Une équipe de sécurité qui approuve aujourd’hui un modèle open source pour la production commence par une page de référentiel. La page répertorie le nom du modèle, la licence et une balise identifiant le modèle de base dont il descend. Cette balise est une chaîne saisie par le téléchargeur. Hugging Face n’exige pas que les téléchargeurs justifient leur affirmation par une analyse au niveau du poids.
Le rapport ATOM, publié par Nathan Lambert et Florian Brand chez Interconnects AI en avril 2026, a suivi environ 1 500 modèles ouverts principaux. ATOM identifie les dérivés via la balise Hugging Face base_model, un champ que le téléchargeur remplit, en filtrant les modèles dont le modèle de base apparaît dans la liste suivie et qui ont plus de cinq téléchargements à vie et excluant les re-téléchargements GGUF et MLX. Selon cette mesure, la famille Qwen d’Alibaba est la société mère déclarée de 69 % des nouveaux produits dérivés à modèle ouvert en février 2026, contre 1 % en janvier 2024. Les laboratoires chinois en représentent globalement 70 %. L’Europe se situe à 4%. Les téléchargements cumulés suivis dans les trois régions ont atteint 2,04 milliards jusqu’en mars 2026.
L’écart de vérification s’étend à la couverture de l’analyse. Cisco Foundation AI analyse chaque fichier public téléchargé sur Hugging Face via un moteur ClamAV mis à jour, et la plate-forme affiche un badge au niveau du fichier par fichier. La propre documentation d’analyse des logiciels malveillants de Hugging Face indique qu’un fichier sans badge ok ni infecté peut être mis en file d’attente, en cours d’analyse ou erroné. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse et non un attribut que quiconque peut lire avant d’approuver un modèle.
De la ligne de commande à la recherche publique
Cisco a publié jeudi AI Supply Chain Provenance Explorer, une base de données publique gratuite couvrant près de 900 modèles ouverts. Chaque entrée peut contenir le siège social du fournisseur, un graphique de lignée d’empreintes digitales, des restrictions de licence et un nombre de fichiers analysés. L’outil étend le Model Provenance Kit de Cisco, une boîte à outils Python open source publiée en avril qui a pris en compte environ 150 modèles de base dans plus de 45 familles et plus de 20 éditeurs. La couverture a été multipliée par six en un trimestre.
La version d’avril était un outil en ligne de commande. L’exécuter impliquait un environnement Python local, le téléchargement de poids de modèle qui s’élèvent à des dizaines de gigaoctets et la consécration d’heures d’ingénieur par modèle. L’Explorateur interroge les résultats déjà calculés par Cisco. Jeudi, la vérification de la filiation commence par une barre de recherche, et le coût est la raison pour laquelle les entreprises exécutent des pondérations ouvertes en premier lieu.
Amy Chang, responsable de la recherche sur les menaces et la sécurité de l’IA chez Cisco, a expliqué pourquoi les lacunes en matière de vérification sont importantes. Lors d’un panel de sécurité agent VB Transform 2026, Chang a présenté les résultats de 6 986 attaques multitours contre 15 modèles phares, avec des taux de réussite atteignant 88,3 %. «Si vous ne comprenez pas comment les modèles sont sensibles à différents types d’attaques, vous ne pouvez pas expliquer comment le modèle qui alimente votre agent, qui alimente votre application, ni comprendre où se trouvent ces points de défaillance», a déclaré Chang au public. Comprendre les points de défaillance commence par savoir quel modèle vous utilisez.
L’Explorateur fait également apparaître les données que Cisco utilise déjà de manière opérationnelle. Le système Cerberus de la société inspecte les modèles entrant dans Hugging Face et alimente les politiques d’accès sécurisé qui bloquent par licence ou région d’origine à risque. L’Explorer rend cette classe d’informations gratuite et consultable sans produit Cisco.
Comment les empreintes digitales remplacent l’étiquette
L’Explorer fonde les relations des modèles sur des scores de similarité plutôt que sur des métadonnées autodéclarées. Le kit de provenance du modèle de Cisco fonctionne en deux étapes notées. La première étape compare les métadonnées de l’architecture avant de charger des pondérations. Lorsque les métadonnées sont ambiguës, la deuxième étape extrait cinq signaux au niveau du poids. L’intégration de la similarité d’ancrage capture les relations géométriques qui survivent au réglage fin. Embedding Norm Distribution code les modèles de fréquence des mots. Norm Layer Fingerprint lit les couches de manière stable lors du réglage fin. Layer Energy Profile compare les distributions sur toute la profondeur du réseau. Weight-Value Cosinus compare directement les valeurs de poids, et les modèles formés indépendamment montrent une corrélation essentiellement nulle sur ce signal. Cisco a signalé une précision de 96,4 % sur son propre benchmark de 111 paires à un seuil de 0,70, avec un F1 de 0,963. Quatre paires ont été mal classées, impliquant toutes une transformation architecturale extrême que Cisco appelle une limite fondamentale de la comparaison de poids par paire.
Les signaux du tokenizer sont calculés à des fins de diagnostic mais délibérément exclus du score de provenance. StableLM et Pythia utilisent tous deux le tokenizer GPT-NeoX et obtiendraient un score similaire même s’ils ne partageaient aucune lignée de poids. L’exclusion des données du tokenizer évite les faux positifs.
Les empreintes comportementales ajoutent une deuxième approche. Jonah Leshin, Manish Shah et Ian Timmis du projet VAIL, en collaboration avec Daniel Kang de l’UIUC, ont publié des travaux sur la stabilité des points finaux comportementaux montrant qu’un point final d’un modèle peut rester sain tandis que son identité effective change via des mises à jour de poids, une quantification ou un routage. Le blog de lancement de Cisco indique que l’Explorer intègre à la fois les empreintes digitales statiques et l’analyse de similarité comportementale pour ancrer le graphique de lignée. L’analyse statique fournit des preuves au niveau du poids de la dérivation du temps d’entraînement. L’analyse comportementale détecte la dérive d’identité à l’exécution.
Là où les outils existants ne suffisent pas
L’Explorer comporte de réelles limites. Près de 900 modèles est un début significatif, mais Hugging Face en héberge plus de 2 millions au printemps 2026. Les modèles en dehors des limites dépendent toujours de l’étiquette auto-déclarée. Cisco n’a pas précisé si l’Explorer expose une API, et sans une, une équipe peut rechercher des modèles à la main mais ne peut pas câbler le contrôle dans une porte CI. C’est la frontière entre un artefact de gouvernance et un contrôle.
Les outils SCA traditionnels sont confrontés à une inadéquation structurelle car ils ont été conçus pour les manifestes de dépendances et les images de conteneurs. Sakshi Grover, directeur de recherche senior pour la cybersécurité chez IDC, a déclaré dans CSO Online que la SCA traditionnelle « a été conçue pour inspecter les manifestes de dépendance, les bibliothèques et les images de conteneurs » et « est beaucoup moins efficace pour identifier » les risques liés aux flux de travail de l’IA. Jaishiv Prakash, analyste directeur de Gartner, a déclaré au même média que les entreprises ont besoin de « contrôles dédiés pour les sources des modèles, les versions approuvées, l’accès et la validation de l’exécution au niveau du registre ». Tous deux commentaient les risques plus larges de la chaîne d’approvisionnement, mais l’écart qu’ils décrivent est celui ciblé par Explorer.
La Constitution de provenance des modèles de Cisco définit où un modèle compte comme dérivé d’un autre. La constitution qualifie par défaut les paires ambiguës d’indépendantes, car un faux positif déclenche une accusation de licence tandis qu’un faux négatif est détecté lors d’un examen manuel. Ce conservatisme délibéré conforte le chiffre de précision de 96,4 %. La dérivation n’est pas binaire et les empreintes digitales sont une forme de preuve aux côtés de la documentation et de la vérification aux points de contrôle.
Ce qui figure dans le dossier d’approbation
Le 2 août, la Commission européenne obtient des pouvoirs d’application de la loi sur l’IA à l’égard des fournisseurs de modèles GPAI, avec des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Les organisations qui modifient substantiellement et placent un modèle ouvert sur le marché de l’UE peuvent acquérir le statut de fournisseur, les directives de la Commission traitant du calcul des modifications dépassant un tiers de celui d’origine. L’exemption open source de la loi en vertu de l’article 53 (2) nécessite une licence véritablement gratuite et open source permettant l’accès, l’utilisation, la modification et la redistribution, avec des informations sur les poids, l’architecture et l’utilisation entièrement publiques. Les poids publics ne suffisent pas à eux seuls. La licence communautaire de Llama comporte un seuil mensuel d’utilisateurs actifs et un disqualifiant que les directives de la Commission nomment explicitement. Llama et Gemma représentent ensemble environ un cinquième des nouveaux produits dérivés dans le décompte ATOM, et tous deux détiennent des licences que les critères de la Commission disqualifieraient probablement. La classification des licences fait désormais partie de l’examen de la provenance, et c’est exactement ce que révèle l’Explorer.
La première question qui se pose après la divulgation d’une vulnérabilité d’un modèle de base est simple : « Lequel de nos modèles de production hérite de cette faiblesse, et comment le savons-nous ? La réponse aujourd’hui nécessite une recherche manuelle dans les pages du référentiel, en traçant les étiquettes auto-déclarées qu’aucune analyse au niveau du poids n’a confirmée. L’Explorateur convertit cette recherche en une recherche des modèles qu’il couvre.
Quatre champs appartiennent au dossier d’approbation que la plupart des organisations ne possèdent pas aujourd’hui. Dérivation basée sur les empreintes digitales et fondée sur une analyse du poids plutôt que sur une étiquette auto-déclarée. Un nombre de fichiers analysés remplaçant l’hypothèse de couverture par un nombre d’analyses mesurable. Le siège social du fournisseur est un champ filtrable, reconnaissant que le siège social à lui seul ne résout pas l’exposition au contrôle des exportations, puisque la propriété et le lieu de déploiement régissent également le contrôle. Et la lignée des licences a fait surface afin que les équipes juridiques puissent identifier les conditions potentielles en amont avant qu’un modèle n’atteigne la production.
Cisco a publié aujourd’hui le Supply Chain Provenance Explorer, disponible sur provenance.aidefense.cisco.com. La base de données est gratuite, publique et ne nécessite aucun produit ou compte Cisco.
Ce qui change pour une équipe de sécurité le 30 juillet
|
Ce que l’équipe a aujourd’hui |
Ce que publie l’Explorer |
Action recommandée |
|
Rayon d’explosion après une vulnérabilité du modèle de base. Le nom du modèle et la balise base_model. Déterminer quels modèles héritent d’une faiblesse révélée est une recherche manuelle à travers les pages du référentiel. |
Lignée fondée sur des scores de similarité utilisant deux étapes d’empreintes digitales notées sur les métadonnées d’architecture et cinq signaux de niveau de poids. Le kit a obtenu une précision de 96,4 % au seuil de 0,70. |
Attachez une dérivation basée sur les empreintes digitales à chaque modèle de l’inventaire des actifs afin qu’une divulgation déclenche un examen ciblé au lieu d’une chasse. |
|
Couverture de l’analyse des logiciels malveillants. Un badge au niveau du fichier par fichier. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse. |
Nombre de fichiers analysés et résultats de logiciels malveillants ou de fichiers dangereux signalés par modèle, à partir de l’analyse basée sur ClamAV. La couverture de numérisation devient lisible avant l’approbation plutôt que déduite d’un badge. |
Remplacez l’hypothèse selon laquelle un modèle a été numérisé par le décompte enregistré. Lorsque la couverture est partielle, indiquez si l’écart est acceptable et pourquoi. |
|
Juridiction du fournisseur. Un nom d’organisation sur une page de référentiel. Un dérivé à quelques pas de son origine affiche le téléverseur, pas l’ancêtre. |
Siège social du fournisseur, site Web et organisations HF associées en tant que champ filtrable. Le siège ne résout pas à lui seul le risque de contrôle des exportations. |
Ajoutez une juridiction au dossier d’approbation. Toute équipe qui modifie substantiellement et place un modèle ouvert sur le marché de l’UE est confrontée à des obligations potentielles de fournisseur en vertu de la loi européenne sur l’IA. |
|
Obligations de licence. Une étiquette de licence décrivant ce qui, selon l’utilisateur qui a téléchargé le contenu, s’applique. Les termes d’un modèle de base en amont peuvent ne pas apparaître sur la page lue par l’ingénieur. |
Limitations courantes par modèle, y compris l’attribution, les conditions non commerciales, les restrictions géographiques et les cas d’utilisation interdits. La lignée d’empreintes digitales aide les équipes juridiques à identifier les termes potentiels en amont. |
Acheminez le lignage de la licence vers le statut légal avant la production, et non après qu’un contrat y fasse référence. Documentez la position lors de l’approbation plutôt que de la reconstruire lors d’un litige. |
Une équipe de sécurité qui approuve aujourd’hui un modèle open source pour la production commence par une page de référentiel. La page répertorie le nom du modèle, la licence et une balise identifiant le modèle de base dont il descend. Cette balise est une chaîne saisie par le téléchargeur. Hugging Face n’exige pas que les téléchargeurs justifient leur affirmation par une analyse au niveau du poids.
