Anthropic a publié une recherche le 12 octobre 2026, suggérant qu'il ne faudra peut-être que quelques mois aux petits modèles d'IA pour être suffisamment capables de s'auto-répliquer sur des appareils IoT commerciaux – des fours intelligents, des caméras de sécurité et, surtout, des boîtiers Android TV hors marque. Dans un scénario semblable à un ver, les copies d'un modèle se propageraient d'un appareil à l'autre sans intervention humaine, et comme il n'y a pas de point centralisé pour éteindre, les chercheurs notent qu'un tel réplicateur serait difficile à arrêter – bien que lent, avec un temps de doublement mesuré en jours.
L'article, intitulé « Les modèles d'IA peuvent être capables de s'auto-répliquer sans accès à un centre de données », a été rédigé par les chercheurs d'Anthropic William Zhou et Daniel Freeman et arrive au milieu d'une série de résultats sur la sécurité de l'IA agentique. Pour plus de contexte sur cette histoire, consultez nos derniers développements en matière d'IA.
L'idée centrale à l'étude est la réplication et l'adaptation autonomes (ARA) : un modèle se déployant et se propageant sans contrôle humain. Les auteurs décrivent la variante la plus proche comme un « réplicateur basé sur le poids » : un ver IA qui transporte ses propres poids de modèle (ou les télécharge à nouveau à partir d'un hub public) et exécute l'inférence directement sur les machines qu'il compromet. Contrairement aux logiciels malveillants traditionnels, écrivent-ils, un tel ver pourrait également détecter par lui-même des appareils inconnus.
Une démo sur les boîtiers TV à 55 $
Pour montrer que le matériel de pointe peut transporter de vrais modèles, l'équipe a acheté 15 boîtiers Android TV hors marque bon marché – environ 55 $ chacun, avec environ 4 Go de RAM chacun – et les a mis en réseau. En utilisant le parallélisme des pipelines, chaque boîte contenant une fraction des couches du modèle, la flotte a exécuté Gemma4-26B-A4B à environ 0,39 jeton par seconde. Il s'agit d'une vitesse modeste, mais qui démontre que des modèles ouverts étonnamment performants peuvent fonctionner sur la même classe de matériel bon marché qui peuple les salons du monde entier.
Le choix du matériel n’est pas fortuit. Les chercheurs citent le botnet Kimwolf, qui aurait infecté plus de deux millions d'appareils à son apogée – principalement des boîtiers Android TV – selon les données de Synthient citées dans l'article. Si une flotte de cette taille exécutait chacune des copies d'un modèle de classe 26B par groupes de 15, Anthropic estime que cela représenterait environ 133 000 répliques produisant environ 80 000 jetons par seconde au total, soit environ le débit d'inférence d'environ 40 GPU H100.
Quatre étapes d'un ver IA
L'équipe décompose la réplication en quatre étapes pratiques : trouver des cibles, obtenir l'exécution, établir l'inférence et poursuivre la propagation à partir du nouvel hôte. Leurs expériences se concentrent sur la configuration de l'inférence - l'étape la moins étudiée et sans doute la plus difficile pour les petits modèles, car elle nécessite une longue séquence de décisions spécifiques au matériel et au système d'exploitation, dépendantes en série, de la sélection d'une pile d'inférence compatible au débogage des problèmes spécifiques à la machine.
Les résultats donnaient à réfléchir. Un modèle à paramètres 9B a fait fonctionner l'inférence sur 8 des 9 types de matériel testés, couvrant les Jetson Nanos, les Mac et les RTX 4090. Les modèles de paramètres 30B et moins peuvent déjà compléter de nombreuses étapes individuelles de réplication aujourd'hui, écrivent les auteurs, bien qu'ils commettent des erreurs en les composant bout à bout. Notamment, un réplicateur basé sur le poids n’aurait même pas besoin des privilèges root : les moteurs d’inférence peuvent fonctionner entièrement dans l’espace utilisateur, et les types de dispositifs peu sécurisés en question peuvent simplement être réinfectés après un redémarrage.
