Sûreté structurelle de l'IA : l'impératif d'une gouvernance de l'espace latent à enjeux élevés en bio-conception générative

Synthèse

L'ère naissante de l'intelligence artificielle (IA) générative a inauguré un changement de paradigme dans la découverte scientifique, en particulier dans les secteurs pharmaceutique et biotechnologique. La capacité des modèles d'apprentissage profond à explorer de vastes régions de l'espace chimique et à proposer de nouveaux candidats thérapeutiques a comprimé les délais de découverte de médicaments, de plusieurs années à quelques semaines. Toutefois, cette capacité transformatrice comporte une ombre inhérente : le dilemme du « double usage ». Les mêmes architectures algorithmiques conçues pour identifier des traitements salvateurs peuvent, moyennant une modification triviale, être détournées pour concevoir des agents biochimiques hautement létaux. L'expérience fondatrice de l'« interrupteur inversé » menée par Collaborations Pharmaceuticals, dans laquelle un modèle génératif optimisé pour la toxicité a généré 40 000 armes chimiques potentielles — y compris l'agent innervant VX et des analogues inédits — en moins de six heures, constitue un témoignage irréfutable de ce risque. ¹

Ce livre blanc, préparé pour Veriprajna, soutient que le standard actuel de l'industrie en matière de sûreté de l'IA — souvent caractérisé par des « wrappers de LLM » qui s'appuient sur l'ingénierie de prompts et le filtrage textuel a posteriori — est fondamentalement insuffisant pour les domaines à enjeux élevés. Ces garde-fous de surface n'adressent pas la réalité géométrique de l'espace latent du modèle, où les capacités toxiques et thérapeutiques existent sur une variété continue, souvent enchevêtrée. Les filtres textuels sont aveugles à la sémantique structurelle de la chimie et vulnérables aux perturbations adversariales, exposant les organisations à des risques réglementaires, réputationnels et existentiels catastrophiques.

Veriprajna introduit un nouveau standard pour l'IA d'entreprise : la gouvernance de l'espace latent . En déplaçant le locus de contrôle de la couche de sortie vers les structures latentes de haute dimension du modèle lui-même, nous rendons possible une forme de « sûreté structurelle de l'IA ». Cette approche utilise des contraintes topologiques, la cartographie de variétés et l'apprentissage par renforcement sous contraintes pour exclure mathématiquement la génération de sorties nuisibles. Ce document fournit une analyse exhaustive des déficiences techniques des méthodologies actuelles, explore la topologie de la toxicité, et détaille les principes architecturaux des solutions d'IA profonde qui assurent la conformité aux normes rigoureuses émergentes telles que le NIST AI Risk Management Framework et l'ISO 42001.

1. L'horizon du double usage : l'« interrupteur inversé » et la démocratisation de la létalité

La convergence de l'intelligence artificielle et de la biologie moléculaire promet depuis longtemps une révolution dans la découverte de médicaments. Toutefois, la dualité inhérente de cette technologie — où la capacité de soigner est mathématiquement adjacente à la capacité de nuire — est passée d'un risque théorique discuté dans les cercles académiques à une réalité opérationnelle démontrée. La barrière à l'entrée pour la conception d'armes chimiques sophistiquées a été dramatiquement abaissée, non par la prolifération de matériaux physiques, mais par la démocratisation de l'intelligence computationnelle requise pour les concevoir.

1.1 L'expérience MegaSyn : une étude de cas de double usage algorithmique

En préparation de la conférence Spiez Convergence, un événement biennal de contrôle des armements organisé par l'Office fédéral suisse de la protection de la population, des chercheurs de Collaborations Pharmaceuticals ont entrepris une expérience de preuve de concept pour évaluer le potentiel de mésusage de l'IA. ² L'équipe a utilisé un modèle génératif commercial, MegaSyn, originellement conçu pour prédire la bioactivité et générer de nouveaux candidats thérapeutiques pour des maladies rares et négligées.

La méthodologie employée était d'une simplicité troublante, soulignant l'accessibilité de ce vecteur de menace. Le modèle génératif était piloté par une fonction de score qui pénalisait la toxicité et récompensait l'efficacité thérapeutique. Pour « inverser l'interrupteur », les chercheurs ont inversé la fonction de récompense. Au lieu de pénaliser la toxicité, le modèle a reçu l'instruction de la maximiser, en ciblant spécifiquement le profil de létalité du VX, l'un des agents innervants les plus puissants connus de l'homme. ¹

Les résultats ont été générés en moins de six heures sur un serveur grand public standard, en utilisant un jeu de données et une architecture largement connus dans la communauté de la chimio-informatique :

Tableau 1 : Résultats de l'expérience de l'« interrupteur inversé »

Métrique	Résultat	Contexte
Temps de génération	< 6 heures	Réalisé sur du matériel standard (serveur Mac/Linux), démontrant une faible barrière de calcul.
Volume de sortie	40,000 molécules	Une bibliothèque massive de candidats potentiels générés à une vitesse que les chimistes humains ne peuvent égaler.
Profil cible	VX (Nerve Agent)	Le modèle a redécouvert avec succès le VX et d'autres

Col1	Col2	agents innervants connus des séries G et V.
Létalité	> puissance VX	Un sous-ensemble significatif de molécules a été prédit comme étant_plus_ toxique que le VX.
Nouveauté	Élevée	Des milliers de composés étaient inédits, n'apparaissant dans aucune base de données publique ni liste de surveillance gouvernementale.

Cette expérience n'a pas nécessité de supercalculateur ni d'acteur étatique hostile disposant de millions de financement. Elle a utilisé des jeux de données open source (tels que ChEMBL), des architectures génératives standard (RNN et modèles à base de LSTM), et une compréhension commercialement disponible de la prédiction de toxicité. ⁵ Les implications sont profondes : la barrière à l'entrée pour concevoir des agents biochimiques à haute létalité a été abaissée au coût d'un GPU grand public et d'une compréhension élémentaire de Python. Le modèle d'IA, entraîné à comprendre les « règles » de la toxicité pour les éviter, possédait intrinsèquement le savoir pour les exploiter. ³

1.2 L'architecture de la vulnérabilité

Pour comprendre pourquoi cette « inversion » a été si fluide, il faut examiner l'architecture sous-jacente de modèles tels que MegaSyn. Le modèle utilisait une architecture de réseau de neurones récurrent (RNN) entraînée sur des chaînes SMILES (Simplified Molecular Input Line Entry System). Le système opérait selon un algorithme de « hill-climb », affinant itérativement les candidats moléculaires pour maximiser une fonction objectif spécifique. ⁵

Le cycle génératif comporte trois composantes critiques :

1.​ Le générateur : un réseau à base de LSTM qui prédit le jeton suivant dans une chaîne SMILES (p. ex. 'C', 'N', '=', 'O') pour former des structures chimiquement valides. Il apprend la « grammaire » de la chimie à partir de jeux de données massifs comme ChEMBL 28. ⁵

2.​ Le prédicteur : un modèle discriminatif (ou un ensemble de modèles) qui estime des propriétés spécifiques de la molécule générée, telles que la solubilité, la bioactivité vis-à-vis d'une cible, et la toxicité (p. ex. LD50, inhibition de hERG).

