Heretic : le logiciel qui retire les garde-fous des IA open source (et pourquoi c’est controversé)

Vous avez déjà demandé quelque chose d’anodin à un chatbot et reçu un « Je suis désolé, je ne peux pas vous aider » ? Moi oui, plus souvent que je ne l’admettrai. Ces refus, on les doit à l’alignement : une couche de dressage que les laboratoires ajoutent aux modèles pour qu’ils évitent les contenus dangereux.

Or un logiciel libre baptisé Heretic prétend effacer cette couche presque toute seule, sur n’importe quel modèle dont les poids sont publics. Le projet a fait un bruit considérable , et il divise. Prenons le temps de comprendre ce qu’il fait, sans fantasme ni panique.

Pour les non-initiés : « alignement » et « poids ouverts » Alignement : l’entraînement complémentaire qui apprend à une IA à refuser certaines demandes (armes, malware, etc.) et à rester polie. Poids ouverts : le modèle est téléchargeable, on peut le faire tourner chez soi et même le modifier. C’est la condition pour que Heretic fonctionne. Les IA fermées (ChatGPT, Claude en ligne…) restent hors de sa portée, puisque leurs poids ne sont jamais publiés.

Heretic, c’est quoi exactement ?

Heretic est un programme en ligne de commande, publié en licence AGPL-3.0 par le développeur Philipp Emanuel Weidmann (pseudonyme GitHub : p-e-w). Son but tient en une phrase : retirer automatiquement la « censure » d’un modèle de langage, sans réentraînement coûteux. Au moment où j’écris, le dépôt affiche environ 27 000 étoiles et plus de 4 000 modèles modifiés avec l’outil ont été publiés par la communauté (chiffres annoncés sur la page GitHub).

Ce qui le distingue de ses ancêtres, c’est l’automatisation. Avant, il fallait un petit expert pour bricoler les réglages à la main, essayer, recommencer. Ici, on lance une commande, on va prendre un café, et le logiciel cherche lui-même la meilleure recette. Sur une carte graphique RTX 3090, un petit modèle de 4 milliards de paramètres prend environ 20 à 30 minutes.

Comment ça marche : l’aiguille de la boussole

Voici le tour de passe-passe. Imaginez que, dans le « cerveau » du modèle, l’envie de refuser ressemble à une aiguille de boussole : dès qu’une demande sent le soufre, l’aiguille pointe dans une direction précise, et le modèle répond « non ».

En 2024, une équipe de chercheurs (Andy Arditi, Neel Nanda et leurs collègues, article présenté à NeurIPS 2024) a montré, sur treize modèles ouverts de 1,8 à 72 milliards de paramètres, que cette aiguille existe vraiment : le refus est « médié par une seule direction » dans l’espace interne du modèle. Le principe :

• On fait passer deux lots de questions dans le modèle : des demandes inoffensives et des demandes nuisibles.
• On compare l’activité interne dans les deux cas. La différence moyenne dessine la direction du refus.
• On « orthogonalise » les poids : en clair, on soustrait mathématiquement cette direction pour que le modèle ne puisse plus s’y orienter. Cette technique porte le nom d’abliteration (ablation + obliteration), ou ablation dirigée. On y reviendra dans un article dédié.

Le hic, c’est qu’en retirant cette direction on abîme parfois autre chose. Heretic règle ce problème avec un optimiseur (la bibliothèque Optuna) qui essaie des centaines de combinaisons de réglages, couche par couche, en poursuivant deux objectifs à la fois : moins de refus, et le moins de dégâts possible sur l’intelligence du modèle. Ce second critère se mesure avec la divergence KL, un indicateur de « combien le modèle a changé » (là aussi, article à venir).

