IT之家 Informations du 21 octobre : selon un reportage diffusé aujourd'hui par China之声 de la Radio Télévision Centrale de Chine (CMG), on trouve récemment sur certaines plateformes de vente de seconde main de nombreux vendeurs qui se sont lancés dans le « commerce gris » des services payants des grands modèles d'IA, sous les étiquettes de « version piratée », « partage à bas prix » et autres, revendant à bas prix divers droits d'utilisation de grands modèles d'IA.
Les soi-disant « IA piratées » sont-elles vraiment fiables ? Quels risques se cachent derrière ?
Selon le reportage, sur les plateformes de seconde main, des droits d'utilisation payants de plusieurs grands modèles d'IA populaires comme Doubao, DeepSeek et Kimi sont proposés à la vente. Ces produits mettent généralement en avant des arguments de « bas prix », « sécurité » et « flexibilité ».Certains facturent au nombre d'utilisations, d'autres louent à la durée d'utilisation, et d'autres encore vendent des tutoriels de piratage, à des prix allant généralement de quelques yuans à plusieurs dizaines de yuans。
Selon les caractéristiques d'utilisation des différents grands modèles, les services proposés par ces vendeurs diffèrent également. Des marchands vendent de soi-disant « tutoriels de piratage » exclusifs,affirmant qu'en suivant le tutoriel, on peut obtenir à répétition les avantages d'essai de l'abonnement Doubao, allant jusqu'à prôner le slogan « abonnement illimité en sol de mouton ». Le journaliste a acheté ce tutoriel pour 1.2 yuan, s'est connecté à son compte comme demandé et a envoyé dans la boîte de dialogue le soi-disant « mot de passe interne », mais n'a pas obtenu les avantages d'essai de l'abonnement. Le vendeur a indiqué qu'il était conseillé d'essayer avec un autre appareil.
Le tutoriel présente les « exploits » du vendeur lui-même, affirmant qu'un seul appareil peut dans les cas limites obtenir quatre abonnements, et conseille aux acheteurs d'utiliser les numéros de téléphone et les appareils de membres de leur famille ou d'amis pour continuer à essayer. Selon le tutoriel,l'essence de ce soi-disant « abonnement illimité en sol de mouton » est précisément une opération en boucle multi-appareils + multi-comptes。
Peut-on vraiment « tondre la laine de Doubao à l'infini » ? À ce sujet, Doubao a déclaré :les abonnements Doubao ne sont distribués que par les canaux officiels, il n'existe aucun moyen de « piratage », et il est impossible d'atteindre l'effet fallacieux d'« abonnement illimité ». Ils rappellent également aux utilisateurs de ne jamais faire confiance aux « tutoriels de piratage », « abonnements à bas prix » et autres informations publiées par des canaux non officiels, afin d'éviter des fuites d'informations personnelles ou des pertes.
Outre la vente de soi-disant « tutoriels de piratage », certains vendeurs se sont lancés dans la location de comptes de grands modèles d'IA. Un vendeur loue des abonnements haut de gamme du grand modèle Kimi, facturés selon la durée de location. De 10 minutes à 1 heure, les prix de location vont de 4.7 yuans à 21.7 yuans.
Le journaliste a acheté 10 minutes d'utilisation pour 4.7 yuans. Après le paiement, le vendeur a envoyé l'adresse de connexion et un compte temporaire. En cliquant sur le lien, le journaliste a découvert que la page ouverte n'était pas le site officiel de Kimi, mais une page web nommée «Kimi 计时工作空间». Après avoir saisi le mot de passe temporaire, l'interface de dialogue Kimi est apparue, avec un compte à rebours en haut de page, rappelant à l'utilisateur : ceci est un compte partagé, attention au temps restant.
Lorsque les 10 minutes d'utilisation se sont écoulées,la page a immédiatement affiché un rappel de renouvellement, demandant deretourner sur la plateforme de seconde main pour continuer à acheter du temps. Le vendeur a indiqué que les données suivent le compte, et même si le temps d'utilisation expire, l'historique des conversations est conservé pendant 24 heures ; il suffit de renouveler l'abonnement pour continuer à l'utiliser. Le journaliste a ensuite payé à nouveau, s'est reconnecté à cette page et a constaté que la tâche de génération de PPT soumise auparavant était bien conservée dans l'historique des conversations.
À ce sujet, l'équipe de Kimi a répondu que la location et la vente de comptes Kimi sur les plateformes de seconde main ne sont pas des services officiels et n'ont pas été autorisés ; ces pratiques violent le contrat d'utilisation et seront fermement combattues. La réponse précise queles conversations et informations des utilisateurs de ces comptes sont entièrement visibles par le loueur, avec des risques de fuite de données et d'escroquerie。
De plus, sur les plateformes de seconde main, il y a aussides vendeurs qui ne vendent pas des comptes, mais des séries de clés API. L'API, peut-on simplement comprendre, est l'interface d'appel offerte par les grands modèles d'IA vers l'extérieur ; les développeurs ou utilisateurs peuvent, via l'interface, exploiter les capacités du grand modèle dans d'autres logiciels et outils, sans avoir à se connecter directement au site web officiel.
Un vendeur affirme avoir acheté un grand nombre de clés API officielles et vend les quotas d'appel divisés. Il propose plusieurs formules à différents prix, allant de 1.99 yuan à 99.99 yuans, correspondant à un nombre d'appels allant de 220 à 14000.
L'expert en cybersécurité Li Tiejun analyse que, pour ce type de clés API destinées à la vente, les sources d'approvisionnement sont très mélangées.
La vente de clés API est une activité criminelle très structurée : certains pirates utilisent des outils de recherche en masse sur des sites open source pour trouver des informations de clés rendues publiques par les utilisateurs, tandis que d'autres s'introduisent directement dans les systèmes d'autrui par des méthodes de piratage pour obtenir des données.
Cela signifie que le quota d'appels acheté par l'acheteur peut ne pas appartenir du tout au vendeur.Une fois que le véritable titulaire de la clé constate des anomalies et prend des mesures de révocation ou de bannissement, le service dont dispose l'acheteur peut également être interrompu à tout moment。
L'expert rappelle que chaque invite saisie par l'utilisateur, chaque fichier téléversé et chaque fragment de code généré peuvent être conservés par certains relais malintentionnés, voire revendus, ce qui présente des risques de sécurité importants.
Wu Shenkuo, professeur à la faculté de droit de l'Université normale de Pékin et directeur adjoint du centre de recherche de l'Association internet de Chine, a déclaré queune partie des comportements des vendeurs a déjà franchi la ligne rouge légale. Par exemple, si l'accès aux interfaces est obtenu par des moyens techniques tels que la rétro-ingénierie ou le scraping, cela viole les mesures techniques et les droits de propriété intellectuelle des fournisseurs de services. Si l'on exerce à grande échelle la revente d'interfaces sans disposer des qualifications d'exploitation requises, cela peut constituer une exploitation commerciale illégale. En outre, si au cours de la revente, les informations de toutes sortes soumises par les utilisateurs sont interceptées et revendues, cela peut constituer une violation directe des dispositions de la loi sur la protection des informations personnelles.