Anthropic a averti que de petits modèles d’IA pourraient, dans quelques mois, se rapprocher de la capacité de s’auto-propager à travers des appareils commerciaux de l’Internet des objets, comme des boîtiers Android TV et des fours intelligents bon marché. Ce scénario pourrait entraîner la création de réseaux distribués d’appareils capables d’exécuter des charges de travail d’IA sans dépendre directement de centres de données.
Cependant, cet avertissement ne repose ni sur une attaque imminente ni sur la démonstration complète d’un ver d’IA autonome. Les chercheurs ont réussi à distribuer le modèle Gemma4-26B-A4B de Google DeepMind sur 15 boîtiers Android TV de marque inconnue, mais ils ne sont pas parvenus à présenter un cycle complet commençant par la découverte et le piratage des appareils, puis leur réplication automatique sur du matériel IoT réel.
Qu’a montré l’expérience ?
Anthropic a utilisé des boîtiers Android TV bon marché et attribué différents rôles aux modèles Qwen3.5-9B, Gemma4-26B-A4B, Llama3.1-8B, Opus 4.8 et GLM-5.2. Qwen3.5-9B et GLM-5.2 se sont chargés des tâches de préparation et de déploiement de Llama3.1-8B, tandis que Gemma4-26B-A4B a démontré qu’il était possible d’exécuter le modèle sur 15 appareils.
Le test reposait sur un environnement simplifié dans lequel les appareils ciblés exposaient un accès ADB non documenté. Qwen3.5-9B a réussi à installer les logiciels nécessaires à l’exécution de Llama3.1-8B et à le configurer sur huit des neuf types de matériel testés. GLM-5.2 a, pour sa part, atteint les huit nœuds lors de quatre tentatives sur cinq au sein d’un réseau simulé contrôlé, tandis que les autres modèles ne sont pas parvenus à achever le processus de manière stable.
Le taux de réussite de Qwen3.5-9B est passé de 45 % lors des premières tentatives à 84 % lors des générations suivantes, lorsqu’il conservait les données des tentatives précédentes. L’utilisation d’Opus 4.8 pour l’assister n’a pas entraîné d’amélioration mesurable.
Qu’est-ce qui change concrètement ?
Anthropic estime que des modèles ne dépassant pas 30 milliards de paramètres pourraient atteindre le niveau de capacité requis d’ici la fin de 2026, sur la base des résultats de l’expérience et des taux d’amélioration précédents. Sur le matériel étudié, le processus d’inférence a pris entre 28 et 51 heures avec Qwen3.5-9B, et entre 71 et 150 heures avec Gemma4-26B-A4B, ce qui laisse aux défenseurs le temps de détecter l’activité et d’y répondre. Toutefois, cette durée pourrait diminuer avec l’amélioration des modèles et du matériel.
Défenses proposées et limites de l’avertissement
Anthropic propose de surveiller les transferts de modèles volumineux et les flux de données inhabituels entre les appareils, d’utiliser des honeypots réseau pour analyser les charges utiles, et d’isoler les abonnés ou les appareils infectés, tout en améliorant les paramètres de sécurité par défaut des appareils IoT.
La conclusion reste un avertissement et non la preuve d’une menace existante : l’expérience n’a pas permis de créer un ver autonome de bout en bout, même après avoir réduit le niveau de protection et prédéfini les cibles de propagation. Néanmoins, les résultats montrent que la faiblesse des configurations IoT, associée aux capacités accrues de modèles plus petits à découvrir et à configurer des appareils, pourrait compliquer davantage le confinement de futures attaques distribuées.