Cisco a analysé gratuitement l'origine de près de 900 modèles ouverts, jamais vérifiée pour 69% d'entre eux
Quand une équipe de sécurité valide un modèle open source pour la production, elle part généralement d'une simple page de dépôt sur Hugging Face indiquant le nom du modèle, sa licence et une étiquette précisant de quel modèle de base il descend. Cette étiquette n'est qu'une chaîne de caractères saisie par la personne qui a mis en ligne le modèle, sans aucune vérification au niveau des poids du réseau. Le rapport ATOM, publié en avril 2026 par Nathan Lambert et Florian Brand chez Interconnects AI, a suivi environ 1 500 modèles ouverts principaux en s'appuyant sur cette étiquette déclarative, en ne retenant que les modèles ayant plus de cinq téléchargements cumulés. Résultat : la famille Qwen d'Alibaba est le parent déclaré de 69% des nouveaux modèles dérivés en février 2026, contre seulement 1% en janvier 2024. Les laboratoires chinois représentent 70% du total, contre 4% pour l'Europe, pour un volume cumulé de 2,04 milliards de téléchargements suivis jusqu'en mars 2026. À ce flou sur la filiation s'ajoute une incertitude sur les scans de sécurité : Cisco Foundation AI analyse chaque fichier public déposé sur Hugging Face via un moteur ClamAV mis à jour, mais la plateforme peut afficher des fichiers encore en file d'attente, en cours d'analyse ou en erreur, sans que personne ne sache clairement, avant d'approuver un modèle, si la couverture du scan est complète.
Résumé et traduction réalisés par Le Fil IA à partir de VentureBeat AI. Lire l'article original →
Face à ce constat, Cisco a lancé jeudi l'AI Supply Chain Provenance Explorer, une base de données publique et gratuite couvrant près de 900 modèles ouverts, avec pour chaque entrée le siège du fournisseur, un graphe de filiation basé sur une empreinte technique, les restrictions de licence et le nombre de fichiers scannés. Cet outil prolonge le Model Provenance Kit, un kit Python open source publié en avril qui avait établi l'empreinte d'environ 150 modèles de base à travers plus de 45 familles et 20 éditeurs, une couverture multipliée par six en un trimestre. Alors que la version d'avril nécessitait un environnement Python local, le téléchargement de poids pesant parfois des dizaines de gigaoctets et un investissement important en temps d'ingénieur, l'Explorer permet désormais de vérifier une filiation directement depuis une barre de recherche, sans compétence technique préalable. Cette accessibilité compte d'autant plus que le coût est justement la raison pour laquelle les entreprises choisissent les poids ouverts plutôt que les modèles propriétaires.
Amy Chang, responsable de la veille et de la recherche en menaces IA chez Cisco, défend depuis plusieurs mois l'importance de combler ces failles de vérification. Lors d'un panel sur la sécurité agentique à VB Transform 2026, elle a présenté les résultats de 6 986 attaques multi-tours menées contre 15 modèles phares, avec des taux de réussite atteignant 88,3%. Selon elle, comprendre la vulnérabilité d'un modèle aux différents types d'attaques est impossible sans d'abord savoir précisément quel modèle alimente une application donnée. L'Explorer rend d'ailleurs publiques des données que Cisco utilisait déjà en interne via son système Cerberus, qui inspecte les modèles arrivant sur Hugging Face pour alimenter des politiques de blocage fondées sur la licence ou la région d'origine jugées à risque. Sur le plan technique, l'outil abandonne les étiquettes auto-déclarées au profit de scores de similarité calculés en deux étapes : une comparaison des métadonnées d'architecture, puis, en cas d'ambiguïté, l'extraction de cinq signatures au niveau des poids, dont des empreintes de couches stables qui résistent au fine-tuning et des profils de distribution d'énergie comparés entre réseaux.
Les laboratoires europeens ne representent que 4% des modeles suivis par cet outil, contre 70% pour la Chine, illustrant la faible presence du continent dans l'ecosysteme des modeles ouverts et l'absence d'acteur europeen de reference sur la verification de provenance.
Bon, la stat 69% dépasse le nettoyage de code, elle expose une faille de gouvernance : les entreprises basent leurs décisions de sécurité sur une étiquette texte que n'importe qui peut mentir dans son dépôt Hugging Face. Selon Le Fil IA, un écosystème open source où 70% des modèles suivis viennent de labos chinois contre 4% pour l'Europe n'est pas juste un problème de souveraineté, c'est un problème de traçabilité qu'aucun scan de licence ne résout tout seul. L'outil de Cisco est utile, mais il ne fait que rendre visible un trou qui existait depuis toujours, reste à voir si les équipes sécu vont vraiment changer leurs habitudes de validation.