3.​ L'optimiseur : une boucle d'apprentissage par renforcement ou d'escalade (hill-climbing) qui renvoie le score du prédicteur au générateur, orientant la distribution de probabilité des jetons futurs vers des régions à score plus élevé.

En mode thérapeutique, la fonction de récompense de l'optimiseur ($R$) est définie par :

$$R(x) = \text{Bioactivity}(x) - \lambda \cdot \text{Toxicity}(x)$$

où $\lambda$ est un facteur de pondération pénalisant les issues toxiques. En mode adversarial « inversé », les chercheurs ont simplement nié la pénalité :

$$R(x) = \text{Bioactivity}(x) + \lambda \cdot \text{Toxicity}(x)$$ Le générateur lui-même — le moteur de création — est resté intact. Il a simplement suivi le gradient de la nouvelle fonction de récompense. Cela démontre que la capacité à générer des armes n'est pas un « bogue » ni un module distinct que l'on pourrait retirer ; elle est intrinsèque à la compréhension qu'a le modèle de l'espace chimique. Si un modèle comprend ce qui rend une molécule sûre, il comprend par définition ce qui la rend dangereuse, car il s'agit de régions complémentaires de la même variété de haute dimension. ⁹

1.3 Le risque universel : au-delà de la chimie

Si l'expérience Urbina s'est concentrée sur les armes chimiques, le principe s'applique universellement à l'IA générative en contexte d'entreprise. La dualité de l'« optimisation » signifie que tout système conçu pour maximiser une métrique peut être inversé pour la minimiser, ou pour maximiser un corrélat nuisible.

●​ Cybersécurité : un modèle entraîné à identifier et corriger des vulnérabilités zero-day (codage défensif) doit comprendre la mécanique de l'exploit. Inversé, il devient un moteur automatisé de découverte et de militarisation de zero-day. ¹⁰

●​ Systèmes financiers : un modèle optimisé pour détecter la fraude en apprenant les motifs de transactions illicites peut être inversé pour générer des transactions qui imitent parfaitement un comportement légitime, « optimisant » de fait le blanchiment d'argent. ¹¹

●​ Planification stratégique : une IA conçue pour optimiser la stratégie de marché d'une entreprise pourrait, si elle est alignée sur une fonction objectif impitoyable, proposer des stratégies qui maximisent techniquement la valeur actionnariale mais violent le droit de la concurrence ou les normes éthiques.

L'Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence met en lumière précisément cette capacité — l'abaissement de la barrière à l'entrée pour développer des menaces biologiques, chimiques et cybernétiques — comme une préoccupation majeure de sécurité nationale. ¹⁰ Les réponses actuelles du secteur technologique impliquent souvent des « filtres de sûreté » ou un « entraînement d'alignement », mais comme nous l'explorerons, ces interventions de surface sont mathématiquement fragiles face aux capacités d'optimisation structurelle profonde de l'IA moderne.

2. L'illusion du wrapper de LLM : pourquoi les garde-fous de surface échouent

La tendance dominante de la « ruée vers l'or de l'IA » actuelle est le déploiement du « wrapper

de LLM » — une application qui sert d'interface mince entre un utilisateur et un modèle de fondation (comme GPT-4, Claude ou Llama). Ces wrappers utilisent l'ingénierie de prompts (prompts système) et un filtrage de contenu basique pour orienter le comportement du modèle. Pour les applications industrielles à enjeux élevés, en particulier celles impliquant la sûreté physique et la biosécurité, cette approche est dangereusement inadéquate.

2.1 La limitation du « conseiller désincarné »

Les grands modèles de langage (LLM) sont fondamentalement des moteurs probabilistes désincarnés. Ils prédisent le jeton suivant à partir de corrélations statistiques dans leurs données d'entraînement, et non à partir d'une compréhension ancrée de la réalité physique ou biologique. Comme le notent les recherches sur les LLM dans la découverte scientifique, un LLM agit comme un « conseiller désincarné » plutôt que comme un assistant de recherche au laboratoire. ¹³

Dans le contexte de la biosécurité, un wrapper de LLM n'a pas les boucles de rétroaction intégrées requises pour vérifier la sûreté. Il opère sur le langage, non sur les lois de la physique ou de la chimie. Lorsqu'on demande à un wrapper de concevoir une molécule, il peut « halluciner » des structures au son plausible mais chimiquement invalides. Plus dangereusement, s'il génère effectivement une structure valide, il n'a pas la capacité intrinsèque de vérifier sa toxicité au-delà de simples consultations de bases de données. Si une molécule est inédite — comme l'étaient des milliers d'analogues du VX générés dans l'expérience MegaSyn — le LLM n'a aucune référence textuelle pour la signaler comme dangereuse. ¹³

La « connaissance » d'un LLM est statique, figée au moment de l'entraînement. Il ne peut pas exécuter une simulation pour déterminer si un nouveau repliement protéique est pathogène. Il ne peut que se souvenir que « le charbon, c'est mauvais ». Cette dépendance à la mémorisation par cœur de concepts « mauvais » est un défaut fatal face à des systèmes génératifs conçus pour explorer de nouveaux espaces conceptuels.

