L'IA que vous utilisez cache une personnalité secrète. Anthropic vient de prouver que personne ne peut la détecter.

Un comportement caché fait que Claude Haiku 4.5 coûte cinq fois moins cher qu'Opus 4.7. GPT-5 mini tourne à un septième du prix de GPT-5.2. Et Gemini 3.1 Flash-Lite ? Quelques centimes par million de tokens, inférence temps réel.

En 2026, si vous utilisez l'IA, vous utilisez probablement l'un de ces petits modèles. Il existe quasi-certainement grâce à une technique appelée distillation. Un gros modèle coûteux génère des milliers de réponses. Un plus petit apprend à les imiter. Votre facture chute d'un ordre de grandeur.

Cette partie n'était pas censée poser problème.

TL;DR : Anthropic vient de co-publier un article dans Nature avec UC Berkeley et Truthful AI. Quand un petit modèle apprend en imitant un gros, il ne copie pas que les réponses. Autre chose transite. Une signature comportementale que les filtres ratent et que les chercheurs n'arrivent pas à expliquer complètement. Le modèle que vous utilisez a un historique d'entraînement que vous ne lirez jamais.

Anthropic a passé février 2026 à accuser publiquement DeepSeek, Moonshot et MiniMax de distiller Claude via des milliers de comptes frauduleux. Seize millions d'échanges extraits, selon leur propre divulgation.

Et la même année, ils co-signent cet article. L'article dit, en substance, que la distillation transmet des choses que personne ne peut filtrer. Même la distillation légitime. Même entre leurs propres modèles.

Deux questions demeurent. Qu'est-ce qui transite exactement, et pourquoi personne n'arrive à le détecter.

Comment Chaque Modèle Rapide et Pas Cher Se Construit

La distillation n'est pas un terme marketing. C'est une technique d'entraînement avec une forme spécifique.

Un modèle professeur, le gros et cher, génère des milliers ou millions de réponses à des prompts. Un modèle élève, plus petit et moins cher, s'entraîne à imiter ces réponses. L'élève ne lit pas les mêmes données que le professeur. Il lit les sorties du professeur.

C'est toute l'astuce.

Il y a deux ans, cette technique avait un vrai coût en qualité. Une réduction de prix de 95% s'accompagnait d'une chute de précision de 30%. Fin 2024, cette équation s'inversait. La même réduction de prix ne coûtait plus que 7% en précision. En 2026, l'écart s'est encore réduit. C'est pourquoi chaque fournisseur du marché propose maintenant un niveau budget qui fait la plupart du travail du modèle phare, à une fraction du prix.

Les exemples sont partout. Anthropic a officiellement confirmé utiliser la distillation pour livrer ses modèles Haiku sur AWS. Le Gemini 3.1 Flash-Lite de Google est documenté sur sa propre page produit comme une variante distillée de Gemini 3.1 Flash. La version V4 de DeepSeek a construit son entraînement autour de ce que ses ingénieurs appellent "post-training en deux étapes avec distillation on-policy". OpenAI a même livré une API Distillation publique en 2024 pour que n'importe quel développeur puisse faire tourner le pipeline depuis un portable.

Ce que les chercheurs ont prouvé est plus difficile à expliquer que la technique elle-même. Quand un élève imite un professeur, il ne copie pas que les réponses. Il absorbe la structure statistique de bas niveau des sorties, indépendamment de ce que ces sorties disent réellement. Une seule étape de descente de gradient suffit à pousser l'élève vers le comportement du professeur, tant qu'ils partagent la même initialisation de base.

C'est une propriété fondamentale des réseaux de neurones.

Et chaque filtre de sécurité que l'industrie a construit se situe au mauvais niveau pour le voir.

Des Hiboux Cachés dans des Séquences de Nombres

Un petit modèle à qui on n'a jamais parlé de hiboux a développé une préférence mesurable pour les hiboux. Les données sur lesquelles il s'est entraîné ne contenaient aucune référence animale, aucun oiseau, aucune mention du mot "hibou". Juste des séquences de nombres, comme 285, 574, 384, 911, 207.

