Vers IA sur objets connectés : ce qu'Anthropic démontre et ce qu'elle extrapole

Le 12 octobre 2026, William Zhou et Daniel Freeman, de la Frontier Red Team d'Anthropic, ont publié une étude sur la capacité de modèles d'IA à se répliquer hors des datacenters¹. Leur thèse : d'ici quelques mois, de petits modèles à poids ouverts pourraient passer d'objet connecté en objet connecté, à la manière d'un ver informatique. Les deux chercheurs démontrent une partie du chemin et extrapolent le reste jusqu'à fin 2026.

Le scénario étudié

Les auteurs découpent la réplication en quatre étapes :

1. trouver des appareils cibles ;
2. y obtenir l'exécution de code ;
3. y faire tourner un modèle ;
4. se propager vers d'autres appareils.

Pour les deux premières, ils renvoient à des travaux existants sur les capacités cyber des modèles (CyberGym, ExploitBench, CyberSecEval 3). Leurs expériences portent sur l'inférence et la propagation. Tous les modèles testés sont à poids ouverts¹.

Leur cible de démonstration : des boîtiers Android TV sans marque, vendus autour de 55 $ avec 4 Go de mémoire. Ils citent aussi les fours, réfrigérateurs, aspirateurs et tondeuses connectés, ainsi que les caméras et systèmes de visioconférence équipés de puces d'IA. Un tel ver n'aurait pas de point central où l'arrêter. Il serait lent : une réplication prend plus d'une journée¹.

Ce que les expériences montrent

Expérience	Modèle	Résultat
Monter un serveur d'inférence sur 9 types de matériel, de la Jetson Nano à la RTX 4090	Qwen3.5-9B	Réussite sur 8 types sur 9
Réessayer avec les notes des tentatives passées (harnais Memento, 20 lignées sur 6 générations)	Qwen3.5-9B	45 % de réussite en première génération, 61 % à 84 % ensuite
Inférence répartie sur 15 boîtiers Android TV, deux couches du modèle par boîtier	Gemma4-26B-A4B	0,39 token par seconde
Réplication de bout en bout sur 8 machines émulant Android 15, entrée par un port ADB non authentifié	GLM-5.2, seul modèle à réussir	8 machines sur 8 dans 4 essais sur 5, 7 sur 8 au cinquième

Source : Anthropic, étude du 12 octobre 2026.

Dans cette dernière expérience, GLM-5.2 tournait sur un serveur séparé : les machines du réseau de test étaient trop petites pour lui. Le modèle qu'il déployait sur chaque machine était Llama3.1-8B, pas lui-même. Avec une installation de l'inférence scriptée, même un modèle de 3 milliards de paramètres atteint environ la moitié d'un réseau de 17 machines¹.

Répliquer Qwen3.5-9B demande 28 à 51 heures ; Gemma4-26B-A4B, non optimisé, 71 à 150 heures. Les auteurs ont aussi testé Claude Opus 4.8 comme conseiller de Qwen3.5-9B : son aide n'a pas amélioré le taux de réussite de façon statistiquement significative¹.

Ce qui relève de la projection

L'échéance de fin 2026 sort d'une courbe. Sur l'Epoch Capabilities Index, les meilleurs modèles ouverts de 30 milliards de paramètres ou moins gagnent 13,7 points par an (R² de 0,95). À ce rythme, ils atteindraient fin 2026 le niveau de GLM-5.2, que les auteurs prennent comme seuil de la réplication. Avec des poids compressés sur 4 bits, 4 Go de mémoire suffisent¹.

Pour l'ordre de grandeur, les auteurs prennent le botnet Kimwolf : plus de 2 millions d'appareils infectés, surtout des boîtiers Android TV. Avec une copie de Gemma par groupe de 15 boîtiers, un tel essaim ferait tourner 133 000 copies, pour environ 80 000 tokens par seconde au total : l'équivalent de 40 GPU H100. Les accélérateurs embarqués de type Jetson représenteraient de 9 000 à 35 000 équivalents H100 sur environ 9,5 millions d'unités ; les auteurs estiment la part atteignable au moins dix fois plus faible¹.