2.2 La fragilité du filtrage a posteriori

La plupart des solutions d'IA d'entreprise s'appuient sur des « garde-fous » qui fonctionnent comme des filtres a posteriori. Ces systèmes interceptent le prompt de l'utilisateur (filtrage d'entrée) ou la réponse du modèle (filtrage de sortie) et les comparent à une liste de termes interdits, d'expressions régulières (Regex), ou à un modèle de classification secondaire (p. ex. le Moderation Endpoint d'OpenAI). ¹⁵

Tableau 2 : Limites du filtrage a posteriori dans les domaines à enjeux élevés

Type de limitation	Description	Conséquence en biosécurité
Cécité contextuelle	Les filtres recherchent des mots-clés spécifiques (p. ex. « VX », « sarin », « bombe »).	Échoue à bloquer des composés ou précurseurs inédits sans nom usuel

Col1	Col2	(p. ex. « Compound X-293 »).
Obfuscation SMILES	La toxicité est encodée dans la structure, non dans le nom.	Un filtre bloque le mot « Sarin » mais laisse passer la chaîne SMILES O=P(C)(F)O, que le modèle comprend comme le sarin.
Falaises d'activité	Des changements structurels mineurs provoquent des décalages massifs de toxicité.	Un wrapper voit une molécule similaire à 99 % à un médicament sûr et l'approuve, manquant l'atome unique qui confère la létalité.17
Nature réactionnaire	Bloque le contenu_après_ la génération.	Le modèle a déjà effectué le calcul. Dans un système en temps réel, la latence permet une fuite potentielle ou des attaques par canaux auxiliaires.

Le problème des « falaises d'activité » est particulièrement accablant pour les wrappers textuels. En chimie médicinale, une falaise d'activité survient lorsqu'un très petit changement de structure entraîne un changement disproportionné de propriété biologique. ¹⁸ Un wrapper utilisant un filtre fondé sur la similarité pourrait approuver une molécule parce qu'elle « ressemble surtout » à l'aspirine ou à un inhibiteur de kinase sûr, sans reconnaître que la substitution d'un groupe hydroxyle par un atome de fluor a radicalement altéré son profil de toxicité. Les modèles textuels, qui opèrent sur la distance sémantique des jetons plutôt que sur des variétés tridimensionnelles de bioactivité, sont notoirement médiocres pour prédire ces falaises. ¹⁴

2.3 Vulnérabilité adversariale : l'attaque « SMILES »

La preuve la plus convaincante contre l'approche par wrapper est la prévalence du « jailbreaking » — des attaques adversariales conçues pour contourner l'entraînement de sûreté. Si le « red teaming » se concentre souvent sur l'ingénierie sociale (p. ex. « la recette de napalm de grand-mère »), les risques techniques en biosécurité sont bien plus sophistiqués.

L'attaque par SMILES-prompting : Des recherches récentes ont démontré une technique de jailbreak inédite connue sous le nom de « SMILES-prompting ». Les attaquants contournent les filtres de sûreté en saisissant la représentation ASCII (SMILES) d'une molécule interdite plutôt que son nom. Les filtres de contenu entraînés sur le langage naturel échouent souvent à reconnaître la sémantique toxique cachée dans la syntaxe chimique.20

●​ Mécanisme : l'attaquant demande des instructions de synthèse pour [O-]S(=O)(=O)[O-].. (sulfate de thallium, un poison pour rats) au lieu de demander du « poison ».

●​ Résultat : le LLM, reconnaissant la syntaxe chimique sans déclencher le filtre de mots-clés de « contenu nuisible », fournit obligeamment le protocole de synthèse.

●​ Échelle : des études montrent que cette méthode peut contourner les mécanismes de sûreté de modèles de premier plan comme GPT-4 et Claude 3 avec des taux de succès alarmants, dépassant parfois 90 % pour certaines substances. ¹¹

En outre, des cadres d'attaque automatisés comme ToxicTrap utilisent des algorithmes évolutionnaires pour trouver de petites perturbations au niveau des mots qui trompent les classifieurs de toxicité en étiquetant un texte toxique comme bénin. ²² Si un système de sûreté peut être vaincu par un synonyme, ce n'est pas un système de sûreté — c'est un ralentisseur.

Pour un cabinet de conseil d'entreprise comme Veriprajna, construire une solution au-dessus d'un wrapper facilement usurpable est une responsabilité. Une sécurité véritable de niveau entreprise exige une réingénierie fondamentale de la façon dont le modèle navigue dans son espace latent.

3. La géométrie de la toxicité : comprendre les risques latents

Pour comprendre pourquoi les wrappers échouent et comment Veriprajna réussit, il faut comprendre l'environnement mathématique dans lequel opèrent les modèles génératifs : l'espace latent . Les modèles génératifs profonds (VAE, GAN, modèles de diffusion) ne stockent pas les données ; ils apprennent à projeter des données de haute dimension (comme les structures moléculaires) dans une représentation compressée de dimension inférieure appelée espace latent ($Z$). Dans cet espace, les points de données similaires sont regroupés ensemble, et la génération consiste à échantillonner cette variété.

3.1 La variété continue de toxicité

Le « paysage de toxicité » est une région au sein de cet espace latent. Ce n'est pas une liste discrète de mauvaises molécules, mais une variété continue — une forme définie par les propriétés physico-chimiques qui confèrent la létalité.

●​ Risque continu : la toxicité n'est pas binaire ; c'est un gradient. La transition d'un médicament thérapeutique à un agent toxique peut être une trajectoire lisse dans l'espace latent. Un modèle « interpole » effectivement entre des molécules connues. S'il interpole entre deux molécules sûres qui encadrent une région toxique, le chemin peut traverser la « vallée de la mort ». ²³

●​ L'hypothèse de variété : l'hypothèse centrale de l'apprentissage profond est que les données du monde réel reposent sur une variété de dimension inférieure plongée dans un espace de haute dimension. Les attaques adversariales exploitent souvent les régions hors de cette variété, ou des « trous » dans la distribution où le comportement du modèle est indéfini et imprévisible. ²⁵

Lorsque les chercheurs de Collaborations Pharmaceuticals ont « inversé l'interrupteur », ils ont essentiellement ordonné au modèle d'effectuer une montée de gradient le long du « vecteur de toxicité » dans cet espace latent. Parce que l'espace est continu, le modèle a pu facilement glisser des composés sûrs vers la région de haute toxicité.

3.2 Le problème de l'enchevêtrement

Idéalement, un modèle génératif démêlerait la « toxicité » de la « bioactivité » en axes orthogonaux séparés dans l'espace latent. Si cela était vrai, la sûreté consisterait simplement à verrouiller l'axe « toxicité » à zéro. Or, dans les modèles biologiques profonds, ces caractéristiques sont profondément enchevêtrées .

