Des IA assez petites pour se propager sur des objets connectés

Anthropic affirme que de petits modèles d’IA pourraient, à terme, se répliquer sur des appareils connectés du quotidien, comme des boîtiers Android TV, des routeurs ou des appareils ménagers, sans passer par un datacenter. Publiée le 12 octobre 2026, sa note décrit un « AI worm » capable d’enchaîner plusieurs étapes de propagation sur des machines peu protégées. L’enjeu dépasse la démonstration technique : si ce scénario se confirmait, il compliquerait l’éradication des botnets et ajouterait une couche d’automatisation à des attaques déjà banales sur l’IoT.

Un ver d’un nouveau genre, mais encore loin de la menace opérationnelle

Le papier de Frontier Red Team sépare la réplication autonome en quatre étapes : trouver une cible, obtenir l’exécution, lancer l’inférence, puis continuer la propagation depuis la nouvelle machine. Anthropic dit concentrer son test sur la troisième et la quatrième étape, en laissant de côté la phase d’exploitation initiale, déjà étudiée ailleurs. Autrement dit, la question n’est pas seulement « peut-on pirater un appareil ? », mais aussi « peut-on faire tourner un modèle sur ce matériel assez longtemps pour qu’il aide à attaquer autre chose ? »

Dans ses essais, la société dit avoir fait tourner Gemma4-26B-A4B sur 15 boîtiers Android TV d’entrée de gamme, achetés environ 55 dollars pièce, avec un débit de 0,39 token par seconde. Elle indique aussi qu’un modèle de 9 milliards de paramètres a réussi à lancer l’inférence sur 8 des 9 types de matériel testés. Selon la note, les modèles de 30 milliards de paramètres et moins savent déjà accomplir une partie des étapes, mais se trompent encore quand il faut les assembler de bout en bout. Le détail compte, car dans la sécurité, un robot qui hésite au milieu de la manœuvre reste un robot qui hésite.

Pourquoi l’IoT attire autant les scénarios d’attaque

Les objets connectés sont une cible naturelle parce qu’ils sont nombreux, souvent mal mis à jour et rarement administrés comme un parc informatique classique. Anthropic vise surtout les appareils domestiques et les petites installations professionnelles, où la sécurité repose parfois sur des réglages laissés d’usine. Dans ce contexte, un modèle qui apprend à s’adapter à du matériel inconnu pourrait, en théorie, faire mieux qu’un malware figé dans son script initial.

Le rapport distingue aussi les modèles « weight-based replicators », c’est-à-dire des réplications qui transportent leurs poids, ou paramètres, sur la machine compromise. Cette approche diffère d’un botnet classique : au lieu de se contenter d’exécuter du code distant, le programme embarque sa propre capacité de raisonnement et peut reconstituer une partie de son environnement d’exécution. Sur le papier, cela complique le blocage centralisé. Dans la vraie vie, cela ne rend pas un grille-pain plus intelligent que son propriétaire, même si l’idée a de quoi faire lever un sourcil.

Une alerte sérieuse, mais contestée sur sa portée réelle

Les réactions publiées dans le fil Ars Technica montrent un scepticisme marqué face au cadrage d’Anthropic. Plusieurs intervenants jugent le scénario trop théorique, voire marketing, et rappellent qu’un botnet classique reste souvent plus simple, plus discret et plus utile qu’un réseau de petits modèles lents sur des objets fragiles. L’un des points de critique les plus répétés concerne la vitesse d’exécution : une réplication qui met des jours à doubler sa taille reste plus lente qu’une campagne malware bien menée.

Un autre débat porte sur la portée exacte de l’étude. Selon un commentaire relayant l’avis du chercheur Xiaohan Fu, « Despite the well-designed experimental setup, the study does not, on its own, establish that small models would autonomously choose to replicate, » et « Providing reproducible agent setups, including the exact prompts and instructions given to the models, would help the research community better understand the findings and assess their implications. Such transparency is particularly important to avoid conflating the demonstrated capability to replicate with an emerging threat of autonomous self-replication. » Le fond de la critique est clair : démontrer une capacité n’équivaut pas à montrer une intention autonome.

Ce que cela change pour les défenseurs

Même contestée, l’étude pousse un sujet déjà connu sous un angle plus pratique. Les équipes de sécurité ne surveillent plus seulement des scripts, mais aussi des modèles capables de s’ajuster à du matériel hétérogène et à des environnements partiellement inconnus. Pour les fabricants d’objets connectés, le message est moins spectaculaire que les titres de forum : firmware à jour, accès root verrouillé, services inutiles coupés et télémétrie réseau surveillée restent les défenses les plus rentables.

Les entreprises qui déploient des appareils connectés en volume, en particulier dans la domotique, les écrans embarqués et les petits réseaux de distribution, ont donc intérêt à traiter l’IoT comme un vrai parc informatique. Le risque décrit par Anthropic n’est pas celui d’une intelligence maléfique surgissant d’un four connecté. C’est celui, plus banal et plus crédible, d’un malware dopé à l’IA qui s’installe là où la maintenance a pris du retard.