Le rapport ATOM, publié par Nathan Lambert et Florian Brand chez Interconnects AI en avril 2026, a suivi environ 1 500 modèles ouverts principaux. ATOM identifie les dérivés via la balise Hugging Face base_model, un champ que le téléchargeur remplit, en filtrant les modèles dont le modèle de base apparaît dans la liste suivie et qui ont plus de cinq téléchargements à vie et excluant les re-téléchargements GGUF et MLX. Selon cette mesure, la famille Qwen d’Alibaba est la société mère déclarée de 69 % des nouveaux produits dérivés à modèle ouvert en février 2026, contre 1 % en janvier 2024. Les laboratoires chinois en représentent globalement 70 %. L’Europe se situe à 4%. Les téléchargements cumulés suivis dans les trois régions ont atteint 2,04 milliards jusqu’en mars 2026.
L’écart de vérification s’étend à la couverture de l’analyse. Cisco Foundation AI analyse chaque fichier public téléchargé sur Hugging Face via un moteur ClamAV mis à jour, et la plate-forme affiche un badge au niveau du fichier par fichier. La propre documentation d’analyse des logiciels malveillants de Hugging Face indique qu’un fichier sans badge ok ni infecté peut être mis en file d’attente, en cours d’analyse ou erroné. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse et non un attribut que quiconque peut lire avant d’approuver un modèle.
De la ligne de commande à la recherche publique
Cisco a publié jeudi AI Supply Chain Provenance Explorer, une base de données publique gratuite couvrant près de 900 modèles ouverts. Chaque entrée peut contenir le siège social du fournisseur, un graphique de lignée d’empreintes digitales, des restrictions de licence et un nombre de fichiers analysés. L’outil étend le Model Provenance Kit de Cisco, une boîte à outils Python open source publiée en avril qui a pris en compte environ 150 modèles de base dans plus de 45 familles et plus de 20 éditeurs. La couverture a été multipliée par six en un trimestre.
La version d’avril était un outil en ligne de commande. L’exécuter impliquait un environnement Python local, le téléchargement de poids de modèle qui s’élèvent à des dizaines de gigaoctets et la consécration d’heures d’ingénieur par modèle. L’Explorateur interroge les résultats déjà calculés par Cisco. Jeudi, la vérification de la filiation commence par une barre de recherche, et le coût est la raison pour laquelle les entreprises exécutent des pondérations ouvertes en premier lieu.
Amy Chang, responsable de la recherche sur les menaces et la sécurité de l’IA chez Cisco, a expliqué pourquoi les lacunes en matière de vérification sont importantes. Lors d’un panel de sécurité agent VB Transform 2026, Chang a présenté les résultats de 6 986 attaques multitours contre 15 modèles phares, avec des taux de réussite atteignant 88,3 %. «Si vous ne comprenez pas comment les modèles sont sensibles à différents types d’attaques, vous ne pouvez pas expliquer comment le modèle qui alimente votre agent, qui alimente votre application, ni comprendre où se trouvent ces points de défaillance», a déclaré Chang au public. Comprendre les points de défaillance commence par savoir quel modèle vous utilisez.
L’Explorateur fait également apparaître les données que Cisco utilise déjà de manière opérationnelle. Le système Cerberus de la société inspecte les modèles entrant dans Hugging Face et alimente les politiques d’accès sécurisé qui bloquent par licence ou région d’origine à risque. L’Explorer rend cette classe d’informations gratuite et consultable sans produit Cisco.
Comment les empreintes digitales remplacent l’étiquette
L’Explorer fonde les relations des modèles sur des scores de similarité plutôt que sur des métadonnées autodéclarées. Le kit de provenance du modèle de Cisco fonctionne en deux étapes notées. La première étape compare les métadonnées de l’architecture avant de charger des pondérations. Lorsque les métadonnées sont ambiguës, la deuxième étape extrait cinq signaux au niveau du poids. L’intégration de la similarité d’ancrage capture les relations géométriques qui survivent au réglage fin. Embedding Norm Distribution code les modèles de fréquence des mots. Norm Layer Fingerprint lit les couches de manière stable lors du réglage fin. Layer Energy Profile compare les distributions sur toute la profondeur du réseau. Weight-Value Cosinus compare directement les valeurs de poids, et les modèles formés indépendamment montrent une corrélation essentiellement nulle sur ce signal. Cisco a signalé une précision de 96,4 % sur son propre benchmark de 111 paires à un seuil de 0,70, avec un F1 de 0,963. Quatre paires ont été mal classées, impliquant toutes une transformation architecturale extrême que Cisco appelle une limite fondamentale de la comparaison de poids par paire.
Les signaux du tokenizer sont calculés à des fins de diagnostic mais délibérément exclus du score de provenance. StableLM et Pythia utilisent tous deux le tokenizer GPT-NeoX et obtiendraient un score similaire même s’ils ne partageaient aucune lignée de poids. L’exclusion des données du tokenizer évite les faux positifs.
Les empreintes comportementales ajoutent une deuxième approche. Jonah Leshin, Manish Shah et Ian Timmis du projet VAIL, en collaboration avec Daniel Kang de l’UIUC, ont publié des travaux sur la stabilité des points finaux comportementaux montrant qu’un point final d’un modèle peut rester sain tandis que son identité effective change via des mises à jour de poids, une quantification ou un routage. Le blog de lancement de Cisco indique que l’Explorer intègre à la fois les empreintes digitales statiques et l’analyse de similarité comportementale pour ancrer le graphique de lignée. L’analyse statique fournit des preuves au niveau du poids de la dérivation du temps d’entraînement. L’analyse comportementale détecte la dérive d’identité à l’exécution.
Là où les outils existants ne suffisent pas
L’Explorer comporte de réelles limites. Près de 900 modèles est un début significatif, mais Hugging Face en héberge plus de 2 millions au printemps 2026. Les modèles en dehors des limites dépendent toujours de l’étiquette auto-déclarée. Cisco n’a pas précisé si l’Explorer expose une API, et sans une, une équipe peut rechercher des modèles à la main mais ne peut pas câbler le contrôle dans une porte CI. C’est la frontière entre un artefact de gouvernance et un contrôle.
Les outils SCA traditionnels sont confrontés à une inadéquation structurelle car ils ont été conçus pour les manifestes de dépendances et les images de conteneurs. Sakshi Grover, directeur de recherche senior pour la cybersécurité chez IDC, a déclaré dans CSO Online que la SCA traditionnelle « a été conçue pour inspecter les manifestes de dépendance, les bibliothèques et les images de conteneurs » et « est beaucoup moins efficace pour identifier » les risques liés aux flux de travail de l’IA. Jaishiv Prakash, analyste directeur de Gartner, a déclaré au même média que les entreprises ont besoin de « contrôles dédiés pour les sources des modèles, les versions approuvées, l’accès et la validation de l’exécution au niveau du registre ». Tous deux commentaient les risques plus larges de la chaîne d’approvisionnement, mais l’écart qu’ils décrivent est celui ciblé par Explorer.
La Constitution de provenance des modèles de Cisco définit où un modèle compte comme dérivé d’un autre. La constitution qualifie par défaut les paires ambiguës d’indépendantes, car un faux positif déclenche une accusation de licence tandis qu’un faux négatif est détecté lors d’un examen manuel. Ce conservatisme délibéré conforte le chiffre de précision de 96,4 %. La dérivation n’est pas binaire et les empreintes digitales sont une forme de preuve aux côtés de la documentation et de la vérification aux points de contrôle.
Ce qui figure dans le dossier d’approbation
Le 2 août, la Commission européenne obtient des pouvoirs d’application de la loi sur l’IA à l’égard des fournisseurs de modèles GPAI, avec des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Les organisations qui modifient substantiellement et placent un modèle ouvert sur le marché de l’UE peuvent acquérir le statut de fournisseur, les directives de la Commission traitant du calcul des modifications dépassant un tiers de celui d’origine. L’exemption open source de la loi en vertu de l’article 53 (2) nécessite une licence véritablement gratuite et open source permettant l’accès, l’utilisation, la modification et la redistribution, avec des informations sur les poids, l’architecture et l’utilisation entièrement publiques. Les poids publics ne suffisent pas à eux seuls. La licence communautaire de Llama comporte un seuil mensuel d’utilisateurs actifs et un disqualifiant que les directives de la Commission nomment explicitement. Llama et Gemma représentent ensemble environ un cinquième des nouveaux produits dérivés dans le décompte ATOM, et tous deux détiennent des licences que les critères de la Commission disqualifieraient probablement. La classification des licences fait désormais partie de l’examen de la provenance, et c’est exactement ce que révèle l’Explorer.
La première question qui se pose après la divulgation d’une vulnérabilité d’un modèle de base est simple : « Lequel de nos modèles de production hérite de cette faiblesse, et comment le savons-nous ? La réponse aujourd’hui nécessite une recherche manuelle dans les pages du référentiel, en traçant les étiquettes auto-déclarées qu’aucune analyse au niveau du poids n’a confirmée. L’Explorateur convertit cette recherche en une recherche des modèles qu’il couvre.
Quatre champs appartiennent au dossier d’approbation que la plupart des organisations ne possèdent pas aujourd’hui. Dérivation basée sur les empreintes digitales et fondée sur une analyse du poids plutôt que sur une étiquette auto-déclarée. Un nombre de fichiers analysés remplaçant l’hypothèse de couverture par un nombre d’analyses mesurable. Le siège social du fournisseur est un champ filtrable, reconnaissant que le siège social à lui seul ne résout pas l’exposition au contrôle des exportations, puisque la propriété et le lieu de déploiement régissent également le contrôle. Et la lignée des licences a fait surface afin que les équipes juridiques puissent identifier les conditions potentielles en amont avant qu’un modèle n’atteigne la production.
Cisco a publié aujourd’hui le Supply Chain Provenance Explorer, disponible sur provenance.aidefense.cisco.com. La base de données est gratuite, publique et ne nécessite aucun produit ou compte Cisco.
Ce qui change pour une équipe de sécurité le 30 juillet
|
Ce que l’équipe a aujourd’hui |
Ce que publie l’Explorer |
Action recommandée |
|
Rayon d’explosion après une vulnérabilité du modèle de base. Le nom du modèle et la balise base_model. Déterminer quels modèles héritent d’une faiblesse révélée est une recherche manuelle à travers les pages du référentiel. |
Lignée fondée sur des scores de similarité utilisant deux étapes d’empreintes digitales notées sur les métadonnées d’architecture et cinq signaux de niveau de poids. Le kit a obtenu une précision de 96,4 % au seuil de 0,70. |
Attachez une dérivation basée sur les empreintes digitales à chaque modèle de l’inventaire des actifs afin qu’une divulgation déclenche un examen ciblé au lieu d’une chasse. |
|
Couverture de l’analyse des logiciels malveillants. Un badge au niveau du fichier par fichier. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse. |
Nombre de fichiers analysés et résultats de logiciels malveillants ou de fichiers dangereux signalés par modèle, à partir de l’analyse basée sur ClamAV. La couverture de numérisation devient lisible avant l’approbation plutôt que déduite d’un badge. |
Remplacez l’hypothèse selon laquelle un modèle a été numérisé par le décompte enregistré. Lorsque la couverture est partielle, indiquez si l’écart est acceptable et pourquoi. |
|
Juridiction du fournisseur. Un nom d’organisation sur une page de référentiel. Un dérivé à quelques pas de son origine affiche le téléverseur, pas l’ancêtre. |
Siège social du fournisseur, site Web et organisations HF associées en tant que champ filtrable. Le siège ne résout pas à lui seul le risque de contrôle des exportations. |
Ajoutez une juridiction au dossier d’approbation. Toute équipe qui modifie substantiellement et place un modèle ouvert sur le marché de l’UE est confrontée à des obligations potentielles de fournisseur en vertu de la loi européenne sur l’IA. |
|
Obligations de licence. Une étiquette de licence décrivant ce qui, selon l’utilisateur qui a téléchargé le contenu, s’applique. Les termes d’un modèle de base en amont peuvent ne pas apparaître sur la page lue par l’ingénieur. |
Limitations courantes par modèle, y compris l’attribution, les conditions non commerciales, les restrictions géographiques et les cas d’utilisation interdits. La lignée d’empreintes digitales aide les équipes juridiques à identifier les termes potentiels en amont. |
Acheminez le lignage de la licence vers le statut légal avant la production, et non après qu’un contrat y fasse référence. Documentez la position lors de l’approbation plutôt que de la reconstruire lors d’un litige. |
Une équipe de sécurité qui approuve aujourd’hui un modèle open source pour la production commence par une page de référentiel. La page répertorie le nom du modèle, la licence et une balise identifiant le modèle de base dont il descend. Cette balise est une chaîne saisie par le téléchargeur. Hugging Face n’exige pas que les téléchargeurs justifient leur affirmation par une analyse au niveau du poids.
