Nvidia rachète Hugging Face

Douze milliards neuf cent trente millions trois cent mille dollars

Jensen Huang a écrit le prix de rachat au dollar près dans son billet du 3 septembre : 12 930 300 000 $. Le dépôt de Nvidia à la SEC, qui date l'accord définitif du 2 septembre, en donne la mécanique. Environ 11,9 milliards versés aux actionnaires de Hugging Face, et jusqu'à un milliard de plus en actions de rétention pour les salariés qui rejoignent le groupe. Clôture attendue au premier semestre 2027.

Le sens de la démarche compte davantage que le prix. Clément Delangue est allé voir Jensen Huang de sa propre initiative, cet été, quelques semaines après que sa plateforme s'est fait pirater par les agents d'un laboratoire américain. Huang le confirme dans son billet : il se dit honoré que Clem soit venu le voir.

Sur le plateau de CNBC jeudi matin, la journaliste Becky Quick a posé la question directement : l'intrusion d'OpenAI a-t-elle été le déclencheur ? La réponse mérite d'être lue lentement.

Ce que le fondateur a répondu

« Quand c'est arrivé, ce qu'on a compris, c'est qu'on avait besoin de modèles ouverts. Pourquoi ? Parce que, si vous vous souvenez, on ne pouvait pas se défendre avec des API propriétaires fermées, alors on a dû utiliser des modèles ouverts pour nous défendre. »

La nuance est importante : Delangue décrit ce que le piratage lui a appris, sans jamais dire qu'il a vendu à cause de lui. Il en tire la conclusion qu'il fallait, selon ses mots, doubler la mise sur l'open source. Le reste de sa réponse oppose deux chemins : celui où les API propriétaires dominent et où chacun loue son intelligence, celui où chacun peut en devenir propriétaire.

Cette conviction a un référent technique très précis, et il porte un nom de fichier.

Le modèle qui l'a sauvé portait déjà le nom de son acheteur

On suit cet incident depuis le premier jour, avec l'aveu d'OpenAI le 21 juillet, puis la reconstitution technique de la plateforme et l'autopsie du laboratoire. Le document technique du 27 juillet contient une phrase que personne n'a rapprochée de l'actualité de cette semaine.

Les enquêteurs de Hugging Face avaient d'abord branché des modèles de pointe derrière des API commerciales pour analyser les journaux. Ça n'a pas marché. Leur divulgation l'explique sans se protéger : l'analyse suppose de soumettre de gros volumes de commandes d'attaque et de charges d'exploitation réelles, et les garde-fous des fournisseurs ont bloqué ces requêtes, faute de savoir distinguer un enquêteur d'un attaquant.

Contrairement à ce qui circule depuis jeudi, aucune clause de licence n'est en cause. Le blocage vient des systèmes de sécurité eux-mêmes, qui voient le même geste chez le cambrioleur et chez l'expert venu démonter la serrure sur la table du commissariat.

L'équipe a donc installé un modèle ouvert sur sa propre infrastructure. Sa référence exacte, telle qu'elle figure dans le document : nvidia/GLM-5.2-NVFP4. Autrement dit GLM-5.2, un modèle du laboratoire chinois ZAI, dans la version compressée publiée par Nvidia. C'est avec lui que les enquêteurs ont retrouvé le schéma de chiffrement de l'agent attaquant et déchiffré des charges qu'une lecture brute avait manquées.

Deux versions circulent sur ce point, l'une parlant d'un modèle chinois, l'autre d'un modèle de Nvidia. Elles sont vraies toutes les deux : elles nomment chacune une moitié de la même référence.

Ce que Nvidia écrit à ses actionnaires

Un billet de blog vend une vision. Un formulaire 8-K engage une entreprise cotée. Celui déposé jeudi matin contient un paragraphe que personne n'a relevé.

