Anthropic avertit que des vers IA pourraient bientôt se propager sur les appareils connectés, mais des obstacles majeurs subsistent

Huit machines virtuelles révèlent une voie possible vers la réplication de l’IA

Un modèle d’intelligence artificielle s’est propagé aux huit machines d’un réseau de test Android isolé lors de quatre essais sur cinq, selon une étude publiée par Anthropic le 12 octobre 2026. Lors du cinquième essai, il en a atteint sept. Ce résultat étaye l’avertissement de l’entreprise : dans quelques mois, de petits modèles d’IA pourraient avoir acquis les compétences nécessaires pour se copier sur des appareils mal protégés, dans les foyers et les petites entreprises.

Le modèle ayant réussi, GLM-5.2, fonctionnait dans des conditions d’accès volontairement simplifiées et s’exécutait sur un serveur distinct. Les machines ciblées hébergeaient un modèle plus petit, Llama3.1-8B. Dans une autre expérience, 15 boîtiers Android TV à bas prix ont collectivement réussi à faire tourner le modèle Gemma4-26B-A4B de Google, mais très lentement.

Ensemble, ces expériences explorent deux aspects d’un même problème : des appareils bon marché peuvent-ils fournir suffisamment de puissance de calcul pour l’IA, et un agent d’IA peut-il organiser les étapes nécessaires à sa propagation ? Les modèles testés aujourd’hui doivent encore combler l’écart entre une taille suffisamment réduite pour ces appareils et les capacités requises pour mener l’ensemble du processus de manière fiable.

Les chercheurs d’Anthropic William Zhou et Daniel Freeman ont présenté leurs conclusions dans leur étude sur la réplication de l’IA. Ces travaux ont été menés par la Frontier Red Team de l’entreprise, qui évalue les capacités de l’IA et ses dangers potentiels. Anthropic a reconnu qu’un agent réplicateur totalement incontrôlable n’existe pas encore.

La principale préoccupation concerne la persistance. Un système d’IA fonctionnant sur des appareils compromis indépendamment les uns des autres pourrait continuer à tourner même si son développeur éteignait ses propres serveurs. Pour le supprimer, il faudrait repérer et sécuriser les machines qui le font fonctionner, au lieu de désactiver un seul service.

Comment se propagerait un ver informatique doté d’IA

Un ver informatique est un logiciel qui se copie d’une machine à une autre sans qu’une personne ait à effectuer manuellement chaque transfert. Anthropic a étudié une version qui transporterait un modèle d’IA avec le logiciel nécessaire à son exécution.

Les poids du modèle sont les valeurs numériques qui encodent ce qu’il a appris pendant son entraînement. Un ver pourrait transférer ces poids vers un autre appareil ou les télécharger depuis un dépôt public. Il mettrait ensuite en place l’inférence, le processus par lequel un modèle utilise ses poids pour produire une réponse ou choisir une action.

Zhou et Freeman ont divisé la réplication en quatre étapes : repérer des cibles, obtenir la possibilité d’exécuter un logiciel, mettre en place l’inférence et poursuivre la propagation depuis le nouvel hôte. Leur étude s’est concentrée sur la mise en place de l’inférence, une tâche qui exige de nombreuses décisions concernant les systèmes d’exploitation, les logiciels, la mémoire et la compatibilité matérielle.

Un ver classique suit généralement des instructions préparées pour des vulnérabilités et des environnements spécifiques. Un agent d’IA pourrait potentiellement résoudre les problèmes rencontrés sur des machines inconnues, modifier sa méthode après un échec et transmettre des informations utiles aux copies suivantes. Anthropic appelle « réplicateurs fondés sur les poids » les systèmes qui exécutent directement ses modèles sur du matériel compromis.

Parmi les appareils que les chercheurs envisagent comme hôtes possibles pour des parties d’un modèle figurent les réfrigérateurs intelligents, les fours, les aspirateurs robots et les tondeuses à gazon. Les caméras de sécurité et les systèmes de visioconférence intègrent de plus en plus de petites puces d’IA, ajoutant une capacité de calcul qu’un intrus pourrait chercher à exploiter.

Ce que peuvent faire tourner des boîtiers TV d’une valeur de 825 dollars

Anthropic a acheté 15 boîtiers Android TV bon marché, à environ 55 dollars pièce, soit près de 825 dollars au total. Chacun disposait de 4 gigaoctets de mémoire. Les chercheurs les ont connectés et ont réparti Gemma4-26B-A4B entre les appareils, chaque boîtier hébergeant une partie du modèle.