Le rapport ATOM, publié par Nathan Lambert et Florian Brand chez Interconnects AI en avril 2026, a suivi environ 1 500 modèles ouverts principaux. ATOM identifie les dérivés via la balise Hugging Face base_model, un champ que le téléchargeur remplit, en filtrant les modèles dont le modèle de base apparaît dans la liste suivie et qui ont plus de cinq téléchargements à vie et excluant les re-téléchargements GGUF et MLX. Selon cette mesure, la famille Qwen d’Alibaba est la société mère déclarée de 69 % des nouveaux produits dérivés à modèle ouvert en février 2026, contre 1 % en janvier 2024. Les laboratoires chinois en représentent globalement 70 %. L’Europe se situe à 4%. Les téléchargements cumulés suivis dans les trois régions ont atteint 2,04 milliards jusqu’en mars 2026.
L’écart de vérification s’étend à la couverture de l’analyse. Cisco Foundation AI analyse chaque fichier public téléchargé sur Hugging Face via un moteur ClamAV mis à jour, et la plate-forme affiche un badge au niveau du fichier par fichier. La propre documentation d’analyse des logiciels malveillants de Hugging Face indique qu’un fichier sans badge ok ni infecté peut être mis en file d’attente, en cours d’analyse ou erroné. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse et non un attribut que quiconque peut lire avant d’approuver un modèle.
De la ligne de commande à la recherche publique
Cisco a publié jeudi AI Supply Chain Provenance Explorer, une base de données publique gratuite couvrant près de 900 modèles ouverts. Chaque entrée peut contenir le siège social du fournisseur, un graphique de lignée d’empreintes digitales, des restrictions de licence et un nombre de fichiers analysés. L’outil étend le Model Provenance Kit de Cisco, une boîte à outils Python open source publiée en avril qui a pris en compte environ 150 modèles de base dans plus de 45 familles et plus de 20 éditeurs. La couverture a été multipliée par six en un trimestre.
La version d’avril était un outil en ligne de commande. L’exécuter impliquait un environnement Python local, le téléchargement de poids de modèle qui s’élèvent à des dizaines de gigaoctets et la consécration d’heures d’ingénieur par modèle. L’Explorateur interroge les résultats déjà calculés par Cisco. Jeudi, la vérification de la filiation commence par une barre de recherche, et le coût est la raison pour laquelle les entreprises exécutent des pondérations ouvertes en premier lieu.
Amy Chang, responsable de la recherche sur les menaces et la sécurité de l’IA chez Cisco, a expliqué pourquoi les lacunes en matière de vérification sont importantes. Lors d’un panel de sécurité agent VB Transform 2026, Chang a présenté les résultats de 6 986 attaques multitours contre 15 modèles phares, avec des taux de réussite atteignant 88,3 %. «Si vous ne comprenez pas comment les modèles sont sensibles à différents types d’attaques, vous ne pouvez pas expliquer comment le modèle qui alimente votre agent, qui alimente votre application, ni comprendre où se trouvent ces points de défaillance», a déclaré Chang au public. Comprendre les points de défaillance commence par savoir quel modèle vous utilisez.
L’Explorateur fait également apparaître les données que Cisco utilise déjà de manière opérationnelle. Le système Cerberus de la société inspecte les modèles entrant dans Hugging Face et alimente les politiques d’accès sécurisé qui bloquent par licence ou région d’origine à risque. L’Explorer rend cette classe d’informations gratuite et consultable sans produit Cisco.
Comment les empreintes digitales remplacent l’étiquette
L’Explorer fonde les relations des modèles sur des scores de similarité plutôt que sur des métadonnées autodéclarées. Le kit de provenance du modèle de Cisco fonctionne en deux étapes notées. La première étape compare les métadonnées de l’architecture avant de charger des pondérations. Lorsque les métadonnées sont ambiguës, la deuxième étape extrait cinq signaux au niveau du poids. L’intégration de la similarité d’ancrage capture les relations géométriques qui survivent au réglage fin. Embedding Norm Distribution code les modèles de fréquence des mots. Norm Layer Fingerprint lit les couches de manière stable lors du réglage fin. Layer Energy Profile compare les distributions sur toute la profondeur du réseau. Weight-Value Cosinus compare directement les valeurs de poids, et les modèles formés indépendamment montrent une corrélation essentiellement nulle sur ce signal. Cisco a signalé une précision de 96,4 % sur son propre benchmark de 111 paires à un seuil de 0,70, avec un F1 de 0,963. Quatre paires ont été mal classées, impliquant toutes une transformation architecturale extrême que Cisco appelle une limite fondamentale de la comparaison de poids par paire.
Les signaux du tokenizer sont calculés à des fins de diagnostic mais délibérément exclus du score de provenance. StableLM et Pythia utilisent tous deux le tokenizer GPT-NeoX et obtiendraient un score similaire même s’ils ne partageaient aucune lignée de poids. L’exclusion des données du tokenizer évite les faux positifs.
Les empreintes comportementales ajoutent une deuxième approche. Jonah Leshin, Manish Shah et Ian Timmis du projet VAIL, en collaboration avec Daniel Kang de l’UIUC, ont publié des travaux sur la stabilité des points finaux comportementaux montrant qu’un point final d’un modèle peut rester sain tandis que son identité effective change via des mises à jour de poids, une quantification ou un routage. Le blog de lancement de Cisco indique que l’Explorer intègre à la fois les empreintes digitales statiques et l’analyse de similarité comportementale pour ancrer le graphique de lignée. L’analyse statique fournit des preuves au niveau du poids de la dérivation du temps d’entraînement. L’analyse comportementale détecte la dérive d’identité à l’exécution.
Là où les outils existants ne suffisent pas
L’Explorer comporte de réelles limites. Près de 900 modèles est un début significatif, mais Hugging Face en héberge plus de 2 millions au printemps 2026. Les modèles en dehors des limites dépendent toujours de l’étiquette auto-déclarée. Cisco n’a pas précisé si l’Explorer expose une API, et sans une, une équipe peut rechercher des modèles à la main mais ne peut pas câbler le contrôle dans une porte CI. C’est la frontière entre un artefact de gouvernance et un contrôle.
Les outils SCA traditionnels sont confrontés à une inadéquation structurelle car ils ont été conçus pour les manifestes de dépendances et les images de conteneurs. Sakshi Grover, directeur de recherche senior pour la cybersécurité chez IDC, a déclaré dans CSO Online que la SCA traditionnelle « a été conçue pour inspecter les manifestes de dépendance, les bibliothèques et les images de conteneurs » et « est beaucoup moins efficace pour identifier » les risques liés aux flux de travail de l’IA. Jaishiv Prakash, analyste directeur de Gartner, a déclaré au même média que les entreprises ont besoin de « contrôles dédiés pour les sources des modèles, les versions approuvées, l’accès et la validation de l’exécution au niveau du registre ». Tous deux commentaient les risques plus larges de la chaîne d’approvisionnement, mais l’écart qu’ils décrivent est celui ciblé par Explorer.
La Constitution de provenance des modèles de Cisco définit où un modèle compte comme dérivé d’un autre. La constitution qualifie par défaut les paires ambiguës d’indépendantes, car un faux positif déclenche une accusation de licence tandis qu’un faux négatif est détecté lors d’un examen manuel. Ce conservatisme délibéré conforte le chiffre de précision de 96,4 %. La dérivation n’est pas binaire et les empreintes digitales sont une forme de preuve aux côtés de la documentation et de la vérification aux points de contrôle.
Ce qui figure dans le dossier d’approbation
Le 2 août, la Commission européenne obtient des pouvoirs d’application de la loi sur l’IA à l’égard des fournisseurs de modèles GPAI, avec des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Les organisations qui modifient substantiellement et placent un modèle ouvert sur le marché de l’UE peuvent acquérir le statut de fournisseur, les directives de la Commission traitant du calcul des modifications dépassant un tiers de celui d’origine. L’exemption open source de la loi en vertu de l’article 53 (2) nécessite une licence véritablement gratuite et open source permettant l’accès, l’utilisation, la modification et la redistribution, avec des informations sur les poids, l’architecture et l’utilisation entièrement publiques. Les poids publics ne suffisent pas à eux seuls. La licence communautaire de Llama comporte un seuil mensuel d’utilisateurs actifs et un disqualifiant que les directives de la Commission nomment explicitement. Llama et Gemma représentent ensemble environ un cinquième des nouveaux produits dérivés dans le décompte ATOM, et tous deux détiennent des licences que les critères de la Commission disqualifieraient probablement. La classification des licences fait désormais partie de l’examen de la provenance, et c’est exactement ce que révèle l’Explorer.
La première question qui se pose après la divulgation d’une vulnérabilité d’un modèle de base est simple : « Lequel de nos modèles de production hérite de cette faiblesse, et comment le savons-nous ? La réponse aujourd’hui nécessite une recherche manuelle dans les pages du référentiel, en traçant les étiquettes auto-déclarées qu’aucune analyse au niveau du poids n’a confirmée. L’Explorateur convertit cette recherche en une recherche des modèles qu’il couvre.
Quatre champs appartiennent au dossier d’approbation que la plupart des organisations ne possèdent pas aujourd’hui. Dérivation basée sur les empreintes digitales et fondée sur une analyse du poids plutôt que sur une étiquette auto-déclarée. Un nombre de fichiers analysés remplaçant l’hypothèse de couverture par un nombre d’analyses mesurable. Le siège social du fournisseur est un champ filtrable, reconnaissant que le siège social à lui seul ne résout pas l’exposition au contrôle des exportations, puisque la propriété et le lieu de déploiement régissent également le contrôle. Et la lignée des licences a fait surface afin que les équipes juridiques puissent identifier les conditions potentielles en amont avant qu’un modèle n’atteigne la production.
Cisco a publié aujourd’hui le Supply Chain Provenance Explorer, disponible sur provenance.aidefense.cisco.com. La base de données est gratuite, publique et ne nécessite aucun produit ou compte Cisco.
Ce qui change pour une équipe de sécurité le 30 juillet
|
Ce que l’équipe a aujourd’hui |
Ce que publie l’Explorer |
Action recommandée |
|
Rayon d’explosion après une vulnérabilité du modèle de base. Le nom du modèle et la balise base_model. Déterminer quels modèles héritent d’une faiblesse révélée est une recherche manuelle à travers les pages du référentiel. |
Lignée fondée sur des scores de similarité utilisant deux étapes d’empreintes digitales notées sur les métadonnées d’architecture et cinq signaux de niveau de poids. Le kit a obtenu une précision de 96,4 % au seuil de 0,70. |
Attachez une dérivation basée sur les empreintes digitales à chaque modèle de l’inventaire des actifs afin qu’une divulgation déclenche un examen ciblé au lieu d’une chasse. |
|
Couverture de l’analyse des logiciels malveillants. Un badge au niveau du fichier par fichier. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse. |
Nombre de fichiers analysés et résultats de logiciels malveillants ou de fichiers dangereux signalés par modèle, à partir de l’analyse basée sur ClamAV. La couverture de numérisation devient lisible avant l’approbation plutôt que déduite d’un badge. |
Remplacez l’hypothèse selon laquelle un modèle a été numérisé par le décompte enregistré. Lorsque la couverture est partielle, indiquez si l’écart est acceptable et pourquoi. |
|
Juridiction du fournisseur. Un nom d’organisation sur une page de référentiel. Un dérivé à quelques pas de son origine affiche le téléverseur, pas l’ancêtre. |
Siège social du fournisseur, site Web et organisations HF associées en tant que champ filtrable. Le siège ne résout pas à lui seul le risque de contrôle des exportations. |
Ajoutez une juridiction au dossier d’approbation. Toute équipe qui modifie substantiellement et place un modèle ouvert sur le marché de l’UE est confrontée à des obligations potentielles de fournisseur en vertu de la loi européenne sur l’IA. |
|
Obligations de licence. Une étiquette de licence décrivant ce qui, selon l’utilisateur qui a téléchargé le contenu, s’applique. Les termes d’un modèle de base en amont peuvent ne pas apparaître sur la page lue par l’ingénieur. |
Limitations courantes par modèle, y compris l’attribution, les conditions non commerciales, les restrictions géographiques et les cas d’utilisation interdits. La lignée d’empreintes digitales aide les équipes juridiques à identifier les termes potentiels en amont. |
Acheminez le lignage de la licence vers le statut légal avant la production, et non après qu’un contrat y fasse référence. Documentez la position lors de l’approbation plutôt que de la reconstruire lors d’un litige. |
Une équipe de sécurité qui approuve aujourd’hui un modèle open source pour la production commence par une page de référentiel. La page répertorie le nom du modèle, la licence et une balise identifiant le modèle de base dont il descend. Cette balise est une chaîne saisie par le téléchargeur. Hugging Face n’exige pas que les téléchargeurs justifient leur affirmation par une analyse au niveau du poids.