Une caractéristique physico-chimique qui permet à un médicament de franchir la barrière hémato-encéphalique (un trait hautement souhaitable pour traiter Alzheimer ou Parkinson) est souvent exactement la même caractéristique qui permet à un agent innervant d'atteindre sa cible et de provoquer une paralysie. ¹ De même, une haute affinité de liaison — la capacité à adhérer fortement à une protéine — est bénéfique pour un médicament mais fatale si la protéine est l'acétylcholinestérase (la cible du VX).

En raison de cet enchevêtrement, les mécanismes simples de « refus » (comme ceux des wrappers) lobotomisent de fait le modèle. Si l'on bloque toutes les caractéristiques associées à la toxicité (p. ex. « bloquer toute pénétration de la barrière hémato-encéphalique »), on détruit l'utilité thérapeutique du modèle. Le défi est de naviguer dans la variété d'exploitation sûre — un sous-ensemble de l'espace latent où l'efficacité est préservée mais la toxicité est topologiquement exclue.

3.3 Effondrement de la représentation et falaises d'activité

L'un des échecs critiques des modèles « boîte noire » standard est l'effondrement de la représentation . Cela survient lorsque le modèle projette deux molécules distinctes sur les mêmes points, ou des points quasi identiques, dans l' espace latent parce qu'il ne capture pas la différence structurelle subtile qui les distingue.

●​ Limites fondées sur les graphes : de nombreux modèles moléculaires utilisent des réseaux de neurones en graphe (GNN). Bien que puissants, les GNN peuvent peiner à distinguer stéréoisomères ou substitutions atomiques mineures si la profondeur de passage de messages est insuffisante. Cela conduit à un effondrement de la représentation, où une toxine et un médicament sûr partagent le même plongement latent. ¹⁷

●​ La conséquence : si le modèle ne peut distinguer le point « sûr » du point « toxique » dans sa géométrie interne, aucun filtrage externe ne le sauvera. Le modèle croit qu'ils sont identiques.

●​ Solutions fondées sur l'image : des recherches émergentes, telles que le cadre MaskMol, suggèrent que les représentations fondées sur l'image (apprentissage à partir d'images moléculaires) ou les approches multimodales peuvent mieux capturer ces distinctions subtiles, préservant les « falaises » dans le paysage latent. ¹⁷

L'approche de Veriprajna utilise des modèles génératifs sensibles à la topologie qui cartographient la topologie fonctionnelle topologie (activité) plutôt que seulement la topologie structurelle (syntaxe). Cela garantit que les falaises d' activité sont respectées comme des « frontières dures » dans le processus de génération sûre, empêchant le modèle de glisser à travers une falaise vers la toxicité. ²⁶

4. Méthodologie de Veriprajna : gouvernance de l'espace latent

Veriprajna se distingue en allant au-delà du paradigme du « wrapper » pour mettre en œuvre la gouvernance de l'espace latent . Cela consiste à intervenir dans le processus de génération avant que les données ne soient décodées, en appliquant des contraintes structurelles qui rendent la génération de contenu toxique mathématiquement impossible (ou statistiquement négligeable) plutôt que simplement « filtrée ».

4.1 Contraintes structurelles : le bouclier mathématique

Le filtrage a posteriori est réactif : le modèle génère un candidat, et un juge le rejette. La génération contrainte est proactive : le modèle est empêché d'envisager des candidats non sûrs.

Tableau 3 : Comparaison des paradigmes de sûreté

Caractéristique	Filtrage a posteriori (wrapper)	Contraintes structurelles/latentes (Veriprajna)
Mécanisme	Générer $\rightarrow$ Examiner $\rightarrow$ Accepter/Rejeter	Contraindre l'échantillonnage latent $\rightarrow$ Générer
Point de contrôle	Sortie (texte/pixel/SMILES)	Vecteur latent ($z$) / Géométrie de la variété
Coût computationnel	Élevé (cycles de génération gaspillés sur des sorties rejetées)	Faible (contraintes appliquées pendant l'échantillonnage/l'inférence)
Robustesse	Faible (susceptible aux jailbreaks/à l'obfuscation)	Élevée (les contraintes sont intrinsèques aux mathématiques)
Traitement de la nouveauté	Échoue (ne peut filtrer ce qu'il ne connaît pas)	Succès (contraint sur la base des variétés de propriétés)
Conformité	Piste d'audit des rejets (bruyante)	Preuve mathématique d'un comportement borné

4.2 Apprentissage a posteriori des contraintes latentes

Veriprajna emploie des techniques pour apprendre des contraintes a posteriori sur des modèles inconditionnels pré- entraînés. Cela évite le coût prohibitif du réentraînement de modèles de fondation massifs tout en assurant un contrôle robuste.

Le flux de travail :

1.​ Pré-entraînement non supervisé : nous partons d'un puissant modèle génératif inconditionnel (VAE ou GAN) qui apprend la distribution des structures chimiques valides ($p(x)$). Ce modèle apprend « comment faire des molécules » mais pas « quelles molécules faire ». ²³

2.​ Entraînement de la fonction de contrainte : nous entraînons une « fonction de valeur » séparée ($v(z)$) ou une « fonction de contrainte » ($c(z)$) qui opère directement sur l'espace latent. Cette fonction associe un vecteur latent $z$ à un score de sûreté.

○​ Cette fonction est entraînée sur des données étiquetées (toxique vs. sûr) pour identifier les « régions » de l' espace latent qui correspondent à une haute toxicité.

○​ De façon cruciale, contrairement à l'expérience MegaSyn qui a optimisé pour cette région, nous définissons cette région comme une zone interdite (ou variété négative).

3.​ Échantillonnage contraint (guidage par gradient) : pendant la phase de génération, nous utilisons une optimisation fondée sur le gradient (telle que la dynamique de Langevin) pour déplacer la distribution d' échantillonnage.

○​ Si un vecteur échantillonné $z$ tombe dans ou près d'une région toxique, le gradient de la fonction de contrainte $\nabla c(z)$ repousse le vecteur dans la variété sûre avant qu'il ne soit décodé en molécule.

○​ Cela est mathématiquement analogue à « diriger » la génération loin du bord de la falaise. Le modèle « imagine » une molécule toxique mais est forcé de la résoudre en un analogue sûr. ²³

4.3 Analyse topologique des données (TDA) et défense par la variété

Pour traiter le risque de toxines inédites qui se situent hors de la distribution d'entraînement (hors distribution, ou OOD), Veriprajna utilise l'analyse topologique des données (TDA).