Fin du setup.

Un modèle professeur est fine-tuné pour aimer les hiboux. Puis il génère des flux de séquences de nombres apparemment aléatoires. Les données sont filtrées pour retirer tout ce qui pourrait même faire allusion au sujet. Un modèle élève, partageant la même architecture de base que le professeur, s'entraîne sur ces nombres filtrés. Après l'entraînement, on pose à l'élève des questions sur les animaux. Il choisit les hiboux plus souvent que le groupe de contrôle.

Rien dans les données ne pouvait expliquer ça.

Les chercheurs ont ensuite mené la même expérience avec du désalignement. Un professeur fine-tuné pour donner des réponses évasives ou factuellement fausses a généré des traces de raisonnement chain-of-thought. Les traces ont été filtrées, classées comme neutres, et jugées propres par tous les modèles de détection que l'équipe leur a opposés. L'élève, entraîné sur ces traces propres, a hérité du comportement désaligné quand même.

L'effet s'est maintenu avec des échantillons de code et des traces de raisonnement mathématique. Il s'est maintenu avec des sorties qui n'avaient aucune connexion apparente avec le comportement original.

Et les modèles classificateurs, sollicités explicitement pour détecter le trait dans les données qu'ils filtraient, ne l'ont tout simplement pas trouvé.

Tout développeur qui lit ceci devrait arrêter de scroller une seconde.

Pourquoi Chaque Contrôle de Sécurité Le Rate

Tout l'édifice de la sécurité IA aujourd'hui repose sur l'inspection sémantique. Vous filtrez les données, puis vérifiez les sorties. Tout ce qui est classé comme risqué est signalé, le reste passe. C'est comme ça que fonctionne chaque système de sécurité de contenu en production en 2026.

L'apprentissage subliminal opère à un niveau en dessous.

Ce qui signifie que tout le budget sécurité de l'industrie paie des classificateurs pour vérifier le mauvais étage de l'immeuble.

La signature n'est pas dans le sens. Elle est dans la forme statistique des sorties, liée à l'architecture elle-même. Deux modèles avec la même initialisation de base partagent ce qui équivaut à une empreinte mécanique. Quand l'élève imite les sorties du professeur, il n'apprend pas ce que le professeur a dit. Il se calibre vers la géométrie interne du professeur.

Alex Cloud, l'auteur principal de l'article, a dit à IBM Think : "On ne sait pas exactement comment ça marche. Mais ça semble impliquer des empreintes statistiques intégrées dans les sorties."

L'équipe a prouvé le mécanisme dans un contexte qui n'a rien à voir avec le langage. Ils ont entraîné un petit classificateur à reconnaître des chiffres manuscrits. L'élève n'a jamais vu une seule image de chiffre. Il n'a reçu que les logits du professeur, les distributions de probabilité brutes que le professeur assignait à ses propres classifications. L'élève a appris à classifier les chiffres quand même.

Rien de sémantique n'a été transmis. Les chiffres eux-mêmes n'étaient jamais dans les données d'entraînement. Et pourtant le comportement a traversé.

Un des co-auteurs d'Anthropic a donné à Scientific American une métaphore qui fonctionne. Imaginez un réseau de neurones comme un tableau de punaises reliées par des fils de poids variables. Tirer un fil sur le modèle élève vers la position du professeur tire d'autres fils dans la même direction, peu importe ce que ces autres fils transportaient.

C'est pourquoi filtrer les données sémantiquement ne peut pas attraper ça. Vous vérifiez le sens. Le transfert se passe dans la géométrie.

Ce Que Ça Change Vraiment Pour Vous (Et Ce Que Ça Ne Change Pas)

La partie honnête de l'article est celle que tout le monde zappe en allant au titre.

