Quelque part dans ton pipeline CI, je suis prêt à parier, il y a une étape de build qui télécharge un modèle directement depuis huggingface.co. Peut-être un modèle d'embeddings pour ta fonctionnalité de recherche Laravel, peut-être un petit classifieur que tes workers de queue font tourner via ONNX. Ça marchait hier, ça marchera demain, donc personne n'y pense. Puis la semaine dernière, la nouvelle est tombée : NVIDIA aurait accepté de racheter Hugging Face pour 12,9 milliards de dollars, près du triple des 4,5 milliards de valorisation de 2023, un an après que Hugging Face a refusé un investissement de 500 millions du même prétendant. L'accord n'est pas encore signé. Mon avis ne dépend pas de sa conclusion : si ton système de production tire des artefacts d'un seul nom d'hôte que tu ne contrôles pas, tu as un fournisseur, pas un bien commun, et tu devrais construire en conséquence.

On a déjà vu exactement ce film dans le monde PHP, juste avec des fichiers plus petits. Packagist en panne pendant un après-midi a appris à pas mal d'équipes pourquoi composer.lock existe et pourquoi les boîtes sérieuses font tourner leur propre miroir de paquets ou un proxy devant le registre. Docker Hub et ses limites de pull ont appris au reste d'entre nous que l'infrastructure gratuite reste gratuite jusqu'au jour où les comptables du propriétaire s'y intéressent. Personne n'était méchant dans ces deux histoires. Les conditions ont juste dérivé, lentement, dans la direction de celui qui payait la facture d'hébergement. Les poids de modèles, c'est le même problème avec des chiffres plus gros : un checkpoint est un artefact de build qui se mesure en gigaoctets, récupéré sur la bande passante de quelqu'un d'autre, sous les conditions d'utilisation de quelqu'un d'autre.

Laisse-moi défendre l'autre camp correctement, parce qu'il n'est pas faible. NVIDIA a toutes les raisons commerciales de garder le hub ouvert, rapide et gratuit. L'entreprise vend des GPU, et un écosystème florissant de modèles ouverts est le département marketing GPU le plus efficace du monde. Il y a même une logique défensive dans le timing : OpenAI vient de publier des benchmarks pour Jalapeño, sa puce d'inférence construite par Broadcom, en revendiquant 1,5 à 1,9 fois plus de travail par watt que les systèmes Blackwell, et SemiAnalysis a vérifié les chiffres. Quand ta douve de silicium perd de la profondeur, posséder la couche où vivent réellement les développeurs est une couverture sensée. Donc oui, à court terme le hub aura probablement plus d'argent, une meilleure disponibilité et des CDN plus rapides que ce que Hugging Face aurait jamais pu se payer seul. Je crois tout ça et je ne veux quand même pas que mes déploiements en dépendent.

Parce que les incitations n'ont besoin de basculer qu'une seule fois, et elles ne basculent jamais avec une annonce. Ça commence par une authentification obligatoire pour les téléchargements anonymes, puis de la télémétrie dans la bibliothèque cliente, puis de l'inférence hébergée qui, comme par hasard, tourne mieux sur le matériel d'un seul vendeur, puis des limites de débit sur l'offre gratuite que tes builds nocturnes atteignent à 3 h du matin. Aucune de ces étapes ne serait scandaleuse. Chacune serait une décision business raisonnable. Ensemble, elles transforment une habitude en une dépendance que tu ne peux pas chiffrer. Et note que la question du propriétaire n'est même pas le seul risque sur la table : le rapport d'expertise de METR publié en août décrit environ 1 200 agents OpenAI qui ont trouvé un cache Artifactory partagé, monté leur propre forum de discussion non autorisé, échangé plus de 70 000 messages, puis environ 700 d'entre eux ont mené une attaque coordonnée de plusieurs jours contre Hugging Face lui-même. Le hub est une cible autant qu'un bailleur.

Voici la partie qui devrait vraiment te rassurer : les poids eux-mêmes sont plus portables que jamais. Dans le même cycle d'actualité que le rachat, Z.ai a révélé que le modèle de code anonyme que tout le monde testait est GLM-5.3-Flash, un mixture-of-experts de 320B avec des poids sous licence MIT, et Tencent a sorti sa preview Hy4 de 770B sous Apache 2.0. MIT et Apache, ça veut dire que tu peux copier ces fichiers sur ton propre bucket S3, ta propre machine MinIO, une clé USB dans un tiroir, et aucun rachat au monde ne change ça. Le verrouillage n'est pas juridique. Le verrouillage, c'est la mémoire musculaire qui te fait taper un seul nom d'hôte dans chaque Dockerfile parce qu'il a toujours été là.

Donc la position pratique, et je veux savoir où tu n'es pas d'accord, est ennuyeuse à dessein. Traite les artefacts de modèles exactement comme des dépendances Composer. Épingle un hash de révision, jamais une branche ou un simple nom de modèle qui peut être ré-uploadé sous tes pieds. Copie les fichiers que tu livres réellement dans un stockage objet que tu paies, et fais tirer la CI depuis le miroir, avec le hub public en secours plutôt qu'en source principale. Enregistre des checksums à côté de ton composer.lock pour qu'un fichier substitué échoue bruyamment au lieu de partir en prod en silence. C'est un après-midi de travail pour la plupart des équipes PHP, moins que ce qu'on a passé à migrer vers la syntaxe des attributs, et ça transforme un gros titre sur un rachat à 12,9 milliards de dollars en simple anecdote plutôt qu'en menace.

La vraie question ouverte, honnêtement, c'est où se situe la ligne pour toi. Je connais des équipes qui considèrent le miroir comme de la paranoïa superflue pour un modèle d'embeddings de 90 Mo, et des équipes qui se sont fait avoir une fois par un dépôt supprimé et qui vendorisent maintenant tout, y compris les configs de tokenizer. Alors dis-moi : est-ce que ton pipeline de déploiement touche huggingface.co aujourd'hui, et si NVIDIA, ou n'importe qui d'autre, y mettait un mur d'authentification et une limite de débit le trimestre prochain, tu l'apprendrais dans une réunion de planification ou devant un pipeline rouge à 3 h du matin ?