La formule du point de bascule de l’IA de George Washington alerte avant que les chatbots ne deviennent dangereux

Des physiciens de la George Washington University ont proposé une formule sans paramètre qui avertit lorsqu’un chatbot approche d’un changement vers des réponses nuisibles. Le modèle du point de bascule de l’IA de George Washington présente certains échecs comme des changements prévisibles à l’intérieur d’un transformer, plutôt que comme des défaillances aléatoires détectées uniquement après la génération.

Neil F. Johnson et Frank Yingjie Huo ont testé ce cadre sur sept modèles à poids ouverts comptant entre 124 millions et 12 milliards de paramètres. Leur affirmation centrale est frappante, mais limitée. L’historique de conversation peut rapprocher un modèle d’un seuil interne à partir duquel une réponse indésirable devient plus probable que celle attendue.

Cela ne revient pas à prédire quand ChatGPT, Claude ou un autre assistant commercial va « dérailler ». Les expériences ont utilisé des modèles de recherche plus petits, notamment des variantes de GPT-2, Pythia et OPT. Les assistants modernes ajoutent l’ajustement par instructions, l’apprentissage par renforcement, des politiques de refus, des classifieurs et une surveillance côté serveur que cette théorie simplifiée ne représente pas pleinement.

Le véritable enjeu n’oppose donc pas la physique à la sécurité de l’IA. Il s’agit d’alertes internes précoces face à des garde-fous qui évaluent principalement les prompts et les sorties finalisées. Si la formule se transpose aux systèmes actuels, les développeurs pourraient détecter une trajectoire dangereuse avant l’apparition du premier token nuisible. Dans le cas contraire, le résultat reste un modèle instructif d’un mécanisme de défaillance, plutôt qu’une alarme déployable.

La formule considère les sorties nuisibles comme un événement de bascule

Le principal changement apporté par l’étude est temporel : elle cherche à savoir quand une sortie franchira le seuil d’un régime indésirable, et non simplement si une réponse terminée est dangereuse.

Johnson et Huo ont publié leur étude, « Competition for attention », en ligne dans Patterns le 8 octobre 2026. L’article décrit une expression analytique pour un point de transition, noté n*, après lequel un schéma de sortie indésirable dépasse un schéma souhaitable.

Une expression analytique est une formule mathématique directe, plutôt qu’une prédiction produite par simulations répétées. Les auteurs indiquent que leur équation n’utilise aucun paramètre libre ajusté. Elle déduit la transition à partir des relations entre les vecteurs représentant le prompt, la sortie souhaitable et la sortie indésirable.

Le modèle commence par l’attention, le mécanisme des transformers qui pondère les tokens antérieurs lors de la génération du token suivant. Chaque tête d’attention compare des représentations vectorielles à l’aide de produits scalaires. Un produit scalaire plus élevé signifie qu’un élément du contexte exerce une influence plus forte sur l’étape suivante du modèle.

Les chercheurs décrivent des groupes de sorties apparentées comme des bassins. Un bassin souhaitable peut représenter des continuations exactes, sûres ou pertinentes. Un bassin indésirable peut contenir des continuations trompeuses, nuisibles ou hors sujet. Ces étiquettes dépendent de l’application et ne constituent pas des catégories morales universelles.

À mesure que la génération progresse, le modèle ajoute sa propre sortie au contexte de conversation. Chaque nouveau token peut donc modifier l’équilibre entre les bassins concurrents. Une séquence apparemment sûre peut accumuler des changements internes jusqu’à ce que le bassin indésirable remporte la compétition pour le token suivant.

La formule estime à quel moment ce franchissement de niveau survient. Dans le cadre simplifié de l’article, elle distingue également le basculement immédiat du basculement différé. Certaines configurations de prompts et de sorties commencent du mauvais côté du seuil, produisant une réponse indésirable sans introduction sûre.

Ce cadre est important, car de nombreux outils de sécurité examinent une requête initiale, classifient une réponse achevée ou testent un modèle contre des attaques connues. Ces méthodes peuvent repérer des contenus nuisibles. Elles ne révèlent pas nécessairement une marge interne qui se réduit pendant qu’une réponse est encore générée.

