DeepSeek V4.1 change la manière d’accéder aux directions de sécurité

DeepSeek V4.1 modifie en profondeur la structure interne du modèle et, avec elle, la manière dont on peut sonder ses comportements de sécurité. Selon la note technique citée, l’ancien point d’accroche sur le residual stream n’existe plus sous la même forme, car chaque token passe désormais par quatre copies parallèles avant un mélange différé via mhc_post. Dans ce contexte, un artefact nommé GLP-27 a été publié comme première version conforme à la spécification GLP v3, avec 27 directions extraites des poids du FFN par SVD. Sur un banc d’exploitation décrit dans la source, les refus passent de 20/32 à 4/32, ce qui intéresse autant les chercheurs en interprétabilité que les équipes sécurité.

Un hook qui ne se branche plus au même endroit

Le cœur du changement tient à l’architecture. Sur les modèles précédents cités dans la source — DeepSeek V4, Qwen, GLM, Llama-family — un seul flux résiduel servait de point d’observation entre deux couches. DeepSeek V4.1 rompt avec ce schéma : le texte mentionne quatre flux parallèles et un décalage d’une couche avant la réintégration des écritures de la FFN, le réseau de neurones chargé de transformer les représentations internes. Résultat, le vieux nom de hook ne correspond plus à un tenseur que l’on peut intercepter directement.

Ce détail compte pour deux publics. Côté recherche, il complique les probes et les méthodes d’analyse qui supposaient un tenseur unique. Côté sécurité, il montre qu’un changement architectural peut déplacer les points d’accès utilisés pour mesurer ou moduler les comportements d’un modèle. En clair, quand la plomberie change, le robinet n’est plus au même endroit. L’humour s’arrête là, le reste est assez sérieux.

GLP-27, une extraction plus directe des directions

GLP-27, référencé dans la source comme msuiche/DeepSeek-V4.1-Flash-1017-abliterated-cyber-GLP-27-L11-37-a3.5, se présente comme une méthode qui lit 27 directions directement dans les poids du writer FFN via une décomposition en valeurs singulières, ou SVD. Cette approche évite les contrast prompts et les passes avant au moment de la dérivation. Autrement dit, l’extraction se fait à partir des poids eux-mêmes, pas d’un dialogue d’essai et d’erreur avec le modèle.

La source indique que l’artefact a été testé sur un ensemble de 32 requêtes d’exploitation, mêlant consignes offensives et variantes défensives bénignes. Dans cette configuration, les refus chutent de 20 sur 32 pour la version stock à 4 sur 32 pour l’alpha publiée, avec des déroulés complets sur les chaînes d’exploitation que le checkpoint connaissait déjà. Le texte précise aussi qu’aucune sortie brouillée n’a été observée sur ces cas.

Pourquoi cette publication attire l’attention

Le sujet dépasse la seule curiosité technique, car il touche à la lisibilité des garde-fous internes des grands modèles. Quand une architecture change le chemin des écritures résiduelles, les méthodes qui s’appuyaient sur un point fixe perdent en robustesse. Dans le même temps, la publication d’un artefact capable de réduire fortement les refus sur un banc d’attaque soulève une question simple : jusqu’où une méthode d’interprétabilité peut-elle devenir un outil de contournement ?

Selon les éléments fournis, DeepSeek documente déjà dans ses notes de version V4.1-Flash et dans son model card les briques qui rendent ce port non mécanique : hyper-connection stream, mhc_post et Engram conditional memory. Les chercheurs qui travaillent sur l’alignement et l’audit des modèles devront donc lire ces évolutions comme un tout, pas comme une simple mise à jour cosmétique. En matière de sécurité des LLM, le capot bouge parfois plus vite que le logiciel qu’il protège.