Kimi K3.1 Pro, PHP2Shell, cinq compagnons : l'IA en local et en production

Kimi K3.1 Pro : une date, et peu d'autre chose

Sur r/LocalLLaMA, un message annonce la publication des poids de Kimi K3.1 Pro pour le 4 novembre. C'est tout ce que dit l'extrait : ni taille de modèle, ni licence, ni modalités de diffusion. Rien n'indique encore si la mise à disposition se fera en téléchargement direct, sur un dépôt public ou sous conditions.

La nuance compte, parce que « publier des poids » signifie concrètement un modèle téléchargeable et exécutable localement. C'est précisément ce que suit cette communauté, habituée à mesurer chaque annonce à l'aune d'une seule question : est-ce que ça tourne sur ma machine, et à quel prix en mémoire ?

En l'état, l'information reste une date et une intention. Les discussions autour de ce type de sortie portent d'ordinaire sur la licence et sur l'empreinte matérielle ; ici, aucune des deux n'est renseignée.

Microsoft et le diagnostic : la promesse sans le protocole

Microsoft affirme avoir mis au point un outil d'IA capable de diagnostiquer des pathologies jusqu'à quatre fois plus précisément que des médecins humains. Mustafa Suleyman, PDG de Microsoft AI, déclare à The Verge que cette promesse d'une IA au service de la santé « est enfin là ».

Le contexte de cette déclaration est celui d'un discours attendu : depuis des années, les dirigeants de l'IA citent la santé comme l'exemple le plus clair de l'utilité concrète de la technologie. La formulation « jusqu'à quatre fois » est un majorant, et la dépêche ne précise ni les pathologies concernées, ni le protocole d'évaluation, ni la population de médecins comparée.

Rien n'est donc publié ici qui permette de confronter la revendication à une mesure indépendante. Ce qui est nouveau, c'est la prise de parole directe d'un dirigeant sur un résultat chiffré, et non plus sur une promesse d'horizon.

PHP2Shell : la faille dormait depuis 2024

PHP a corrigé le 21 octobre deux failles critiques permettant l'exécution de code à distance. Le défaut à l'origine de l'une d'elles était connu depuis 2024, mais son exploitation n'a été démontrée qu'à l'été, avec l'aide de modèles d'IA.

01net donne le nom de ces vulnérabilités, PHP2Shell, et rappelle l'échelle du sujet : PHP fait tourner environ 70 % des sites web. Les cyberattaques exploitant ces failles ont déjà commencé. Particularité : elles ont été débusquées par l'IA, via les modèles de pointe de Google et d'OpenAI.

Côté institutionnel, l'Anssi a demandé au ministère de l'Intérieur de couper ses sites exposés — ce qui a été fait. La séquence mérite d'être posée telle quelle : un correctif arrivé le 21 octobre pour un défaut repéré l'année précédente, et une exploitation rendue possible dans l'intervalle. Le fait que des modèles aient servi à la démonstration ne dit rien, à lui seul, de la rapidité de la remédiation.

Cinq compagnons sur une carte de 8 Go

À l'autre bout du spectre, un membre de r/LocalLLaMA fait tourner cinq compagnons IA entièrement en local. LM Studio sert Gemma 4 26B (QAT), chaque personnage dispose de son propre serveur Python et de sa pièce 3D en three.js.

L'ensemble tient sur une RTX 3070 Ti de 8 Go et 32 Go de RAM, grâce à l'architecture MoE. Chaque compagnon a son avatar VRM qui bouge selon sa narration, un journal privé relu le lendemain, une voix Kokoro TTS et une table de cartes One Piece TCG.

Ce montage dit quelque chose de précis : la contrainte matérielle n'est plus ce qui empêche de faire tourner plusieurs agents simultanément sur une machine personnelle. Ce qui reste difficile, c'est la mémoire partagée et l'orchestration — ici réglées par un serveur dédié par personnage.

Et maintenant ?

Trois dépêches, trois régimes de preuve. Une date de publication de poids sans licence ni taille annoncée. Un outil de diagnostic revendiqué à quatre fois la performance humaine, sans protocole public. Et deux failles corrigées le 21 octobre, dont l'une était connue depuis 2024 et n'a été rendue exploitable qu'avec l'aide de modèles. Entre la promesse santé et le correctif de sécurité, la même question revient : ce qui est annoncé, ce qui est mesuré, et par qui. Le local, lui, n'attend pas d'annonce pour tourner.