Débloquer Hugging Face, de l’index des modèles à une fiche de modèle

Votre navigateur parle à TrickyBird, et TrickyBird va chercher Hugging Face pour vous. Il réécrit le HTML, le CSS et le JavaScript pour que chaque lien, chaque image et chaque requête repointe par sa propre adresse, et un petit script reste dans l’onglet pour intercepter ce qui se charge pendant que vous faites défiler une liste ou que vous ouvrez une fiche de modèle. Sur chaque surface que nous avons mesurée, 0 requête du navigateur n’est partie directement vers un hôte huggingface.co.

Hugging Face construit ses pages sur le serveur, puis les confie au JavaScript de votre navigateur, qui rattache chaque liste à ses propres données. C’est dans cette seconde moitié qu’un proxy qui réécrit les pages laisse d’ordinaire voir ses coutures : la page s’affiche, puis le code derrière elle va chercher quelque chose à l’adresse d’origine et ne trouve rien. Ici, cette recherche est restée sur l’adresse de TrickyBird, et les grilles se remplissent au lieu de rester à moitié construites.

Y arriver a demandé 0 correctif de notre côté. Hugging Face s’est ouvert à travers le proxy dès le premier passage, listes et fiches de modèle comprises.

Sans compte, vous avez quand même ce que les gens viennent chercher sur le site. L’index des modèles s’affiche avec ses quelque 2,96 millions de modèles, l’index des jeux de données fait de même, et la recherche filtre l’un comme l’autre. Une fiche de modèle s’ouvre avec son README, son explorateur de fichiers et son widget d’inférence en place. La fiche qu’ouvre notre vérification de page de modèle est google-bert/bert-base-uncased. La documentation se lit normalement elle aussi.

La connexion se fait ici sur le site même. Le formulaire de nom d’utilisateur et de mot de passe est hébergé sur huggingface.co, sans passer par un fournisseur d’identité extérieur, et ce formulaire s’affiche via TrickyBird. Rien de ce que décrit cette page ne demande de compte : les modèles, les jeux de données, les fiches et la documentation se lisent tous sans compte.

Hugging Face n’est pas le seul site d’IA que couvrent nos tests. Mistral répond aux questions sans aucun compte, et ChatGPT et Claude ont leur propre page.

TrickyBird sert à atteindre un site public que votre réseau bloque, et à tenir votre adresse IP à l’écart de ce site. Ce n’est pas un moyen d’entrer dans un compte qui n’est pas le vôtre, ni de franchir des murs payants ou le droit d’auteur.

Hugging Face voit la connexion venir de TrickyBird, pas de votre adresse IP, et le réseau où vous êtes voit une connexion vers TrickyBird plutôt que vers Hugging Face. Le nom de Hugging Face reste hors de l’URL, hors de la page et hors des requêtes que votre navigateur envoie, c’est-à-dire précisément ce qu’un filtre chercherait à reconnaître.

De notre côté, le point d’entrée conserve un court journal d’accès pour faire tourner le service et empêcher les abus : une version tronquée de votre adresse IP, le nom d’hôte de destination et des données de réponse basiques, pendant 48 heures au maximum. Il n’enregistre pas quels modèles ni quels jeux de données vous avez ouverts, et il n’y a aucun compte TrickyBird auquel rattacher quoi que ce soit. Notre page de confidentialité donne le détail complet.