Les auteurs proposent de surveiller une marge de sécurité d’écart d’énergie, une mesure inspirée de la physique de la séparation entre des états de sortie concurrents. Un système pourrait intervenir lorsque cet écart devient trop faible. Parmi les réponses possibles figurent l’arrêt de la génération, la modification des paramètres de décodage, la demande de clarification ou le transfert du contrôle à une couche de sécurité plus robuste.

Le résumé de recherche de la George Washington University fait état de preuves du comportement prédit dans les sept modèles testés. Cette étendue soutient l’existence d’un mécanisme récurrent dans les transformers décodeurs uniquement. Elle n’établit pas une fiabilité universelle entre les familles de modèles, les applications ou les piles de sécurité modernes.

L’interprétation la plus utile est donc précise. La formule identifie une voie mathématiquement exploitable menant d’un texte souhaitable à un texte indésirable. Elle fournit aux chercheurs une hypothèse qu’ils peuvent examiner avant qu’un dommage ne survienne, plutôt qu’une étiquette supplémentaire ajoutée après l’échec de la réponse.

Pourquoi l’ordre de la conversation modifie l’alerte

Le point de bascule de l’IA de George Washington dépend du contexte accumulé ; réorganiser les mêmes questions peut donc modifier le moment où un modèle franchit le seuil prédit.

Un chatbot ne traite pas chaque message utilisateur isolément. Il se conditionne à plusieurs reprises sur la conversation disponible, y compris les questions antérieures et ses propres mots générés. L’ordre des prompts devient ainsi une partie de l’état effectif du système.

Johnson et Huo ont illustré cette sensibilité avec des prompts portant sur les vaccins, l’automutilation et les dommages envers autrui. D’après l’expérience rapportée, placer une question sur les vaccins en premier produisait des réponses souhaitables de GPT-2. Déplacer cette question à la fin engendrait ensuite des sorties préoccupantes.

Cet exemple ne doit pas être considéré comme une évaluation clinique de sécurité. GPT-2 est un modèle de langage de base publié avant les assistants actuels ajustés par instructions. Il ne dispose pas de l’ensemble des systèmes d’alignement et de modération que les utilisateurs attendent désormais des chatbots grand public.

Il démontre toutefois le mécanisme proposé. Un prompt ajoute des vecteurs au contexte, et ces vecteurs influencent l’attention attribuée lors de la génération ultérieure. Modifier leur ordre change la trajectoire interne, même lorsque la conversation contient des mots similaires.

Cet effet complique aussi la conception conventionnelle des benchmarks. Un test de sécurité présente souvent un seul prompt à une session de modèle vierge. Les conversations réelles contiennent des corrections, des questions de suivi, des documents copiés, des résumés produits par l’assistant et des suggestions partiellement acceptées. Ces éléments peuvent orienter les représentations internes dans des directions qu’un benchmark à un seul tour ne mesure jamais.

Cette préoccupation devient plus importante dans les flux de travail d’agents de longue durée. Un agent d’IA peut lire des e-mails, produire des plans, examiner des documents, appeler des outils et intégrer ses conclusions antérieures. Une dérive subtile peut se renforcer, car les décisions ultérieures dépendent du contexte généré, et pas uniquement des instructions originales de l’utilisateur.

La même dynamique peut apparaître sans prompt malveillant. Un clinicien peut poser des questions de plus en plus précises sur un cas difficile. Un avocat pourrait affiner une interprétation contestée en plusieurs tours. Un analyste pourrait remettre à plusieurs reprises en question une hypothèse financière. Chaque échange modifie le contexte qui oriente les sorties ultérieures.

Cela ne signifie pas que les longues conversations deviennent inévitablement dangereuses. L’article propose un mécanisme conditionnel, et non un compte à rebours associé à chaque chat. Le seuil dépend de la géométrie entre le prompt et les bassins de réponses concurrents.

La composition du prompt peut également déplacer le seuil dans une direction plus sûre. Des contraintes claires, des preuves pertinentes et le rejet explicite d’hypothèses dangereuses peuvent accroître la séparation avec un bassin indésirable. Toutefois, la conception des prompts seule constituerait une défense fragile, car les utilisateurs ne peuvent pas observer la marge interne du modèle.

La leçon plus large est que la sécurité concerne l’ensemble de l’état de l’interaction. Les développeurs ont besoin d’évaluations qui préservent les historiques de conversation, font varier l’ordre des prompts et vérifient si des réponses initiales sûres créent une fausse impression de confiance. Un système qui réussit des prompts isolés peut néanmoins échouer après que le contexte accumulé a modifié son équilibre interne.

