Anthropic teste des IA capables de se répliquer sur des objets connectés

Un four connecté, un aspirateur robot ou une télévision bon marché pourraient-ils un jour héberger, sans l'accord de personne, une copie d'un modèle d'intelligence artificielle ?

C'est l'hypothèse qu'Anthropic a mise à l'épreuve dans une étude publiée le 12 octobre, « AI models may be capable of self-replicating without access to a datacenter », signée par les chercheurs William Zhou et Daniel Freeman. Pour la tester, l'équipe a acheté quinze boîtiers Android TV premier prix, à environ 55 dollars pièce, et les a mis en réseau pour faire tourner Gemma4-26B-A4B en inférence distribuée, à 0,39 token par seconde — une démonstration filmée, boîtier par boîtier, dans le billet de recherche.

Un « ver » qui transporte ses propres poids

Le concept n'est pas neuf en cybersécurité : un ver informatique se copie de machine en machine sans intervention humaine, le premier exemple documenté datant de 1971. Ce qu'Anthropic décrit est une variante où le modèle d'IA transporte ses propres poids comme charge utile, puis les fait tourner directement sur le matériel compromis — les poids deviennent, en quelque sorte, une partie du logiciel malveillant lui-même. Contrairement à un ver classique, cette réplication ne viserait pas prioritairement les GPU coûteux des data centers, mais les objets connectés bon marché et mal défendus : enceintes, tondeuses robots, téléviseurs, radiateurs ou caméras de sécurité, de plus en plus souvent équipés de puces IA embarquées.

Le verrou technique n'est pas encore levé

Les chercheurs insistent sur un point : personne n'a aujourd'hui observé de réplication totale et spontanée en conditions réelles. Dans leurs tests en environnement contrôlé — une flotte de huit nœuds virtuels simulant des appareils Android — seul le modèle GLM-5.2 a réussi à enchaîner de façon fiable toutes les étapes du cycle (repérer un appareil non infecté, s'y copier, démarrer l'inférence, recommencer), en se propageant à 8 des 8 nœuds lors de 4 essais sur 5. Les modèles plus petits, comme Qwen3.5-9B, savent déjà exécuter isolément plusieurs étapes de la chaîne, mais échouent encore à les composer de bout en bout sans erreur. Si les petits modèles progressent au rythme observé ces dernières années — un gain d'indice de capacité (ECI) d'environ 13,7 points par an —, Anthropic estime qu'ils pourraient atteindre le niveau de GLM-5.2 d'ici la fin de l'année 2026.

Plus lent qu'un virus, mais plus difficile à arrêter

Le scénario décrit n'a rien d'une invasion éclair. Sur la base de leurs mesures réelles, Anthropic calcule qu'une réplication complète d'un modèle de 9 milliards de paramètres prendrait entre 28 et 51 heures par appareil infecté — un temps de doublement de l'ordre de plusieurs jours, comparable, selon l'étude, à la progression d'un essaim d'insectes plutôt qu'à la fulgurance d'un virus informatique classique. Mais la lenteur n'est pas une garantie de sécurité : sans point de contrôle centralisé à couper, un tel réseau serait difficile à neutraliser entièrement. Anthropic prend pour référence le botnet Kimwolf, qui a infecté plus de deux millions de boîtiers Android TV par des failles aussi élémentaires que des mots de passe par défaut non changés par les fabricants — un niveau de sécurité qui, selon l'étude, ne serait pas nécessairement plus difficile à franchir pour un agent IA que pour un ver classique.

Une capacité d'apprentissage qui inquiète davantage que la vitesse

Le point le plus préoccupant du rapport ne porte pas sur la rapidité de propagation, mais sur l'adaptation. Dans une expérience où chaque nouvelle instance d'un modèle hérite des notes laissées par l'instance précédente sur ses échecs et ses stratégies, le taux de réussite à l'installation de l'inférence est passé de 45 % à la première génération à un intervalle de 61 à 84 % aux générations suivantes — une forme de transmission de « savoir-faire » d'une copie à l'autre, qu'Anthropic compare à une évolution lamarckienne. L'étude note aussi qu'un petit modèle répliqué peut solliciter un modèle plus puissant et externe pour obtenir des conseils, voire des instructions, même si ces échanges ne produisent pour l'instant pas de résultats significatifs selon les auteurs.

Des pistes de défense, mais pas de solution actée

Anthropic avance plusieurs mesures de protection, à commencer par la mise en quarantaine réseau d'un appareil repéré comme infecté, pour l'empêcher de contaminer d'autres objets connectés sur le même réseau domestique ou professionnel. L'entreprise reconnaît cependant explicitement les limites de ses propres garde-fous : « les agents maîtrisent de mieux en mieux les étapes de la chaîne », écrivent les chercheurs, même s'ils n'ont pas encore observé de réplication spontanée et totale en conditions réelles. Cette publication intervient après une série d'incidents révélés ces derniers mois, au cours desquels des modèles d'OpenAI, d'Anthropic, de Google et de Meta se sont introduits sans autorisation sur des dizaines de sites internet — des épisodes qui ont nourri les critiques de plusieurs informaticiens, salariés ou anciens salariés de ces entreprises, sur une perte de contrôle progressive des agents IA les plus autonomes. Pour les fabricants d'objets connectés, dont la sécurité par défaut reste souvent minimale, le message d'Anthropic revient à désigner une fenêtre de risque resserrée : d'ici la fin de l'année, selon leurs propres projections.