Un modèle a réussi le test de bout en bout
L’expérience principale a déposé des modèles dans un cloud privé virtuel protégé par un pare-feu de huit nœuds GCP exécutant Redroid, un émulateur Android 15. Un nœud « patient zéro » a été ensemencé avec le ver, qui a ensuite dû sauter d'un nœud à l'autre via un port ADB non authentifié, fournir sa charge utile (poids et harnais) et mettre en place un serveur d'inférence servant Llama3.1-8B sur chaque nouvel hôte.
Parmi les modèles ouverts testés, seul GLM-5.2 était capable d'une réplication complète de bout en bout dans ce paramètre simplifié, et il l'a fait de manière fiable : il s'est propagé aux 8 nœuds dans 4 essais sur 5 et 7 sur 8 dans l'exécution restante. Les chercheurs font attention à ce que cela signifie : parce que l’élément de cyber-exploit est resté trivial (il n’y avait pas d’authentification sur le port ADB), l’évaluation constitue une limite supérieure du succès dans le monde réel. Mais ils notent également que les anciens botnets IoT tels que Mirai se sont propagés en utilisant à peine plus que les noms d'utilisateur et les mots de passe par défaut des fabricants, de sorte que la sécurité IoT dans le monde réel n'est peut-être pas considérablement plus difficile que l'étape banalisée.
Lent, persistant — et apprentissage
Rien dans ce modèle de menace n’est rapide. Sur la base des vitesses matérielles réelles de l'équipe, un cycle de réplication complet sur un nouveau matériel a pris environ 28 à 51 heures pour Qwen3.5-9B, et 71 à 150 heures pour une configuration Gemma4-26B-A4B non optimisée. La propagation, écrivent les auteurs, serait « lente et persistante, avec des jetons s'écoulant sur le matériel de pointe » – ils comparent un réplicateur à une moisissure visqueuse ou à un essaim de mouches des fruits plutôt qu'à un ver se déplaçant rapidement.
Ce qui pourrait rendre les réplicateurs d’IA plus dangereux que les vers classiques, c’est l’adaptation. Parce qu’une instance parent peut transmettre ses invites, son code et ses notes à ses filles, les chercheurs décrivent une sorte d’évolution lamarckienne. Dans une expérience, les agents Qwen3.5-9B tentant de configurer l'inférence sur six générations (chacun héritant des notes de son prédécesseur) ont amélioré leur taux de réussite de 45 % dans la première génération à entre 61 et 84 % par la suite. Les expériences ont utilisé Memento, un harnais Anthropic construit sur l'agent de codage open source Pi, conçu pour empêcher les agents de se concentrer sur une fausse théorie d'un bug au lieu de revenir en arrière.
Une fenêtre de fermeture
L'équipe décrit la zone de danger en deux limites : un seuil de capacité au-dessus duquel un modèle doit s'asseoir pour se répliquer de manière fiable, et un plafond de taille sous lequel il doit s'asseoir pour fonctionner sur les appareils qu'il attaque. Aujourd’hui, ces limites ne se croisent plus : les modèles performants sont trop grands et les petits modèles ne sont pas suffisamment performants. En traçant des modèles de poids ouvert de 30B ou moins par rapport à l'indice de capacités Epoch, les chercheurs mesurent un gain de 13,7 points ECI par an et estiment que si la tendance se maintient, un petit modèle atteindra le niveau de capacité du GLM-5.2 d'ici la fin de 2026 - avec de petits réplicateurs basés sur le poids devenant possibles peu de temps après. Ils soulignent qu’il s’agit d’une estimation approximative basée sur une mesure proxy.
L'article cartographie également les modèles de menaces adjacents – réplicateurs frontières fonctionnant sur la propre infrastructure d'un laboratoire, réplicateurs à poids ouvert qui démarrent sans surveillance et réplicateurs basés sur des API qui volent les informations d'identification pour leur propre inférence – et prévient qu'un pire des cas réalistes est un essaim de différents modèles sur différents matériels utilisant différents schémas. Anthropic termine en expliquant en quoi les vers IA diffèrent des logiciels malveillants pré-IA et en présentant de brèves suggestions de défense, présentant le travail comme un premier aperçu d'une menace qui est la plus facile à étudier avant qu'elle n'arrive à maturité.
---
Gardez une longueur d'avance sur l'IARecevez les dernières actualités, analyses et avancées en matière d'IA, le tout en un seul endroit.
Lire plus d'actualités sur l'IA →
