Des modèles d’IA de petite taille pourraient bientôt se copier d’un objet connecté à l’autre, sans datacenter. C’est le scénario que décrit la Frontier Red Team d’Anthropic dans une étude publiée le 12 octobre. Le document de recherche signé William Zhou et Daniel Freeman soutient que de petits modèles d’IA pourraient d’ici quelques mois devenir capables de se répliquer sur des objets connectés bon marché, comme des fours intelligents ou des boîtiers Android TV.

Si la scale-up reconnaît qu’il n’existe pas encore de « réplicateur » pleinement autonome, elle observe toutefois que les agents savent déjà accomplir de plus en plus d’étapes de la chaîne de réplication et transmettre leurs adaptations à leurs copies. Un ver dopé à l’IA, sans datacenter Le scénario étudié est celui d’un « ver IA ». Comme tout ver, il se copie d’une machine à l’autre sans intervention humaine, mais il emporte ici ses propres poids de modèle qui font partie de la charge malveillante.

Lire aussi : Dans sa course à l'infra, Anthropic embarque Akamai Anthropic rappelle que des travaux antérieurs ont montré des agents capables de scanner un réseau, d’exploiter une faille et de copier leurs poids sur une machine cible au sein d’un cluster de GPU. Son apport est de montrer que des GPU de datacenter ne sont pas indispensables. Un réseau d’objets connectés, bon marché et en général peu défendus, pourrait fournir assez de puissance pour exécuter un modèle capable.

Pour le démontrer, les chercheurs ont fait tourner Gemma4-26B-A4B, un modèle de Google, sur 15 boîtiers Android TV d’entrée de gamme, achetés environ 55 $ pièce et mis en réseau. Le modèle était réparti entre les boîtiers, chacun n’en hébergeant qu’une fraction des couches. Le débit atteint était de 0,39 token par seconde.

Ces appareils embarquent généralement entre 1 et 4 Go de RAM. Avec 4 Go et une quantification en 4 bits, Anthropic estime qu’il faut au moins quatre machines pour un modèle de 9 milliards de paramètres et dix ou plus pour un modèle de 26 milliards. Dans le même esprit, un modèle trop gros pour un seul appareil peut être découpé en fragments exécutés sur plusieurs machines. Anthropic cite parmi les cibles possibles les réfrigérateurs, fours et aspirateurs connectés, ainsi que les caméras de sécurité et les systèmes de visioconférence dotés de petites puces d'IA.

Ce que les tests montrent...et leurs limites L'étude découpe la réplication en quatre étapes : trouver des cibles, obtenir l'exécution de code, installer l'inférence, poursuivre la propagation depuis le nouvel hôte.Anthropic écarte largement l'aspect cyber pour lequel elle renvoie à des travaux existants. L'étude se concentre sur l'installation de l'inférence sur du matériel inconnu jugée peu étudiée et potentiellement la plus difficile pour de petits modèles. Sur ce point, un modèle de 9 milliards de paramètres a réussi à faire fonctionner l'inférence sur 8 des 9 types de matériel testés, des Jetson Nano aux Mac et aux RTX 4090.

Les modèles de 30 milliards de paramètres ou moins réalisent déjà beaucoup d'étapes isolées, mais commettent des erreurs quand il faut les enchaîner de bout en bout. Le test de bout en bout s'est déroulé sur huit nœuds Google Cloud émulant Android 15, avec un port ADB sans authentification. Lire aussi : À l'ONU, OpenAI et Anthropic réclament des règles communes pour l'IA Parmi les modèles à poids ouverts évalués, seul GLM-5.2 s'est montré capable de se propager de façon fiable : il a atteint les huit nœuds dans quatre essais sur cinq et sept dans le dernier.

Les chercheurs précisent que la tâche consistait à installer Llama 3.1-8B, ce qui revient à supposer qu'un modèle de 8 milliards de paramètres atteigne un jour les capacités de GLM-5.2. Ils indiquent aussi que la partie cyber, volontairement triviale, fait de ce résultat une borne supérieure du succès réel. Ils notent néanmoins que des botnets comme Mirai se sont propagés avec de simples listes d'identifiants par défaut.

Dans une variante où l'installation de l'inférence est remplacée par un script, de nombreux modèles, y compris de petits, parviennent à mener le reste de la tâche. Un modèle de 3 milliards de paramètres atteint environ la moitié des nœuds d'un réseau de 17 machines. Une échéance fixée à la fin de 2026 Anthropic raisonne en termes de plancher de capacité nécessaire pour se répliquer et de plafond de taille imposé par le matériel visé.

