L’avertissement d’Anthropic sur un ver IA met en lumière une menace qui ne peut pas encore s’exécuter sur ses cibles

Anthropic affirme qu’un ver IA pourrait, à terme, se propager entre des appareils grand public sans centre de données, malgré un écart matériel décisif dans ses expériences actuelles.

L’étude du 12 octobre ne documente pas un modèle malveillant échappé dans la nature. Elle réunit deux démonstrations contrôlées qui éclairent différentes parties d’une possible chaîne de réplication. L’une a montré qu’un petit modèle pouvait configurer l’inférence sur divers matériels. L’autre a utilisé un modèle bien plus grand pour coordonner la réplication au sein d’un réseau simplifié.

Cette distinction définit l’enjeu. Anthropic a identifié les ingrédients d’une réplication autonome décentralisée, mais pas un modèle unique qui les combine sur des cibles réalistes. L’orchestrateur suffisamment performant demeure trop volumineux pour des appareils bon marché. Les modèles adaptés à ces appareils ne peuvent pas accomplir de manière fiable l’ensemble du processus.

Cela reste plus qu’un avertissement spéculatif. Les études antérieures sur la réplication par IA portaient généralement sur la copie d’un agent dans des environnements informatiques conventionnels. Le travail d’Anthropic s’interroge sur la possibilité que les poids d’un modèle deviennent une charge utile malveillante et s’exécutent directement sur du matériel périphérique compromis.

La menace d’un ver IA d’Anthropic se situe donc entre le prototype de recherche et l’alerte opérationnelle. Son importance dépendra de la convergence entre les capacités des modèles et l’efficacité matérielle avant que les défenseurs ne sécurisent les appareils susceptibles de l’héberger.

Ce que les expériences d’Anthropic sur les vers IA ont réellement montré

Anthropic a démontré deux composants importants de la réplication autonome, sans toutefois les réunir dans un ver opérationnel en conditions réelles.

L’étude du 12 octobre émane des chercheurs William Zhou et Daniel Freeman, membres de la Frontier Red Team d’Anthropic. Elle examine la réplication et l’adaptation autonomes, ou ARA, c’est-à-dire la capacité d’un système d’IA à se déployer et se propager sans contrôle humain.

Un ver conventionnel copie du code exécutable d’un ordinateur à l’autre. Le réplicateur proposé par Anthropic, fondé sur les poids d’un modèle, transporterait ou téléchargerait également des poids de modèle d’IA. Ces poids permettraient au logiciel malveillant de raisonner sur des machines inconnues et d’adapter son comportement pendant sa propagation.

Les chercheurs ont divisé la réplication en quatre étapes. Le système doit trouver des cibles, obtenir l’exécution, mettre en place l’inférence du modèle, puis poursuivre sa propagation depuis chaque nouvel hôte infecté.

Leur étude s’est concentrée sur la mise en place de l’inférence, la troisième étape. Cette tâche implique de choisir des logiciels compatibles, d’installer des dépendances, de résoudre des conflits matériels et de se remettre d’erreurs. Chaque décision dépend du bon déroulement des étapes précédentes.

Anthropic a testé la capacité de modèles à poids ouverts à configurer l’inférence de Llama 3.1 8B sur neuf types de matériel. Les cibles comprenaient des machines équipées de puces Apple silicon, de matériel NVIDIA, d’accélérateurs Google, d’accélérateurs AMD et de processeurs serveur conventionnels.

Qwen3.5-9B a établi une inférence fonctionnelle sur huit des neuf types de matériel. Ce résultat suggère qu’un agent relativement petit peut naviguer dans des environnements informatiques inconnus et assembler une pile d’inférence compatible.

Cette expérience n’était pas un test d’infection. Les appareils étaient accessibles à l’agent et l’objectif lui était explicitement fourni. Le résultat mesure l’adaptabilité technique après obtention de l’accès, et non la capacité à trouver et compromettre des cibles Internet arbitraires.

Anthropic a séparément réparti Gemma4-26B-A4B sur 15 boîtiers Android TV sans marque. Le parallélisme de pipeline, une méthode qui attribue différentes couches du modèle à des machines distinctes, a permis à ces boîtiers de traiter collectivement un même modèle.