Dans sa section des risques, Nvidia prévient que beaucoup des modèles ouverts les plus populaires et les plus performants au monde sont nés en Chine, avant d'être téléchargés, révisés et affinés par des développeurs aux États-Unis et ailleurs. Puis vient la phrase qui compte : toute restriction réglementaire limitant sa capacité à soutenir des modèles issus de n'importe quelle région, Chine comprise, pourrait avoir un impact matériel sur la plateforme Hugging Face et sur ses propres résultats.

Le même document signale que d'autres acteurs font du lobbying à Washington pour faire adopter des mesures qui désavantageraient les modèles ouverts.

Voilà le vrai dossier de souveraineté de la semaine. La question n'est pas de savoir si une entreprise fondée par trois Français passe sous pavillon américain. C'est que le nouveau propriétaire du plus grand entrepôt de modèles ouverts du monde considère, dans un document réglementaire, que la vitalité de cet entrepôt dépend en partie de laboratoires chinois.

Le mot « asymétrie », employé dans deux sens opposés

Sur le plateau, Huang a expliqué que l'ouverture donne aux défenseurs un avantage asymétrique, parce qu'il y a bien plus de gens qui protègent que de gens qui attaquent. L'argument est solide, et il l'illustre avec un partenariat conclu avec CrowdStrike autour de ses modèles Nemotron. On avait déjà vu ce que cette stratégie coûte à Nvidia.

En juillet, Hugging Face avait intitulé une section entière de son post-mortem « le problème d'asymétrie ». Le même mot, pour dire l'inverse : l'attaquant n'était tenu par aucune politique d'usage, pendant que le travail légitime des défenseurs se faisait bloquer par les garde-fous des modèles hébergés. Leur leçon tenait en une ligne : avoir un modèle capable, qualifié et prêt sur sa propre infrastructure, avant l'incendie.

Deux entreprises qui signent un accord à treize milliards emploient donc le même terme en deux sens contraires. La promesse d'ouverture reste un pari sur les intentions du propriétaire.

Ce qui n'est pas établi

Trois précautions, parce que le sujet se prête à l'emballement.

Aucun régulateur n'a annoncé d'examen à cette heure. Le dépôt à la SEC mentionne des approbations réglementaires requises, formule standard de toute opération de cette taille. The Register a publié une tribune appelant les autorités à bloquer l'affaire, avec une image qui restera : on ne laisserait pas un constructeur automobile racheter le principal réseau de distribution de carburant, ni l'école où l'on forme les mécaniciens. C'est un appel en page opinion, il n'ouvre aucune procédure.

Le multiple qui circule repose sur un chiffre de presse. Hugging Face ne publie pas ses comptes, et les 150 millions de dollars de revenus annualisés qui servent partout de dénominateur viennent du site The Information, cité par TechCrunch. Le rapport de 86 fois le chiffre d'affaires est arithmétiquement juste, à condition d'accepter le chiffre d'affaires sur parole.

Quant à l'engagement d'ouverture, il est écrit, ce qui vaut mieux que rien, et il reste un engagement d'intention. Le 8-K précise que Nvidia s'engage notamment à continuer de prendre en charge d'autres fournisseurs de silicium. Rien n'y dit combien de temps ni qui le vérifie.

Le prix d'un magasin

Il y a un an, selon le Financial Times, Delangue avait refusé un investissement de 500 millions de dollars du même Nvidia. Jeudi, Huang a expliqué à l'antenne qu'il y avait d'autres enchérisseurs, que 12,9 milliards étaient ce qu'il fallait pour conclure, et que savoir qui étaient les autres n'avait aucun intérêt puisque seul compte celui qui gagne.

Le fabricant de la pelle vient d'acheter la carte du terrain aurifère, en promettant que la carte continuera d'indiquer les concessions des autres. On saura au premier semestre 2027 si un régulateur trouve à y redire. En attendant, le seul document qui dise franchement de quoi cette plateforme est faite est le formulaire de risque adressé aux actionnaires, et il désigne la Chine.