Anthropic avertit que les petits modèles d'IA pourraient s'auto-répliquer sur des appareils domestiques

L'équipe Frontier Red Team d'Anthropic a déclaré que les modèles d'IA compacts pourraient être capables de se copier eux-mêmes sur des appareils domestiques bon marché connectés à Internet, sans passer par un centre de données. Les chercheurs ont mis en garde contre le fait que ce scénario s'avérerait très difficile à contrôler, car les modèles seraient difficiles à éteindre puisque rien ne les contrôle centrallement.

L'article de recherche a été publié le 12 octobre sur le site Web d'Anthropic et constitue une préoccupation pour toute personne utilisant des appareils intelligents à domicile ou dans une petite entreprise.

Quinze boîtiers TV bon marché, un modèle de 26 milliards de paramètres

Les chercheurs William Zhou et Daniel Freeman ont démontré le risque potentiel en reliant 15 boîtiers Android TV de marques génériques pour faire fonctionner Gemma4-26B-A4B, un modèle de 26 milliards de paramètres. Chaque boîtier coûtait environ 55 $ et était équipé de 4 Go de RAM. Les chercheurs ont réparti les couches du modèle sur les dispositifs en utilisant une technique appelée parallélisme de pipeline.

Cette collection de 15 appareils Android Box différents a produit au total seulement 0,39 jeton par seconde, ce qui est trop lent pour toute utilisation pratique d’un chatbot. Cependant, les chercheurs ont fait valoir qu’un ver auto-propagé n’a pas nécessairement besoin de fonctionner à grande vitesse sur une seule machine, et bénéficierait en réalité davantage de sa capacité à atteindre un grand nombre d’appareils.

Ils ont également cité Kimwolf, un botnet ayant infecté plus de deux millions de téléviseurs Android principalement hors marque, comme exemple montrant combien d’appareils mal sécurisés constituent des proies faciles dans les foyers.

Aucun des modèles testés ne pouvait se répliquer de manière fiable sur un autre appareil tout en restant suffisamment léger pour s’exécuter sur une Smart TV. Les chercheurs s’attendent à ce que cet écart se comble d’ici la fin de l’année 2026 si les modèles ouverts légers continuent d’évoluer à leur rythme actuel.

Réplication en quatre étapes, et un modèle qui y est parvenu

Anthropic a divisé le processus de réplication en quatre étapes distinctes. Celles-ci incluent l'identification des cibles, l'acquisition de la capacité d'exécuter du code, la configuration de l'inférence, puis la répétition du processus à partir de chaque appareil nouvellement infecté.

Les chercheurs ont largement laissé de côté les étapes initiales de piratage, renvoyant aux travaux antérieurs démontrant que les petits modèles peuvent déjà réaliser des cyberattaques. Ils se sont concentrés sur la troisième étape de configuration de l’inférence, qui implique une longue série de décisions spécifiques au matériel.

Pour tester l'ensemble du processus, les chercheurs ont mis en place un réseau isolé de huit nœuds Google Cloud, chacun exécutant un émulateur Android. Un ver préchargé s'est propagé entre les nœuds via un port Android Debug Bridge non sécurisé avant de configurer un serveur pour faire tourner Llama3.1-8B. Parmi les modèles à poids ouverts testés, seul le GLM-5.2, développé par Z.ai en Chine, a achevé le cycle complet de réplication, atteignant les huit nœuds lors de quatre des cinq exécutions.

Les modèles sont devenus plus efficaces dans leur auto-déploiement au fil des générations de propagation. Lorsque les instances du modèle Qwen3.5-9B (9 milliards de paramètres) transmettaient leurs notes d'installation à leurs successeurs, le taux de réussite est passé de 45 % à la première génération à une fourchette comprise entre 61 % et 84 % lors des générations suivantes.

Anthropic explique pourquoi il est difficile d'éliminer un ver décentralisé

La vitesse brute n'est pas la principale préoccupation dans ce scénario, comme Anthropic s'est efforcé de l'expliquer. Anthropic estime que la configuration du modèle 26B sur les boîtiers TV prendrait entre 71 et 150 heures. Le risque majeur réside dans la persistance : comme il n'y a ni serveur central ni opérateur humain pour l'arrêter, le système pourrait échapper aux méthodes habituelles de containment et de désactivation.

Roman V. Yampolskiy, expert en IA et en cybersécurité à l'Université de Louisville, a estimé que ces résultats étaient très importants. Selon lui, les vers alimentés par l'IA pourraient aller au-delà des logiciels malveillants traditionnels en raisonnant sur des dispositifs inconnus, en s'adaptant lorsque l'approche échoue et en continuant à se propager sans intervention humaine.

Bien qu'il ne les considère pas comme une menace existentielle aujourd'hui, il a mis en garde contre le caractère préoccupant de leur développement.

« Les appareils IoT domestiques et ceux des petites entreprises pourraient être la première cible de telles attaques, car ils sont connectés à Internet et ont historiquement bénéficié de mesures de sécurité minimales », ont écrit Zhou et Freeman dans l'article d'Anthropic.

Les défenseurs conservent un avantage

Anthropic a comparé la défense à la maîtrise d'une épidémie, avec pour objectif de maintenir le nombre moyen de nouvelles infections causées par chaque appareil en dessous de un. Les fournisseurs d'accès à Internet pourraient signaler des transferts de modèles anormalement importants ou des communications persistantes entre appareils, tandis que des pots de miel (honeypots) pourraient être utilisés pour capturer le code d'un ver informatique.

Le rapport cite l'interdiction imposée au Royaume-Uni des mots de passe par défaut sur les appareils connectés comme une bonne méthode pour réduire le nombre d'appareils vulnérables accessibles aux attaquants.

Anthropic a également indiqué qu'il n'avait encore observé aucun réplicateur malveillant fonctionnel, décrivant les preuves actuelles uniquement comme des « signes de vie ». L'entreprise a publié cette recherche conjointement avec une autre affirmation selon laquelle de nouvelles mesures de sécurité avaient réduit la distillation de 90 à 99 %.