Le modèle open-weight de Z.ai se rapproche des leaders en cyber et bio. Mais côté garde-fous, l’écart avec les acteurs fermés devient franchement visible.
En bref
- Z.ai rattrape vite les leaders de l’IA
- SaferAI pointe un déficit net de sécurité
- L’open-weight complique le contrôle après diffusion
Le vrai sujet n’est plus seulement la capacité des modèles. C’est l’écart entre ce qu’ils savent faire et ce qu’on sait encore empêcher. Et sur ce terrain-là, GLM-5.2, le modèle open-weight de Z.ai, remet une couche dans un débat déjà tendu.
La perf monte, les garde-fous ne suivent pas
Selon l’évaluation de SaferAI, menée via l’API publique de Z.ai, GLM-5.2 n’a refusé aucune des tâches offensives en cybersécurité ou en biologie à double usage qui lui ont été soumises. C’est brutal. En face, Claude Opus 4.7 d’Anthropic a tellement refusé que l’ONG n’a même pas pu terminer CyberGym, ce benchmark de cybersécurité déjà utilisé par OpenAI avant la brèche subie le mois dernier par Hugging Face.
Sur le plan des capacités, le constat pèse lourd. SaferAI estime que GLM-5.2 n’a que quelques mois de retard sur GPT-5.5 d’OpenAI et sur Claude Opus 4.7 en cyber et en bio. Bref, la frontière technologique bouge vite, mais la sécurité, elle, ne suit pas au même rythme.
Pourquoi l’open-weight change la nature du risque
Une API hébergée, on peut encore la brider. Des poids téléchargés, beaucoup moins. Une fois le modèle exécuté sur une autre machine, l’utilisateur peut retirer des protections, modifier les prompts système, affiner le modèle, ou simplement le faire tourner sans aucun garde-fou.
C’est précisément ce que rappelle Henry Papadatos, directeur exécutif de SaferAI, quand il explique que la frontière des capacités n’est pas celle du risque et qu’il faut juger aussi l’état des mitigations. Son idée est simple, et elle mérite qu’on s’y arrête, « l’objectif doit clairement être que les bonnes capacités, les sûres, soient accessibles à tous, puis qu’on essaie d’enlever les mauvaises, y compris dans une logique open source ».
Les modèles fermés ne sont pas étanches, mais ils ont une couche de contrôle
Il ne faut pas idéaliser les acteurs fermés. Far.ai a trouvé des centaines de jailbreaks universels sur des modèles comme Grok 4.5 de xAI ou Gemini 3.1 Pro de Google DeepMind. Les attaquants combinent jeu de rôle, fausse autorité, historique fictif et relances successives pour forcer le passage.
Mais ces modèles gardent au moins des leviers, classifieurs, entraînement au refus, contrôles d’API, évaluations avant déploiement, publication d’analyses de risque, voire rétention des poids. Anthropic, par exemple, limite avec Opus 5 la recherche de vulnérabilités au code source non compilé. C’est imparfait, clairement, mais ça existe.
La bataille se joue aussi sur la régulation et l’usage défensif
Dans le cas de GLM-5.2, SaferAI dit n’avoir vu ni cadre de sécurité publié, ni engagement de tests avant lancement, ni évaluation de risque. Z.ai n’a pas répondu aux questions sur d’éventuels audits internes ou externes.
Du côté chinois, le signal est plus ambigu qu’on ne l’entend souvent. Lors de la World AI Conference, Xi Jinping a insisté sur l’intérêt des modèles open-weight tout en rappelant que l’IA devait rester sous contrôle humain strict. Pour Graham Webster, du Stanford Cyber Policy Center, la régulation chinoise vise surtout les contenus politiquement sensibles, la désinformation et la stabilité sociale, moins les risques catastrophiques liés au cyber offensif ou à la bio-ingénierie.
Et puis il y a l’argument défensif. Hugging Face a utilisé GLM-5.2 pour se défendre lors de l’incident lié à OpenAI, et Clem Delangue soutient que ces systèmes peuvent aider à stopper des millions d’attaques et corriger des failles avant exploitation. Papadatos, lui, juge ce bénéfice souvent surestimé. Son point est sec, mais difficile à balayer, « nous ne devrions pas simplement accepter que des capacités dangereuses soient facilement accessibles à n’importe qui, n’importe où ».