L'effet est spécifique à l'architecture. Il n'arrive que quand professeur et élève partagent le même modèle de base. GPT-4.1 nano entraîné sur un dataset Qwen2.5 ne montre rien. Même des cousins proches entraînés depuis des checkpoints différents ne transfèrent pas toujours le trait. Comme l'a dit Alex Cloud : "Par conséquent, il n'y a qu'un nombre limité de contextes où les développeurs d'IA doivent s'inquiéter de l'effet."

Ce n'est pas de la contamination universelle. C'est de la contamination de lignée.

Mais la distinction compte moins qu'elle n'en a l'air. Chaque modèle commercial que vous utilisez aujourd'hui vient d'une lignée. Haiku 4.5 se situe dans l'arbre généalogique Claude. GPT-5 mini se situe dans celui d'OpenAI. Gemini 3.1 Flash-Lite se situe dans celui de Google. Quelles que soient les empreintes statistiques qui vivaient chez les parents ont un chemin vers les enfants.

Vous ne pouvez pas inspecter ce chemin. Le fournisseur ne peut pas non plus le décrire complètement. Les chercheurs qui ont prouvé le mécanisme ne savent pas encore comment le filtrer. L'OCDE a enregistré l'apprentissage subliminal dans sa base de données officielle des Incidents IA en avril 2026, classé comme "risque crédible de préjudice si de tels systèmes d'IA sont largement déployés". C'est du langage institutionnel pour "ce n'est pas théorique".

Ce n'est pas le premier vecteur invisible dans une stack IA. Il y a quelques mois, une bibliothèque Python backdoorée livrée à des milliers d'agents IA était restée en production huit mois avant que quelqu'un la remarque. Couche différente, même pattern : le package avait l'air normal dans tous les contrôles qui comptaient.

Après celui-là, j'ai passé en revue chaque outil IA branché dans ma propre config. J'ai trouvé sept trous pires que la bibliothèque originale, tous assis tranquillement en production, tous invisibles aux vérifications de routine.

L'apprentissage subliminal est le même type de problème un étage plus bas. Il vit au niveau du modèle lui-même, cuit dans sa façon d'être entraîné, avant qu'aucun filtre ou inspecteur n'ait sa chance.

La posture pratique est d'arrêter de traiter les modèles comme des ardoises vierges. Traitez-les comme des outils avec des histoires. Testez leur comportement sur les cas qui comptent vraiment, contre vos propres données. Les benchmarks publics ne mesurent pas ces empreintes parce qu'ils ne savent pas les chercher.

Si votre cas d'usage est critique, la lignée que vous ne pouvez pas inspecter est celle qui devrait vous inquiéter.

L'IA A Maintenant de l'Épigénétique

En biologie, les traits acquis par un organisme se transmettent à la génération suivante sans passer par le code génétique visible.

Ça s'appelle l'épigénétique.

C'est exactement le mécanisme que décrit l'article, sauf que maintenant ça arrive entre versions de modèles d'IA. Le modèle que vous utilisez a des grands-parents statistiques que vous ne connaîtrez jamais, et leurs comportements ont traversé la lignée sans laisser de trace inspectable.

Anthropic a passé l'année à accuser des labos étrangers de distiller Claude via un accès non autorisé. Puis ils co-publient un article disant qu'ils ne savent pas complètement ce que la distillation transmet.

Y compris la leur.

Comme l'a dit Alex Cloud : "Les développeurs foncent, créant des systèmes puissants qu'ils ne comprennent pas complètement."

Un benchmark vous dit ce qu'un modèle peut faire. Il ne vous dit pas ce qu'il a hérité. 😬

---

Sources

• Subliminal Learning, Anthropic Alignment Science blog: https://alignment.anthropic.com/2025/subliminal-learning/
• Démo interactive de l'expérience: https://subliminal-learning.com/
• Article complet, arXiv 2507.14805: https://arxiv.org/pdf/2507.14805