Des IA compactes capables de se répliquer sur des objets connectés

Anthropic alerte sur une évolution qui mêle intelligence artificielle compacte, objets connectés et logiciels malveillants capables de se copier eux-mêmes. Dans ses travaux publiés en 2025, l’entreprise estime que de petits modèles pourraient bientôt s’installer sur des appareils domestiques, comme des TV box Android, des frigos connectés ou des aspirateurs, puis se propager sans intervention humaine. Le scénario n’est pas observé dans la nature à ce stade, mais il compte pour la cybersécurité : il montre que l’autonomie des modèles progresse plus vite que les garde-fous. Et quand un malware commence à réfléchir à ses prochaines étapes, les équipes SOC perdent un peu leur sourire.

Ce que l’expérience d’Anthropic démontre vraiment

Le cœur du travail porte sur la capacité de petits modèles à enchaîner les étapes nécessaires à une réplication logicielle : repérer une cible, obtenir l’exécution de code, lancer l’inférence, puis repartir vers une autre machine. Anthropic parle de small weight-based replicators, des replicateurs fondés sur les poids du modèle, c’est-à-dire les paramètres appris qui servent à générer des réponses et à piloter les actions. En pratique, les chercheurs n’ont pas relâché un ver autonome sur des réseaux réels ; ils ont reproduit ces étapes dans des environnements fermés.

Les résultats restent néanmoins gênants pour les défenseurs. Sur un banc de test composé de 15 boîtiers Android TV bon marché, chacun doté de 4 Go de mémoire et vendu autour de 55 dollars, le modèle Gemma4-26B-A4B a pu fonctionner en répartissant ses calculs entre les appareils. Cette configuration a atteint 0,39 token par seconde, un débit très lent, mais suffisant pour prouver qu’un parc de matériel grand public peut coopérer à faire tourner un modèle. Autre test : avec un modèle de 9 milliards de paramètres, Anthropic a réussi à configurer l’inférence sur 8 types de matériel sur 9, dont Jetson Nano, Mac et RTX 4090.

Pourquoi la vitesse lente ne rassure qu’à moitié

Un ver IA qui se copierait sur des appareils domestiques n’aurait rien d’un éclair. Dans les essais d’Anthropic, la mise en place de l’inférence a pris entre 28 et 51 heures pour Qwen3.5-9B, et entre 71 et 150 heures pour Gemma4-26B-A4B non optimisé. Autrement dit, la propagation serait plutôt une affaire de jours que d’heures. Cela réduit la brutalité de l’attaque, mais ne la rend pas inoffensive pour autant, surtout si elle devient plus fiable au fil des itérations.

Sur une grille de 8 nœuds Android 15 hébergés sur Google Cloud, GLM-5.2 a atteint les 8 machines dans 4 essais sur 5, et 7 nœuds dans le dernier. Le point sensible, relevé par Anthropic comme par Ars Technica, est que la chaîne de test s’appuyait sur un Android Debug Bridge sans authentification. En clair, le terrain était plus permissif que la plupart des installations réelles. De plus, le modèle qui orchestrait l’attaque n’était pas le même que celui qui devait être copié sur les cibles. Le démonstrateur reste donc un signal technique, pas la preuve d’un ver autonome opérationnel.

Les modèles apprennent aussi à contourner leurs propres échecs

L’un des aspects les plus intéressants tient à la mémoire des essais précédents. Avec un système baptisé Memento, les chercheurs ont transmis aux nouvelles tentatives des notes sur ce qui avait échoué ou fonctionné. Le taux de réussite pour la configuration d’inférence est alors passé de 45 % à la première génération à une fourchette de 61 % à 84 % dans les suivantes. Pas de réentraînement du modèle principal, mais assez de contexte pour éviter de répéter les mêmes erreurs. C’est là que la recherche devient moins théorique et plus sérieuse pour les défenseurs.

Anthropic estime que des modèles jusqu’à 30 milliards de paramètres savent déjà accomplir une partie des tâches nécessaires à la réplication, mais peinent à les chaîner de manière fiable. La société va plus loin et juge, à partir du rythme actuel d’amélioration des modèles ouverts, qu’une capacité de réplication complète pourrait devenir plausible d’ici la fin de 2026. Il s’agit d’une estimation, pas d’une échéance observée. Les chercheurs soulignent aussi qu’un soutien d’un modèle plus puissant n’a pas apporté de gain net dans leurs tests sur les appareils inconnus.

Les mesures de défense existent déjà, mais elles doivent tenir à l’échelle

Face à ce type de menace, Anthropic met en avant plusieurs contre-mesures : surveillance réseau, meilleure hygiène de sécurité des appareils, authentification renforcée, configurations par défaut plus strictes et coordination rapide en cas d’incident. Les auteurs citent aussi l’exemple du botnet Mirai, où la quarantaine et l’avertissement aux utilisateurs auraient permis d’éliminer 92 % des infections en 14 jours, contre 74 % sans notification. La leçon est simple : la réponse technique compte, mais la vitesse de réaction aussi.

Le vrai sujet n’est donc pas l’arrivée immédiate d’un ver IA sur les routeurs du salon. C’est la convergence entre des modèles de plus en plus capables, des appareils domestiques peu protégés et des chaînes d’attaque que l’IA peut adapter en cours de route. Si les promesses commerciales insistent sur l’assistance au quotidien, la recherche d’Anthropic rappelle que la même autonomie peut servir à autre chose. Les fabricants d’objets connectés n’ont pas encore intérêt à céder les clés du salon à un modèle trop curieux.