Les chiffres qui ont fait le buzz

Sur le modèle Gemma 3 12B de Google, le dépôt publie ce comparatif (chiffres du projet lui-même, mesurés sur une RTX 5090) :

Version du modèle	Refus sur 100 demandes nuisibles	Écart avec l’original (KL, plus bas = mieux)
Modèle original	97 / 100	0
Abliteration manuelle v2	3 / 100	1,04
Abliteration manuelle v1	3 / 100	0,45
Heretic (automatique)	3 / 100	0,16

Lecture simple : les trois méthodes font tomber les refus de 97 à 3. Mais Heretic y parvient en abîmant beaucoup moins le modèle. Sur le papier, c’est un progrès net.

Promesse et réalité Ces scores viennent du projet lui-même. Une équipe indépendante (EdgeRunner AI, arXiv, mars 2026) a testé Heretic dans un contexte militaire : gain de +66,5 points de réponses obtenues, pour une baisse moyenne de seulement 2 % des performances. Mais pour grimper à 93 % de réponses, la régression montait à 14 % sur les tâches militaires et 5,6 % en général. Sur Gemma 3 12B « hérétisé », les mêmes chercheurs mesurent une baisse relative moyenne de 12,3 % sur leurs tâches généralistes, dont 27,8 % sur le test de raisonnement scientifique GPQA Diamond. Ils concluent que l’abliteration n’est qu’une solution de dépannage.

Pourquoi certains adorent (usages légitimes)

• La recherche en sécurité : tester ce qu’un modèle sait faire quand il n’a plus de barrière, c’est la base d’un audit sérieux.
• Les refus absurdes : un médecin ou un romancier qui se voit opposer un refus pour une question banale connaît la frustration. Heretic la supprime, y compris quand le filtre était un faux positif.
• Le contrôle chez soi : avec un outil comme Ollama, on fait tourner sa propre IA ; il est logique que certains veuillent décider eux-mêmes de ses règles.
• La défense et les usages spécialisés : l’étude militaire citée plus haut montre que des organisations cherchent exactement cela.

Pourquoi d’autres s’inquiètent

• Plus aucune barrière : un modèle « déverrouillé » répondra aussi aux demandes réellement nuisibles. La difficulté technique, elle, baisse : le dépôt précise que quiconque sait lancer un programme en ligne de commande peut l’utiliser.
• Un modèle modifié n’est pas le même modèle : une autre étude (arXiv, juillet 2026), menée sur 21 600 décisions financières simulées, a constaté que deux modèles abliterés (avec des versions communautaires, pas nécessairement via Heretic) pariaient nettement plus souvent à la hausse (+12,2 points pour Gemma, +7,4 pour Qwen) à preuves identiques. Autrement dit, on ne retire pas seulement des refus : on change subtilement la personnalité décisionnelle.
• Le problème des agents : si une IA pilote un ordinateur ou envoie des e-mails, l’absence de garde-fou prend une tout autre dimension.

À ne pas confondre Heretic ne « pirate » ni ChatGPT, ni Claude, ni Gemini en ligne. Il travaille uniquement sur des modèles dont vous avez téléchargé les poids. Et c’est bien le nœud du débat : ces poids sont publics, l’outil est libre, et une fois qu’une technique est documentée dans une publication scientifique, difficile de la faire rentrer dans le tube. Autre point : lancer l’outil n’est pas un simple « bouton magique » pour n’importe quel matériel. Il faut une carte graphique correcte, et les architectures de type Mamba ou RWKV ne sont pas gérées.

Et côté défense ?

Une piste de réponse consiste à sortir la modération du modèle lui-même. C’est l’approche de Mistral avec Shieldstral, un modèle de modération distinct, placé devant l’IA principale : déverrouiller l’un ne touche alors pas l’autre. Je trouve cette piste élégante, mais elle déplace la question plutôt qu’elle ne la résout.

À vous la parole 1. Les refus de votre chatbot vous ont-ils déjà bloqué pour une demande parfaitement légitime ? Racontez-nous. 2. Faut-il traiter ce type d’outil comme un outil de sécurité légitime, ou comme un risque à encadrer ? 3. Seriez-vous prêt à sacrifier 5 à 10 % de qualité d’un modèle pour qu’il n’oppose plus aucun refus ?