L'alignement d'un LLM est une couche mince

On nous a raconté une jolie histoire, celle d’un modèle qu’on aurait patiemment éduqué par RLHF puis DPO jusqu’à ce que le refus des requêtes dangereuses devienne une propriété profonde, presque une vertu, quelque chose d’aussi consubstantiel au réseau que sa capacité à conjuguer un verbe. C’est réconfortant et c’est faux. L’alignement, tel qu’on le pratique aujourd’hui, n’est pas une fondation, c’est une couche de peinture et deux travaux que tout oppose sur la méthode se rejoignent sur ce diagnostic avec une cruauté qui devrait nous rendre plus humbles.

Le scalpel : l’abliteration

Le premier part d’une observation gênante, formalisée dès 2024 par Arditi et ses coauteurs dans “Refusal in Language Models Is Mediated by a Single Direction”. Le refus, dans un modèle instruct, ne serait pas éparpillé dans mille circuits subtils, il se ramènerait pour l’essentiel à une seule direction dans l’espace des activations. Une fois cette direction identifiée, il suffit de l’orthogonaliser hors des poids, de retrancher au modèle sa capacité à s’engager dans ce sous-espace et l’affaire est réglée sans le moindre réentraînement. Le modèle n’a pas appris à mal se comporter, on lui a simplement fait oublier comment dire non. C’est chirurgical, c’est statique et ça tient dans un notebook.

L’inversion : GRP-Oblit

Le second, publié en février 2026 par Russinovich et son équipe chez Microsoft (arXiv 2602.06258), attaque le même point faible par l’autre bout. Là où l’abliteration opère au bistouri sur les poids figés, GRP-Oblit reprend l’algorithme même qui sert à aligner, GRPO et lui inverse le signal de récompense, de sorte que l’optimisation qui devait renforcer la sûreté se met méthodiquement à la démonter. Le résultat aurait de quoi faire pâlir quiconque a signé un rapport de conformité : un unique prompt non labellisé suffit à désaligner de façon fiable, l’utilité du modèle restant largement préservée et la démonstration a été menée sur quinze modèles de 7 à 20 milliards de paramètres, instruct comme raisonnement, denses comme MoE. Cerise sur le gâteau, la technique déborde du texte et s’attaque aussi aux générateurs d’images par diffusion.

Ce que les deux nous disent

Prenez le temps de mesurer ce que ces deux approches ont en commun. L’une soustrait une direction, l’autre récompense l’inverse de ce qu’on voulait, mais toutes deux exploitent le fait que la sûreté n’a jamais été gravée dans la substance du modèle, seulement posée en surface et qu’il suffit d’avoir la main sur les poids pour la reprendre. Si vous détenez les poids, l’alignement est négociable et il l’est pour un coût dérisoire.

La conclusion opérationnelle est moins spectaculaire que les gros titres mais autrement plus utile. La sécurité d’un système à base de LLM ne repose pas sur la robustesse de son alignement, elle repose sur le contrôle d’accès à ses poids. Un modèle servi derrière une API, dont personne n’a le fichier, garde ses garde-fous parce que personne ne peut opérer dessus, pas parce que ces garde-fous seraient indéboulonnables. Un modèle ouvert, lui, est par construction désalignable et le prétendre protégé par son fine-tuning de sûreté relève de la même erreur que coller un post-it “ne pas ouvrir” sur une porte qu’on aurait oublié de verrouiller.

Ce n’est pas un réquisitoire contre les poids ouverts, que je continue de faire tourner sur mon propre parc avec bonheur. C’est juste un rappel qu’il ne faut pas confondre une commodité comportementale avec une frontière de confiance. Le refus, dans l’état de l’art, est une couche mince. Traitez-la comme telle et concevez le reste en conséquence. Et si vous cherchez encore la liberté dans un dialogue de minuit avec votre modèle, j’explique ailleurs pourquoi ce n’en est pas un, de jailbreak .