C’est également là que les flux de travail fondés sur les connaissances personnelles nécessitent des limites soigneusement définies. Connecter un assistant à une base de connaissances personnelle peut améliorer l’accès aux preuves pertinentes. Cela ne garantit pas que chaque conclusion générée reste fidèle à ces preuves au cours d’un long échange.

La version la plus solide de la proposition des chercheurs surveillerait directement ce mouvement. Au lieu de demander aux utilisateurs de deviner quel ordre est sûr, le modèle indiquerait lorsque sa compétition pour le token suivant s’approche d’une limite de danger définie pour le déploiement.

La sécurité de l’IA passe des filtres de sortie aux signaux internes

Un système d’alerte interne pousserait les développeurs à défendre le processus de génération lui-même, plutôt que de s’appuyer uniquement sur des filtres qui l’entourent.

Les systèmes actuels de sécurité de l’IA utilisent plusieurs couches. L’entraînement peut récompenser les refus utiles et réduire les comportements nuisibles. Les classifieurs d’entrée peuvent bloquer les requêtes interdites. Les filtres de sortie peuvent analyser le texte généré. Les prompts système peuvent établir des règles de comportement, tandis que la révision humaine peut traiter les cas à haut risque.

Ces contrôles ont une valeur pratique, et la nouvelle étude ne démontre pas qu’ils sont inefficaces. Les auteurs soutiennent plutôt qu’ils traitent souvent les symptômes autour du modèle sans expliquer la transition interne qui les produit.

Le cadre du point de bascule de l’IA de George Washington s’inscrit dans un domaine plus large appelé interprétabilité mécaniste. Cette recherche cherche à relier les activations, caractéristiques ou circuits internes à des comportements de modèle reconnaissables. Son objectif est plus précis que de demander à un modèle de s’expliquer en langage naturel.

La formule adopte une approche inhabituellement condensée. Elle réduit un vaste transformer à une compétition au sein d’une tête d’attention effective, puis associe cette compétition à un système thermique à spins multiples. En physique, ces modèles simplifiés peuvent révéler des comportements collectifs sans représenter séparément chaque composant.

Un article antérieur des mêmes chercheurs, « Simple picture », a développé une analyse étroitement liée des basculements de sorties bonnes vers mauvaises. Ces travaux ont rapporté des tests sur six modèles à poids ouverts à décodeur uniquement, issus de trois familles entraînées indépendamment.

L’analyse antérieure a constaté que les différences entre les produits scalaires concurrents augmentaient jusqu’à 617 fois entre la première et l’avant-dernière couche. Les auteurs y ont vu la preuve que le traitement multicouche peut amplifier le mécanisme à une seule tête, plutôt que de l’atténuer.

Leur nouvelle étude dans Patterns étend la gamme de modèles jusqu’à Pythia-12B et met l’accent sur la prédiction, le contrôle et le déploiement en périphérie. Ensemble, les deux articles présentent un programme de recherche plutôt qu’une démonstration isolée.

Cette approche diffère d’un classifieur de sécurité entraîné. Un classifieur a besoin d’exemples et peut hériter des lacunes de ses données d’entraînement. La formule de bascule s’appuie plutôt sur des relations déjà présentes dans les représentations internes du modèle.

Cette distinction pourrait compter pour des risques encore inconnus. Un filtre de contenu peut reconnaître des catégories connues, comme les instructions d’automutilation ou la fabrication d’armes. Une marge interne pourrait, en principe, avertir dans un nouveau domaine dès lors que les développeurs définissent des bassins souhaitables et indésirables concurrents.

Cependant, quelqu’un doit toujours définir ces bassins. Exactitude ou inexactitude, sûreté ou dangerosité, pertinence ou absence de pertinence ne sont pas interchangeables. Un déploiement médical peut exiger des limites différentes de celles d’un outil d’écriture créative ou d’un système de planification militaire.

Les différences culturelles et juridiques ajoutent un autre défi. Une réponse jugée inacceptable dans une application réglementée peut être autorisée dans une autre. Les mathématiques peuvent accepter des définitions propres à chaque application, mais la gouvernance détermine toujours ce que représentent les vecteurs surveillés.

