L’équipe Frontier Red Team d’Anthropic a exécuté un modèle d’intelligence artificielle sur un ensemble de 15 appareils Android TV bon marché, dont le coût de fabrication s’élevait à environ 825 dollars, dans le cadre d’une expérience visant à déterminer à quel point les petits modèles d’IA se rapprochent de la capacité à se copier via des appareils connectés à Internet. Ce matériel fonctionne à une vitesse de 0,39 jeton par seconde, une vitesse lente pour une interaction habituelle, mais qui pourrait suffire à un logiciel fonctionnant sans attendre un utilisateur.
La recherche ne signifie pas qu’Anthropic a construit un ver d’IA capable de se propager automatiquement sur l’Internet public. Les expériences ont été menées dans des environnements isolés et comprenaient des raccourcis ainsi que des hypothèses facilitant l’accès aux appareils. Mais les résultats, publiés par les chercheurs William Zhou et Daniel Freeman, indiquent que certains des obstacles techniques restants pourraient être temporaires.
Quatre étapes de la chaîne d’autoréplication
La recherche identifie quatre tâches dont le ver logiciel a besoin pour se copier : trouver une cible, y obtenir un accès, exécuter l’inférence, puis passer à un autre appareil. Les chercheurs estiment que les modèles plus petits ont déjà démontré certaines des capacités nécessaires à l’exploitation, tandis que l’exécution du modèle sur du matériel, des systèmes d’exploitation et des dépendances inhabituels constitue le principal défi.
Lors des tests, Qwen3.5-9B a réussi à configurer un serveur d’inférence exécutant un modèle Llama3.1-8B sur huit des neuf types de matériel, notamment Jetson Nano, des appareils Mac et des ordinateurs équipés de cartes RTX 4090. GLM-5.2 s’est montré plus fiable et a offert un meilleur débit, mais il était trop volumineux pour fonctionner directement sur les appareils ciblés.
Dans un environnement Google Cloud protégé par un pare-feu, comprenant huit nœuds exécutant des émulateurs Android, GLM-5.2 a atteint les huit nœuds lors de quatre tentatives sur cinq, et sept nœuds lors de la cinquième tentative. Un serveur distinct a été utilisé pour exécuter GLM-5.2, tandis que le ver installait un modèle plus petit de 8B sur les appareils ciblés. Un port Android Debug Bridge non documenté a également été laissé ouvert, un facteur qui ne reflète pas nécessairement les conditions d’un réseau réel.
La mémoire a amélioré les chances de copie
La capacité des agents à configurer l’inférence s’est améliorée lorsque les versions ultérieures ont pu lire les notes laissées par les tentatives précédentes. Lors de l’exécution de Qwen3.5-9B sur 20 lignées, chacune durant six générations, le taux de réussite est passé de 45 % à la première génération à une fourchette comprise entre 61 % et 84 % lors des générations suivantes.
Les chercheurs ont appelé cette méthode un « héritage lamarckien », puisque l’expérience est transmise d’une copie à l’autre sans réentraîner le modèle. En revanche, donner à Qwen3.5-9B la possibilité de demander conseil au modèle plus puissant Opus 4.8 n’a pas produit d’amélioration statistiquement significative, car le modèle plus petit ne savait pas toujours quelles questions pertinentes poser.
Qu’est-ce que cela change concrètement ?
Le paradoxe actuel est que le modèle capable d’exécuter l’ensemble du processus d’autoréplication est généralement trop volumineux pour fonctionner sur les appareils compromis, tandis que les petits modèles adaptés à ces appareils n’accomplissent pas la tâche avec une stabilité suffisante. Les chercheurs estiment que des appareils TV dotés de 4 Go peuvent exécuter un modèle 9B réparti sur quatre unités ou plus, ainsi qu’un modèle 26B réparti sur dix unités ou plus. Le cluster d’Anthropic, composé de 15 appareils, exécute le modèle Gemma4-26B-A4B.
La configuration d’une seule inférence sur cette catégorie d’appareils peut prendre entre 28 et 150 heures, selon le modèle. Mais l’agent logiciel n’a pas besoin de patience humaine, ce qui rend une propagation lente à travers un nombre énorme d’appareils un scénario différent des attaques traditionnelles rapides.
En se fondant sur le réseau Kimwolf, qui a infecté plus de deux millions d’appareils, dont la plupart étaient des appareils Android TV bon marché, les chercheurs ont calculé que la division d’un nombre similaire d’appareils en clusters de 15 unités pourrait produire environ 133 000 copies du modèle, à une vitesse totale proche de 80 000 jetons par seconde. Cette capacité équivaut à au plus environ 40 unités de traitement graphique Nvidia H100, mais au prix d’appareils et de coûts d’exploitation appartenant à une autre partie.
Limites du risque et moyens de détection
Ces résultats restent loin de démontrer l’existence d’un ver autoréplicatif sur Internet. Les tests reposaient sur des ports ouverts et des environnements contrôlés, tandis que les estimations des chercheurs concernant la fin de l’année 2026 s’appuient sur des tendances générales des capacités des modèles et ne garantissent pas des performances similaires dans un processus d’autoréplication réel.
En revanche, les exigences liées à la propagation pourraient rendre la détection de ce type de logiciel possible : le transfert de modèles de plusieurs gigaoctets entre les appareils laisse un trafic réseau que les fournisseurs d’accès à Internet peuvent surveiller. La recherche indique que l’isolement des abonnés infectés, comme cela s’est produit lors de la lutte contre le réseau Mirai, lorsqu’une mesure prise par l’un des fournisseurs de services a permis de supprimer 92 % des infections en 14 jours, pourrait constituer une première ligne de défense. Mais l’élimination complète des copies nécessiterait une coordination entre tous les fournisseurs de services dont les réseaux comprennent des appareils infectés.