L'essentiel
Le UK AI Security Institute et son homologue américain le CAISI ont publié le 23 juillet 2026 une évaluation des capacités cyber de Kimi K3, le modèle chinois à poids ouverts de Moonshot AI. Deux conclusions, et la seconde contredit ce qu'on lit partout : ses garde-fous n'ont pas refusé les tâches d'exploitation offensive, mais il obtient 32,2 % là où les modèles américains atteignent 76,2 % — soit nettement moins de capacité, pas plus. Pour une PME française, le sujet n'est ni chinois ni américain : c'est que le refus intégré à un modèle dont les poids sont publics peut être retiré par quiconque les télécharge.
Ce qu'on lit, et ce que dit le rapport
Depuis fin juillet, deux récits opposés circulent sur Kimi K3. Le premier : « un modèle chinois sans limites qui aide à pirater ». Le second, repris par plusieurs médias internationaux : « la Chine très en dessous des États-Unis en puissance de piratage ».
Les deux s'appuient sur le même document, et les deux le déforment.
Ce document existe et il est public : c'est un billet d'évaluation conjoint UK AISI + CAISI, publié le 23 juillet 2026 sur les sites officiels des deux organismes, et mis à jour le 12 août. Nous l'avons lu en entier, figures comprises.
Trois précisions changent la lecture.
Le 32,2 % n'est pas un « score global ». C'est le résultat d'un banc d'essai particulier, dont l'axe est intitulé « Ladder score (mean cap, % of 16) ». Le score global de capacité cyber, lui, est exprimé en Elo sur une échelle de 0 à 3 600 — pas en pourcentage. Le South China Morning Post et Interesting Engineering ont tous deux présenté le 32,2 % comme un score global. C'est inexact.
La comparaison n'est pas à armes égales. Le rapport l'écrit noir sur blanc : les modèles américains à poids fermés ont été évalués garde-fous système désactivés (« U.S. closed-weight models were evaluated with system-level safeguards disabled »). Autrement dit, on compare un modèle chinois tel qu'il est distribué à des modèles américains dont on a retiré les protections. Aucun des deux articles cités ne mentionne cette réserve, qui est pourtant la clé de la comparaison.
Les garde-fous de Kimi K3 n'ont effectivement pas bloqué. Ce point-là est exact, et c'est le seul qui compte vraiment : le modèle a entrepris des tâches de développement d'exploit sans refus. Mais il l'a fait moins bien que les modèles américains dépouillés de leurs protections.
La conclusion honnête n'est donc ni « Kimi K3 est une arme » ni « la Chine est à la traîne ». Elle est plus dérangeante : le refus et la capacité sont deux choses distinctes, et un modèle peut cesser de refuser sans devenir plus compétent pour autant.
Le vrai sujet n'est pas Kimi K3
Kimi K3 est un modèle à poids ouverts : 2,8 mille milliards de paramètres, dont 104 milliards activés par jeton, publiés fin juillet sur Hugging Face — environ 1,5 To de fichiers, sans demande d'accès, téléchargés plus de deux millions de fois le mois dernier.
C'est cette caractéristique qui compte, et elle n'a rien de chinois.
Quand les poids d'un modèle sont publics, le comportement de refus qui y a été entraîné peut être retiré. Ce n'est ni une rumeur ni une faille : c'est un résultat de recherche publié et validé par les pairs. Les travaux d'Arditi et ses coauteurs, présentés à NeurIPS 2024, montrent que le refus est médié par une seule direction dans l'espace des activations, « à travers 13 modèles de discussion open source populaires jusqu'à 72 milliards de paramètres », et concluent sur « la fragilité des méthodes actuelles d'ajustement de sécurité ».
Cette propriété vaut pour tous les modèles à poids ouverts — Llama, Qwen, Mistral, DeepSeek, Gemma comme Kimi. Elle n'est pas un défaut de Moonshot AI. Elle est la contrepartie structurelle de l'ouverture : personne ne peut mettre à jour ni révoquer à distance des protections qui sont déjà sur le disque dur de quelqu'un d'autre.