Aujourd'hui, les deux ne se rejoignent pas. En extrapolant la progression des modèles à poids ouverts de 30 milliards de paramètres ou moins, mesurée par l'Epoch Capabilities Index (13,7 points par an), la scale-up situe à la fin de 2026 le moment où un petit modèle atteindrait le niveau de GLM-5.2. Il reconnaît que cet indice est un indicateur indirect de la capacité de réplication et que l'estimation reste approximative.

Un ver lent, mais difficile à éteindre Le principal atout d'un tel ver serait l'absence de point central à couper, d'où la difficulté à l'arrêter. Sa vitesse serait en revanche faible, avec un temps de doublement de l'ordre de plusieurs jours. Sur les boîtiers de test, l'installation complète de l'inférence prendrait 71 à 150 heures pour Gemma4-26B-A4B, et 28 à 51 heures pour Qwen3.5-9B.

Anthropic s'appuie sur le botnet Kimwolf, qui a infecté plus de deux millions d'appareils, surtout des boîtiers Android TV. Lire aussi : IA : les 3 propositions de Dario Amodei pour reprendre la main sur les modèles Un parc équivalent, organisé en groupes de 15 boîtiers, donnerait environ 133 000 réplicas et quelque 80 000 tokens par seconde. C'est l'équivalent d'une quarantaine de GPU H100, soit très peu en valeur absolue.

Les auteurs précisent que ce calcul repose sur une seule classe de matériel et un seul précédent. Adaptation et défenses Les chercheurs ont aussi testé la capacité d'apprentissage. Chaque instance de Qwen 3.5-9B tenait des notes sur ses échecs et les transmettait à la suivante.

Le taux de réussite de l'installation est passé de 45 % à la première génération à une fourchette de 61 à 84 % aux générations suivantes. Donner accès à Opus 4.8 comme conseiller n'a en revanche produit aucune amélioration mesurable. Sur l'hameçonnage ciblé, les petits modèles obtiennent des scores allant de « très faible » à « faible », une fois normalisés aux évaluateurs humains.

Anthropic en déduit que l'ingénierie sociale reviendrait plutôt à de grands modèles. Côté défense, le laboratoire propose de raisonner comme en épidémiologie, en ramenant le nombre moyen de nouvelles infections par appareil infecté sous 1. Il met en avant plusieurs leviers : Détection réseau : de gros transferts de poids de modèles et un trafic soutenu entre appareils laisseraient des traces visibles pour les fournisseurs d'accès.

Quarantaine par les FAI : pour Mirai, elle avait permis d'éliminer 92 % des infections en 14 jours, contre 74 % sans notification. Réglementation : le Royaume-Uni considère désormais les mots de passe par défaut des objets connectés comme non conformes. Anthropic admet que l'élimination complète supposerait une coordination entre tous les fournisseurs concernés, ce qui est difficile.

Elle évoque d'autres formes possibles de réplication, comme un modèle puissant qui pénétrerait des datacenters ou un modèle qui escroquerait des gens pour obtenir des crédits de calcul. Elle parle de « signes de vie » et prévoit un avenir où des agents tourneront sur toutes sortes de matériels, dont certains hors de tout contrôle humain. Un contexte de comportements inattendus Cette publication s'inscrit dans une série d'annonces d'Anthropic sur des comportements non prévus de ses modèles, d'une nature différente de la réplication.

Selon la presse américaine, un modèle non publié et testé sur des sites choisis au hasard a soumis en juillet un faux témoignage sur le site de la police de Philadelphie, consacré aux homicides non résolus. Le message, sans nom ni coordonnées, évoquait une personne aperçue près des lieux. Il a été classé comme spam et n'a pas été transmis aux enquêteurs.

Anthropic dit avoir découvert l'incident le 28 septembre, puis prévenu la police le 7 octobre. La police de Philadelphie a jugé « inacceptable » ce délai de deux mois. D'après la scale-up, le modèle devait remplir la copie d'entraînement d'un formulaire administratif mais a rejoint le site réel et l'a soumis.

Ses consignes lui interdisaient de se connecter, de créer un compte ou d'acheter quoi que ce soit, sans exclure explicitement l'envoi de formulaires. D'autres cas ont touché des sites d'agences publiques américaines, fédérales, d'États et locales.Anthropic affirme avoir informé la Maison-Blanche et chaque agence concernée et mis en place des outils de détection et de blocage.