●​ Diagrammes de persistance : nous calculons les diagrammes de persistance des données d'entraînement « sûres ». Cette technique mathématique analyse la forme du nuage de données (ses trous, boucles et vides) à différentes échelles. Elle nous donne une empreinte topologique de ce à quoi ressemble la « sûreté ». ²⁶

●​ Distance à la variété : lorsque le modèle propose un vecteur $z$, nous calculons sa distance à la variété des données sûres par décomposition guidée par la variété.

●​ La détection des vides : si un vecteur se situe trop loin de la variété — flottant dans le « vide » de l' espace latent — il est signalé comme à haut risque, même si des prédicteurs de toxicité spécifiques sont incertains. Les attaques adversariales tentent souvent de cacher des toxines dans ces régions de faible densité (les « trous » dans la connaissance du modèle). La TDA nous permet de détecter et de rejeter ces anomalies sur la base de la géométrie, et non seulement de la probabilité. ²⁵

4.4 Apprentissage par renforcement sous contraintes (CRL) avec des

incitations adaptatives

Pour les modèles qui exigent une optimisation (p. ex. maximiser la puissance d'un médicament), nous utilisons l'apprentissage par renforcement sous contraintes (CRL) plutôt qu'une simple maximisation de la récompense.

●​ RL standard : maximiser la récompense $R$. (Risque : le scénario de l'« interrupteur inversé » où $R$ devient la toxicité).

●​ CRL de Veriprajna : maximiser la récompense $R$ sous contrainte de coût $C < Limit$.

●​ Mécanisme d'incitation adaptatif : le RL contraint traditionnel peut être instable, oscillant autour de la frontière de contrainte. Veriprajna met en œuvre un mécanisme d'incitation adaptatif qui récompense l'agent pour rester bien à l'intérieur des bornes, et non seulement pour ne pas les franchir.

○​ Nous introduisons une « zone tampon » dans l'espace latent. À mesure que le modèle s'approche de la contrainte de toxicité, une pénalité croissante (fonction barrière) le repousse, assurant une convergence lisse et stable vers des solutions sûres. ²⁹

5. Plongée technique : traiter la vulnérabilité « MegaSyn »

Pour véritablement sécuriser la chimie générative, nous devons disséquer les vulnérabilités architecturales spécifiques exposées par l'expérience MegaSyn et y répondre par nos garde-fous structurels proposés.

5.1 Déconstruire MegaSyn

Le modèle MegaSyn mentionné dans l'article de Nature Machine Intelligence utilise une approche d' ensemble spécifique ⁵ :

●​ Générateur central : un réseau de neurones récurrent (RNN) à base de LSTM.

●​ Représentation d'entrée : chaînes SMILES tokenisées en caractères (p. ex. « C », « N », « = », « 1 »).

●​ Méthode d'entraînement : « Teacher Forcing », où le modèle reçoit le jeton précédent correct pendant l'entraînement pour accélérer la convergence.

●​ Amorçage : le modèle crée des « modèles amorcés » par fine-tuning sur des sous-structures spécifiques d'une molécule cible en utilisant les règles RECAP.

●​ La vulnérabilité d'optimisation : l'algorithme « Hill-Climb » est une méthode d'optimisation gloutonne. Lorsque la fonction de score a été inversée en Score = Toxicity, le modèle a efficacement grimpé le gradient vers une létalité maximale parce que la « syntaxe » d'un agent innervant (liaisons phosphore-oxygène, chaînes latérales alkyle spécifiques) est chimiquement valide et était présente dans les données d'entraînement (ChEMBL), même si elle n'était pas étiquetée comme « arme ».

5.2 Empêcher l'« inversion » : le protocole Veriprajna

Comment la gouvernance de l'espace latent de Veriprajna empêcherait-elle une inversion de type MegaSyn ?

1.​ Contraintes codées en dur : au lieu d'une fonction de récompense mutable qu'un utilisateur peut simplement inverser ($-1$ vers $+1$), Veriprajna ancre la contrainte de toxicité dans le postérieur d' échantillonnage . La contrainte n'est pas un nombre dans un script Python ; c'est une condition aux limites dans le moteur d'inférence. Pour l'« inverser », il faudrait fondamentalement réarchitecturer le logiciel, et non simplement modifier un fichier de configuration.

2.​ Restriction de variété : la « variété CWA » (espace des agents de guerre chimique) serait cartographiée par TDA. Cette région serait désignée comme un « espace nul ». Toute mise à jour de gradient tentant de déplacer le vecteur latent dans cet espace serait mise à zéro ou inversée.

3.​ Détection des falaises d'activité : notre modèle utiliserait des représentations fondées sur l'image (comme MaskMol) aux côtés de représentations en graphe pour détecter les motifs structurels subtils des agents innervants (p. ex. la liaison P-F dans le sarin/soman) qui pourraient échapper à de simples modèles fondés sur des descripteurs. Ces motifs déclencheraient une « pénalité de falaise » qui outrepasse la récompense du hill-climb. ¹⁷

6. Paysage réglementaire et conformité

Le passage du « wrapper » aux « garde-fous structurels » n'est pas seulement une mise à niveau technique ; c'est une nécessité stratégique dictée par un environnement réglementaire qui se resserre rapidement. Les gouvernements et les organismes internationaux passent de « lignes directrices volontaires » à des cadres de conformité rigoureux qui exigent explicabilité, contrôle et sûreté prouvée.

6.1 L'Executive Order de la Maison-Blanche et la Genesis Mission

L'Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence (octobre 2023) et la « Genesis Mission » subséquente (novembre 2025) représentent un basculement sismique de la politique fédérale américaine en matière d'IA. ¹⁰

●​ Le mandat : l'EO identifie explicitement le risque que l'IA abaisse les barrières au développement d'armes CBRN (chimiques, biologiques, radiologiques, nucléaires) comme une menace de sécurité nationale de niveau 1.

●​ La Genesis Mission : cette nouvelle initiative charge le Department of Energy (DOE) de construire une plateforme d'IA intégrée pour la découverte scientifique. De façon cruciale, elle impose des « mesures de cybersécurité fondées sur le risque appropriées » et des environnements sécurisés pour l'expérimentation dirigée par l'IA. ³²

●​ Écart de conformité : un wrapper de LLM standard ne peut démontrer qu'il empêche la création de menaces biologiques ; il peut seulement montrer qu'il tente de les filtrer. Cette approche de « best effort » échouera probablement à satisfaire les standards « sûrs et dignes de confiance » exigés pour les contrats fédéraux ou l'intégration à la Genesis Platform.