Le rapport ATOM, publié par Nathan Lambert et Florian Brand chez Interconnects AI en avril 2026, a suivi environ 1 500 modèles ouverts principaux. ATOM identifie les dérivés via la balise Hugging Face base_model, un champ que le téléchargeur remplit, en filtrant les modèles dont le modèle de base apparaît dans la liste suivie et qui ont plus de cinq téléchargements à vie et excluant les re-téléchargements GGUF et MLX. Selon cette mesure, la famille Qwen d’Alibaba est la société mère déclarée de 69 % des nouveaux produits dérivés à modèle ouvert en février 2026, contre 1 % en janvier 2024. Les laboratoires chinois en représentent globalement 70 %. L’Europe se situe à 4%. Les téléchargements cumulés suivis dans les trois régions ont atteint 2,04 milliards jusqu’en mars 2026.
L’écart de vérification s’étend à la couverture de l’analyse. Cisco Foundation AI analyse chaque fichier public téléchargé sur Hugging Face via un moteur ClamAV mis à jour, et la plate-forme affiche un badge au niveau du fichier par fichier. La propre documentation d’analyse des logiciels malveillants de Hugging Face indique qu’un fichier sans badge ok ni infecté peut être mis en file d’attente, en cours d’analyse ou erroné. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse et non un attribut que quiconque peut lire avant d’approuver un modèle.
De la ligne de commande à la recherche publique
Cisco a publié jeudi AI Supply Chain Provenance Explorer, une base de données publique gratuite couvrant près de 900 modèles ouverts. Chaque entrée peut contenir le siège social du fournisseur, un graphique de lignée d’empreintes digitales, des restrictions de licence et un nombre de fichiers analysés. L’outil étend le Model Provenance Kit de Cisco, une boîte à outils Python open source publiée en avril qui a pris en compte environ 150 modèles de base dans plus de 45 familles et plus de 20 éditeurs. La couverture a été multipliée par six en un trimestre.
La version d’avril était un outil en ligne de commande. L’exécuter impliquait un environnement Python local, le téléchargement de poids de modèle qui s’élèvent à des dizaines de gigaoctets et la consécration d’heures d’ingénieur par modèle. L’Explorateur interroge les résultats déjà calculés par Cisco. Jeudi, la vérification de la filiation commence par une barre de recherche, et le coût est la raison pour laquelle les entreprises exécutent des pondérations ouvertes en premier lieu.
Amy Chang, responsable de la recherche sur les menaces et la sécurité de l’IA chez Cisco, a expliqué pourquoi les lacunes en matière de vérification sont importantes. Lors d’un panel de sécurité agent VB Transform 2026, Chang a présenté les résultats de 6 986 attaques multitours contre 15 modèles phares, avec des taux de réussite atteignant 88,3 %. «Si vous ne comprenez pas comment les modèles sont sensibles à différents types d’attaques, vous ne pouvez pas expliquer comment le modèle qui alimente votre agent, qui alimente votre application, ni comprendre où se trouvent ces points de défaillance», a déclaré Chang au public. Comprendre les points de défaillance commence par savoir quel modèle vous utilisez.
L’Explorateur fait également apparaître les données que Cisco utilise déjà de manière opérationnelle. Le système Cerberus de la société inspecte les modèles entrant dans Hugging Face et alimente les politiques d’accès sécurisé qui bloquent par licence ou région d’origine à risque. L’Explorer rend cette classe d’informations gratuite et consultable sans produit Cisco.
Comment les empreintes digitales remplacent l’étiquette
L’Explorer fonde les relations des modèles sur des scores de similarité plutôt que sur des métadonnées autodéclarées. Le kit de provenance du modèle de Cisco fonctionne en deux étapes notées. La première étape compare les métadonnées de l’architecture avant de charger des pondérations. Lorsque les métadonnées sont ambiguës, la deuxième étape extrait cinq signaux au niveau du poids. L’intégration de la similarité d’ancrage capture les relations géométriques qui survivent au réglage fin. Embedding Norm Distribution code les modèles de fréquence des mots. Norm Layer Fingerprint lit les couches de manière stable lors du réglage fin. Layer Energy Profile compare les distributions sur toute la profondeur du réseau. Weight-Value Cosinus compare directement les valeurs de poids, et les modèles formés indépendamment montrent une corrélation essentiellement nulle sur ce signal. Cisco a signalé une précision de 96,4 % sur son propre benchmark de 111 paires à un seuil de 0,70, avec un F1 de 0,963. Quatre paires ont été mal classées, impliquant toutes une transformation architecturale extrême que Cisco appelle une limite fondamentale de la comparaison de poids par paire.
Les signaux du tokenizer sont calculés à des fins de diagnostic mais délibérément exclus du score de provenance. StableLM et Pythia utilisent tous deux le tokenizer GPT-NeoX et obtiendraient un score similaire même s’ils ne partageaient aucune lignée de poids. L’exclusion des données du tokenizer évite les faux positifs.
Les empreintes comportementales ajoutent une deuxième approche. Jonah Leshin, Manish Shah et Ian Timmis du projet VAIL, en collaboration avec Daniel Kang de l’UIUC, ont publié des travaux sur la stabilité des points finaux comportementaux montrant qu’un point final d’un modèle peut rester sain tandis que son identité effective change via des mises à jour de poids, une quantification ou un routage. Le blog de lancement de Cisco indique que l’Explorer intègre à la fois les empreintes digitales statiques et l’analyse de similarité comportementale pour ancrer le graphique de lignée. L’analyse statique fournit des preuves au niveau du poids de la dérivation du temps d’entraînement. L’analyse comportementale détecte la dérive d’identité à l’exécution.
Là où les outils existants ne suffisent pas
L’Explorer comporte de réelles limites. Près de 900 modèles est un début significatif, mais Hugging Face en héberge plus de 2 millions au printemps 2026. Les modèles en dehors des limites dépendent toujours de l’étiquette auto-déclarée. Cisco n’a pas précisé si l’Explorer expose une API, et sans une, une équipe peut rechercher des modèles à la main mais ne peut pas câbler le contrôle dans une porte CI. C’est la frontière entre un artefact de gouvernance et un contrôle.
Les outils SCA traditionnels sont confrontés à une inadéquation structurelle car ils ont été conçus pour les manifestes de dépendances et les images de conteneurs. Sakshi Grover, directeur de recherche senior pour la cybersécurité chez IDC, a déclaré dans CSO Online que la SCA traditionnelle « a été conçue pour inspecter les manifestes de dépendance, les bibliothèques et les images de conteneurs » et « est beaucoup moins efficace pour identifier » les risques liés aux flux de travail de l’IA. Jaishiv Prakash, analyste directeur de Gartner, a déclaré au même média que les entreprises ont besoin de « contrôles dédiés pour les sources des modèles, les versions approuvées, l’accès et la validation de l’exécution au niveau du registre ». Tous deux commentaient les risques plus larges de la chaîne d’approvisionnement, mais l’écart qu’ils décrivent est celui ciblé par Explorer.
La Constitution de provenance des modèles de Cisco définit où un modèle compte comme dérivé d’un autre. La constitution qualifie par défaut les paires ambiguës d’indépendantes, car un faux positif déclenche une accusation de licence tandis qu’un faux négatif est détecté lors d’un examen manuel. Ce conservatisme délibéré conforte le chiffre de précision de 96,4 %. La dérivation n’est pas binaire et les empreintes digitales sont une forme de preuve aux côtés de la documentation et de la vérification aux points de contrôle.
Ce qui figure dans le dossier d’approbation
Le 2 août, la Commission européenne obtient des pouvoirs d’application de la loi sur l’IA à l’égard des fournisseurs de modèles GPAI, avec des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Les organisations qui modifient substantiellement et placent un modèle ouvert sur le marché de l’UE peuvent acquérir le statut de fournisseur, les directives de la Commission traitant du calcul des modifications dépassant un tiers de celui d’origine. L’exemption open source de la loi en vertu de l’article 53 (2) nécessite une licence véritablement gratuite et open source permettant l’accès, l’utilisation, la modification et la redistribution, avec des informations sur les poids, l’architecture et l’utilisation entièrement publiques. Les poids publics ne suffisent pas à eux seuls. La licence communautaire de Llama comporte un seuil mensuel d’utilisateurs actifs et un disqualifiant que les directives de la Commission nomment explicitement. Llama et Gemma représentent ensemble environ un cinquième des nouveaux produits dérivés dans le décompte ATOM, et tous deux détiennent des licences que les critères de la Commission disqualifieraient probablement. La classification des licences fait désormais partie de l’examen de la provenance, et c’est exactement ce que révèle l’Explorer.
La première question qui se pose après la divulgation d’une vulnérabilité d’un modèle de base est simple : « Lequel de nos modèles de production hérite de cette faiblesse, et comment le savons-nous ? La réponse aujourd’hui nécessite une recherche manuelle dans les pages du référentiel, en traçant les étiquettes auto-déclarées qu’aucune analyse au niveau du poids n’a confirmée. L’Explorateur convertit cette recherche en une recherche des modèles qu’il couvre.
Quatre champs appartiennent au dossier d’approbation que la plupart des organisations ne possèdent pas aujourd’hui. Dérivation basée sur les empreintes digitales et fondée sur une analyse du poids plutôt que sur une étiquette auto-déclarée. Un nombre de fichiers analysés remplaçant l’hypothèse de couverture par un nombre d’analyses mesurable. Le siège social du fournisseur est un champ filtrable, reconnaissant que le siège social à lui seul ne résout pas l’exposition au contrôle des exportations, puisque la propriété et le lieu de déploiement régissent également le contrôle. Et la lignée des licences a fait surface afin que les équipes juridiques puissent identifier les conditions potentielles en amont avant qu’un modèle n’atteigne la production.
Cisco a publié aujourd’hui le Supply Chain Provenance Explorer, disponible sur provenance.aidefense.cisco.com. La base de données est gratuite, publique et ne nécessite aucun produit ou compte Cisco.
Ce qui change pour une équipe de sécurité le 30 juillet
|
Ce que l’équipe a aujourd’hui |
Ce que publie l’Explorer |
Action recommandée |
|
Rayon d’explosion après une vulnérabilité du modèle de base. Le nom du modèle et la balise base_model. Déterminer quels modèles héritent d’une faiblesse révélée est une recherche manuelle à travers les pages du référentiel. |
Lignée fondée sur des scores de similarité utilisant deux étapes d’empreintes digitales notées sur les métadonnées d’architecture et cinq signaux de niveau de poids. Le kit a obtenu une précision de 96,4 % au seuil de 0,70. |
Attachez une dérivation basée sur les empreintes digitales à chaque modèle de l’inventaire des actifs afin qu’une divulgation déclenche un examen ciblé au lieu d’une chasse. |
|
Couverture de l’analyse des logiciels malveillants. Un badge au niveau du fichier par fichier. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse. |
Nombre de fichiers analysés et résultats de logiciels malveillants ou de fichiers dangereux signalés par modèle, à partir de l’analyse basée sur ClamAV. La couverture de numérisation devient lisible avant l’approbation plutôt que déduite d’un badge. |
Remplacez l’hypothèse selon laquelle un modèle a été numérisé par le décompte enregistré. Lorsque la couverture est partielle, indiquez si l’écart est acceptable et pourquoi. |
|
Juridiction du fournisseur. Un nom d’organisation sur une page de référentiel. Un dérivé à quelques pas de son origine affiche le téléverseur, pas l’ancêtre. |
Siège social du fournisseur, site Web et organisations HF associées en tant que champ filtrable. Le siège ne résout pas à lui seul le risque de contrôle des exportations. |
Ajoutez une juridiction au dossier d’approbation. Toute équipe qui modifie substantiellement et place un modèle ouvert sur le marché de l’UE est confrontée à des obligations potentielles de fournisseur en vertu de la loi européenne sur l’IA. |
|
Obligations de licence. Une étiquette de licence décrivant ce qui, selon l’utilisateur qui a téléchargé le contenu, s’applique. Les termes d’un modèle de base en amont peuvent ne pas apparaître sur la page lue par l’ingénieur. |
Limitations courantes par modèle, y compris l’attribution, les conditions non commerciales, les restrictions géographiques et les cas d’utilisation interdits. La lignée d’empreintes digitales aide les équipes juridiques à identifier les termes potentiels en amont. |
Acheminez le lignage de la licence vers le statut légal avant la production, et non après qu’un contrat y fasse référence. Documentez la position lors de l’approbation plutôt que de la reconstruire lors d’un litige. |
Suscríbete y recibe las historias más importantes del día.
Al suscribirte aceptas nuestros términos y condiciones y política de privacidad.
