Kimi K3.1 Pro, Qwen4 en filigrane et failles PHP : l'IA hors du cloud

Kimi K3.1 Pro : une date, pas encore de fiche technique

L'annonce circule sur r/LocalLLaMA : Kimi K3.1 Pro doit voir ses poids publiés le 4 novembre au plus tard. Le message d'origine a été posté le 24 octobre 2026, et un second fil, quelques heures plus tard, répète la même échéance sans ajouter de détail.

Car pour l'instant, la fiche technique est vide. Ni taille de modèle, ni licence, ni modalités de diffusion ne sont précisées dans les extraits relayés. Tout au plus sait-on ce que « poids ouverts » implique concrètement : un modèle que l'on télécharge et que l'on héberge soi-même, plutôt qu'un service consommé via une API.

C'est précisément ce qui intéresse cette communauté. Pour ceux qui font tourner des modèles sur leur propre matériel, la question n'est pas seulement de savoir ce que le modèle vaut, mais ce qu'il coûte en VRAM, ce qu'autorise sa licence et ce qu'on peut en faire une fois les fichiers sur le disque. Autant de points qui restent ouverts à quatre jours de la date annoncée.

Qwen4-27B se devine dans une pull request

Autre indice, autre méthode. Un post de r/LocalLLaMA signale une pull request dans le dépôt vllm-xpu-kernels liée à Qwen4-27B. Pas de communiqué, pas de page produit : c'est le code qui parle.

Le profil de l'auteur rend le signal un peu plus consistant. Il a beaucoup contribué à des dépôts Intel et à vLLM, et a déjà travaillé sur Qwen3.8. Son nom correspond à celui d'un CTO chez Alibaba ou d'un directeur du Zhejiang Lab — les deux hypothèses circulent, aucune n'est tranchée dans la dépêche.

Quant à ce que la PR apprend vraiment, c'est mince et technique : elle suggère que la taille du cache KV de Qwen4-27B ne baisse pas.À prendre pour ce que c'est, une observation de dépôt, pas une annonce officielle. La communauté des modèles ouverts a l'habitude de ce régime : on lit les commits avant les slides.

Cinq compagnons, une RTX 3070 Ti de 8 Go

À côté des modèles frontières, il y a ce que les gens bricolent chez eux. Un membre de r/LocalLLaMA fait tourner cinq compagnons IA entièrement en local. LM Studio sert Gemma 4 26B en version QAT, et chaque personnage dispose de son propre serveur Python ainsi que de sa pièce 3D en three.js.

L'ensemble tient sur une RTX 3070 Ti de 8 Go et 32 Go de RAM, ce que l'auteur attribue à l'architecture MoE. Chaque compagnon a son avatar VRM qui bouge en fonction de sa narration, un journal privé relu le lendemain, une voix Kokoro TTS et une table de cartes One Piece TCG.

Le détail dit quelque chose du moment : un modèle de 26B paramètres, du rendu 3D, de la synthèse vocale et de la persistance mémoire sur une carte graphique de milieu de gamme. Ce n'est pas un banc d'essai de laboratoire, c'est un projet personnel, avec les compromis que cela suppose.

PHP : un défaut connu depuis 2024, exploité à l'été

Le 21 octobre, PHP a corrigé deux failles critiques permettant l'exécution de code à distance, rapporte ActuIA. Pour l'une d'elles, le défaut à l'origine était connu depuis 2024 — mais son exploitation n'a été démontrée qu'à l'été, avec l'aide de modèles d'IA.

Le reste est une affaire de délai et de réponse. À la demande de l'Anssi, le ministère de l'Intérieur a coupé ses sites exposés. La mesure est radicale, elle en dit long sur la fenêtre entre la connaissance d'un défaut et sa démonstration pratique.

Et maintenant ?

Les deux faces de la même pièce apparaissent dans ces dépêches. D'un côté, des poids annoncés, des pull requests scrutées, des modèles de 26B paramètres qui tiennent sur 8 Go de VRAM : la capacité à faire tourner et à inspecter soi-même des modèles progresse et se documente en public. De l'autre, un défaut PHP dormant depuis 2024 dont la mise en exploit a été accélérée par des modèles d'IA, et une administration qui préfère débrancher ses sites plutôt que courir le risque. Les mêmes outils, les mêmes dépôts, les mêmes cartes graphiques.