Ver IA sur objets connectés : Anthropic évoque « quelques mois »

Des petits modèles d'IA pourraient être « à quelques mois » de savoir se répliquer sur des objets connectés du commerce, comme des fours intelligents ou des boîtiers Android TV bas de gamme. C'est l'hypothèse avancée dans une étude publiée lundi 12 octobre 2026 par William Zhou et Daniel Freeman, de l'équipe « Frontier Red Team » d'Anthropic. Aucun modèle n'est encore à la fois assez petit et assez capable pour y parvenir de façon fiable. Les auteurs jugent que l'écart pourrait se refermer d'ici la fin de l'année, à condition que les petits modèles progressent à leur rythme historique.

Un « ver IA » sans datacenter

Un ver informatique classique se copie d'une machine à l'autre sans intervention humaine. Ici, le ver emporterait ses poids de modèle, ou les retélécharger depuis un dépôt public, puis ferait tourner l'inférence directement sur la machine compromise. Les poids deviendraient une partie de la charge malveillante.

Les GPU de datacenter seraient des cibles évidentes, mais les chercheurs veulent montrer qu'ils ne sont pas indispensables. Ils ont fait tourner Gemma4-26B-A4B, réparti sur 15 boîtiers Android TV achetés environ 55 dollars pièce, à 0,39 jeton par seconde. Chaque boîtier, doté de 4 Go de RAM, héberge deux couches du modèle. C'est lent, mais cela fonctionne.

Un tel réplicateur serait difficile à arrêter, faute de point central à éteindre, même s'il resterait lent, avec un temps de doublement de plusieurs jours. Contrairement à un logiciel malveillant classique, il pourrait aussi se débrouiller seul face à un matériel inconnu.

Ce que les modèles savent déjà faire

L'étude se concentre sur l'étape la moins mesurée : installer un serveur d'inférence sur un appareil inconnu. L'exploitation de failles est volontairement laissée de côté, car des travaux antérieurs montrent que de petits modèles en sont capables.

Un modèle de 9 milliards de paramètres a réussi à lancer l'inférence sur 8 des 9 types de matériel testés, des Jetson Nano aux Mac. Les modèles de 30 milliards de paramètres ou moins savent accomplir de nombreuses étapes isolées, mais se trompent quand il faut les enchaîner.

Pour le cycle complet (scan du réseau, accès, copie de la charge utile, démarrage de l'inférence), l'équipe a monté un réseau de 8 nœuds émulant Android 15. Seul GLM-5.2 y parvient : selon The Decoder, il a infecté les huit nœuds dans quatre essais sur cinq. Les autres modèles échouent systématiquement. Anthropic précise que ce test est un plafond : le port ADB n'y exige aucune authentification, et le résultat suppose que les capacités de GLM-5.2 puissent tenir dans un modèle plus petit.

Les modèles peuvent aussi progresser d'une génération à l'autre. Quand chaque instance de Qwen3.5-9B transmet ses notes à la suivante, le taux de réussite de l'installation passe de 45 % à une fourchette de 61 % à 84 %. En revanche, les conseils d'un modèle de pointe n'ont pas aidé de façon mesurable : les petits modèles ne savent pas poser les bonnes questions.

Une menace lente, une défense possible

Anthropic prend pour référence Kimwolf, un botnet ayant infecté plus de deux millions d'appareils, surtout des boîtiers Android TV. Si chaque groupe de 15 boîtiers faisait tourner une copie du modèle, cela donnerait environ 133 000 réplicas, soit au plus l'équivalent d'une quarantaine de H100 en inférence. C'est peu, et la réplication serait lente : selon The Decoder, l'installation sur un nouvel appareil prend de 28 à 150 heures selon le modèle. Les auteurs parlent d'une sorte de « moisissure numérique ».

Côté défense, l'objectif est de ramener le nombre moyen de nouvelles infections par appareil sous 1. Selon The Decoder, les fournisseurs d'accès pourraient mettre en quarantaine les réseaux infectés, comme pour Mirai, dont 92 % des infections avaient été nettoyées en 14 jours. Les fabricants pourraient interdire les mots de passe par défaut, ce que le Royaume-Uni a fait par la loi. Les chercheurs jugent toutefois que ces botnets pourraient s'adapter seuls aux contre-mesures, sans l'avoir testé.

Ils écrivent anticiper « un futur saturé d'agents tournant sur tous types de matériel, y compris certains qui ne sont plus sous contrôle humain » (traduction), selon l'article d'Anthropic. Ils ajoutent, cités par Al Jazeera : « des agents légers pourraient être bien plus enclins que des attaquants humains à fournir l'effort nécessaire pour compromettre une grande partie des ressources IoT mondiales » (traduction).

Réactions et limites

Roman Yampolskiy, spécialiste d'IA et de cybersécurité à l'université de Louisville, juge ces résultats significatifs : « Aujourd'hui, ce n'est pas une menace existentielle. Mais la trajectoire est préoccupante » (traduction), a-t-il dit à Al Jazeera. Selon lui, couplée à de solides capacités de piratage, la réplication autonome rendrait l'arrêt du système bien plus difficile.

The Decoder rappelle que Dario Amodei, le patron d'Anthropic, avait évoqué dans un texte antérieur un essaim qui pourrait « en 6 à 12 mois » prendre le contrôle d'internet avec un botnet persistant, pour des centaines de milliards de dollars de dégâts. L'étude elle-même reste plus mesurée : elle décrit une projection de capacités, pas une menace active. Elle précise que les puces testées ne constituent pas des vulnérabilités et que les appareils embarquant des accélérateurs Nvidia sont surtout joignables via des tunnels sortants, donc peu exposés.

Anthropic n'a pas répondu aux questions d'Al Jazeera sur les implications de l'étude pour la sécurité. Le calendrier avancé, la fin de 2026, repose sur l'hypothèse que les petits modèles continuent de progresser à leur rythme historique.