Une équipe de sécurité qui approuve aujourd’hui un modèle open source pour la production commence par une page de référentiel. La page répertorie le nom du modèle, la licence et une balise identifiant le modèle de base dont il descend. Cette balise est une chaîne saisie par le téléchargeur. Hugging Face n’exige pas que les téléchargeurs justifient leur affirmation par une analyse au niveau du poids.
Le rapport ATOM, publié par Nathan Lambert et Florian Brand chez Interconnects AI en avril 2026, a suivi environ 1 500 modèles ouverts principaux. ATOM identifie les dérivés via la balise Hugging Face base_model, un champ que le téléchargeur remplit, en filtrant les modèles dont le modèle de base apparaît dans la liste suivie et qui ont plus de cinq téléchargements à vie et excluant les re-téléchargements GGUF et MLX. Selon cette mesure, la famille Qwen d’Alibaba est la société mère déclarée de 69 % des nouveaux produits dérivés à modèle ouvert en février 2026, contre 1 % en janvier 2024. Les laboratoires chinois en représentent globalement 70 %. L’Europe se situe à 4%. Les téléchargements cumulés suivis dans les trois régions ont atteint 2,04 milliards jusqu’en mars 2026.
L’écart de vérification s’étend à la couverture de l’analyse. Cisco Foundation AI analyse chaque fichier public téléchargé sur Hugging Face via un moteur ClamAV mis à jour, et la plate-forme affiche un badge au niveau du fichier par fichier. La propre documentation d’analyse des logiciels malveillants de Hugging Face indique qu’un fichier sans badge ok ni infecté peut être mis en file d’attente, en cours d’analyse ou erroné. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse et non un attribut que quiconque peut lire avant d’approuver un modèle.
De la ligne de commande à la recherche publique
Cisco a publié jeudi AI Supply Chain Provenance Explorer, une base de données publique gratuite couvrant près de 900 modèles ouverts. Chaque entrée peut contenir le siège social du fournisseur, un graphique de lignée d’empreintes digitales, des restrictions de licence et un nombre de fichiers analysés. L’outil étend le Model Provenance Kit de Cisco, une boîte à outils Python open source publiée en avril qui a pris en compte environ 150 modèles de base dans plus de 45 familles et plus de 20 éditeurs. La couverture a été multipliée par six en un trimestre.
La version d’avril était un outil en ligne de commande. L’exécuter impliquait un environnement Python local, le téléchargement de poids de modèle qui s’élèvent à des dizaines de gigaoctets et la consécration d’heures d’ingénieur par modèle. L’Explorateur interroge les résultats déjà calculés par Cisco. Jeudi, la vérification de la filiation commence par une barre de recherche, et le coût est la raison pour laquelle les entreprises exécutent des pondérations ouvertes en premier lieu.
Amy Chang, responsable de la recherche sur les menaces et la sécurité de l’IA chez Cisco, a expliqué pourquoi les lacunes en matière de vérification sont importantes. Lors d’un panel de sécurité agent VB Transform 2026, Chang a présenté les résultats de 6 986 attaques multitours contre 15 modèles phares, avec des taux de réussite atteignant 88,3 %. «Si vous ne comprenez pas comment les modèles sont sensibles à différents types d’attaques, vous ne pouvez pas expliquer comment le modèle qui alimente votre agent, qui alimente votre application, ni comprendre où se trouvent ces points de défaillance», a déclaré Chang au public. Comprendre les points de défaillance commence par savoir quel modèle vous utilisez.
L’Explorateur fait également apparaître les données que Cisco utilise déjà de manière opérationnelle. Le système Cerberus de la société inspecte les modèles entrant dans Hugging Face et alimente les politiques d’accès sécurisé qui bloquent par licence ou région d’origine à risque. L’Explorer rend cette classe d’informations gratuite et consultable sans produit Cisco.
Comment les empreintes digitales remplacent l’étiquette
L’Explorer fonde les relations des modèles sur des scores de similarité plutôt que sur des métadonnées autodéclarées. Le kit de provenance du modèle de Cisco fonctionne en deux étapes notées. La première étape compare les métadonnées de l’architecture avant de charger des pondérations. Lorsque les métadonnées sont ambiguës, la deuxième étape extrait cinq signaux au niveau du poids. L’intégration de la similarité d’ancrage capture les relations géométriques qui survivent au réglage fin. Embedding Norm Distribution code les modèles de fréquence des mots. Norm Layer Fingerprint lit les couches de manière stable lors du réglage fin. Layer Energy Profile compare les distributions sur toute la profondeur du réseau. Weight-Value Cosinus compare directement les valeurs de poids, et les modèles formés indépendamment montrent une corrélation essentiellement nulle sur ce signal. Cisco a signalé une précision de 96,4 % sur son propre benchmark de 111 paires à un seuil de 0,70, avec un F1 de 0,963. Quatre paires ont été mal classées, impliquant toutes une transformation architecturale extrême que Cisco appelle une limite fondamentale de la comparaison de poids par paire.
Les signaux du tokenizer sont calculés à des fins de diagnostic mais délibérément exclus du score de provenance. StableLM et Pythia utilisent tous deux le tokenizer GPT-NeoX et obtiendraient un score similaire même s’ils ne partageaient aucune lignée de poids. L’exclusion des données du tokenizer évite les faux positifs.
Les empreintes comportementales ajoutent une deuxième approche. Jonah Leshin, Manish Shah et Ian Timmis du projet VAIL, en collaboration avec Daniel Kang de l’UIUC, ont publié des travaux sur la stabilité des points finaux comportementaux montrant qu’un point final d’un modèle peut rester sain tandis que son identité effective change via des mises à jour de poids, une quantification ou un routage. Le blog de lancement de Cisco indique que l’Explorer intègre à la fois les empreintes digitales statiques et l’analyse de similarité comportementale pour ancrer le graphique de lignée. L’analyse statique fournit des preuves au niveau du poids de la dérivation du temps d’entraînement. L’analyse comportementale détecte la dérive d’identité à l’exécution.
Là où les outils existants ne suffisent pas
L’Explorer comporte de réelles limites. Près de 900 modèles est un début significatif, mais Hugging Face en héberge plus de 2 millions au printemps 2026. Les modèles en dehors des limites dépendent toujours de l’étiquette auto-déclarée. Cisco n’a pas précisé si l’Explorer expose une API, et sans une, une équipe peut rechercher des modèles à la main mais ne peut pas câbler le contrôle dans une porte CI. C’est la frontière entre un artefact de gouvernance et un contrôle.
Les outils SCA traditionnels sont confrontés à une inadéquation structurelle car ils ont été conçus pour les manifestes de dépendances et les images de conteneurs. Sakshi Grover, directeur de recherche senior pour la cybersécurité chez IDC, a déclaré dans CSO Online que la SCA traditionnelle « a été conçue pour inspecter les manifestes de dépendance, les bibliothèques et les images de conteneurs » et « est beaucoup moins efficace pour identifier » les risques liés aux flux de travail de l’IA. Jaishiv Prakash, analyste directeur de Gartner, a déclaré au même média que les entreprises ont besoin de « contrôles dédiés pour les sources des modèles, les versions approuvées, l’accès et la validation de l’exécution au niveau du registre ». Tous deux commentaient les risques plus larges de la chaîne d’approvisionnement, mais l’écart qu’ils décrivent est celui ciblé par Explorer.
La Constitution de provenance des modèles de Cisco définit où un modèle compte comme dérivé d’un autre. La constitution qualifie par défaut les paires ambiguës d’indépendantes, car un faux positif déclenche une accusation de licence tandis qu’un faux négatif est détecté lors d’un examen manuel. Ce conservatisme délibéré conforte le chiffre de précision de 96,4 %. La dérivation n’est pas binaire et les empreintes digitales sont une forme de preuve aux côtés de la documentation et de la vérification aux points de contrôle.
Ce qui figure dans le dossier d’approbation
Le 2 août, la Commission européenne obtient des pouvoirs d’application de la loi sur l’IA à l’égard des fournisseurs de modèles GPAI, avec des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Les organisations qui modifient substantiellement et placent un modèle ouvert sur le marché de l’UE peuvent acquérir le statut de fournisseur, les directives de la Commission traitant du calcul des modifications dépassant un tiers de celui d’origine. L’exemption open source de la loi en vertu de l’article 53 (2) nécessite une licence véritablement gratuite et open source permettant l’accès, l’utilisation, la modification et la redistribution, avec des informations sur les poids, l’architecture et l’utilisation entièrement publiques. Les poids publics ne suffisent pas à eux seuls. La licence communautaire de Llama comporte un seuil mensuel d’utilisateurs actifs et un disqualifiant que les directives de la Commission nomment explicitement. Llama et Gemma représentent ensemble environ un cinquième des nouveaux produits dérivés dans le décompte ATOM, et tous deux détiennent des licences que les critères de la Commission disqualifieraient probablement. La classification des licences fait désormais partie de l’examen de la provenance, et c’est exactement ce que révèle l’Explorer.
La première question qui se pose après la divulgation d’une vulnérabilité d’un modèle de base est simple : « Lequel de nos modèles de production hérite de cette faiblesse, et comment le savons-nous ? La réponse aujourd’hui nécessite une recherche manuelle dans les pages du référentiel, en traçant les étiquettes auto-déclarées qu’aucune analyse au niveau du poids n’a confirmée. L’Explorateur convertit cette recherche en une recherche des modèles qu’il couvre.
Quatre champs appartiennent au dossier d’approbation que la plupart des organisations ne possèdent pas aujourd’hui. Dérivation basée sur les empreintes digitales et fondée sur une analyse du poids plutôt que sur une étiquette auto-déclarée. Un nombre de fichiers analysés remplaçant l’hypothèse de couverture par un nombre d’analyses mesurable. Le siège social du fournisseur est un champ filtrable, reconnaissant que le siège social à lui seul ne résout pas l’exposition au contrôle des exportations, puisque la propriété et le lieu de déploiement régissent également le contrôle. Et la lignée des licences a fait surface afin que les équipes juridiques puissent identifier les conditions potentielles en amont avant qu’un modèle n’atteigne la production.
Cisco a publié aujourd’hui le Supply Chain Provenance Explorer, disponible sur provenance.aidefense.cisco.com. La base de données est gratuite, publique et ne nécessite aucun produit ou compte Cisco.
Ce qui change pour une équipe de sécurité le 30 juillet
|
Ce que l’équipe a aujourd’hui |
Ce que publie l’Explorer |
Action recommandée |
|
Rayon d’explosion après une vulnérabilité du modèle de base. Le nom du modèle et la balise base_model. Déterminer quels modèles héritent d’une faiblesse révélée est une recherche manuelle à travers les pages du référentiel. |
Lignée fondée sur des scores de similarité utilisant deux étapes d’empreintes digitales notées sur les métadonnées d’architecture et cinq signaux de niveau de poids. Le kit a obtenu une précision de 96,4 % au seuil de 0,70. |
Attachez une dérivation basée sur les empreintes digitales à chaque modèle de l’inventaire des actifs afin qu’une divulgation déclenche un examen ciblé au lieu d’une chasse. |
|
Couverture de l’analyse des logiciels malveillants. Un badge au niveau du fichier par fichier. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse. |
Nombre de fichiers analysés et résultats de logiciels malveillants ou de fichiers dangereux signalés par modèle, à partir de l’analyse basée sur ClamAV. La couverture de numérisation devient lisible avant l’approbation plutôt que déduite d’un badge. |
Remplacez l’hypothèse selon laquelle un modèle a été numérisé par le décompte enregistré. Lorsque la couverture est partielle, indiquez si l’écart est acceptable et pourquoi. |
|
Juridiction du fournisseur. Un nom d’organisation sur une page de référentiel. Un dérivé à quelques pas de son origine affiche le téléverseur, pas l’ancêtre. |
Siège social du fournisseur, site Web et organisations HF associées en tant que champ filtrable. Le siège ne résout pas à lui seul le risque de contrôle des exportations. |
Ajoutez une juridiction au dossier d’approbation. Toute équipe qui modifie substantiellement et place un modèle ouvert sur le marché de l’UE est confrontée à des obligations potentielles de fournisseur en vertu de la loi européenne sur l’IA. |
|
Obligations de licence. Une étiquette de licence décrivant ce qui, selon l’utilisateur qui a téléchargé le contenu, s’applique. Les termes d’un modèle de base en amont peuvent ne pas apparaître sur la page lue par l’ingénieur. |
Limitations courantes par modèle, y compris l’attribution, les conditions non commerciales, les restrictions géographiques et les cas d’utilisation interdits. La lignée d’empreintes digitales aide les équipes juridiques à identifier les termes potentiels en amont. |
Acheminez le lignage de la licence vers le statut légal avant la production, et non après qu’un contrat y fasse référence. Documentez la position lors de l’approbation plutôt que de la reconstruire lors d’un litige. |
Une équipe de sécurité qui approuve aujourd’hui un modèle open source pour la production commence par une page de référentiel. La page répertorie le nom du modèle, la licence et une balise identifiant le modèle de base dont il descend. Cette balise est une chaîne saisie par le téléchargeur. Hugging Face n’exige pas que les téléchargeurs justifient leur affirmation par une analyse au niveau du poids.