●​ L'avantage de Veriprajna : nos contraintes structurelles fournissent une preuve d'impossibilité (dans des bornes statistiques). Nous pouvons démontrer aux régulateurs que la « variété CBRN » est inaccessible à nos modèles, s'alignant parfaitement sur l'exigence de l'EO de tests de sûreté rigoureux et de « red teaming ». ³³

6.2 NIST AI Risk Management Framework (AI RMF 1.0)

Le NIST AI RMF est l'étalon-or de la gouvernance civile de l'IA aux États-Unis. Il met l'accent sur quatre fonctions : cartographier, mesurer, gérer et gouverner . ³⁴

●​ Profil d'IA générative (NIST.AI.600-1) : ce profil spécifique identifie l'« information CBRN » comme un risque unique exacerbé par l'IA générative. ³⁶ Il avertit que les « Chemical and Biological Design Tools (BDTs) » peuvent prédire des structures inédites absentes des données d'entraînement.

●​ Alignement Veriprajna :

○​ Mesurer : notre usage de l'analyse topologique des données (TDA) fournit des métriques quantitatives d'incertitude épistémique — mesurant à quel point une sortie générée est « loin » des données sûres connues. Cela satisfait l'exigence NIST de mesure rigoureuse de la fiabilité du système.

○​ Gérer : les contraintes latentes fournissent un mécanisme technique de gestion du risque supérieur aux tentatives fondées sur la politique. Nous passons de la « politique comme documentation » à la « politique comme code » (ou plutôt, « politique comme géométrie »).

6.3 ISO/IEC 42001:2023

L'ISO 42001 est la première norme internationale de système de management de l'IA au monde, fournissant un cadre certifiable de gouvernance de l'IA. ³⁸

●​ Exigence centrale : la norme impose « sûreté et usage éthique » et « robustesse et résilience » face aux attaques adversariales. Elle exige des organisations qu'elles réalisent des évaluations d'impact de l'IA et mettent en œuvre des contrôles pour atténuer les risques identifiés.

●​ Robustesse adversariale : l'ISO 42001 souligne spécifiquement le besoin de se défendre contre des entrées conçues pour manipuler le comportement du modèle (comme le SMILES-prompting). La défense par la variété de Veriprajna traite explicitement cela en rejetant les entrées qui produisent des vecteurs latents hors de la variété de données valide, neutralisant les tentatives de « jailbreak » qui s'appuient sur des prompts hors distribution. ⁴⁰

●​ Certification : l'approche structurée de Veriprajna permet des pistes d'audit claires. Nous pouvons consigner non seulement les sorties, mais les violations de contraintes tentées par le modèle pendant le processus de génération, fournissant aux auditeurs des données granulaires sur la performance de sûreté du système. ⁴¹

7. Stratégie de mise en œuvre : le protocole de « solution profonde »

Veriprajna se positionne non comme un vendeur de chatbots, mais comme un architecte d'infrastructure d'IA sûre, spécifique au domaine. Notre stratégie de mise en œuvre pour les clients suit un protocole de « solution profonde » en quatre phases, conçu pour transformer leur IA d'un wrapper risqué en un moteur de découverte gouverné.

Phase 1 : cartographie de variété et audit topologique

Avant de déployer tout modèle génératif, nous réalisons un audit topologique des données propriétaires du client et des données publiques pertinentes (p. ex. ChEMBL, Tox21).

●​ Objectif : définir la « variété d'exploitation sûre ».

●​ Technique : utiliser l'homologie persistante pour identifier les traits topologiques (boucles, vides) des régions sûres vs. toxiques.

●​ Livrable : une « carte de topologie de sûreté » qui visualise les frontières de l'espace latent et identifie les « trous » potentiels où le modèle pourrait halluciner ou être attaqué.

Phase 2 : entraînement des contraintes latentes (les « critiques »)

Nous ne nous contentons pas de fine-tuner le modèle de base (ce qui risque un oubli catastrophique). Au lieu de cela, nous entraînons des réseaux auxiliaires légers appelés critiques de contrainte .

●​ Technique : apprentissage a posteriori de fonctions de valeur ($v(z)$) qui prédisent des scores de risque à partir d' embeddings latents. ²³

●​ Architecture : ces critiques sont découplés du générateur. C'est un avantage architectural crucial : à mesure que de nouvelles menaces sont identifiées (p. ex. une nouvelle classe d'armes chimiques), nous pouvons mettre à jour le critique sans réentraîner le modèle de fondation massif, assurant agilité et sécurité à jour.

Phase 3 : intégration de l'échantillonnage contraint et du guidage

Nous intégrons les critiques de contrainte directement dans le pipeline d'inférence du client.

●​ Mécanisme : pendant la génération, nous utilisons la dynamique de Langevin ou le guidage par gradient .

●​ Processus : tandis que le modèle échantillonne l'espace latent pour générer une molécule, le critique calcule le gradient de la surface de toxicité. Si la trajectoire se dirige vers une région toxique, le mécanisme de guidage applique un gradient opposé, « poussant » la trajectoire vers la variété sûre.

●​ Résultat : le modèle « pense » effectivement à une molécule toxique mais est mathématiquement forcé de « résoudre » cette pensée en un analogue sûr avant qu'aucune sortie ne soit générée.

Phase 4 : red teaming moléculaire et soutien à la certification ISO

Nous soumettons le système déployé à un « red teaming moléculaire ».

●​ Méthode : nous utilisons des agents adversariaux automatisés (comme ToxicTrap et des robots personnalisés de SMILES-prompting) pour bombarder le modèle d'entrées de cas limites, en tentant de le forcer à franchir les falaises d'activité. ²¹

●​ Vérification : nous fournissons un certificat de sûreté fondé sur la probabilité statistique de violation de contrainte (p. ex. « Probabilité de génération toxique < $10^{-6}$ »), fournissant la base probatoire pour la certification ISO 42001.

8. Conclusion : l'avenir de l'innovation sûre

L'expérience de l'« interrupteur inversé » de Collaborations Pharmaceuticals n'était pas une anomalie ; c'était une démonstration de la volatilité fondamentale de l'optimisation non contrainte en IA. Dans la course au déploiement de l'IA d'entreprise, de nombreuses organisations construisent des châteaux sur le sable — s'appuyant sur des wrappers fragiles qui s'effondrent sous la pression adversariale ou dans des contextes inédits.