Corollaire pratique : opposer « Kimi K3 » à « Claude » ou « ChatGPT » n'a pas grand sens. Un modèle à poids fermés garde ses garde-fous parce que son éditeur contrôle l'exécution. Un modèle à poids ouverts peut être auto-hébergé — ce qui est justement son avantage quand vos données ne doivent pas sortir d'Europe, et son risque quand quelqu'un veut en retirer les protections.
Ce que ça change pour une PME française : moins que vous ne croyez
Il faut ici être précis, parce que c'est le point sur lequel le marketing de la peur s'engouffre.
L'aggravation des attaques par l'IA n'est pas mesurée. Nous avons cherché un chiffre français, institutionnel et primaire établissant que l'IA a fait progresser les attaques contre les PME. Il n'existe pas. Le Panorama de la cybermenace 2025 de l'ANSSI, publié le 11 mars 2026, ne l'affirme pas — et les rares pourcentages qui circulent (« 80 % des courriels d'hameçonnage utilisent l'IA ») reposent sur une formulation bien plus prudente que ce qu'on leur fait dire.
Ce qui est mesuré, en revanche, mérite votre attention. Le rapport d'activité 2025 de Cybermalveillance.gouv.fr, publié le 26 mars 2026, recense 504 810 demandes d'assistance, dont 27 934 émanant d'entreprises et d'associations — en hausse de 73 %. Chez ces professionnels, quatre menaces dominent :
| Menace | Part | Évolution |
|---|---|---|
| Piratage de compte | 21 % | +52 % |
| Hameçonnage | 16 % | +29 % |
| Fraude au virement | 13,5 % | +93 % |
| Rançongiciel | 8,1 % | +9 % |
Notez ce qui n'y figure pas : aucune de ces catégories ne requiert un modèle d'IA sans garde-fous. La fraude au virement, celle qui progresse le plus vite, repose sur un mode opératoire que la DGFiP décrit comme le plus répandu : le changement de RIB par usurpation d'identité d'un fournisseur. Pas un exploit logiciel. Un e-mail crédible et une facture modifiée.
Deux chiffres que vous croiserez et qu'il faut écarter : « une PME sur deux dépose le bilan dans les six mois suivant une cyberattaque » et « le coût moyen d'une attaque est de 466 000 € selon l'ANSSI ». Nous avons cherché leur source primaire : elle n'existe pas. Le premier est une statistique zombie sans origine identifiable, contredite par la seule mesure disponible — moins de 1 % de cessations définitives d'activité chez les TPE-PME victimes. Le second n'est pas un chiffre de l'ANSSI et lui est attribué à tort.
Ce qui protège réellement, dans l'ordre officiel
C'est ici que l'analyse devient utile, parce que l'ordre des mesures recommandé par les autorités françaises n'est pas celui qu'on attend.
Sur la fraude au virement, Cybermalveillance.gouv.fr classe les protections ainsi — et les mots de passe et la double authentification arrivent en dernier :
1. Sensibiliser les personnes exposées aux mécanismes de la fraude. 2. Écrire des procédures de traitement des demandes sensibles. 3. Instaurer une validation hiérarchique non dérogeable. Le texte officiel est sans ambiguïté : « Mettez en place une procédure de vérification et de validation hiérarchique interne non dérogeable des demandes de virement imprévues ou d'acceptation de changements de coordonnées bancaires. » 4. Limiter la publication d'informations sur l'organisation et ses dirigeants. 5. Renforcer les mots de passe et activer la double authentification.
Le guide TPE/PME de l'ANSSI dit la même chose autrement. Nous y avons cherché « SPF », « DKIM » et « DMARC » : zéro occurrence. Sa réponse à la fraude au président tient en une phrase — « des mesures organisationnelles doivent être appliquées strictement ».
La raison est donnée par l'ANSSI elle-même, dans son Panorama 2025 : « les équipes de l'ANSSI rencontrent parfois des organismes dont la stratégie de sécurité repose entièrement sur des produits. Il est important de rappeler que cela ne saurait suffire. » Et, plus précisément encore sur la double authentification : « en cas de compromission du poste de l'utilisateur, ces mécanismes ne permettent pas d'arrêter un attaquant. Celui-ci peut, en effet, s'injecter dans la session de l'utilisateur ».