Le rapport ATOM, publié par Nathan Lambert et Florian Brand chez Interconnects AI en avril 2026, a suivi environ 1 500 modèles ouverts principaux. ATOM identifie les dérivés via la balise Hugging Face base_model, un champ que le téléchargeur remplit, en filtrant les modèles dont le modèle de base apparaît dans la liste suivie et qui ont plus de cinq téléchargements à vie et excluant les re-téléchargements GGUF et MLX. Selon cette mesure, la famille Qwen d’Alibaba est la société mère déclarée de 69 % des nouveaux produits dérivés à modèle ouvert en février 2026, contre 1 % en janvier 2024. Les laboratoires chinois en représentent globalement 70 %. L’Europe se situe à 4%. Les téléchargements cumulés suivis dans les trois régions ont atteint 2,04 milliards jusqu’en mars 2026.
L’écart de vérification s’étend à la couverture de l’analyse. Cisco Foundation AI analyse chaque fichier public téléchargé sur Hugging Face via un moteur ClamAV mis à jour, et la plate-forme affiche un badge au niveau du fichier par fichier. La propre documentation d’analyse des logiciels malveillants de Hugging Face indique qu’un fichier sans badge ok ni infecté peut être mis en file d’attente, en cours d’analyse ou erroné. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse et non un attribut que quiconque peut lire avant d’approuver un modèle.
De la ligne de commande à la recherche publique
Cisco a publié jeudi AI Supply Chain Provenance Explorer, une base de données publique gratuite couvrant près de 900 modèles ouverts. Chaque entrée peut contenir le siège social du fournisseur, un graphique de lignée d’empreintes digitales, des restrictions de licence et un nombre de fichiers analysés. L’outil étend le Model Provenance Kit de Cisco, une boîte à outils Python open source publiée en avril qui a pris en compte environ 150 modèles de base dans plus de 45 familles et plus de 20 éditeurs. La couverture a été multipliée par six en un trimestre.
La version d’avril était un outil en ligne de commande. L’exécuter impliquait un environnement Python local, le téléchargement de poids de modèle qui s’élèvent à des dizaines de gigaoctets et la consécration d’heures d’ingénieur par modèle. L’Explorateur interroge les résultats déjà calculés par Cisco. Jeudi, la vérification de la filiation commence par une barre de recherche, et le coût est la raison pour laquelle les entreprises exécutent des pondérations ouvertes en premier lieu.
Amy Chang, responsable de la recherche sur les menaces et la sécurité de l’IA chez Cisco, a expliqué pourquoi les lacunes en matière de vérification sont importantes. Lors d’un panel de sécurité agent VB Transform 2026, Chang a présenté les résultats de 6 986 attaques multitours contre 15 modèles phares, avec des taux de réussite atteignant 88,3 %. «Si vous ne comprenez pas comment les modèles sont sensibles à différents types d’attaques, vous ne pouvez pas expliquer comment le modèle qui alimente votre agent, qui alimente votre application, ni comprendre où se trouvent ces points de défaillance», a déclaré Chang au public. Comprendre les points de défaillance commence par savoir quel modèle vous utilisez.
L’Explorateur fait également apparaître les données que Cisco utilise déjà de manière opérationnelle. Le système Cerberus de la société inspecte les modèles entrant dans Hugging Face et alimente les politiques d’accès sécurisé qui bloquent par licence ou région d’origine à risque. L’Explorer rend cette classe d’informations gratuite et consultable sans produit Cisco.
Comment les empreintes digitales remplacent l’étiquette
L’Explorer fonde les relations des modèles sur des scores de similarité plutôt que sur des métadonnées autodéclarées. Le kit de provenance du modèle de Cisco fonctionne en deux étapes notées. La première étape compare les métadonnées de l’architecture avant de charger des pondérations. Lorsque les métadonnées sont ambiguës, la deuxième étape extrait cinq signaux au niveau du poids. L’intégration de la similarité d’ancrage capture les relations géométriques qui survivent au réglage fin. Embedding Norm Distribution code les modèles de fréquence des mots. Norm Layer Fingerprint lit les couches de manière stable lors du réglage fin. Layer Energy Profile compare les distributions sur toute la profondeur du réseau. Weight-Value Cosinus compare directement les valeurs de poids, et les modèles formés indépendamment montrent une corrélation essentiellement nulle sur ce signal. Cisco a signalé une précision de 96,4 % sur son propre benchmark de 111 paires à un seuil de 0,70, avec un F1 de 0,963. Quatre paires ont été mal classées, impliquant toutes une transformation architecturale extrême que Cisco appelle une limite fondamentale de la comparaison de poids par paire.
Les signaux du tokenizer sont calculés à des fins de diagnostic mais délibérément exclus du score de provenance. StableLM et Pythia utilisent tous deux le tokenizer GPT-NeoX et obtiendraient un score similaire même s’ils ne partageaient aucune lignée de poids. L’exclusion des données du tokenizer évite les faux positifs.
Les empreintes comportementales ajoutent une deuxième approche. Jonah Leshin, Manish Shah et Ian Timmis du projet VAIL, en collaboration avec Daniel Kang de l’UIUC, ont publié des travaux sur la stabilité des points finaux comportementaux montrant qu’un point final d’un modèle peut rester sain tandis que son identité effective change via des mises à jour de poids, une quantification ou un routage. Le blog de lancement de Cisco indique que l’Explorer intègre à la fois les empreintes digitales statiques et l’analyse de similarité comportementale pour ancrer le graphique de lignée. L’analyse statique fournit des preuves au niveau du poids de la dérivation du temps d’entraînement. L’analyse comportementale détecte la dérive d’identité à l’exécution.
Là où les outils existants ne suffisent pas
L’Explorer comporte de réelles limites. Près de 900 modèles est un début significatif, mais Hugging Face en héberge plus de 2 millions au printemps 2026. Les modèles en dehors des limites dépendent toujours de l’étiquette auto-déclarée. Cisco n’a pas précisé si l’Explorer expose une API, et sans une, une équipe peut rechercher des modèles à la main mais ne peut pas câbler le contrôle dans une porte CI. C’est la frontière entre un artefact de gouvernance et un contrôle.
Les outils SCA traditionnels sont confrontés à une inadéquation structurelle car ils ont été conçus pour les manifestes de dépendances et les images de conteneurs. Sakshi Grover, directeur de recherche senior pour la cybersécurité chez IDC, a déclaré dans CSO Online que la SCA traditionnelle « a été conçue pour inspecter les manifestes de dépendance, les bibliothèques et les images de conteneurs » et « est beaucoup moins efficace pour identifier » les risques liés aux flux de travail de l’IA. Jaishiv Prakash, analyste directeur de Gartner, a déclaré au même média que les entreprises ont besoin de « contrôles dédiés pour les sources des modèles, les versions approuvées, l’accès et la validation de l’exécution au niveau du registre ». Tous deux commentaient les risques plus larges de la chaîne d’approvisionnement, mais l’écart qu’ils décrivent est celui ciblé par Explorer.
La Constitution de provenance des modèles de Cisco définit où un modèle compte comme dérivé d’un autre. La constitution qualifie par défaut les paires ambiguës d’indépendantes, car un faux positif déclenche une accusation de licence tandis qu’un faux négatif est détecté lors d’un examen manuel. Ce conservatisme délibéré conforte le chiffre de précision de 96,4 %. La dérivation n’est pas binaire et les empreintes digitales sont une forme de preuve aux côtés de la documentation et de la vérification aux points de contrôle.
Ce qui figure dans le dossier d’approbation
Le 2 août, la Commission européenne obtient des pouvoirs d’application de la loi sur l’IA à l’égard des fournisseurs de modèles GPAI, avec des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Les organisations qui modifient substantiellement et placent un modèle ouvert sur le marché de l’UE peuvent acquérir le statut de fournisseur, les directives de la Commission traitant du calcul des modifications dépassant un tiers de celui d’origine. L’exemption open source de la loi en vertu de l’article 53 (2) nécessite une licence véritablement gratuite et open source permettant l’accès, l’utilisation, la modification et la redistribution, avec des informations sur les poids, l’architecture et l’utilisation entièrement publiques. Les poids publics ne suffisent pas à eux seuls. La licence communautaire de Llama comporte un seuil mensuel d’utilisateurs actifs et un disqualifiant que les directives de la Commission nomment explicitement. Llama et Gemma représentent ensemble environ un cinquième des nouveaux produits dérivés dans le décompte ATOM, et tous deux détiennent des licences que les critères de la Commission disqualifieraient probablement. La classification des licences fait désormais partie de l’examen de la provenance, et c’est exactement ce que révèle l’Explorer.
La première question qui se pose après la divulgation d’une vulnérabilité d’un modèle de base est simple : « Lequel de nos modèles de production hérite de cette faiblesse, et comment le savons-nous ? La réponse aujourd’hui nécessite une recherche manuelle dans les pages du référentiel, en traçant les étiquettes auto-déclarées qu’aucune analyse au niveau du poids n’a confirmée. L’Explorateur convertit cette recherche en une recherche des modèles qu’il couvre.
Quatre champs appartiennent au dossier d’approbation que la plupart des organisations ne possèdent pas aujourd’hui. Dérivation basée sur les empreintes digitales et fondée sur une analyse du poids plutôt que sur une étiquette auto-déclarée. Un nombre de fichiers analysés remplaçant l’hypothèse de couverture par un nombre d’analyses mesurable. Le siège social du fournisseur est un champ filtrable, reconnaissant que le siège social à lui seul ne résout pas l’exposition au contrôle des exportations, puisque la propriété et le lieu de déploiement régissent également le contrôle. Et la lignée des licences a fait surface afin que les équipes juridiques puissent identifier les conditions potentielles en amont avant qu’un modèle n’atteigne la production.
Cisco a publié aujourd’hui le Supply Chain Provenance Explorer, disponible sur provenance.aidefense.cisco.com. La base de données est gratuite, publique et ne nécessite aucun produit ou compte Cisco.
Ce qui change pour une équipe de sécurité le 30 juillet
|
Ce que l’équipe a aujourd’hui |
Ce que publie l’Explorer |
Action recommandée |
|
Rayon d’explosion après une vulnérabilité du modèle de base. Le nom du modèle et la balise base_model. Déterminer quels modèles héritent d’une faiblesse révélée est une recherche manuelle à travers les pages du référentiel. |
Lignée fondée sur des scores de similarité utilisant deux étapes d’empreintes digitales notées sur les métadonnées d’architecture et cinq signaux de niveau de poids. Le kit a obtenu une précision de 96,4 % au seuil de 0,70. |
Attachez une dérivation basée sur les empreintes digitales à chaque modèle de l’inventaire des actifs afin qu’une divulgation déclenche un examen ciblé au lieu d’une chasse. |
|
Couverture de l’analyse des logiciels malveillants. Un badge au niveau du fichier par fichier. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse. |
Nombre de fichiers analysés et résultats de logiciels malveillants ou de fichiers dangereux signalés par modèle, à partir de l’analyse basée sur ClamAV. La couverture de numérisation devient lisible avant l’approbation plutôt que déduite d’un badge. |
Remplacez l’hypothèse selon laquelle un modèle a été numérisé par le décompte enregistré. Lorsque la couverture est partielle, indiquez si l’écart est acceptable et pourquoi. |
|
Juridiction du fournisseur. Un nom d’organisation sur une page de référentiel. Un dérivé à quelques pas de son origine affiche le téléverseur, pas l’ancêtre. |
Siège social du fournisseur, site Web et organisations HF associées en tant que champ filtrable. Le siège ne résout pas à lui seul le risque de contrôle des exportations. |
Ajoutez une juridiction au dossier d’approbation. Toute équipe qui modifie substantiellement et place un modèle ouvert sur le marché de l’UE est confrontée à des obligations potentielles de fournisseur en vertu de la loi européenne sur l’IA. |
|
Obligations de licence. Une étiquette de licence décrivant ce qui, selon l’utilisateur qui a téléchargé le contenu, s’applique. Les termes d’un modèle de base en amont peuvent ne pas apparaître sur la page lue par l’ingénieur. |
Limitations courantes par modèle, y compris l’attribution, les conditions non commerciales, les restrictions géographiques et les cas d’utilisation interdits. La lignée d’empreintes digitales aide les équipes juridiques à identifier les termes potentiels en amont. |
Acheminez le lignage de la licence vers le statut légal avant la production, et non après qu’un contrat y fasse référence. Documentez la position lors de l’approbation plutôt que de la reconstruire lors d’un litige. |
Une équipe de sécurité qui approuve aujourd’hui un modèle open source pour la production commence par une page de référentiel. La page répertorie le nom du modèle, la licence et une balise identifiant le modèle de base dont il descend. Cette balise est une chaîne saisie par le téléchargeur. Hugging Face n’exige pas que les téléchargeurs justifient leur affirmation par une analyse au niveau du poids.
