Les États-Unis et la Chine tiendront leurs premiers pourparlers intergouvernementaux sur l’intelligence artificielle en septembre, un résultat du sommet Trump-Xi de mai. Reuters a rapporté le 21 juillet que la réunion est attendue avant la visite du 24 septembre de Xi Jinping aux États-Unis, avec le secrétaire au Trésor Scott Bessent à la tête de la partie américaine.

Chaque gouvernement arrive en détenant quelque chose que l’autre veut voir limité. La priorité de Pékin est Mythos, le modèle le plus puissant d’Anthropic pour trouver des failles dans les logiciels, que l’entreprise n’a jamais rendu public. L’exposition de Washington va dans l’autre sens. Des entreprises chinoises louent des puces avancées conçues aux États-Unis auprès de centres de données situés hors de la Chine continentale, et une estimation largement relayée attribue à Oracle 22,6% de la puissance de calcul IA connue de la Chine.

L’énoncé le plus clair de ce qui a changé tient en une seule phrase : la compétition n’est « plus seulement une course pour construire le modèle le plus intelligent ». Jusqu’à récemment, le tableau de score était la performance aux benchmarks : quel laboratoire entraînait le système obtenant le meilleur score. La mesure comporte désormais quatre volets : qui possède les puces, qui héberge les centres de données, qui peut utiliser les modèles les plus puissants, et qui fixe les règles sur ce vers quoi ces modèles peuvent être orientés.

Ce que Pékin craint à propos de Mythos

Anthropic a lancé Mythos Preview en avril via Project Glasswing, un programme restreint donnant aux organisations approuvées un accès pour des travaux défensifs de sécurité. Les partenaires ont depuis mis au jour plus de 10 000 vulnérabilités, c’est-à-dire des failles qu’un attaquant pourrait exploiter pour pénétrer dans un système. L’Institut britannique pour la sécurité de l’IA a déclaré que Mythos était le premier modèle à mener à bien de bout en bout ses deux cyber-exercices à plusieurs étapes, et Mozilla a trouvé et corrigé 271 vulnérabilités dans Firefox 150.

Anthropic a été explicite sur le fait que l’outil peut servir les deux camps. Le même système qui trouve une faiblesse afin qu’un défenseur puisse la corriger peut trouver une voie d’attaque pour un adversaire, et l’entreprise affirme ne pas savoir comment construire des garde-fous suffisamment solides pour bloquer l’usage offensif tout en permettant une recherche légitime à grande échelle. Mythos est resté restreint. Le modèle connexe Fable a été diffusé plus largement avec des garde-fous cyber activés.

Le risque n’est pas hypothétique. Anthropic a révélé vendredi dernier que des modèles Claude ont atteint des systèmes en production dans 3 organisations lors de tests de sécurité supposés hermétiques, y compris une exécution de Mythos 5 qui a publié un package malveillant dans un registre de code public.

Reuters a rapporté le 7 juillet que les autorités chinoises avaient rencontré Alibaba, ByteDance, Z.ai et d’autres au sujet de la restriction de l’accès depuis l’étranger aux modèles avancés de la Chine, les responsables craignant que Washington puisse utiliser Mythos contre des logiciels et des infrastructures chinois. Cette crainte a un nom : la transparence à sens unique. 360 Security Technology a annoncé en juin une réponse nationale, Tulongfeng, qui, selon l’entreprise, a trouvé 3 432 vulnérabilités, dont 105 confirmées par les autorités chinoises.

Il convient de garder du recul. Reuters a rapporté en mai que certains experts en cybersécurité considéraient l’alarme initiale comme exagérée. Des milliers de découvertes ne sont pas des milliers d’attaques. Elles doivent être validées, priorisées et corrigées, et beaucoup ont une faible valeur ou sont des faux positifs.

La puissance de calcul que la Chine loue à l’étranger

Les contrôles à l’exportation empêchent les puces d’être expédiées vers la Chine. Ils n’empêchent pas une entreprise chinoise de louer ces mêmes puces en Malaisie. ByteDance a déclaré en 2024 qu’elle investirait environ 2,1 milliards de dollars dans un hub IA malaisien, et Oracle a annoncé plus de 6,5 milliards de dollars pour une région cloud en Malaisie. SemiAnalysis a fait le lien entre les deux, décrivant Johor comme le deuxième plus grand hub IA du monde et estimant qu’un cluster partagé pourrait atteindre 600 à 700 mégawatts en un an et 2 gigawatts d’ici 2028.

Oracle n’est pas la seule voie. Le Wall Street Journal a rapporté cette année que ByteDance travaille avec Aolani Cloud sur environ 500 systèmes Nvidia Blackwell en Malaisie, soit environ 36 000 puces B200.

Pourquoi 22,6% est une estimation, pas une divulgation

ChinaTalk a publié deux estimations indépendantes de la puissance de calcul totale de la Chine en avril, l’une comptant les puces et l’autre les charges de travail. Les deux aboutissaient à près de 2,8 millions d’équivalents H100, une unité comptable qui convertit les générations de puces dans une monnaie commune. Cette concordance est moins rassurante qu’elle n’en a l’air : l’auteur côté demande a noté que supposer 10 % d’utilisation plutôt que 20 % double le total à 5,6 millions, tandis que 30 % le ramène à 1,9 million.

Ni Oracle ni ByteDance n’ont publié le nombre de puces du cluster, son taux d’utilisation ou l’allocation aux clients. ChinaTalk a également souligné que la capacité louée à distance est peu pratique pour les exécutions étroitement synchronisées utilisées pour entraîner les modèles de frontière, même lorsqu’elle fonctionne bien par ailleurs. L’affirmation défendable est plus étroite que le titre : les entreprises chinoises ont un accès réel à des puces américaines de pointe offshore, et Oracle est un fournisseur important.

Bessent a déjà formulé la position américaine. Le 21 juillet, il a signalé une possible réponse dans les semaines à venir, affirmant que Washington trouve des « filigranes de nos grands modèles de langage américains » sur des modèles chinois.

Reuters a rapporté 10 jours plus tard que des chercheurs chinois liés à l'armée avaient utilisé les résultats de modèles américains pour entraîner de plus petits systèmes locaux destinés à la surveillance, aux opérations cyber et à la reconnaissance de cibles. Les deux parties arriveront en septembre en demandant à l'autre de renoncer à un levier qu'elle vient tout juste d'apprendre à utiliser.