artificielle retrouve ce dilemme en cybersécurité, et les laboratoires américains surveillent l’acheteur. Anthropic a lancé le 7 avril Claude Mythos Preview dans le Project Glasswing, sans intention de l’ouvrir au public, et conditionne des usages à l’identité du demandeur par son Cyber Verification Program. La fiche système de GPT-6 Astra, le 3 septembre, en a fait le premier modèle d’OpenAI au palier critique en cybersécurité, et Google a présenté le 28 octobre Gemini 4 Carbon, réservé aux cyberdéfenseurs.
Des poids publiés ne laissent pas ce choix : ils échappent à leur auteur. Tencent mise donc sur la composition. Le groupe chinois a lancé le 4 novembre la version définitive de Hy4, qui voit et se sert seul d’un ordinateur, accessible par API mais aux poids seulement annoncés, en assurant n’avoir gardé que la défense dans ses données cyber. Restent à situer le modèle, à peser des scores maison, à préciser ce qu’ouvert veut dire, à examiner ce filtre et son contrôle, puis à le confronter à Moonshot AI et à la recherche.
Tencent, du géant de WeChat au modèle qui agit
Basé à Shenzhen, Tencent détient WeChat, la messagerie dominante en Chine, et compte parmi les premiers éditeurs mondiaux de jeux vidéo. Ses modèles de langage forment la famille Hy, appelée Hunyuan en Chine. Le 28 août, le média Caixin le décrivait comme perçu en retard sur plusieurs laboratoires du pays et pressant ses sorties face à Moonshot AI, DeepSeek et Z.ai.
Tencent a confirmé le 12 août, avec ses résultats trimestriels, l’entraînement de Hy4, plus grand que Hy3 et multimodal quand son aîné ne lisait que du texte. La préversion du 28 août a suivi, ses poids publiés sous licence Apache 2.0 : 770 milliards de paramètres, dont 49 milliards seulement mobilisés pour chaque jeton par ce mélange d’experts.
La version définitive ajoute la vision, graphiques complexes compris, et manipule pour la première fois un ordinateur en autonomie, en ligne de commande comme par l’interface graphique, après un entraînement sur des logiciels métier tels que Blender ou la CAO et sur des tâches enchaînant plusieurs applications. Tencent concède un écart notable avec les meilleurs modèles propriétaires en mathématiques de recherche, code à long horizon, auto-amélioration et questions visuelles avancées, et promet « dans un proche avenir » un Hy4 Flash plus économique, plus rapide et plus tourné vers les produits, sans calendrier ni tarif.
Des progrès mesurés sur des épreuves maison
Face à la préversion, Tencent annonce +19,1 % sur GameDev et +9,8 % sur GameLogic, deux évaluations bâties avec les développeurs de Tencent Interactive Entertainment Group (IEG), sa division jeux vidéo, qui a aussi fourni des données d’entraînement. Le taux d’hallucinations, ramené de 15,76 % à 5,45 %, sort d’« évaluations internes » jamais nommées. Aucun protocole n’est publié, et l’annexe de résultats n’existe qu’en images.
L’épreuve de finance a été menée avec Tencent Financial Technology, autre entité du groupe : 213 professionnels, dont 153 experts d’institutions financières, ont jugé le modèle sur 579 tâches réelles. Hy4 y serait premier des modèles à poids ouverts, à 3,04 points contre 2,97 pour DeepSeek-V4.1-Flash-1017 et 2,68 pour Kimi K3.1 Pro comme pour GLM-5.3, sur une échelle non précisée. Les erreurs spéculatives, ces liens affirmés sans appui dans les sources, passeraient de 23,1 % à 5,6 %.
Le reste tient aux témoignages de partenaires hébergés sur la page même de l’annonce, Manus évoquant près de 97 % de tâches documentaires menées à terme, aux côtés de RabyteTech ou de Comein, puis aux retours d’applications du groupe comme QQ ou WeCom. Tant qu’aucun tiers n’a refait l’épreuve, sept centièmes d’avance sur DeepSeek ne valent pas un rang, et le 3,04 contre 2,68 face à Kimi K3.1 Pro, tiré des mêmes tâches choisies par Tencent, ne dispense pas d’un essai sur ses propres usages.
