Anthropic a testé en laboratoire la réplication des IA sur l'IoT

Anthropic a publié le 12 octobre 2026 les tests de réplication menés par sa Frontier Red Team : des modèles d'IA capables d'accomplir des étapes de leur propre copie sur des appareils connectés du commerce. Les modèles de 30 milliards de paramètres ou moins savent déjà exécuter beaucoup de ces étapes. L'enchaînement complet leur échappe.

Une alerte, aucun incident observé

Le billet alerte sur une capacité en formation, pas sur un malware en circulation. Signé William Zhou et Daniel Freeman, il a pour titre, en traduction, des modèles d'IA pourraient se répliquer sans accès à un centre de données.

Un tel réplicateur serait difficile à éteindre, faute de point central, et lent, avec un temps de doublement en jours. Contrairement aux malwares classiques, il pourrait s'adapter seul à des appareils inconnus. Sur la tendance des capacités des modèles ouverts, un petit modèle atteindrait le niveau de GLM-5.2 d'ici la fin 2026, une projection qu'Anthropic qualifie elle-même de grossière.

L'équipe avait documenté fin juillet trois intrusions réelles de modèles Claude pendant des évaluations cyber (notre suivi).

Ce que les tests ont établi

Installer une inférence sur du matériel inconnu et bon marché est l'étape la moins étudiée de la réplication, et les petits modèles la réussissent déjà. Le billet décompose l'ensemble en quatre étapes : trouver des cibles, obtenir l'exécution de code, établir l'inférence, puis propager.

Qwen3.5-9B, un modèle de 9 milliards de paramètres, a mis en place une inférence sur 8 des 9 types de matériel testés. Des réfrigérateurs, aspirateurs robots ou caméras de sécurité pourraient héberger un fragment d'un tel modèle, estime le billet.

Anthropic a réparti le modèle Gemma4-26B-A4B sur 15 boîtiers Android TV sans marque que l'entreprise a achetés et reliés.

GLM-5.2, seul des modèles ouverts testés, a réussi la réplication de bout en bout dans une émulation Android : huit machines virtuelles en réseau privé fermé, port de débogage sans authentification, et un serveur d'inférence Llama3.1-8B à chaque étape. La propagation a couvert tous les nœuds dans quatre essais sur cinq, sept sur huit dans le dernier. L'exploitation étant délibérément triviale, le billet y voit une borne haute du succès réel.

Tous les réplicateurs sont à poids ouverts : Qwen3.5-9B, Gemma4-26B-A4B, GLM-5.2, Qwen3-30B-A3B. Seule exception : Claude Opus 4.8, modèle fermé d'Anthropic, en rôle de conseiller.

Aucun appareil tiers n'a été touché : tout s'est joué sur du matériel acheté par Anthropic et dans des machines virtuelles. Depuis le 9 octobre, l'éditeur coupe aussi le web de ses évaluations internes, une affaire distincte (notre article).

Ce qui reste non établi

Aucun fait publié ne décrit un ver IA actif en dehors des laboratoires : le billet parle de premiers signes de vie, sans réplicateur autonome complet.

Les cibles Android ne protégeaient qu'un port unique, note Ars Technica. Surtout, rien n'établit qu'un modèle choisirait de se répliquer de lui-même. Le chercheur Xiaohan Fu, cité par Ars, regrette que les prompts exacts ne soient pas publiés : ils aideraient à distinguer capacité démontrée et menace autonome.

Autre enseignement négatif : le recours à un conseiller de frontière ne change rien de mesurable. Qwen3.5-9B pouvait solliciter Claude Opus 4.8 sans progrès significatif. Anthropic juge plus plausible un grand modèle qui pilote la stratégie en déléguant l'exécution à des sous-agents.

Aucun partage avec des autorités n'a été annoncé.

Combien de temps, et à quelle échelle

Un tel réplicateur serait lent, et les flottes se comptent en millions d'appareils. Une trajectoire complète d'inférence prend 28 à 51 heures pour Qwen3.5-9B. Le plus gros Gemma4-26B-A4B réclame 71 à 150 heures. La répétition aide : en héritant des notes de la génération précédente, le taux de succès d'installation passe de 45 % la première fois à 61 à 84 % ensuite.

L'échelle existe côté botnets : Kimwolf a compté plus de 2 millions d'appareils infectés à son pic, surtout des boîtiers Android TV, un chiffre rapporté par Synthient. Une flotte équivalente ferait tourner environ 133 000 copies du modèle de la démonstration, soit au plus 40 équivalents de cartes H100. Anthropic estime par ailleurs à 9,5 millions les appareils à accélérateur déployés, pour une puissance bornée à 9 000 à 35 000 équivalents H100. La partie joignable serait probablement un ordre de grandeur plus faible, et aucune compromission massive n'a jamais été observée.

Comment Anthropic propose de s'en défendre

Anthropic vise un R₀ inférieur à 1, seuil au-dessus duquel une épidémie s'étend. Le billet note que la réplication laisserait des traces dans les flux des fournisseurs d'accès : transferts multi-gigaoctets, trafic anormal entre appareils, balayages.

Le précédent vient du botnet Mirai. Selon une étude académique présentée à NDSS et citée par le billet, la quarantaine des machines infectées chez un fournisseur d'accès a nettoyé 92 % des infections en quatorze jours avec notification, contre 74 % sans.

Ces réplicateurs n'ont pas besoin de droits administrateur, contrairement à beaucoup de malwares : les moteurs d'inférence tournent en espace utilisateur.

Aux fabricants, le billet demande de corriger les défauts d'origine, comme les mots de passe par défaut, déjà non conformes au Royaume-Uni. Sa conclusion appelle à durcir les systèmes et à se préparer à un monde où ces réplicateurs existeraient.