Le rapport ATOM, publié par Nathan Lambert et Florian Brand chez Interconnects AI en avril 2026, a suivi environ 1 500 modèles ouverts principaux. ATOM identifie les dérivés via la balise Hugging Face base_model, un champ que le téléchargeur remplit, en filtrant les modèles dont le modèle de base apparaît dans la liste suivie et qui ont plus de cinq téléchargements à vie et excluant les re-téléchargements GGUF et MLX. Selon cette mesure, la famille Qwen d’Alibaba est la société mère déclarée de 69 % des nouveaux produits dérivés à modèle ouvert en février 2026, contre 1 % en janvier 2024. Les laboratoires chinois en représentent globalement 70 %. L’Europe se situe à 4%. Les téléchargements cumulés suivis dans les trois régions ont atteint 2,04 milliards jusqu’en mars 2026.
L’écart de vérification s’étend à la couverture de l’analyse. Cisco Foundation AI analyse chaque fichier public téléchargé sur Hugging Face via un moteur ClamAV mis à jour, et la plate-forme affiche un badge au niveau du fichier par fichier. La propre documentation d’analyse des logiciels malveillants de Hugging Face indique qu’un fichier sans badge ok ni infecté peut être mis en file d’attente, en cours d’analyse ou erroné. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse et non un attribut que quiconque peut lire avant d’approuver un modèle.
De la ligne de commande à la recherche publique
Cisco a publié jeudi AI Supply Chain Provenance Explorer, une base de données publique gratuite couvrant près de 900 modèles ouverts. Chaque entrée peut contenir le siège social du fournisseur, un graphique de lignée d’empreintes digitales, des restrictions de licence et un nombre de fichiers analysés. L’outil étend le Model Provenance Kit de Cisco, une boîte à outils Python open source publiée en avril qui a pris en compte environ 150 modèles de base dans plus de 45 familles et plus de 20 éditeurs. La couverture a été multipliée par six en un trimestre.
La version d’avril était un outil en ligne de commande. L’exécuter impliquait un environnement Python local, le téléchargement de poids de modèle qui s’élèvent à des dizaines de gigaoctets et la consécration d’heures d’ingénieur par modèle. L’Explorateur interroge les résultats déjà calculés par Cisco. Jeudi, la vérification de la filiation commence par une barre de recherche, et le coût est la raison pour laquelle les entreprises exécutent des pondérations ouvertes en premier lieu.
Amy Chang, responsable de la recherche sur les menaces et la sécurité de l’IA chez Cisco, a expliqué pourquoi les lacunes en matière de vérification sont importantes. Lors d’un panel de sécurité agent VB Transform 2026, Chang a présenté les résultats de 6 986 attaques multitours contre 15 modèles phares, avec des taux de réussite atteignant 88,3 %. «Si vous ne comprenez pas comment les modèles sont sensibles à différents types d’attaques, vous ne pouvez pas expliquer comment le modèle qui alimente votre agent, qui alimente votre application, ni comprendre où se trouvent ces points de défaillance», a déclaré Chang au public. Comprendre les points de défaillance commence par savoir quel modèle vous utilisez.
L’Explorateur fait également apparaître les données que Cisco utilise déjà de manière opérationnelle. Le système Cerberus de la société inspecte les modèles entrant dans Hugging Face et alimente les politiques d’accès sécurisé qui bloquent par licence ou région d’origine à risque. L’Explorer rend cette classe d’informations gratuite et consultable sans produit Cisco.
Comment les empreintes digitales remplacent l’étiquette
L’Explorer fonde les relations des modèles sur des scores de similarité plutôt que sur des métadonnées autodéclarées. Le kit de provenance du modèle de Cisco fonctionne en deux étapes notées. La première étape compare les métadonnées de l’architecture avant de charger des pondérations. Lorsque les métadonnées sont ambiguës, la deuxième étape extrait cinq signaux au niveau du poids. L’intégration de la similarité d’ancrage capture les relations géométriques qui survivent au réglage fin. Embedding Norm Distribution code les modèles de fréquence des mots. Norm Layer Fingerprint lit les couches de manière stable lors du réglage fin. Layer Energy Profile compare les distributions sur toute la profondeur du réseau. Weight-Value Cosinus compare directement les valeurs de poids, et les modèles formés indépendamment montrent une corrélation essentiellement nulle sur ce signal. Cisco a signalé une précision de 96,4 % sur son propre benchmark de 111 paires à un seuil de 0,70, avec un F1 de 0,963. Quatre paires ont été mal classées, impliquant toutes une transformation architecturale extrême que Cisco appelle une limite fondamentale de la comparaison de poids par paire.
Les signaux du tokenizer sont calculés à des fins de diagnostic mais délibérément exclus du score de provenance. StableLM et Pythia utilisent tous deux le tokenizer GPT-NeoX et obtiendraient un score similaire même s’ils ne partageaient aucune lignée de poids. L’exclusion des données du tokenizer évite les faux positifs.
Les empreintes comportementales ajoutent une deuxième approche. Jonah Leshin, Manish Shah et Ian Timmis du projet VAIL, en collaboration avec Daniel Kang de l’UIUC, ont publié des travaux sur la stabilité des points finaux comportementaux montrant qu’un point final d’un modèle peut rester sain tandis que son identité effective change via des mises à jour de poids, une quantification ou un routage. Le blog de lancement de Cisco indique que l’Explorer intègre à la fois les empreintes digitales statiques et l’analyse de similarité comportementale pour ancrer le graphique de lignée. L’analyse statique fournit des preuves au niveau du poids de la dérivation du temps d’entraînement. L’analyse comportementale détecte la dérive d’identité à l’exécution.
Là où les outils existants ne suffisent pas
L’Explorer comporte de réelles limites. Près de 900 modèles est un début significatif, mais Hugging Face en héberge plus de 2 millions au printemps 2026. Les modèles en dehors des limites dépendent toujours de l’étiquette auto-déclarée. Cisco n’a pas précisé si l’Explorer expose une API, et sans une, une équipe peut rechercher des modèles à la main mais ne peut pas câbler le contrôle dans une porte CI. C’est la frontière entre un artefact de gouvernance et un contrôle.
Les outils SCA traditionnels sont confrontés à une inadéquation structurelle car ils ont été conçus pour les manifestes de dépendances et les images de conteneurs. Sakshi Grover, directeur de recherche senior pour la cybersécurité chez IDC, a déclaré dans CSO Online que la SCA traditionnelle « a été conçue pour inspecter les manifestes de dépendance, les bibliothèques et les images de conteneurs » et « est beaucoup moins efficace pour identifier » les risques liés aux flux de travail de l’IA. Jaishiv Prakash, analyste directeur de Gartner, a déclaré au même média que les entreprises ont besoin de « contrôles dédiés pour les sources des modèles, les versions approuvées, l’accès et la validation de l’exécution au niveau du registre ». Tous deux commentaient les risques plus larges de la chaîne d’approvisionnement, mais l’écart qu’ils décrivent est celui ciblé par Explorer.
La Constitution de provenance des modèles de Cisco définit où un modèle compte comme dérivé d’un autre. La constitution qualifie par défaut les paires ambiguës d’indépendantes, car un faux positif déclenche une accusation de licence tandis qu’un faux négatif est détecté lors d’un examen manuel. Ce conservatisme délibéré conforte le chiffre de précision de 96,4 %. La dérivation n’est pas binaire et les empreintes digitales sont une forme de preuve aux côtés de la documentation et de la vérification aux points de contrôle.
Ce qui figure dans le dossier d’approbation
Le 2 août, la Commission européenne obtient des pouvoirs d’application de la loi sur l’IA à l’égard des fournisseurs de modèles GPAI, avec des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Les organisations qui modifient substantiellement et placent un modèle ouvert sur le marché de l’UE peuvent acquérir le statut de fournisseur, les directives de la Commission traitant du calcul des modifications dépassant un tiers de celui d’origine. L’exemption open source de la loi en vertu de l’article 53 (2) nécessite une licence véritablement gratuite et open source permettant l’accès, l’utilisation, la modification et la redistribution, avec des informations sur les poids, l’architecture et l’utilisation entièrement publiques. Les poids publics ne suffisent pas à eux seuls. La licence communautaire de Llama comporte un seuil mensuel d’utilisateurs actifs et un disqualifiant que les directives de la Commission nomment explicitement. Llama et Gemma représentent ensemble environ un cinquième des nouveaux produits dérivés dans le décompte ATOM, et tous deux détiennent des licences que les critères de la Commission disqualifieraient probablement. La classification des licences fait désormais partie de l’examen de la provenance, et c’est exactement ce que révèle l’Explorer.
La première question qui se pose après la divulgation d’une vulnérabilité d’un modèle de base est simple : « Lequel de nos modèles de production hérite de cette faiblesse, et comment le savons-nous ? La réponse aujourd’hui nécessite une recherche manuelle dans les pages du référentiel, en traçant les étiquettes auto-déclarées qu’aucune analyse au niveau du poids n’a confirmée. L’Explorateur convertit cette recherche en une recherche des modèles qu’il couvre.
Quatre champs appartiennent au dossier d’approbation que la plupart des organisations ne possèdent pas aujourd’hui. Dérivation basée sur les empreintes digitales et fondée sur une analyse du poids plutôt que sur une étiquette auto-déclarée. Un nombre de fichiers analysés remplaçant l’hypothèse de couverture par un nombre d’analyses mesurable. Le siège social du fournisseur est un champ filtrable, reconnaissant que le siège social à lui seul ne résout pas l’exposition au contrôle des exportations, puisque la propriété et le lieu de déploiement régissent également le contrôle. Et la lignée des licences a fait surface afin que les équipes juridiques puissent identifier les conditions potentielles en amont avant qu’un modèle n’atteigne la production.
Cisco a publié aujourd’hui le Supply Chain Provenance Explorer, disponible sur provenance.aidefense.cisco.com. La base de données est gratuite, publique et ne nécessite aucun produit ou compte Cisco.
Ce qui change pour une équipe de sécurité le 30 juillet
|
Ce que l’équipe a aujourd’hui |
Ce que publie l’Explorer |
Action recommandée |
|
Rayon d’explosion après une vulnérabilité du modèle de base. Le nom du modèle et la balise base_model. Déterminer quels modèles héritent d’une faiblesse révélée est une recherche manuelle à travers les pages du référentiel. |
Lignée fondée sur des scores de similarité utilisant deux étapes d’empreintes digitales notées sur les métadonnées d’architecture et cinq signaux de niveau de poids. Le kit a obtenu une précision de 96,4 % au seuil de 0,70. |
Attachez une dérivation basée sur les empreintes digitales à chaque modèle de l’inventaire des actifs afin qu’une divulgation déclenche un examen ciblé au lieu d’une chasse. |
|
Couverture de l’analyse des logiciels malveillants. Un badge au niveau du fichier par fichier. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse. |
Nombre de fichiers analysés et résultats de logiciels malveillants ou de fichiers dangereux signalés par modèle, à partir de l’analyse basée sur ClamAV. La couverture de numérisation devient lisible avant l’approbation plutôt que déduite d’un badge. |
Remplacez l’hypothèse selon laquelle un modèle a été numérisé par le décompte enregistré. Lorsque la couverture est partielle, indiquez si l’écart est acceptable et pourquoi. |
|
Juridiction du fournisseur. Un nom d’organisation sur une page de référentiel. Un dérivé à quelques pas de son origine affiche le téléverseur, pas l’ancêtre. |
Siège social du fournisseur, site Web et organisations HF associées en tant que champ filtrable. Le siège ne résout pas à lui seul le risque de contrôle des exportations. |
Ajoutez une juridiction au dossier d’approbation. Toute équipe qui modifie substantiellement et place un modèle ouvert sur le marché de l’UE est confrontée à des obligations potentielles de fournisseur en vertu de la loi européenne sur l’IA. |
|
Obligations de licence. Une étiquette de licence décrivant ce qui, selon l’utilisateur qui a téléchargé le contenu, s’applique. Les termes d’un modèle de base en amont peuvent ne pas apparaître sur la page lue par l’ingénieur. |
Limitations courantes par modèle, y compris l’attribution, les conditions non commerciales, les restrictions géographiques et les cas d’utilisation interdits. La lignée d’empreintes digitales aide les équipes juridiques à identifier les termes potentiels en amont. |
Acheminez le lignage de la licence vers le statut légal avant la production, et non après qu’un contrat y fasse référence. Documentez la position lors de l’approbation plutôt que de la reconstruire lors d’un litige. |
Une équipe de sécurité qui approuve aujourd’hui un modèle open source pour la production commence par une page de référentiel. La page répertorie le nom du modèle, la licence et une balise identifiant le modèle de base dont il descend. Cette balise est une chaîne saisie par le téléchargeur. Hugging Face n’exige pas que les téléchargeurs justifient leur affirmation par une analyse au niveau du poids.