Une API au prix d’août, des poids encore promis
Un accès payant et une remise affichée
L’API de Hy4 est ouverte chez Tencent Cloud et sur OpenRouter, routeur qui réunit de nombreux fournisseurs sous une facture unique, avec une fenêtre de contexte proche du million de jetons, ces fragments de texte souvent plus courts qu’un mot. L’accès suppose un compte et se paie à l’usage, et le modèle équipe les produits maison CodeBuddy, WorkBuddy, Yuanbao et ima. Les prix restent ceux de la préversion : 0,834 dollar le million de jetons en entrée, 2,501 en sortie, 0,042 pour les entrées en cache.
Le 4 novembre, la page tencent/hy4 d’OpenRouter affichait une remise de 50 %, soit 0,417 et 1,251 dollar, un fournisseur unique, Tencent Cloud, et aucun routage européen. Un relevé du jour plaçait en tête de son trafic Claude Code, l’agent de programmation d’Anthropic, avec 867 millions de jetons, devant Pi, autre agent de code, et ses 786 millions.
Des poids ouverts conjugués au futur
Publier des poids, c’est livrer les milliards de valeurs fixées par l’entraînement : chacun peut alors faire tourner le modèle sur son matériel, hors des serveurs de l’éditeur. Pour Hy4, seuls ceux de la préversion se téléchargent. Tencent prévoit d’ouvrir ceux du modèle définitif avec l’appui de vLLM et de SGLang, deux moteurs d’inférence, et d’y joindre une system card détaillant ses évaluations de sécurité, sans en préciser la date, la taille ni la licence.
Ouverts, des poids de cette classe restent hors de portée d’un particulier : ceux d’août pèsent 1,56 téraoctet en BF16, et la fiche répartit leur version FP8 sur huit processeurs graphiques. Ils ne livrent ni le corpus ni la recette d’entraînement, à la différence d’un logiciel libre. Reste la licence, qui pèsera sur le régime du Hy4 définitif au regard du règlement européen sur l’IA : celle de la préversion de Hy3, en avril, excluait l’Union européenne, avant un passage à l’Apache 2.0 en juillet.
Le cyber offensif écarté, un contrôle resté en famille
Ce que le tri garde et ce qu’il écarte
En fin d’annonce, au chapitre de l’ouverture responsable, Tencent assure n’avoir gardé de ses données de cybersécurité que le versant défensif : génération de PoC, ces preuves de concept qui rendent une faille observable, et correction de vulnérabilités. En auraient été retirés des contenus offensifs tels que le développement d’exploits, la rétro-ingénierie, qui reconstitue la logique d’un logiciel compilé, et les tests d’intrusion, assauts commandés pour éprouver des défenses, « pour éviter d’amplifier » ces capacités.
L’annonce ne dit ni quelle part des données a été retirée, ni par quelle méthode, ni ce que le tri a changé aux scores. La frontière n’est pas tracée non plus, alors qu’une preuve de concept qui déclenche une faille constitue souvent la première étape d’un exploit. Ce qui a été écarté est nommé, jamais mesuré : rien n’indique ce qu’il reste à Hy4 d’aptitude offensive.
Un red team sans chiffres ni regard extérieur
Le contrôle a été confié à des spécialistes de Tencent Xuanwu Lab et de Tencent Keen Security Lab, deux équipes réputées mais internes au groupe, dont le red team a éprouvé le modèle en cryptanalyse, en rétro-ingénierie et en exploitation de vulnérabilités. Leur verdict, livré en une phrase et sans le moindre score, écarte tout risque accru de Hy4 pour décortiquer des algorithmes cryptographiques, défaire l’obfuscation de binaires ou exploiter des failles.
Aucun évaluateur extérieur n’est cité, quand l’AI Security Institute britannique et le CAISI américain avaient constaté le 23 juillet, dans une évaluation préliminaire de Kimi K3, que ses garde-fous n’avaient pas empêché les tentatives d’exploitation offensive. En biologie, Tencent s’en tient à 30,4 points sur 100 au Hy-BioExperimentBench, son test de conception d’expériences, « bien en deçà » d’un seuil de risque élevé jamais chiffré.
