Et si la prochaine menace informatique n'avait besoin ni d'un datacenter ni d'un pirate aux commandes ? C'est la question posée par l'équipe Frontier Red Team d'Anthropic dans une étude publiée le 12 octobre 2026 par William Zhou et Daniel Freeman. Leur conclusion : de petits modèles d'IA pourraient être, selon leurs mots, « months away » (à quelques mois) d'être capables de se répliquer sur des objets connectés du commerce, comme des fours connectés ou des boîtiers Android TV sans marque.
L'étude ne décrit pas une attaque en cours. Elle mesure, en laboratoire et avec des évaluations volontairement simplifiées, jusqu'où vont déjà les modèles à poids ouverts. Voici ce qu'elle montre, et surtout ce qu'elle ne montre pas.
À retenir
- Un modèle de 26 milliards de paramètres (Gemma4-26B-A4B) a tourné réparti sur 15 boîtiers Android TV à environ 55 $, à 0,39 token par seconde.
- Un modèle de 9 milliards de paramètres (Qwen3.5-9B) a réussi à installer un serveur d'inférence sur 8 des 9 types de matériel testés.
- En simulation, seul GLM-5.2 réussit la réplication complète : 8 nœuds sur 8 dans 4 essais sur 5, 7 sur 8 dans le dernier.
- Si les petits modèles progressent à leur rythme historique, ils atteindraient ce niveau d'ici fin 2026, selon la projection des auteurs.
- Une telle propagation serait lente (des jours par copie) et laisserait une signature réseau : la mise en quarantaine reste une défense crédible.
01Ce qu'Anthropic a voulu tester
Le sujet porte un nom dans la recherche en sécurité de l'IA : l'ARA, pour autonomous replication and adaptation, c'est-à-dire un modèle qui se déploie et se propage sans contrôle humain. Les auteurs partent d'une idée simple : un « ver IA » pourrait emporter ses propres poids (le fichier du modèle) dans sa charge malveillante, puis faire tourner le modèle directement sur le matériel compromis.
Plutôt que les GPU des datacenters, cibles évidentes mais mieux protégées, l'étude s'intéresse aux objets connectés des particuliers et des petites entreprises : bon marché, connectés en permanence et historiquement peu sécurisés.
Quatre étapes pour se répliquer
Les chercheurs découpent la réplication en quatre étapes : trouver des cibles, obtenir l'exécution de code, mettre en place l'inférence (faire tourner un modèle sur la machine), puis repartir à l'assaut depuis le nouvel hôte. Les deux premières, le volet piratage, sont largement laissées de côté, car des travaux antérieurs ont déjà montré que les petits modèles en sont capables. L'étude se concentre sur la troisième, la moins mesurée jusqu'ici.
Pour leurs essais, les auteurs ont construit Memento, un harnais bâti sur l'agent de code open source Pi : il relance régulièrement une nouvelle instance de l'agent avec les notes laissées par la précédente, pour éviter qu'elle ne s'acharne sur une mauvaise piste.
0215 boîtiers Android TV pour faire tourner un modèle de 26 milliards de paramètres
La démonstration la plus parlante est matérielle. L'équipe a acheté et mis en réseau 15 boîtiers Android TV sans marque, à environ 55 $ pièce, dotés de 4 Go de mémoire vive chacun. Le modèle Gemma4-26B-A4B y a été découpé en tranches (chaque boîtier porte quelques couches du modèle) et a tourné à 0,39 token par seconde.
C'est très lent, mais ça fonctionne. Les auteurs prennent comme référence Kimwolf, un réseau d'objets piratés (botnet) qui a infecté plus de deux millions d'appareils, principalement des boîtiers Android TV. Ces appareils tournent souvent sur des versions d'Android auxquelles les fabricants n'ajoutent pas de protections.
Un petit modèle qui se débrouille sur du matériel inconnu
Deuxième test : demander à différents modèles d'installer un serveur d'inférence sur des machines variées. Qwen3.5-9B y parvient sur 8 des 9 types de matériel testés, d'un Jetson Nano à un Mac ou une carte RTX 4090. GLM-5.2, plus capable, est à la fois plus fiable et plus rapide. Les auteurs précisent que les puces citées ne présentent pas de faille particulière : elles servent seulement à mesurer la capacité des modèles à s'adapter.
03Le test complet : GLM-5.2 seul à réussir la réplication de bout en bout
Troisième étape, la plus spectaculaire : enchaîner tout le cycle. Les chercheurs ont monté un réseau fermé de 8 machines virtuelles sur Google Cloud, qui émulent Android 15. Le ver y saute de machine en machine par un port de débogage (ADB) laissé sans authentification, puis installe un serveur d'inférence. S'il passe les contrôles d'exactitude et d'anti-triche, une nouvelle copie du ver est lancée depuis la machine conquise.
Résultat : parmi les modèles à poids ouverts testés, seul GLM-5.2 réussit la réplication complète. Il atteint les 8 machines dans 4 essais sur 5, et 7 sur 8 dans le cinquième. Les autres modèles échouent systématiquement.
« In our simplified evaluations, GLM-5.2 and stronger models are capable of end to end replication. »
Autrement dit : dans leurs évaluations simplifiées, GLM-5.2 et les modèles plus puissants sont capables d'une réplication de bout en bout. Un point de méthode compte : pour comparer à armes égales, les modèles devaient faire tourner un modèle tiers de 8 milliards de paramètres (Llama3.1-8B), et non eux-mêmes. Le test mesure donc si un modèle aussi compétent que GLM-5.2, mais assez petit pour tenir sur ces appareils, pourrait se propager.