Les développeurs commerciaux auraient également besoin d’un accès efficace aux états internes. Les systèmes fermés n’exposent généralement pas les têtes d’attention ni les activations du flux résiduel à leurs clients. Les fournisseurs devraient implémenter eux-mêmes le moniteur, autoriser des audits de confiance ou proposer des données de télémétrie de sécurité par des interfaces contrôlées.

Si ces étapes sont franchies, les avertissements internes pourraient compléter les contrôles existants. Un classificateur de prompts filtrerait la demande, l’alignement façonnerait le comportement probable, et le moniteur de basculement suivrait la trajectoire. Un classificateur de sortie resterait une vérification finale plutôt que la seule alarme visible.

L’IA embarquée augmente les enjeux et expose le maillon le plus faible

Les modèles hors ligne rendent le système d’alerte proposé plus pertinent, car ils peuvent perdre les contrôles centralisés qui compensent les comportements incertains des modèles.

L’IA embarquée consiste à exécuter l’inférence sur un téléphone, un ordinateur portable, un véhicule, un appareil domestique ou un serveur local, plutôt que d’envoyer chaque demande à un service cloud. Elle offre une latence plus faible, une disponibilité hors ligne et un meilleur contrôle des données sensibles.

Ces avantages encouragent les déploiements dans la médecine, le droit, la finance, la défense et les opérations d’entreprise. Ils suppriment aussi certaines protections disponibles pour les services centralisés. Un modèle local peut ne pas recevoir les filtres mis à jour, le renseignement sur les menaces, les changements de politique ou la surveillance continue du fournisseur.

Les chercheurs soulignent que le matériel capable d’exécuter des modèles de langage est déjà largement répandu. Leur expérience n’a toutefois pas évalué un téléphone particulier ni affirmé que GPT-2 représente les assistants actuels fonctionnant sur appareil. L’argument en faveur de l’edge met en évidence un besoin de sécurité, tandis que les tests sur les modèles examinent un mécanisme plus circonscrit.

Le déploiement local modifie également les responsabilités. Un fournisseur cloud peut mettre à jour les règles de modération dans l’ensemble de son service. Une organisation qui exécute des poids téléchargés doit maintenir son propre processus d’évaluation, sa version de modèle, sa politique de journalisation et sa réponse aux incidents.

Un moniteur mathématique léger serait attrayant dans cet environnement. Il pourrait fonctionner aux côtés d’un modèle relativement modeste sans nécessiter un deuxième grand modèle pour évaluer chaque réponse. Il pourrait aussi fonctionner sans envoyer de conversations privées vers un point de terminaison de modération externe.

Le coût n’est qu’un élément à considérer. Les utilisateurs sensibles à la confidentialité peuvent rejeter une couche de sécurité cloud, car elle transmet précisément les informations qu’ils ont déplacées sur l’appareil afin de les protéger. Un calcul interne fondé sur des états cachés locaux pourrait préserver cette frontière hors ligne.

Le défi pratique est l’étalonnage. Un avertissement qui se déclenche constamment sera ignoré ou désactivé. Un avertissement qui s’active trop tard offre peu d’avantages par rapport à un filtre de sortie. Les développeurs ont besoin de preuves que la marge correspond à de véritables défaillances avec des températures, des longueurs de conversation et des tâches réalistes.

Les actions à entreprendre après une alerte doivent aussi être conçues. Interrompre sans explication une réponse médicale ou juridique peut frustrer les utilisateurs. La réécrire silencieusement peut dissimuler l’incertitude. Une interface plus sûre pourrait identifier la section instable, récupérer des éléments probants et demander à une personne de vérifier la recommandation.

Les travailleurs du savoir devraient appliquer le même principe, même sans accès aux signaux internes. Les affirmations à fort enjeu doivent rester reliées à leurs sources. Les équipes peuvent préserver des preuves locales grâce à une base de connaissances consultable, puis vérifier la réponse générée par rapport à ces documents.

Ce flux de travail ne détecte pas le point de basculement mathématique. Il limite les dommages en rendant les affirmations auditables et en décourageant l’acceptation aveugle d’un texte fluide.

Le marché de l’edge inclut également des modèles à poids ouverts modifiés par des tiers. La quantification, le fine-tuning, les adaptateurs et les prompts système modifiés peuvent changer la géométrie interne. Un moniteur étalonné sur le checkpoint d’origine peut ne plus rester valide après ces changements.