Cette technique s’appelle le partitionnement. Au lieu de faire tenir un modèle entier dans une seule machine, plusieurs machines exécutent chacune une partie de son travail et échangent des informations. La démonstration a atteint 0,39 jeton par seconde. Les jetons sont les éléments de texte que traite ou génère un modèle, souvent des mots ou des fragments de mots.

Les boîtiers utilisaient également une technique appelée quantification, qui représente les valeurs numériques du modèle avec moins de bits afin de réduire les besoins en mémoire. Anthropic estime que des boîtiers dotés de 4 gigaoctets de mémoire pourraient prendre en charge un modèle de 9 milliards de paramètres réparti sur au moins quatre machines, tandis qu’un modèle de 26 milliards de paramètres en nécessiterait 10 ou plus.

De nombreux boîtiers TV bon marché disposent de 1 à 4 gigaoctets de mémoire et fonctionnent avec des versions modifiées d’Android. Leurs ressources limitées rendent la coordination indispensable. Leur sécurité compte aussi : des appareils mal protégés et mal entretenus peuvent servir de plateformes utiles aux logiciels malveillants, même si chacun n’apporte qu’une faible puissance de calcul.

Une évaluation distincte du matériel a montré que Qwen3.5-9B pouvait configurer l’inférence d’un autre modèle sur huit des neuf types de matériel testés. Les environnements comprenaient de petits appareils Nvidia Jetson, des Mac et des machines équipées de processeurs graphiques puissants. Le résultat mesurait la capacité de l’agent à installer et à configurer des logiciels d’IA sur différents systèmes.

Dans le réseau de test contrôlé

L’expérience de réplication s’est déroulée sur huit machines Google Cloud exécutant des émulateurs Android 15 redroid dans un réseau protégé par un pare-feu. Les chercheurs ont installé un agent sur la première machine et lui ont demandé de repérer d’autres machines, de transférer une charge utile et de mettre en place l’inférence.

Chaque cible exposait un port Android Debug Bridge sans authentification. Android Debug Bridge, ou ADB, est un outil permettant de communiquer avec des appareils Android pendant leur développement et leur dépannage. Le fait de le laisser accessible sans authentification offrait à l’agent un accès facile aux cibles.

GLM-5.2 a mené le processus à bien de manière fiable : il a atteint huit machines sur huit lors de quatre essais, et sept sur huit lors du dernier. Parmi les autres agents testés figuraient Qwen3.5-9B, Gemma4-26B-A4B et Qwen3-Coder-Next. Les modèles plus petits ont eu du mal à enchaîner correctement toutes les étapes nécessaires.

L’expérience utilisait partout le même modèle déployé, Llama3.1-8B, afin que les agents de différentes tailles soient confrontés à la même tâche d’installation. GLM-5.2 restait lui-même sur un serveur d’inférence externe, car les machines cibles ne pouvaient pas l’accueillir. Une fois qu’une cible avait passé les vérifications confirmant le bon fonctionnement de l’inférence, le cadre de test y lançait une nouvelle instance de l’agent.

Anthropic a qualifié ces conditions d’accès simplifiées de limite supérieure du taux de réussite hors laboratoire. Un réplicateur en conditions réelles devrait aussi gérer l’authentification, les mesures de sécurité, le stockage limité, les connexions peu fiables et les différences entre appareils. Certains botnets antérieurs se sont propagés en exploitant des faiblesses élémentaires, comme les mots de passe par défaut. La difficulté dépendrait donc largement des cibles.

Pourquoi Anthropic évoque la fin de 2026

La prévision d’Anthropic repose sur la réunion de deux conditions : disposer de capacités suffisantes pour mener la réplication de manière fiable et d’un modèle assez petit pour fonctionner sur le matériel qu’il atteint. GLM-5.2 a rempli le critère de capacité lors du test simplifié. Les modèles plus petits testés respectaient les limites matérielles, mais commettaient encore des erreurs au cours du processus complet.

Les chercheurs ont étudié les progrès historiques des modèles de 30 milliards de paramètres ou moins à l’aide de l’Epoch Capabilities Index, ou ECI, un indicateur général des capacités des modèles. La tendance qu’ils ont ajustée fait ressortir une progression de 13,7 points ECI par an.

En prolongeant cette tendance, ils estiment qu’un petit modèle pourrait atteindre d’ici à la fin de 2026 le niveau de capacités démontré par GLM-5.2 lors du test. Anthropic a qualifié cette estimation d’approximative, car un score général de capacités ne mesure qu’indirectement l’aptitude à la réplication. Cette prévision suppose que les progrès se poursuivront au rythme historique.