Un détail technique qui a des conséquences concrètes : l'ANSSI recommande explicitement de ne pas utiliser le SMS comme second facteur — la méthode « est à proscrire », pour cause de vulnérabilités du protocole SS7 et de détournement de carte SIM. Une étude conjointe Google, NYU et UCSD de 2019 mesurait déjà l'écart : le code par SMS bloque 100 % des robots, 96 % des campagnes d'hameçonnage de masse, mais seulement 76 % des attaques ciblées.
Si vous ne deviez retenir qu'une mesure : la validation non dérogeable des changements de coordonnées bancaires, avec contre-appel du fournisseur à un numéro que vous détenez déjà — jamais celui figurant sur la facture reçue. C'est la seule protection qui tienne quand l'e-mail est parfait, et un e-mail parfait, c'est précisément ce que l'IA sait produire.
Ce que nous n'avons pas trouvé
Par souci d'exactitude, voici ce que cette analyse ne permet pas d'affirmer.
Nous n'avons trouvé aucune preuve publique qu'un modèle sans garde-fous ait servi à une attaque documentée contre une PME française. Aucun coût médian primaire français d'une cyberattaque. Aucune mesure institutionnelle de l'effet de l'IA sur le volume ou la réussite des attaques. Et l'évaluation AISI/CAISI porte la mention « préliminaire » dans son propre titre.
Si un article vous annonce des pourcentages précis sur ces sujets, demandez-lui sa source primaire.
Ce que nous en faisons chez nos clients
Le débat sur les modèles à poids ouverts est réel et il a des conséquences — surtout dans l'autre sens que celui qu'on imagine : c'est précisément parce qu'un modèle ouvert peut être auto-hébergé qu'il devient la bonne réponse quand vos données ne doivent pas quitter l'Europe. Nous détaillons les familles de modèles que nous mettons en œuvre, et leurs usages respectifs, sur notre offre IA et automatisation.
Mais pour la sécurité d'une TPE ou d'une PME française en 2026, le risque n'a pas changé de nature : il reste un virement détourné, un compte de messagerie piraté, un rançongiciel entré par une pièce jointe. Nos audits de conformité et de sécurité partent de là, pas des gros titres — RGPD, NIS2, en-têtes de sécurité, procédures de validation — et nos prix de départ sont publiés.
Si vous vous demandez simplement où vous en êtes, dites-le-nous : l'état des lieux est gratuit, et il commence par un inventaire, pas par une facture.
Sources
- UK AI Security Institute & CAISI, Preliminary assessment of Kimi K3's cyber capabilities, 23 juillet 2026, mis à jour le 12 août 2026 — aisi.gov.uk et nist.gov
- Moonshot AI, fiche du modèle Kimi K3 (2,8 T de paramètres, 104 B activés, contexte de 1 048 576 jetons, licence propriétaire) — Hugging Face
- Arditi et al., Refusal in Language Models Is Mediated by a Single Direction, NeurIPS 2024 — arXiv:2406.11717
- ANSSI, Panorama de la cybermenace 2025, CERTFR-2026-CTI-002, 11 mars 2026 — cert.ssi.gouv.fr
- ANSSI, La cybersécurité pour les TPE/PME en 13 questions, ANSSI-GP-086 v2.5, novembre 2024 — messervices.cyber.gouv.fr
- ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe, ANSSI-PG-078 v2.0, recommandation R8 — messervices.cyber.gouv.fr
- Cybermalveillance.gouv.fr, Rapport d'activité 2025, publié le 26 mars 2026 — rapport PDF et fiche réflexe FOVI
- CNIL, Recommandation relative à l'authentification multifacteur, délibération n° 2025-019 du 20 mars 2025 — cnil.fr
- Google Security Blog / NYU / UCSD, New research: How effective is basic account hygiene at preventing hijacking, 17 mai 2019 — security.googleblog.com