Moonshot, le même pari avec un prix affiché
Un banc d’exploitation sur des failles réelles
Moonshot AI avait pris les devants. En dévoilant Kimi K3.1 Pro le 23 octobre, la jeune pousse pékinoise a dit avoir expurgé de tout contenu cyber le mid-training, qui précède les réglages finaux, et les environnements d’apprentissage par renforcement, en conservant la programmation générale. Son banc interne, XDev-Bench-Hard, impose de trouver puis d’exploiter, protections activées, des failles récentes du noyau Linux, de Node.js, de JavaScriptCore, d’Exim et de VirGL jusqu’à exécuter du code arbitraire en bac à sable.
Ce que le tri retranche
En pass@3, soit trois essais par problème, le point de contrôle entraîné sans ce tri réussit 90,5 % des épreuves, le modèle publié 81,0 % : l’écart imputable au tri atteint 9,5 points. Kimi K3 plafonnait à 33,3 %, et son successeur filtré fait plus que doubler ce score, la compétence en code emportant celle de débusquer des défauts. Tous ces chiffres sont déclarés par Moonshot, sur son propre banc.
Moonshot place cette capacité offensive sous le niveau des modèles fermés de pointe accessibles depuis trois mois au moins, et dit vouloir « relever progressivement » la capacité cyber disponible dans ses poids ouverts. Ceux-ci se téléchargent déjà sur Hugging Face, sous une Kimi K3.1-Pro License de type MIT qui impose un accord séparé à tout exploitant d’un service de modèle réalisant plus de 20 millions de dollars de revenus sur douze mois.
Filtrer n’est pas effacer
Des refus qui se retirent
Deux protections se confondent volontiers. La première est comportementale : le modèle sait, mais refuse, comme Mistral Large 4, publié en poids ouverts le 29 octobre avec, selon Mistral, 96,6 % de refus sur des requêtes cybermalveillantes. Or un refus se retire des poids : depuis les travaux d’Arditi et de ses coauteurs, en juin 2024, l’abliteration efface la direction des activations qui le porte.
Anthropic en a mesuré le prix le 29 septembre sur GLM-5.3, décrit le 17 septembre par le CAISI du NIST comme le modèle à poids ouverts le plus capable en cyber publié à ce jour : ses refus tombent de plus de 90 % à 2 à 12 %, capacités largement intactes, pour quelque 4 400 dollars de calcul. Hugging Face aurait désactivé une variante présentée comme offensive, selon des sites spécialisés, quand des milliers de dépôts « abliterated » restent en ligne.
Un tri des données plus solide, éprouvé ailleurs
La seconde, celle que revendiquent Tencent et Moonshot, vise la connaissance elle-même. Le 8 août 2025, l’étude Deep Ignorance, d’EleutherAI et de l’AI Security Institute britannique, montrait qu’un tri des textes à double usage dès le pré-entraînement de modèles de 6,9 milliards de paramètres résistait à 10 000 étapes de réentraînement adverse, dix fois mieux au moins que les correctifs ultérieurs. Mais l’essai portait sur la biologie, l’information fournie en contexte restait exploitée, et Moonshot ne revendique aucun tri du pré-entraînement.
Pour le désapprentissage, la restauration est établie : Łucki, Tramèr, Rando et leurs coauteurs ont montré en septembre 2024 que dix exemples sans rapport rendent l’essentiel des capacités que la méthode RMU prétendait effacer. Pour un filtrage cyber, qu’un détenteur des poids puisse rendre à Kimi K3.1 Pro, ou demain à Hy4, ce qui leur a été retiré reste une hypothèse que ni Moonshot ni Tencent n’ont mise à l’épreuve d’un réentraînement malveillant, comme l’avait fait OpenAI avant de publier gpt-oss, le 5 août 2025.
Le lancement de Hy4 réunit un produit qui voit et agit, vendu au prix de sa préversion et sollicité dès le premier jour à travers un agent de programmation américain, et un argument que des laboratoires chinois commencent à porter : la sécurité par les données. Mais Moonshot a chiffré ce que son filtre retranche quand Tencent n’en livre que l’intention, et chaque score repose sur une épreuve de l’éditeur ou de ses partenaires.
Le prochain rendez-vous est la system card promise avec les poids. Si elle publie un score cyber avant et après filtrage, Tencent rejoindra Moonshot sur le terrain de la preuve, et le dépassera s’il y ajoute un réentraînement malveillant comparable à celui de gpt-oss ; si les poids paraissent sans elle, ou sous une licence moins ouverte que l’Apache 2.0 d’août, la promesse aura changé de nature. Reste à savoir si les évaluateurs publics britannique et américain examineront Hy4.