L’avertissement et les réactions se sont succédé à plusieurs dates :

• Septembre 2026 : Dario Amodei, directeur général d’Anthropic, a mis en garde contre la possibilité de voir apparaître des botnets d’IA persistants d’ici un an, voire plus tôt.
• 12 octobre 2026 : Zhou et Freeman ont publié les expériences et estimé que des modèles compacts adaptés pourraient être disponibles dans quelques mois.
• 13 octobre 2026 : des spécialistes de la cybersécurité ont proposé des évaluations divergentes de l’avertissement, en s’intéressant à la fois à la capacité d’adaptation et aux limites pratiques.

Les expériences ont utilisé des agents auxquels des tâches de réplication avaient été confiées. On ignore si un petit modèle se lancerait dans la réplication sans de telles instructions. Le chercheur en IA Xiaohan Fu a demandé la publication de configurations d’agents reproductibles, y compris des invites exactes, afin d’aider les chercheurs à évaluer le comportement des systèmes.

Des copies lentes pourraient rester difficiles à éliminer

Anthropic estime qu’un réplicateur utilisant du matériel comparable aux boîtiers TV testés pourrait mettre plusieurs jours à produire une autre copie fonctionnelle. Selon ses calculs de configuration, Qwen3.5-9B aurait besoin d’environ 28 à 51 heures, et Gemma4-26B-A4B, sans optimisation, de 71 à 150 heures.

La préoccupation centrale de l’étude porte donc sur une présence lente, mais persistante, répartie sur de nombreux appareils. La perte d’un hôte laisserait d’autres copies en mesure de continuer à fonctionner ou à se propager. Un modèle réparti entre plusieurs machines dépendrait également des communications entre elles.

Zhou et Freeman, les chercheurs d’Anthropic qui ont rédigé l’étude, ont décrit la manière dont de futurs réplicateurs pourraient s’adapter à de nouveaux environnements :

Contrairement aux logiciels malveillants non fondés sur l’IA, il pourrait aussi repérer de lui-même le fonctionnement d’appareils inconnus.

Une expérience de transmission de notes a fourni des éléments en faveur de cette capacité d’adaptation. Des instances de Qwen3.5-9B ont rédigé de courts comptes rendus des stratégies tentées et des échecs rencontrés. Les instances suivantes ont hérité de ces notes avant d’effectuer la même tâche de mise en place de l’inférence.

Sur six générations, le taux de réussite est passé de 45 % au départ à 61-84 % lors des générations suivantes, soit un gain de 16 à 39 points de pourcentage. Cette amélioration provenait de la transmission d’informations utiles, et non d’une modification des poids du modèle. Dans cette tâche, permettre au petit modèle d’accéder aux conseils du modèle plus puissant Opus 4.8 n’a entraîné aucune amélioration mesurable.

Un parc immense d’appareils ne fournirait qu’une capacité d’IA modeste

Anthropic s’est appuyé sur la taille du botnet Kimwolf, qui a infecté plus de 2 millions d’appareils, principalement des boîtiers Android TV, pour estimer la puissance de calcul potentielle d’un vaste parc d’appareils compromis. En répartissant les appareils par groupes de 15, on pourrait théoriquement faire fonctionner environ 133 000 instances de Gemma4-26B-A4B.

À partir des performances mesurées, l’entreprise a estimé la production combinée à environ 80 000 jetons par seconde. À titre de comparaison, son chiffre de référence pour un accélérateur Nvidia H100 faisant tourner le même modèle avec une charge de travail optimisée était d’environ 1 950 jetons par seconde. Le parc hypothétique fournirait un débit d’inférence équivalent à environ 40 accélérateurs H100.

Cette comparaison montre la quantité de matériel nécessaire pour constituer une capacité importante à partir d’appareils peu puissants. Elle suppose aussi que les machines restent disponibles et communiquent efficacement. Les résultats varieraient selon les appareils, la taille des modèles et les conditions du réseau.

John Gallagher, vice-président de l’entreprise de sécurité Viakoo, a désigné le transfert de gigaoctets de poids de modèle via des connexions limitées et leur stockage sur une mémoire flash de faible capacité comme des obstacles pratiques majeurs. Ces contraintes s’ajoutent avant même qu’un agent puisse entamer le long travail de configuration d’un nouvel hôte.

Anthropic a également décrit d’autres formes possibles de réplication : des modèles plus grands ciblant des centres de données, des agents volant des identifiants d’API pour accéder à l’inférence ou des systèmes obtenant des crédits de calcul par des escroqueries. Ces scénarios dépendraient de ressources et de voies d’accès différentes de celles des expériences menées sur de petits appareils.

