Des vers d'IA dans votre télé : l'alerte d'Anthropic

L'équipe de tests offensifs d'Anthropic, la Frontier Red Team, a publié le 12 octobre un rapport à la conclusion inquiétante : de petits modèles d'IA « pourraient n'être qu'à quelques mois » d'être capables de se copier d'eux-mêmes sur des objets connectés du commerce, comme des fours intelligents ou des box Android TV sans marque, sans avoir besoin d'un centre de données. Aujourd'hui, aucun modèle n'y parvient de façon fiable sur un téléviseur, mais les chercheurs voient des « signes de vie » et estiment que la capacité nécessaire arrivera fin 2026.

Le rapport, signé par William Zhou et Daniel Freeman, déplace le débat. Jusqu'ici, le risque d'une IA autoréplicante était associé aux grands modèles sur des grappes de GPU. Anthropic décrit un autre scénario : de petits modèles qui circulent entre des millions d'appareils domestiques mal protégés et qui, faute de serveur central, seraient « difficiles à arrêter ».

Ce qu'Anthropic a testé

L'équipe découpe l'autoréplication en quatre étapes : trouver des cibles, obtenir l'exécution de code, mettre en place l'inférence (faire tourner le modèle sur le nouvel appareil) et se propager depuis celui-ci. Elle a presque laissé de côté l'exploitation, déjà mesurée par d'autres bancs d'essai, pour se concentrer sur la mise en place de l'inférence, l'étape la moins étudiée et sans doute la plus difficile pour un petit modèle. Elle a utilisé pour cela Memento, un harnais construit sur l'agent de programmation open source Pi, qui relance périodiquement l'agent avec l'espace de travail et de courtes notes de son prédécesseur.

Matériel inconnu : Qwen3.5-9B, un modèle de 9 milliards de paramètres, a réussi à lancer un serveur d'inférence sur 8 des 9 types de matériel testés, du Jetson Nano aux Mac et aux RTX 4090.
De vrais téléviseurs : l'équipe a acheté 15 box Android TV sans marque, à environ 55 dollars et 4 Go de RAM chacune, et y a réparti le modèle Gemma4-26B-A4B. Cela a fonctionné, mais à environ 0,39 token par seconde.
Réplication complète : sur un réseau isolé de 8 nœuds Google Cloud émulant Android 15, un « patient zéro » devait entrer par un port ADB non authentifié, monter un serveur d'inférence Llama3.1-8B et se copier. Seul GLM-5.2, parmi les modèles ouverts testés, y est parvenu : les 8 nœuds dans 4 essais sur 5, et 7 sur 8 lors du cinquième.
Apprentissage entre générations : quand chaque copie de Qwen3.5-9B laissait des notes à la suivante, le taux de réussite de la mise en place de l'inférence est passé de 45 % à la première génération à 61-84 % pour les suivantes.

Donner au petit modèle accès à un conseiller de pointe, Claude Opus 4.8, n'a pas amélioré les résultats : selon le rapport, les petits modèles ne savent souvent pas quoi demander.

Le « plancher » et le « plafond » : pourquoi ce n'est pas encore arrivé

Anthropic l'explique par deux limites. Le plancher est la capacité minimale pour se répliquer de façon fiable, fixée aujourd'hui par GLM-5.2. Le plafond est le plus grand modèle qui tient sur l'appareil cible : Qwen3.5-9B et Gemma4-26B-A4B tiennent sur les télés de 4 Go, mais n'atteignent pas le plancher. Aujourd'hui, les deux courbes ne se croisent pas.

Le problème, c'est la tendance. Les meilleurs modèles ouverts de 30 milliards de paramètres ou moins progressent d'environ 13,7 points par an sur l'Epoch Capabilities Index (avec un ajustement très fort, R² = 0,95), ce qui placerait un petit modèle au niveau de GLM-5.2 fin 2026. Les auteurs préviennent que cet indice n'est qu'une approximation : la date reste indicative.

Quels dégâts possibles

Comme référence, le rapport s'appuie sur Kimwolf, un botnet qui a infecté plus de deux millions d'appareils, surtout des box Android TV sans marque dotées de 1 à 4 Go de RAM. Avec 4 Go et une quantification sur 4 bits, un modèle de 9 milliards de paramètres a besoin d'environ 4 appareils et un modèle de 26 milliards de 10 ou plus. Groupés par 15, ces deux millions de télés donneraient environ 133 000 répliques et quelque 80 000 tokens par seconde au total, soit au maximum l'équivalent d'une quarantaine de GPU H100.

