Aller au contenu
BOLINI.IO / VEILLE IA ÉDITION Nº 007

SIGNAUX

lundi 26 octobre 2026 5 entrées ≈ 5 min

Veille IA quotidienne — ce qui compte, sans le bruit.

Ce matin

Un dermatologue de Guy’s Hospital soumet 200 lésions confirmées par biopsie à GPT-6 Astra, Claude Fable 5.1 et un Inception v3 fine-tuné en interne : le vieux réseau trouve le bon diagnostic deux fois plus souvent que les modèles frontière sur les mélanomes, et une fois et demie plus souvent en tout. Ailleurs : Nanbeige publie un dense de 33 milliards de paramètres sous Apache 2.0 avec 512K de contexte, un dépôt fait tenir un MoE de 125 milliards sur 16 Go de VRAM en lisant les experts sur le NVMe, et llama.cpp borne la récursion de toutes ses entrées après un plantage par schéma JSON.

À la une

Un CNN de 2015 nomme 62 % des lésions cutanées, deux modèles frontière 42 %

Magnus Lynch, dermatologue au Guy’s Hospital, a soumis 200 lésions confirmées par histologie — 30 mélanomes, 25 carcinomes basocellulaires, 25 carcinomes spinocellulaires, 20 kératoses actiniques, 50 naevi, 50 kératoses séborrhéiques — à GPT-6 Astra, à Claude Fable 5.1 et à un Inception v3 de 2015 fine-tuné sur 68 011 images de l’ISIC Archive sur un seul H100. Le CNN trouve le bon diagnostic parmi six dans 125 cas sur 200 (62 %), les deux LLM dans 84 et 85 (42 %) ; en autorisant un second choix, 173 contre 134 et 138. Sur les 30 mélanomes, 13 sont nommés en premier par le CNN contre 8 et 11. L’auteur précise que 200 lésions ne départagent pas des scores proches, que MILK10k est public depuis 2025 donc possiblement présent dans l’entraînement des LLM, et qu’Inception v3 n’est pas l’état de l’art.

Pourquoi ça compte Le résultat ne dit pas que les modèles frontière sont mauvais, il dit que la tâche est étroite : une tête spécialisée entraînée sur des images étiquetées bat un généraliste interrogé par prompt, et la question vaut pour tout pipeline où un classifieur est remplacé par un appel d’API sans mesure comparative.

Lynch Lab (Dr Magnus Lynch) 26 oct. Analyse source primaire ↗

[01] Labo

Nanbeige publie un dense de 33 milliards de paramètres sous Apache 2.0, avec 512K de contexte

Nanbeige4.3-33B est un modèle dense de 33 milliards de paramètres publié en BF16 sous Apache 2.0, en anglais et en chinois, avec 52 couches, un vocabulaire de 166 912 entrées et un contexte de 524 288 tokens. Selon la carte du modèle, il devance Qwen3.8-27B sur Terminal-Bench 2.1 (80,9 contre 73,0), DeepSWE (65,5 contre 42,5) et GPQA Diamond (89,5 contre 89,2), mais reste derrière sur SWE-Bench Pro (60,3 contre 61,7) ; il est présenté comme le professeur dont sera distillé un Nanbeige4.3-3B, et 51 quantifications communautaires étaient déjà en ligne le 25 octobre.

Pourquoi ça compte Un dense de 33B sous Apache 2.0 avec 512K de contexte tient quantifié sur une carte de 80 Go et sert de professeur pour un 3B : la distillation d’un agent de codage devient faisable sans budget de pré-entraînement, à condition de vérifier soi-même les scores annoncés.

Nanbeige (Hugging Face)· 24 oct. · source ↗

[02] Outils

Un MoE de 125 milliards tourne sur 16 Go de VRAM en lisant ses experts sur le NVMe

Le dépôt lean-qwenflash sert Qwen3.8-Flash-Next, un MoE de 125 milliards de paramètres à 512 experts dont 10 s’activent par couche et par token, avec le contexte complet de 262 000 tokens sur 16 Go de VRAM et environ 8 Go de RAM. Sur RTX 4090 à 262k : 1 627 tokens par seconde en prefill et 20,0 en génération, les experts non cachés étant lus à la demande depuis le NVMe en O_DIRECT — 47 Go de magasin d’experts et 32 Go de table n-gram sur SSD, checkpoint à 3,05 bits par poids et cache KV en 4 bits. Le moteur est bâti sur ExLlamaV3 et adapté de glm53-flash-offload.

Pourquoi ça compte Le facteur limitant passe de la VRAM à la bande passante du SSD : un disque à 3 Go/s de lecture soutenue remplace les 48 à 64 Go de RAM que demandent les montages habituels, au prix de 20 tokens par seconde et d’un premier démarrage à froid dépendant du stockage.

GitHub (MaxDevv)· 24 oct. · source ↗

[03] Outils

llama.cpp borne la récursion de toutes ses entrées après un plantage par schéma JSON imbriqué

Trois pull requests fusionnées le 25 octobre imposent une limite de profondeur à tout ce que le serveur parcourt récursivement. Un schéma d’outil, des arguments d’appel ou un corps /v1/systemone imbriqués faisaient déborder la pile de llama-server — nlohmann les analyse sans erreur, c’est le parcours récursif qui casse — et la requête renvoie désormais 400 au-delà de 128 niveaux sur /v1/chat/completions, /v1/responses, /v1/messages, /apply-template, /completion et /v1/systemone (PR 30242) ; la grammaire GBNF est bornée à 256 parenthèses imbriquées au lieu de provoquer un SIGSEGV (PR 29755) ; la PR 31153 rend la règle obligatoire pour toute fonction récursive du dépôt, avec 128 pour libcommon et jinja, 256 pour la grammaire.

Pourquoi ça compte Un serveur qui accepte des schémas d’outils fournis par un client — le cas normal derrière un agent ou un serveur MCP — acceptait un déni de service de quelques kilo-octets de JSON, et la correction ne protège que les binaires reconstruits depuis le 25 octobre.

llama.cpp· 25 oct. · source ↗

[04] Outils

Une écriture hors bornes dans llama.cpp, corrigée en b11796 mais seulement détectée sur les versions suivantes

L’avis GHSA-w879-pch3-42x5 (CVE-2026-116096, CVSS 4.0 de 1,9, vecteur local, CWE-119) décrit une écriture hors bornes dans list_pockettts_state_slots, dans tools/mtmd/models/pockettts-gen.cpp : un fichier mmproj malformé suffit, et l’exploit est public. La version b11796 corrige le chemin signalé, mais la correction de fond (PR 29360) n’est pas fusionnée : sur master et sur b11871, le même fichier déclenche une GGML_ASSERT qui interrompt le processus au lieu d’écrire en mémoire.

Pourquoi ça compte La sévérité est faible parce que l’attaque demande un accès local, mais elle passe par un fichier téléchargé depuis un dépôt de modèles : charger un mmproj non vérifié n’est pas neutre, et l’écart entre un abandon propre et une écriture arbitraire n’est pas encore garanti par conception.

GitHub Advisory Database· 26 oct. · source ↗

Sources balayées chaque matin

Sélection à la main dans un flux automatique : les liens pointent toujours vers la source primaire, jamais vers un agrégateur.