Pour cette raison, la formule devrait être testée dans le cadre de chaque pipeline de déploiement. Les organisations devraient évaluer le modèle réel, le format de compression, les prompts et les paramètres de décodage qu’elles prévoient d’utiliser. Un résultat de sécurité associé uniquement au modèle de base ne peut couvrir tous les systèmes dérivés.

Les preuves ne couvrent pas encore les assistants de pointe

L’incertitude centrale concerne le transfert : la formule fonctionne bien dans une famille contrôlée de modèles ouverts, mais cela ne prouve pas des performances équivalentes dans les assistants commerciaux actuels.

Les systèmes testés vont de GPT-2 et GPT-2-medium à Pythia et à la famille OPT de Meta. Ces modèles décodeur uniquement partagent une mécanique de transformeur fondamentale avec les systèmes plus récents. Ils restent néanmoins bien plus petits et moins largement alignés que les assistants de premier plan.

Wei Xing, chargé de cours en IA à l’Université de Sheffield et non impliqué dans la recherche, a comparé cette réduction au fait d’expliquer une voiture à partir d’une seule bougie d’allumage. Sa critique vise l’écart entre un modèle de composant éclairant et le comportement de la machine complète.

Les assistants modernes combinent de nombreux mécanismes absents de cette présentation simplifiée. L’apprentissage par renforcement à partir de retours humains modifie les préférences de sortie. L’optimisation directe des préférences remodèle le comportement du modèle à partir de réponses choisies et rejetées. Certains systèmes utilisent des modèles de politique distincts, des classificateurs externes ou des processus de raisonnement cachés.

L’article reconnaît que l’alignement peut modifier la géométrie entre les bassins. Il pourrait retarder le basculement ou empêcher une paire prompt-bassin spécifique de franchir le seuil. Les auteurs soutiennent que l’alignement ne supprime pas la concurrence des produits scalaires au sein même de l’attention.

Les deux affirmations peuvent être vraies. Le mécanisme peut rester présent tandis que sa valeur prédictive pratique change considérablement. Chaque personne en bonne santé a un pouls, mais mesurer un seul battement ne révèle pas tous les risques médicaux.

La conception de l’évaluation soulève une autre question. Les chercheurs ont construit des bassins désirables et indésirables dans l’espace d’incorporation, puis comparé les régimes de changement de sortie prédits et observés. C’est utile pour tester la théorie à partir de définitions connues. Le déploiement exige de définir ces bassins avant de rencontrer de nouvelles défaillances.

Les résumés publics font aussi état de décomptes de performances différents, car ils décrivent des analyses, des exclusions ou des versions de l’article différentes. Les lecteurs devraient donc s’appuyer sur les méthodes évaluées par les pairs et les documents supplémentaires, et non sur un pourcentage simplifié détaché de son dénominateur.

Les preuves publiées les plus solides soutiennent la classification des régimes dans les cas non ambigus. Elles n’établissent pas encore un étalonnage précis token par token pour des prompts non vus. L’article lui-même appelle à des benchmarks prospectifs plus vastes utilisant des bassins fixes et des entrées jamais rencontrées auparavant.

Les tests prospectifs sont importants, car ils empêchent les chercheurs d’ajuster les définitions après avoir vu la sortie. Une évaluation de sécurité convaincante établirait d’abord le bassin dangereux, le seuil et la règle d’intervention. Elle mesurerait ensuite les performances sur de nouvelles conversations.

Les faux positifs et les faux négatifs devraient être signalés séparément. Un faux positif interrompt une réponse sûre. Un faux négatif permet à la transition nuisible de se produire sans avertissement. Différents contextes attribueront des coûts très différents à ces erreurs.

La comparaison avec les références existantes est tout aussi importante. Les chercheurs devraient tester si la formule surpasse les sondes d’activation, les classificateurs de sortie, les estimations d’incertitude et la simple surveillance de la probabilité de refus. Une théorie compacte est précieuse, mais le déploiement dépend des performances relatives.

L’expression « devenir incontrôlable » risque aussi d’exagérer le résultat. L’étude porte sur des changements entre des schémas de sortie définis. Elle ne montre pas qu’une IA forme des objectifs indépendants, échappe au contrôle humain ou développe une intention malveillante.