Le rapport ATOM, publié par Nathan Lambert et Florian Brand chez Interconnects AI en avril 2026, a suivi environ 1 500 modèles ouverts principaux. ATOM identifie les dérivés via la balise Hugging Face base_model, un champ que le téléchargeur remplit, en filtrant les modèles dont le modèle de base apparaît dans la liste suivie et qui ont plus de cinq téléchargements à vie et excluant les re-téléchargements GGUF et MLX. Selon cette mesure, la famille Qwen d’Alibaba est la société mère déclarée de 69 % des nouveaux produits dérivés à modèle ouvert en février 2026, contre 1 % en janvier 2024. Les laboratoires chinois en représentent globalement 70 %. L’Europe se situe à 4%. Les téléchargements cumulés suivis dans les trois régions ont atteint 2,04 milliards jusqu’en mars 2026.
L’écart de vérification s’étend à la couverture de l’analyse. Cisco Foundation AI analyse chaque fichier public téléchargé sur Hugging Face via un moteur ClamAV mis à jour, et la plate-forme affiche un badge au niveau du fichier par fichier. La propre documentation d’analyse des logiciels malveillants de Hugging Face indique qu’un fichier sans badge ok ni infecté peut être mis en file d’attente, en cours d’analyse ou erroné. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse et non un attribut que quiconque peut lire avant d’approuver un modèle.
De la ligne de commande à la recherche publique
Cisco a publié jeudi AI Supply Chain Provenance Explorer, une base de données publique gratuite couvrant près de 900 modèles ouverts. Chaque entrée peut contenir le siège social du fournisseur, un graphique de lignée d’empreintes digitales, des restrictions de licence et un nombre de fichiers analysés. L’outil étend le Model Provenance Kit de Cisco, une boîte à outils Python open source publiée en avril qui a pris en compte environ 150 modèles de base dans plus de 45 familles et plus de 20 éditeurs. La couverture a été multipliée par six en un trimestre.
La version d’avril était un outil en ligne de commande. L’exécuter impliquait un environnement Python local, le téléchargement de poids de modèle qui s’élèvent à des dizaines de gigaoctets et la consécration d’heures d’ingénieur par modèle. L’Explorateur interroge les résultats déjà calculés par Cisco. Jeudi, la vérification de la filiation commence par une barre de recherche, et le coût est la raison pour laquelle les entreprises exécutent des pondérations ouvertes en premier lieu.
Amy Chang, responsable de la recherche sur les menaces et la sécurité de l’IA chez Cisco, a expliqué pourquoi les lacunes en matière de vérification sont importantes. Lors d’un panel de sécurité agent VB Transform 2026, Chang a présenté les résultats de 6 986 attaques multitours contre 15 modèles phares, avec des taux de réussite atteignant 88,3 %. «Si vous ne comprenez pas comment les modèles sont sensibles à différents types d’attaques, vous ne pouvez pas expliquer comment le modèle qui alimente votre agent, qui alimente votre application, ni comprendre où se trouvent ces points de défaillance», a déclaré Chang au public. Comprendre les points de défaillance commence par savoir quel modèle vous utilisez.
L’Explorateur fait également apparaître les données que Cisco utilise déjà de manière opérationnelle. Le système Cerberus de la société inspecte les modèles entrant dans Hugging Face et alimente les politiques d’accès sécurisé qui bloquent par licence ou région d’origine à risque. L’Explorer rend cette classe d’informations gratuite et consultable sans produit Cisco.
Comment les empreintes digitales remplacent l’étiquette
L’Explorer fonde les relations des modèles sur des scores de similarité plutôt que sur des métadonnées autodéclarées. Le kit de provenance du modèle de Cisco fonctionne en deux étapes notées. La première étape compare les métadonnées de l’architecture avant de charger des pondérations. Lorsque les métadonnées sont ambiguës, la deuxième étape extrait cinq signaux au niveau du poids. L’intégration de la similarité d’ancrage capture les relations géométriques qui survivent au réglage fin. Embedding Norm Distribution code les modèles de fréquence des mots. Norm Layer Fingerprint lit les couches de manière stable lors du réglage fin. Layer Energy Profile compare les distributions sur toute la profondeur du réseau. Weight-Value Cosinus compare directement les valeurs de poids, et les modèles formés indépendamment montrent une corrélation essentiellement nulle sur ce signal. Cisco a signalé une précision de 96,4 % sur son propre benchmark de 111 paires à un seuil de 0,70, avec un F1 de 0,963. Quatre paires ont été mal classées, impliquant toutes une transformation architecturale extrême que Cisco appelle une limite fondamentale de la comparaison de poids par paire.
Les signaux du tokenizer sont calculés à des fins de diagnostic mais délibérément exclus du score de provenance. StableLM et Pythia utilisent tous deux le tokenizer GPT-NeoX et obtiendraient un score similaire même s’ils ne partageaient aucune lignée de poids. L’exclusion des données du tokenizer évite les faux positifs.
Les empreintes comportementales ajoutent une deuxième approche. Jonah Leshin, Manish Shah et Ian Timmis du projet VAIL, en collaboration avec Daniel Kang de l’UIUC, ont publié des travaux sur la stabilité des points finaux comportementaux montrant qu’un point final d’un modèle peut rester sain tandis que son identité effective change via des mises à jour de poids, une quantification ou un routage. Le blog de lancement de Cisco indique que l’Explorer intègre à la fois les empreintes digitales statiques et l’analyse de similarité comportementale pour ancrer le graphique de lignée. L’analyse statique fournit des preuves au niveau du poids de la dérivation du temps d’entraînement. L’analyse comportementale détecte la dérive d’identité à l’exécution.
Là où les outils existants ne suffisent pas
L’Explorer comporte de réelles limites. Près de 900 modèles est un début significatif, mais Hugging Face en héberge plus de 2 millions au printemps 2026. Les modèles en dehors des limites dépendent toujours de l’étiquette auto-déclarée. Cisco n’a pas précisé si l’Explorer expose une API, et sans une, une équipe peut rechercher des modèles à la main mais ne peut pas câbler le contrôle dans une porte CI. C’est la frontière entre un artefact de gouvernance et un contrôle.
Les outils SCA traditionnels sont confrontés à une inadéquation structurelle car ils ont été conçus pour les manifestes de dépendances et les images de conteneurs. Sakshi Grover, directeur de recherche senior pour la cybersécurité chez IDC, a déclaré dans CSO Online que la SCA traditionnelle « a été conçue pour inspecter les manifestes de dépendance, les bibliothèques et les images de conteneurs » et « est beaucoup moins efficace pour identifier » les risques liés aux flux de travail de l’IA. Jaishiv Prakash, analyste directeur de Gartner, a déclaré au même média que les entreprises ont besoin de « contrôles dédiés pour les sources des modèles, les versions approuvées, l’accès et la validation de l’exécution au niveau du registre ». Tous deux commentaient les risques plus larges de la chaîne d’approvisionnement, mais l’écart qu’ils décrivent est celui ciblé par Explorer.
La Constitution de provenance des modèles de Cisco définit où un modèle compte comme dérivé d’un autre. La constitution qualifie par défaut les paires ambiguës d’indépendantes, car un faux positif déclenche une accusation de licence tandis qu’un faux négatif est détecté lors d’un examen manuel. Ce conservatisme délibéré conforte le chiffre de précision de 96,4 %. La dérivation n’est pas binaire et les empreintes digitales sont une forme de preuve aux côtés de la documentation et de la vérification aux points de contrôle.
Ce qui figure dans le dossier d’approbation
Le 2 août, la Commission européenne obtient des pouvoirs d’application de la loi sur l’IA à l’égard des fournisseurs de modèles GPAI, avec des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Les organisations qui modifient substantiellement et placent un modèle ouvert sur le marché de l’UE peuvent acquérir le statut de fournisseur, les directives de la Commission traitant du calcul des modifications dépassant un tiers de celui d’origine. L’exemption open source de la loi en vertu de l’article 53 (2) nécessite une licence véritablement gratuite et open source permettant l’accès, l’utilisation, la modification et la redistribution, avec des informations sur les poids, l’architecture et l’utilisation entièrement publiques. Les poids publics ne suffisent pas à eux seuls. La licence communautaire de Llama comporte un seuil mensuel d’utilisateurs actifs et un disqualifiant que les directives de la Commission nomment explicitement. Llama et Gemma représentent ensemble environ un cinquième des nouveaux produits dérivés dans le décompte ATOM, et tous deux détiennent des licences que les critères de la Commission disqualifieraient probablement. La classification des licences fait désormais partie de l’examen de la provenance, et c’est exactement ce que révèle l’Explorer.
La première question qui se pose après la divulgation d’une vulnérabilité d’un modèle de base est simple : « Lequel de nos modèles de production hérite de cette faiblesse, et comment le savons-nous ? La réponse aujourd’hui nécessite une recherche manuelle dans les pages du référentiel, en traçant les étiquettes auto-déclarées qu’aucune analyse au niveau du poids n’a confirmée. L’Explorateur convertit cette recherche en une recherche des modèles qu’il couvre.
Quatre champs appartiennent au dossier d’approbation que la plupart des organisations ne possèdent pas aujourd’hui. Dérivation basée sur les empreintes digitales et fondée sur une analyse du poids plutôt que sur une étiquette auto-déclarée. Un nombre de fichiers analysés remplaçant l’hypothèse de couverture par un nombre d’analyses mesurable. Le siège social du fournisseur est un champ filtrable, reconnaissant que le siège social à lui seul ne résout pas l’exposition au contrôle des exportations, puisque la propriété et le lieu de déploiement régissent également le contrôle. Et la lignée des licences a fait surface afin que les équipes juridiques puissent identifier les conditions potentielles en amont avant qu’un modèle n’atteigne la production.
Cisco a publié aujourd’hui le Supply Chain Provenance Explorer, disponible sur provenance.aidefense.cisco.com. La base de données est gratuite, publique et ne nécessite aucun produit ou compte Cisco.
Ce qui change pour une équipe de sécurité le 30 juillet
|
Ce que l’équipe a aujourd’hui |
Ce que publie l’Explorer |
Action recommandée |
|
Rayon d’explosion après une vulnérabilité du modèle de base. Le nom du modèle et la balise base_model. Déterminer quels modèles héritent d’une faiblesse révélée est une recherche manuelle à travers les pages du référentiel. |
Lignée fondée sur des scores de similarité utilisant deux étapes d’empreintes digitales notées sur les métadonnées d’architecture et cinq signaux de niveau de poids. Le kit a obtenu une précision de 96,4 % au seuil de 0,70. |
Attachez une dérivation basée sur les empreintes digitales à chaque modèle de l’inventaire des actifs afin qu’une divulgation déclenche un examen ciblé au lieu d’une chasse. |
|
Couverture de l’analyse des logiciels malveillants. Un badge au niveau du fichier par fichier. À un point de révision donné, un référentiel peut contenir des fichiers sans résultats d’analyse complets. La couverture est une hypothèse. |
Nombre de fichiers analysés et résultats de logiciels malveillants ou de fichiers dangereux signalés par modèle, à partir de l’analyse basée sur ClamAV. La couverture de numérisation devient lisible avant l’approbation plutôt que déduite d’un badge. |
Remplacez l’hypothèse selon laquelle un modèle a été numérisé par le décompte enregistré. Lorsque la couverture est partielle, indiquez si l’écart est acceptable et pourquoi. |
|
Juridiction du fournisseur. Un nom d’organisation sur une page de référentiel. Un dérivé à quelques pas de son origine affiche le téléverseur, pas l’ancêtre. |
Siège social du fournisseur, site Web et organisations HF associées en tant que champ filtrable. Le siège ne résout pas à lui seul le risque de contrôle des exportations. |
Ajoutez une juridiction au dossier d’approbation. Toute équipe qui modifie substantiellement et place un modèle ouvert sur le marché de l’UE est confrontée à des obligations potentielles de fournisseur en vertu de la loi européenne sur l’IA. |
|
Obligations de licence. Une étiquette de licence décrivant ce qui, selon l’utilisateur qui a téléchargé le contenu, s’applique. Les termes d’un modèle de base en amont peuvent ne pas apparaître sur la page lue par l’ingénieur. |
Limitations courantes par modèle, y compris l’attribution, les conditions non commerciales, les restrictions géographiques et les cas d’utilisation interdits. La lignée d’empreintes digitales aide les équipes juridiques à identifier les termes potentiels en amont. |
Acheminez le lignage de la licence vers le statut légal avant la production, et non après qu’un contrat y fasse référence. Documentez la position lors de l’approbation plutôt que de la reconstruire lors d’un litige. |
