Des modèles d’IA légers inquiètent sur des malwares capables de se répliquer

Anthropic prévient que des modèles d’IA plus légers pourraient bientôt servir à des malwares capables de se répliquer sur des objets connectés, des téléviseurs Android aux frigos et aspirateurs connectés. L’entreprise dit viser, dès l’an prochain, une capacité d’auto-réplication sur des appareils IoT variés, avec un risque plus difficile à neutraliser qu’un malware classique. Le sujet compte pour la cybersécurité, car ces attaques pourraient contourner plus d’objets, s’adapter en temps réel et survivre plus longtemps à la riposte. Autrement dit, la vieille idée du ver informatique prend un petit bain d’IA, et ce n’est pas une cure de jouvence rassurante.

Pourquoi Anthropic tire la sonnette d’alarme

La société explique qu’un “replicator” de ce type serait compliqué à arrêter, faute de point central à couper, et potentiellement lent, avec un temps de doublement de plusieurs jours. Selon son billet, un tel malware pourrait aussi reconnaître des appareils inconnus de façon autonome, là où un code traditionnel doit être prévu pour du matériel ou des logiciels précis.

Anthropic a testé des modèles open-weight sur des boîtiers Android TV bas de gamme, réels ou simulés, ainsi que sur d’autres matériels IoT. En utilisant la quantification, qui réduit le nombre de bits nécessaires au calcul, et en répartissant les charges de travail en “shards” sur plusieurs machines, les chercheurs ont montré que les modèles pouvaient atteindre l’inférence, c’est-à-dire charger leurs poids et produire une réponse. Cette étape reste clé : sans elle, pas de modèle réellement opérant sur l’appareil cible.

Ce que l’expérience a montré, et ce qu’elle ne prouve pas encore

Le test le plus parlant concerne Gemma4-26B-A4B, qui a nécessité 15 boîtiers de 4 Go de mémoire chacun pour parvenir à l’inférence. Qwen3.5-9B a, de son côté, pu configurer d’autres LLM pour fonctionner sur huit des neuf types de matériel évalués. Anthropic voit là la preuve que des modèles plus petits savent déjà bricoler des configurations spécifiques à la volée, sans dépendre d’un script figé.

Mais l’entreprise reste prudente sur la portée de ses résultats. Aucun des modèles légers testés n’a réussi une réplication de bout en bout, c’est-à-dire la chaîne complète qui va de la découverte d’un appareil à son infection, puis à la configuration d’un serveur d’inférence et à la propagation vers une nouvelle cible. Le processus est aussi lent : Gemma4-26B-A4B, réparti sur les 15 boîtiers Android TV, a tourné à 0,39 token par seconde, avec un délai de mise en place complet estimé entre 71 et 150 heures dans une version non optimisée. Qwen3.5-9B a affiché un délai de 29 à 51 heures.

Des verrous techniques qui freinent encore les attaques

Le point le plus difficile reste l’inférence dynamique, autrement dit l’installation et le réglage du modèle sur une machine inconnue. Anthropic la décrit comme l’étape la moins étudiée et la plus exigeante, car elle impose une série de décisions dépendantes du matériel, du système et des dépendances logicielles disponibles. Chaque erreur casse la chaîne, et la reprise n’a rien d’élégant.

Les chercheurs ont aussi relevé deux limites importantes. D’abord, les appareils Android ciblés exposaient un Android Debug Bridge non authentifié, un outil de développement qui ne devrait jamais être ouvert en production. Ensuite, la réplication n’a pas été menée uniquement par les petits modèles eux-mêmes : GLM-5.2 a servi à orchestrer le processus pendant que les cibles faisaient tourner un modèle plus léger de type Llama.

Malgré cela, Anthropic estime que des modèles de 30 milliards de paramètres savent déjà accomplir une partie des étapes de réplication, même s’ils se trompent encore sur la fin du parcours. La société juge qu’au rythme actuel, des résultats comparables pourraient apparaître d’ici la fin de l’année, puis rendre possibles des “small weight-based replicators” peu après. Ce scénario reste prospectif, mais il change déjà la donne pour les fabricants d’objets connectés et pour les équipes de défense. La prochaine bataille ne portera peut-être plus seulement sur le code, mais sur la capacité d’un modèle à apprendre sur le tas.