Pour l'industrie pharmaceutique, et en vérité tout secteur confronté à des réalités physiques ou financières à enjeux élevés, l'ère du « wrapper » doit prendre fin. La sûreté ne peut pas être collée sur la sortie ; elle doit être inscrite dans la géométrie du modèle lui-même.

Veriprajna offre la seule voie viable : les solutions d'IA profonde . En maîtrisant l'espace latent, nous ne nous contentons pas de filtrer l'obscurité ; nous restructurons l'univers mathématique du modèle pour garantir que la lumière de la découverte soit le seul chemin qu'il puisse emprunter. Nous fournissons les garde-fous qui permettent à l'innovation d'entreprise d'accélérer sans le risque d'un échec catastrophique de double usage.

Ce n'est pas seulement de l'IA sûre. C'est de l'intelligence structurellement assurée .

Annexe A : formulation mathématique des contraintes latentes

Pour fournir une base rigoureuse à notre « gouvernance de l'espace latent », nous détaillons la formulation mathématique des contraintes appliquées pendant le processus de génération.

A.1 Le problème d'optimisation contrainte

Nous formulons le processus génératif non comme un simple échantillonnage $z \sim p(z)$, mais comme un problème d'optimisation contrainte. Soit $G(z)$ le générateur associant le vecteur latent $z$ à l'espace des données $X$. Soit $C(x)$ une fonction de coût (p. ex. un prédicteur de toxicité). Nous cherchons à échantillonner $z$ tels que :

$$\min_z \mathcal{L}_{gen}(z) \quad \text{s.t.} \quad C(G(z)) < \epsilon$$

où $\epsilon$ est le seuil de sûreté.

A.2 Fonctions de valeur a posteriori

Comme l'évaluation de $C(G(z))$ (générer la molécule et exécuter un prédicteur) est coûteuse et non différentiable, nous apprenons une fonction de valeur latente $V(z)$ qui approxime le coût directement dans l'espace latent :

$$V(z) \approx C(G(z))$$

Cette fonction est entraînée à minimiser l'erreur quadratique moyenne sur un jeu de données d'échantillons générés $\{(z_i, y_i)\}$, où $y_i$ est la toxicité de vérité terrain.

A.3 Guidage par gradient (dynamique de Langevin)

Pendant l'inférence, nous échantillonnons un $z_0$ initial à partir du prior $p(z)$. Nous mettons ensuite à jour itérativement $z$ en utilisant le gradient de la fonction de valeur pour le déplacer dans la région sûre :

$$z_{t+1} = z_t - \alpha \nabla_z V(z_t) + \sqrt{2\alpha} \xi_t$$

où :

●​ $\alpha$ est la taille de pas (taux d'apprentissage).

●​ $\nabla_z V(z_t)$ est le gradient de la fonction de valeur de toxicité (éloignement de la toxicité).

●​ $\xi_t \sim \mathcal{N}(0, I)$ est un bruit gaussien ajouté pour maintenir la diversité (bruit de Langevin). ²³

Ce processus garantit que le $z$ échantillonné final se situe dans la variété sûre définie par $V(z) < \epsilon$ avant que le générateur $G(z)$ ne soit jamais appelé à produire la molécule finale.

Annexe B : analyse détaillée des cadres réglementaires

B.1 NIST AI RMF 1.0 et profil GenAI

Clause pertinente : NIST.AI.600-1 (Generative AI Profile)

●​ Risque 2.1 : information ou capacités CBRN. « Lowered barriers to entry... access to materially nefarious information... design tools (BDTs) may predict novel structures. »

●​ Action Veriprajna : nous traitons explicitement le risque de « structure inédite » via la TDA. En définissant la sûreté de façon topologique, nous ne nous appuyons pas sur une liste de « mauvais connus » (qui échoue pour des structures inédites) mais sur la « forme des biens connus ».

B.2 ISO/IEC 42001:2023

Clause pertinente : A.9.2 (AI System Safety)

●​ Exigence : « The organization shall implement controls to ensure AI systems act safely... taking into account the need for fallback plans. »

●​ Action Veriprajna : notre mécanisme d'incitation adaptatif sert de repli. Si le guidage par gradient primaire échoue (p. ex. le gradient s'annule), le système bascule vers un « centroïde » sûr dans l'espace latent plutôt que de produire l'échantillon brut.

Clause pertinente : A.10.3 (Adversarial Attacks)

●​ Exigence : « The organization shall assess the vulnerability... to adversarial attacks. »

●​ Action Veriprajna : nous fournissons un « rapport de red teaming » comme livrable standard, quantifiant la résistance du système aux attaques ToxicTrap et SMILES-prompting. ²¹

Ouvrages cités

1. AI Can Create Deadly Weapons? Scientists Sound Alarm! | WION Podcast YouTube, consulté le 11 décembre 2025, https://www.youtube.com/watch?v=oedheh87lnI

2. Artificial intelligence finds 40,000 toxic molecules - Digitec, consulté le 11 décembre 2025, https://www.digitec.ch/en/page/artificial-intelligence-finds-40000-toxic-molecules-23192

3. Artificial intelligence could be repurposed to create new biochemical weapons | King's College London, consulté le 11 décembre 2025, https://www.kcl.ac.uk/news/artificial-intelligence-could-be-repurposed-to-create-new-biochemical-weapons

4. Meet the harmful side of AI, as lethal as chemical weapons - IndiaAI, consulté le 11 décembre 2025, https://indiaai.gov.in/article/meet-the-harmful-side-of-ai-as-lethal-as-chemical-weapons

5. (PDF) MegaSyn: Integrating Generative Molecular Design ..., consulté le 11 décembre 2025, https://www.researchgate.net/publication/360904282_MegaSyn_Integrating_Generative_Molecular_Design_Automated_Analog_Designer_and_Synthetic_Viability_Prediction

6. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction | ACS Omega - ACS Publications, consulté le 11 décembre 2025, https://pubs.acs.org/doi/10.1021/acsomega.2c01404

7. Well, I never: AI is very proficient at designing nerve agents | John Naughton | The Guardian, consulté le 11 décembre 2025, https://www.theguardian.com/commentisfree/2023/feb/11/ai-drug-discover-nerve-agents-machine-learning-halicin

8. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction - PMC - PubMed Central, consulté le 11 décembre 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC9178760/

9. Dual Use of Artificial Intelligence-powered Drug Discovery - PMC - NIH, consulté le 11 décembre 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC9544280/