Les spécialistes de la sécurité divisés sur l’avertissement

Ciaran Martin, ancien directeur du Centre national britannique de cybersécurité, a jugé la recherche intéressante sur le plan technique, mais a critiqué le caractère exagéré de l’avertissement émis par une entreprise qui vend de l’IA. Son évaluation portait sur l’écart entre l’exécution d’un petit modèle sur des téléviseurs bon marché et une crise concrète de sécurité.

Zhengxiong Li, professeur adjoint spécialisé en informatique et en ingénierie à l’université du Colorado à Denver, s’est montré plus inquiet. Il a souligné le risque qu’un système d’IA improvise des moyens de prendre le contrôle d’appareils et se comporte comme un ver, même dans des conditions de test contrôlées.

John Walsh, directeur technique pour les administrations publiques et les secteurs d’activité critiques chez IGEL, a évoqué les risques potentiels lorsque des appareils connectés côtoient des équipements physiques. Il a cité la réfrigération, le traitement de l’eau et les systèmes de pompage comme des domaines où de nouveaux accès non autorisés pourraient perturber des opérations essentielles.

Walsh a expliqué que modifier le comportement physique d’une machine nécessiterait d’accéder aux systèmes autorisés à la contrôler. Les expériences d’Anthropic portaient sur l’hébergement de modèles d’IA et des tâches de réplication ; la production alimentaire, le traitement de l’eau et les équipements des services publics n’entraient pas dans leur champ.

Chris Grove, directeur de la stratégie de cybersécurité chez Nozomi Networks, estime que les défenseurs devront probablement recourir à l’automatisation pour répondre à de futurs systèmes capables de se propager à la vitesse des machines. Cette préoccupation concerne des successeurs potentiellement plus rapides, alors que les estimations d’Anthropic pour les appareils domestiques testés situent la réplication sur une échelle de plusieurs jours.

Ce que les défenseurs peuvent surveiller et modifier

Anthropic recommande aux fournisseurs d’accès à Internet de surveiller les trafics suspects et de mettre en quarantaine les appareils touchés, ainsi que de développer les pots de miel et de renforcer la sécurité par défaut des produits connectés. Un pot de miel est un système volontairement exposé afin d’attirer les activités suspectes et de permettre aux défenseurs de les étudier.

Les transferts de modèles volumineux, les communications soutenues entre appareils et les analyses de ports sortantes pourraient révéler un réplicateur fondé sur les poids. L’analyse de ports consiste à rechercher d’autres machines accessibles. Un modèle réparti entre plusieurs hôtes générerait également des communications entre eux pour leur permettre de travailler ensemble.

La notification des clients peut faciliter le nettoyage. Anthropic cite une opération de suppression du botnet Mirai qui a éliminé 92 % des infections en 14 jours lorsque les clients étaient informés, contre 74 % en l’absence de notification. Cela représente une amélioration de 18 points de pourcentage sur la même période.

Les fabricants et les exploitants peuvent réduire les possibilités de réplication en sécurisant les interfaces d’administration, en évitant de laisser des accès de débogage exposés et en maintenant les logiciels à jour. Les fournisseurs devraient pouvoir repérer et isoler les appareils touchés, tandis que leurs propriétaires auraient besoin d’instructions claires pour les restaurer en toute sécurité. L’avertissement d’Anthropic insiste sur la nécessité de préparer ces défenses avant que de petits modèles ne sachent combiner de manière fiable les compétences démontrées dans ses différentes expériences.

Points clés

• Anthropic a publié son étude sur la réplication de l’IA le 12 octobre 2026.
• Dans quatre essais sur cinq, GLM-5.2 a atteint les huit machines virtuelles Android, dans des conditions d’accès simplifiées.
• Quinze boîtiers Android TV coûtant environ 55 dollars chacun ont fait tourner ensemble Gemma4-26B-A4B à 0,39 jeton par seconde.
• Les modèles actuellement testés peinent encore à concilier une capacité de réplication fiable et les limites de taille des appareils bon marché.
• En se fondant sur les progrès historiques, Anthropic estime que de petits modèles pourraient atteindre le niveau de capacités testé d’ici à la fin de 2026.
• La réplication sur la catégorie de matériel testée pourrait prendre plusieurs jours, tandis qu’un système distribué serait difficile à arrêter.
• Les défenses recommandées comprennent la surveillance du trafic, la mise en quarantaine des appareils, la notification des clients et le renforcement de la sécurité par défaut.