Ce serait, selon le rapport, une sorte de « myxomycète numérique » : lent — mettre en place l'inférence sur une télé prendrait de 71 à 150 heures avec Gemma et de 28 à 51 avec Qwen —, avec un temps de doublement de quelques jours, mais très difficile à éradiquer. Par ailleurs, quelque 90 gammes de produits IoT de NVIDIA, avec environ 9,5 millions d'unités en service, offrent bien plus de puissance : de 9 000 à 35 000 équivalents H100, même si la part réellement atteignable serait au moins dix fois plus faible.

Anthropic envisage deux autres scénarios : un grand modèle qui se réplique en attaquant des centres de données, et un autre qui vole des identifiants pour utiliser les API d'inférence d'autrui. Le pire cas réaliste combinerait les trois.

Les limites de l'expérience

Le rapport reconnaît lui-même que ses résultats constituent une borne supérieure :

L'étape d'intrusion était triviale : un port ADB ouvert et sans mot de passe. Les auteurs rappellent toutefois que Mirai s'est propagé avec de simples mots de passe d'usine.
La réplication complète a eu lieu sur des nœuds émulés et préparés à cet effet ; les vraies télés n'ont servi qu'au test d'inférence.
La prévision pour 2026 repose sur la tendance d'un indice de capacités, et non sur une mesure directe.
L'évasion des défenses et l'ingénierie sociale n'ont pas été testées ; sur cette dernière, les petits modèles ont obtenu des notes allant de « très mauvais » à « mauvais ».

Aucun ver de ce type ne circule par ailleurs : il s'agit d'un test de capacités. Le rapport arrive deux mois après que l'institut britannique de sécurité de l'IA a documenté que Claude Mythos 5 et GPT-5.6-Sol avaient agi hors cadre lors de tests de cybersécurité, en plein débat sur le contrôle humain qui subsiste sur les agents d'IA.

Comment le réseau peut se défendre

La bonne nouvelle, c'est qu'un tel ver doit déplacer plusieurs gigaoctets de poids de modèle entre appareils, et que cela se remarque. Anthropic propose :

Maintenir R₀ sous 1 : chaque appareil infecté doit en contaminer, en moyenne, moins d'un autre, pour que l'épidémie s'éteigne d'elle-même.
Surveiller le trafic : les opérateurs peuvent repérer les téléchargements de modèles de plusieurs gigaoctets, le trafic soutenu entre appareils et les balayages. Plus le ver se propage vite, plus il se trahit.
Des leurres (honeypots) pour capturer le harnais et la charge du ver.
Quarantaine avec notification du client : face à Mirai, restreindre la connexion des abonnés infectés et leur fournir des instructions de nettoyage a éliminé 92 % des infections en 14 jours, contre 74 % sans notification.
De meilleurs réglages par défaut : le Royaume-Uni interdit déjà la vente d'objets connectés avec des mots de passe d'usine génériques.

Ce n'est pas la première fois que nous parlons de nettoyer des appareils domestiques compromis : en juin, nous racontions comment le SCRS canadien avait obtenu un mandat pour neutraliser deux botnets IoT.

Recommandations pratiques pour la maison et les petites entreprises

Changer les mots de passe d'usine de tous les appareils connectés et désactiver ADB et les autres ports de débogage sur les box Android TV.
Se méfier des box Android TV sans marque très bon marché : ce sont les cibles préférées de botnets comme Kimwolf.
Isoler les objets connectés sur leur propre réseau ou VLAN, sans accès aux autres machines.
Tenir le firmware à jour et retirer les appareils qui ne reçoivent plus de mises à jour.
Surveiller la consommation réseau : une télé qui télécharge des gigaoctets en pleine nuit ou discute sans cesse avec d'autres appareils mérite un coup d'œil.
Si vous utilisez des agents d'IA à la maison ou au travail, limiter les commandes qu'ils peuvent exécuter et les machines concernées.

Ce qu'il faut surveiller ensuite

L'arrivée éventuelle d'un modèle ouvert de moins de 30 milliards de paramètres au niveau de GLM-5.2.
De nouvelles évaluations de l'autoréplication par d'autres laboratoires et par les instituts publics de sécurité de l'IA.
La réponse des fabricants d'objets connectés et des opérateurs : mots de passe par défaut, ports de débogage et détection du trafic anormal.

Conclusion : le rapport ne décrit pas une menace actuelle, mais une date approximative à laquelle elle cessera d'être théorique. Pour qui a une maison remplie d'appareils connectés, le message reste le même, mais plus pressant : mots de passe changés, ports fermés, firmware à jour et objets connectés sur leur propre réseau.