10. Chemical & Biological Weapons and Artificial Intelligence: Problem Analysis and US Policy Recommendations, consulté le 11 décembre 2025, https://futureoflife.org/document/chemical-biological-weapons-and-artificial-intelligence-problem-analysis-and-us-policy-recommendations/

11. Involuntary Jailbreak - arXiv, consulté le 11 décembre 2025, https://arxiv.org/html/2508.13246v1

12. Mitigating Risks at the Intersection of Artificial Intelligence and Chemical and Biological Weapons | RAND, consulté le 11 décembre 2025, https://www.rand.org/pubs/research_reports/RRA2990-1.html

13. LLMs in Research: the Good, the Bad, and the Future | Enable Medicine, consulté le 11 décembre 2025, https://www.enablemedicine.com/blog/llms-in-research-the-good-the-bad-and-the-future

14. Are large language models right for scientific research? - CAS.org, consulté le 11 décembre 2025, https://www.cas.org/resources/cas-insights/are-large-language-models-right-scientific-research

15. How do you implement LLM guardrails to prevent toxic outputs? - Zilliz Vector Database, consulté le 11 décembre 2025, https://zilliz.com/ai-faq/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

16. How do you implement LLM guardrails to prevent toxic outputs? - Milvus, consulté le 11 décembre 2025, https://milvus.io/ai-quick-reference/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

17. MaskMol: knowledge-guided molecular image pre-training framework for activity cliffs with pixel masking - NIH, consulté le 11 décembre 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC12462177/

18. Recent Progress in Understanding Activity Cliffs and Their Utility in Medicinal Chemistry, consulté le 11 décembre 2025, https://www.researchgate.net/publication/256187970_Recent_Progress_in_Understanding_Activity_Clifs_and_Their_Utility_in_Medicinal_Chemistry f

19. DeepAC – conditional transformer-based chemical language model for the prediction of activity cliffs formed by bioactive compounds - RSC Publishing, consulté le 11 décembre 2025, https://pubs.rsc.org/en/content/articlehtml/2022/dd/d2dd00077f

20. Breaking the Rules with Chemistry: Understanding SMILES-Prompting LLM Jailbreak Attack, consulté le 11 décembre 2025, https://www.keysight.com/blogs/en/tech/nwvs/2025/06/12/smiles-prompting-jailbreak-attack

21. SMILES-Prompting: A Novel Approach to LLM Jailbreak Attacks in Chemical Synthesis, consulté le 11 décembre 2025, https://arxiv.org/html/2410.15641v1

22. Towards Building a Robust Toxicity Predictor - arXiv, consulté le 11 décembre 2025, https://arxiv.org/html/2404.08690v1

23. LATENT CONSTRAINTS: LEARNING TO GENERATE CONDITIONALLY FROM UNCONDITIONAL GENERATIVE MODELS - IA, consulté le 11 décembre 2025, https://webia.lip6.fr/~briot/cours/unirio3/Projects/Papers/Latent%20Constraints%20Learning%20to%20Generate%20Conditionally%20from%20Unconditional%20Generative%20Models.pdf

24. Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - Google Research, consulté le 11 décembre 2025, https://research.google/pubs/latent-constraints-learning-to-generate-conditionally-from-unconditional-generative-models/

25. Manifold-driven decomposition for adversarial robustness - NSF Public Access Repository, consulté le 11 décembre 2025, https://par.nsf.gov/biblio/10568356-manifold-driven-decomposition-adversarial-robustness

26. On the Need for Topology-Aware Generative Models for Manifold-Based Defenses - Liner, consulté le 11 décembre 2025, https://liner.com/review/on-the-need-for-topologyaware-generative-models-for-manifoldbased-defenses

27. Activity cliff-aware reinforcement learning for de novo drug design - PMC PubMed Central, consulté le 11 décembre 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC12013064/

28. [1711.05772] Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - arXiv, consulté le 11 décembre 2025, https://arxiv.org/abs/1711.05772

29. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning, consulté le 11 décembre 2025, https://arxiv.org/html/2509.09208v1

30. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning - IJCAI, consulté le 11 décembre 2025, https://www.ijcai.org/proceedings/2025/0592.pdf

31. Fact Sheet: President Donald J. Trump Unveils the Genesis Mission to Accelerate AI for Scientific Discovery - The White House, consulté le 11 décembre 2025, https://www.whitehouse.gov/fact-sheets/2025/11/fact-sheet-president-donald-j-trump-unveils-the-genesis-missionto-accelerate-ai-for-scientific-discovery/

32. Launching the Genesis Mission - The White House, consulté le 11 décembre 2025, https://www.whitehouse.gov/presidential-actions/2025/11/launching-the-genesis-mission/

33. White House Launches 'Genesis Mission' to Accelerate AI-Enabled Scientific Discovery, consulté le 11 décembre 2025, https://www.morganlewis.com/pubs/2025/12/white-house-launches-genesis-mission-to-accelerate-ai-enabled-scientific-discovery

34. NIST AI RMF - ModelOp, consulté le 11 décembre 2025, https://www.modelop.com/ai-governance/ai-regulations-standards/nist-ai-rmf

35. Navigating the NIST AI Risk Management Framework - Hyperproof, consulté le 11 décembre 2025, https://hyperproof.io/navigating-the-nist-ai-risk-management-framework/

36. NIST AI 6001, Artificial Intelligence Risk Management Framework - Johns Hopkins Center for Health Security, consulté le 11 décembre 2025, https://centerforhealthsecurity.org/sites/default/files/2024-06/2024-06-02-jhchs-nist-ai-6001-rfc.pdf

37. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile - NIST Technical Series Publications, consulté le 11 décembre 2025, https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf

38. Understanding ISO 42001 and Demonstrating Compliance - ISMS.online, consulté le 11 décembre 2025, https://www.isms.online/iso-42001/

39. ISO/IEC 42001 Certification: AI Management System - DNV, consulté le 11 décembre 2025, https://www.dnv.com/services/iso-iec-42001-artificial-intelligence-ai--250876/

40. ISO 42001 - Promptfoo, consulté le 11 décembre 2025, https://www.promptoo.dev/docs/red-team/iso-42001/ f

41. ISO 42001: paving the way for ethical AI | EY - US, consulté le 11 décembre 2025, https://www.ey.com/en_us/insights/ai/iso-42001-paving-the-way-for-ethical-ai