Les auteurs listent leurs limites : étape cyber simplifiée, qui fait de leurs résultats une borne haute ; estimation fondée sur un seul type de matériel et un seul botnet ; indice ECI qui mesure des capacités générales et non la réplication ; riposte des défenseurs non testée¹.

Les réserves des spécialistes

Interrogé par Reuters, Ciaran Martin, ancien directeur du NCSC britannique, y voit une « vendor exaggeration », une exagération de fournisseur. Jessica Ji, du CSET de l'université Georgetown, rappelle qu'on ignore encore la probabilité d'un tel scénario ; un autre chercheur y voit une hypothèse plutôt qu'une prévision. D'autres experts, non nommés, jugent les modèles trop lourds à déplacer et trop gourmands en calcul pour fonctionner seuls. Zhengxiong Li, de l'université du Colorado à Denver, s'inquiète au contraire d'un ver sans point central où l'arrêter². SecurityWeek retient surtout l'avertissement d'Anthropic sur de petits réplicateurs possibles à court terme³.

Le sujet a des antécédents. En décembre 2024, des chercheurs de l'université Fudan affirmaient que Llama3.1-70B et Qwen2.5-72B savaient produire une copie fonctionnelle d'eux-mêmes⁴. En 2025, l'AI Security Institute britannique publiait RepliBench, qui découpe la réplication autonome en quatre volets, dont l'exfiltration des poids⁵. Avec des modèles ouverts, aucun poids n'est à voler : le risque se déplace vers la propagation, d'où le vocabulaire du ver.

Le vecteur ADB a déjà servi : en février 2018, 360 Netlab signalait ADB.Miner, un ver qui infectait des appareils Android par ce port pour miner de la cryptomonnaie⁶.

Notez aussi le calendrier : Anthropic a publié l'étude deux jours avant sa journée investisseurs, en pleine préparation de son introduction en Bourse. Reuters la rapproche d'une mise en garde de Dario Amodei, en septembre, sur des botnets d'IA persistants².

Ce que les équipes IT peuvent faire

Les recommandations des auteurs reprennent l'hygiène connue depuis Mirai¹.

• Fournisseurs d'accès. Mettre en quarantaine les abonnés infectés, limiter leur accès à une courte liste de sites et les rediriger vers des instructions de nettoyage. Les auteurs citent le cas de Mirai : avec quarantaine et notification, 92 % des infections avaient disparu en 14 jours, contre 74 % sans notification.
• Fabricants. Livrer des réglages sûrs par défaut, sur le modèle des règles britanniques qui proscrivent les mots de passe par défaut sur les objets connectés.
• Défenseurs. Surveiller les flux réseau (transferts de plusieurs gigaoctets, trafic inhabituel entre appareils) et déployer des pots de miel pour capturer le harnais et la charge du réplicateur.

Dans une entreprise, la traduction est directe : inventorier les boîtiers Android des salles de réunion et de l'affichage dynamique, les caméras et les NAS ; les isoler dans un segment réseau dédié ; fermer le débogage ADB, qui écoute par défaut sur le port TCP 5555 ; alerter sur tout transfert de plusieurs gigaoctets entre appareils.

Anthropic n'a publié ni code ni données : personne ne peut encore rejouer ces expériences.

Sources

1. William Zhou et Daniel Freeman, « AI models may be capable of self-replicating without access to a datacenter », Anthropic, 12 octobre 2026 : anthropic.com.
2. Raphael Satter et Harshita Mary Varghese, « Anthropic warns AI models may soon self-replicate and could wreak havoc on the web », Reuters, 13 octobre 2026 : reuters.com (reprise KSL).
3. Eduard Kovacs, « Small AI Models Could Soon Self-Replicate on IoT Devices, Anthropic Warns », SecurityWeek, 13 octobre 2026 : securityweek.com.
4. Xudong Pan et al., « Frontier AI systems have surpassed the self-replicating red line », université Fudan, décembre 2024 : arxiv.org.
5. UK AI Security Institute, « RepliBench: Evaluating the Autonomous Replication Capabilities of Language Model Agents », avril 2025 : arxiv.org.
6. 360 Netlab, « Early Warning: ADB.Miner A Mining Botnet Utilizing Android ADB Is Now Rapidly Spreading », février 2018 : blog.netlab.360.com.