Une réponse factuellement correcte peut tout de même appartenir à un bassin indésirable si elle encourage une action dangereuse. À l’inverse, une affirmation inexacte ne constitue pas toujours une violation de la sécurité. Le cadre est flexible, mais chaque résultat rapporté dépend de la manière dont les chercheurs opérationnalisent le « bon » et le « mauvais ».

La conclusion responsable est prometteuse, mais limitée. L’étude identifie une concurrence interne mesurable qui mérite des tests supplémentaires. Elle n’a pas produit de détecteur universel pour tous les comportements nuisibles dans tous les grands modèles de langage.

Trois tests détermineront l’importance du système d’alerte

La prochaine étape doit montrer que le point de basculement de l’IA George Washington prédit des défaillances non vues, résiste à l’alignement moderne et améliore les interventions réelles.

Le premier signal à surveiller est une réplication indépendante sur des modèles actuels ajustés pour suivre les instructions. Les chercheurs ont besoin d’accéder à des assistants récents à poids ouverts, avec des modèles de chat et un entraînement à la sécurité documentés. Les tests devraient inclure des conversations normales, des séquences adversariales, des contextes longs et des prompts multilingues.

Une réplication réussie renforcerait l’affirmation selon laquelle la formule saisit un comportement général des transformeurs. Un échec après l’ajustement aux instructions en limiterait la valeur aux modèles de base ou à certaines conditions expérimentales.

Le deuxième signal est la prédiction prospective. Les équipes devraient définir les bassins désirables et indésirables avant d’exécuter la conversation, puis publier la fréquence à laquelle le seuil prédit correspond au changement observé. Le test devrait conserver les cas ambigus plutôt que de ne rapporter qu’un sous-ensemble favorable.

Les résultats prospectifs doivent inclure la distance d’étalonnage. Prédire qu’une défaillance appartient à un régime immédiat ou différé est utile. La sécurité opérationnelle exige de savoir si le système fournit suffisamment de délai pour une intervention.

Le troisième signal est un moniteur fonctionnel au sein d’un déploiement edge. Un prototype crédible devrait calculer la marge pendant la génération, déclencher une réponse spécifiée et mesurer à quelle fréquence il prévient les dommages sans bloquer les réponses acceptables.

Cette intervention devrait être comparée à des solutions plus simples. Si un classificateur de sortie détecte les mêmes défaillances à un coût informatique inférieur et avec moins de fausses alertes, l’élégance mathématique offre une valeur opérationnelle limitée. Si le signal interne avertit plus tôt, il comble une véritable lacune.

Les développeurs devraient également tester le moniteur après quantification et fine-tuning. Ces modifications peuvent changer la géométrie vectorielle, même lorsque les capacités générales du modèle semblent similaires. Un réétalonnage fiable rendrait la méthode plus pratique pour les déploiements locaux.

Les chercheurs indépendants en sécurité auront besoin d’un accès suffisant aux états cachés et au code d’évaluation. L’accent mis par l’article sur les poids ouverts aide, mais la réplication devrait couvrir des laboratoires ayant des hypothèses différentes sur le contenu nuisible. Les benchmarks partagés doivent préserver l’ordre conversationnel central dans l’hypothèse.

Les régulateurs et les acheteurs en entreprise devraient éviter de considérer la formule comme un raccourci de certification. Une seule métrique interne ne peut établir qu’un modèle est sûr. Elle peut devenir un indicateur au sein d’un processus d’assurance à plusieurs niveaux, incluant les tests, la provenance, les contrôles d’accès et la supervision humaine.

Pour les utilisateurs d’IA, l’action immédiate est plus simple. Considérez une ouverture fluide comme la preuve d’une bonne lisibilité, et non d’une fiabilité continue. Conservez les sources à l’origine des affirmations importantes, examinez les longues conversations à la recherche de dérives et redémarrez ou resserrez le contexte lorsqu’un assistant commence à renforcer des prémisses non étayées.

Cette recherche remet utilement en question le flux de travail dominant : pourquoi attendre une phrase nuisible si un avertissement interne apparaît plus tôt ? La réponse dépend désormais de la validation. Il faudra surveiller les réplications sur des modèles de pointe, les benchmarks prospectifs et un prototype embarqué capable de prévenir des défaillances mesurables. Ces trois résultats montreront si ce modèle physique devient une couche de sécurité pratique ou reste une analogie de laboratoire éclairante.