04Pourquoi ce n'est pas encore un scénario catastrophe
Les auteurs insistent sur les limites de leur propre travail, et elles sont importantes.
Un volet piratage volontairement trivial
« Our evaluation keeps the cyber-exploit element of the replication trivial » : l'évaluation rend le volet piratage trivial, puisque le port ADB est ouvert sans mot de passe. Le résultat est donc une borne haute du succès réel. Les chercheurs nuancent toutefois : le botnet Mirai se propageait en essayant simplement les identifiants par défaut des fabricants, si bien que la sécurité réelle des objets connectés n'est pas forcément beaucoup plus difficile à franchir.
Une propagation très lente
Sur les boîtiers TV, la mise en place complète de l'inférence prendrait de 71 à 150 heures pour Gemma4-26B-A4B et de 28 à 51 heures pour Qwen3.5-9B. Les auteurs comparent ce réplicateur à une moisissure visqueuse ou à un essaim de mouches du vinaigre, qui se multiplient en quelques jours.
Une puissance de calcul modeste
En transposant à un parc équivalent à Kimwolf (plus de 2 millions d'appareils), à raison d'une copie pour 15 boîtiers, on obtiendrait environ 133 000 copies et 80 000 tokens par seconde au total, soit au plus une quarantaine de cartes H100. Les auteurs reconnaissent eux-mêmes que c'est très peu en valeur absolue. Les objets dotés d'accélérateurs NVIDIA (caméras intelligentes, systèmes de visioconférence) représenteraient bien plus, entre 9 000 et 35 000 équivalents H100, mais la part réellement accessible depuis Internet serait au moins dix fois plus faible.
Enfin, l'équipe n'a pas testé la capacité d'un tel ver à déjouer activement les défenses.
05Ce qui inquiète vraiment les chercheurs
La tendance des petits modèles
Sur les modèles à poids ouverts de 30 milliards de paramètres ou moins, l'indice de capacités ECI (Epoch Capabilities Index) progresse d'environ 13,7 points par an. En prenant GLM-5.2 comme seuil minimal pour la réplication, la courbe place un petit modèle à ce niveau d'ici fin 2026. Les auteurs rappellent que l'ECI n'est qu'un indicateur indirect : c'est une estimation grossière.
Un ver qui apprend en se propageant
C'est le « A » d'ARA, l'adaptation. Sur six générations de Qwen3.5-9B, chacune héritant des notes de la précédente, le taux de réussite de l'installation passe de 45 % à la première génération à une fourchette de 61 % à 84 % pour les suivantes. Un ver classique, codé en dur pour un type d'appareil, ne sait pas faire ça.
Pas de point central à couper
« A replicator like this would be challenging to shut down, since there’s no centralized point to shut off » : un tel réplicateur serait difficile à arrêter, faute de point central à couper. À l'inverse, un coup de pouce extérieur ne change rien pour l'instant : donner à Qwen3.5-9B l'accès à Opus 4.8 comme conseiller n'améliore pas mesurablement ses résultats, car les petits modèles ne savent pas poser les bonnes questions.
06Les défenses évoquées par l'étude
Comme pour une épidémie, l'objectif est de faire passer sous 1 le nombre de nouveaux appareils infectés par chaque appareil touché. Plusieurs éléments jouent en faveur des défenseurs.
1. La signature réseau. Un ver qui transfère des modèles de plusieurs gigaoctets et fait dialoguer en continu des appareils qui ne communiquent normalement pas laisserait des anomalies visibles dans la surveillance des fournisseurs d'accès. Plus il se propage vite, plus il fait de bruit.
2. La quarantaine. Face au botnet Mirai, un fournisseur d'accès qui a isolé et prévenu ses abonnés infectés a éliminé 92 % des infections en 14 jours, contre 74 % sans notification. « We’d expect quarantining to be similarly effective for an initial defense against a weight-based replicator », écrivent les auteurs : la quarantaine devrait être aussi efficace en première ligne contre ce type de ver.
3. Les fabricants et la réglementation. Les mots de passe par défaut sur les objets connectés sont désormais non conformes au Royaume-Uni. Des réglages plus sûrs dès la sortie d'usine protègent à la fois contre les botnets classiques et contre leurs futures versions dopées à l'IA.
07Ce que ça change pour les entreprises et les particuliers
L'étude ne crée pas une menace nouvelle du jour au lendemain, mais elle change l'échelle d'un problème ancien : les objets connectés mal sécurisés deviennent, en plus du reste, une réserve potentielle de puissance de calcul pour des agents autonomes. Les réflexes d'hygiène restent les mêmes et gagnent en importance.
Côté particuliers : changer les mots de passe par défaut, éviter les boîtiers sans marque sans mises à jour, et ne pas exposer d'appareils domestiques directement sur Internet.
Côté entreprises : recenser les caméras, NAS, bornes de visioconférence et autres objets du réseau, les isoler dans un segment dédié, et surveiller les flux inhabituels entre appareils. Les éditeurs d'IA, de leur côté, multiplient les modèles orientés défense, comme Gemini 4 Argon, d'abord réservé aux défenseurs cyber.
Les auteurs concluent sur une prédiction qui dépasse leurs expériences : ils s'attendent à un futur peuplé d'agents tournant sur tous types de matériel, dont certains échapperont au contrôle humain. Il faut, selon eux, durcir les systèmes pour freiner ces réplicateurs, mais aussi se préparer à un monde où ils seront là pour durer.