La question dépasse Tencent. Qui publie des poids n’a prise que sur leur fabrication : une fois copiés, ils servent qui les détient. Les laboratoires américains gardent la main en triant leurs utilisateurs, Tencent et Moonshot agissent en amont en appauvrissant le modèle, et aucune des deux doctrines ne dispense de mesurer ce qui reste.
Aller plus loin
La pièce maîtresse demeure l’annonce Introducing Hy4, publiée par Tencent le 4 novembre, qui décrit les épreuves de jeu vidéo et de finance, aligne les témoignages de partenaires et consacre une section à la publication responsable, du filtrage cyber au red team interne, jusqu’à la promesse de poids sans date.
Pour savoir ce qui se télécharge, la fiche tencent/Hy4-preview détaille l’architecture de la préversion, un mélange d’experts de 78 couches, ses scores publiés, sa licence Apache 2.0 et les images vLLM et SGLang prévues dès la sortie : c’est le seul Hy4 que l’on puisse aujourd’hui installer.
Le texte de la Tencent Hy Community License Agreement, appliquée à la préversion de Hy3, montre qu’une licence de poids peut exclure des territoires entiers, ici l’Union européenne, le Royaume-Uni et la Corée du Sud, et soumettre les plus gros services à autorisation, une lecture utile tant que celle du Hy4 définitif reste inconnue.
Moonshot expose dans Kimi K3.1 Pro Tech Blog: Advancing Open Intelligence le protocole de XDev-Bench-Hard et ses conditions d’exécution, sans délai strict ni plafond de jetons, avec le graphique qui situe le modèle filtré face à son point de contrôle intact et à des concurrents évalués dans un autre harnais que KimiCode : le chiffrage qui manque à Tencent.
Ce à quoi ressemble un contrôle extérieur se lit dans l’évaluation Preliminary Assessment of Kimi K3’s Cyber Capabilities, commune aux évaluateurs publics britannique et américain : bancs nommés, cyber range en trente-deux étapes, comparaison chiffrée avec les modèles américains et limites de méthode assumées.
Ce que le NIST a réellement écrit sur GLM-5.3 figure dans CAISI’s Assessment of Z.ai’s GLM-5.3 Cyber Capabilities, qui parle du modèle ouvert le plus capable en cyber publié à ce jour, avec quatre mois de retard environ sur la frontière américaine et des scores détaillés banc par banc.
La fragilité des refus d’un modèle ouvert est chiffrée dans GLM-5.3 and the spread of advanced cyber capabilities, où Anthropic décrit les contournements par faux contexte de test d’intrusion ou par raisonnement prérempli, puis une abliteration qui coûte quelques milliers de dollars et laisse les capacités largement intactes.
Pourquoi l’étape du tri compte se lit dans Deep Ignorance: Filtering Pretraining Data Builds Tamper-Resistant Safeguards into Open-Weight LLMs, où le filtrage opère dès le pré-entraînement, bien en amont du mid-training purgé par Moonshot, avec deux limites que ses auteurs assument : la biologie pour seul terrain, et un savoir que le modèle retrouve dès qu’on le lui fournit en contexte.
Ce que vaut un effacement après coup se mesure dans An Adversarial Perspective on Machine Unlearning for AI Safety, où dix exemples sans rapport suffisent à rendre des connaissances dangereuses qu’un désapprentissage prétendait supprimer, ce qui établit la restauration pour cette famille de méthodes, distincte du tri des données.
La méthode qui manque aux deux laboratoires chinois est décrite dans Estimating Worst-Case Frontier Risks of Open-Weight LLMs, où OpenAI réentraîne volontairement gpt-oss pour pousser ses capacités biologiques et cyber avant d’en publier les poids, puis compare le résultat à ses propres seuils de risque.
Rapprochées, ces lectures démêlent ce que l’annonce de Tencent laisse mêlé. Un refus se retire pour quelques milliers de dollars, un savoir absent du corpus résiste mieux, du moins en biologie, et le chiffre de Moonshot montre qu’un filtre cyber freine plus qu’il ne borne. Entre l’éditeur qui chiffre et celui qui affirme, l’écart tient à la preuve offerte, à obtenir avant la publication des poids, car après, plus rien ne se négocie.