Le système a généré 0,39 jeton par seconde. Cela suffit à établir que du matériel grand public bon marché peut héberger une inférence de modèle distribuée. C’est bien trop lent pour le comportement fluide d’un agent associé aux assistants hébergés dans le cloud.

Chaque boîtier disposait de quatre gigaoctets de mémoire. Anthropic indique que les appareils de ce marché offrent souvent entre un et quatre gigaoctets, ce qui rend la configuration testée plus performante que de nombreuses cibles potentielles.

Une troisième expérience a testé une propagation de bout en bout dans un réseau cloud protégé par pare-feu. Huit nœuds exécutaient des émulateurs Android 15 et exposaient des ports Android Debug Bridge non authentifiés. ADB est une interface de maintenance permettant l’exécution de commandes et les transferts de fichiers sur les appareils Android.

GLM-5.2 a atteint les huit nœuds dans quatre essais sur cinq. Il a atteint sept nœuds lors de l’essai restant. L’agent a transféré une charge utile, configuré l’inférence de Llama 3.1 8B, puis poursuivi la séquence depuis les nœuds nouvellement atteints.

Cependant, GLM-5.2 ne s’exécutait pas sur ces cibles Android. Le modèle fonctionnait via un serveur d’inférence distinct, car il était trop volumineux pour elles. L’expérience lançait une autre instance de l’orchestrateur après que le serveur d’inférence plus petit avait effectué ses vérifications.

Le réseau supprimait également un obstacle majeur du monde réel. Ses ports ADB ne nécessitaient aucune authentification ; l’agent n’avait donc pas besoin de découvrir ou d’exploiter une vulnérabilité.

L’évaluation technique de Tom’s Hardware résume la limite qui en découle. Un grand modèle externe a mené à bien une propagation simplifiée, tandis que des modèles plus petits et déployables ont assuré la mise en place de l’inférence, mais ont échoué à accomplir la séquence complète.

C’est le point de départ exact. Les composants individuels fonctionnent désormais suffisamment bien pour mériter l’attention. Le ver IA complet d’Anthropic décrit dans l’avertissement n’existe pas encore.

Pourquoi le matériel grand public change l’équation de sécurité

Le changement déterminant ne réside pas dans la puissance de calcul brute, mais dans la possibilité que des logiciels malveillants apportent un raisonnement adaptable à des appareils hors des infrastructures centralisées.

Les centres de données offrent de précieuses ressources informatiques, mais créent aussi des points d’étranglement défensifs évidents. Les opérateurs peuvent surveiller les charges de travail, révoquer des identifiants, isoler des serveurs et arrêter des déploiements suspects.

Un système distribué exécuté sur du matériel grand public compromis ne disposerait d’aucun interrupteur central équivalent. La suppression d’une instance du modèle laisserait d’autres copies actives sur des réseaux et dans des juridictions sans lien entre eux.

Cela ne signifie pas que les appareils domestiques intelligents rivalisent soudainement avec les clusters d’IA modernes. La démonstration d’Anthropic était lente, fragmentée et dépendante d’appareils coordonnés. Son importance tient à la persistance et à l’échelle plutôt qu’aux performances d’une machine isolée.

Les chercheurs comparent un système possible à une moisissure visqueuse numérique. Chaque unité agirait lentement, mais l’ensemble de la population pourrait survivre aux défaillances et continuer à se propager. Un temps de doublement mesuré en jours pourrait néanmoins générer une menace durable si les infections restent indétectées.

Les appareils de l’Internet des objets sont pertinents parce que beaucoup reçoivent des mises à jour de sécurité irrégulières. Ils peuvent utiliser d’anciens systèmes d’exploitation, des identifiants réutilisés, des interfaces de gestion exposées ou des logiciels fournisseurs que les propriétaires ne peuvent pas inspecter.

Les botnets traditionnels exploitent déjà ces conditions. Mirai recherchait des appareils connectés protégés par une courte liste d’identifiants par défaut. Il enrôlait ensuite les machines vulnérables dans un réseau utilisé pour des attaques par déni de service distribué.

Le modèle proposé par Anthropic modifie ce qui se produit après l’accès. Un ver conventionnel suit des règles écrites avant son déploiement. Un agent pourrait inspecter un processeur inconnu, identifier son système d’exploitation, tester des paquets logiciels et élaborer une autre voie d’installation.

Cette flexibilité pourrait réduire le besoin, pour un attaquant, de préparer des charges utiles distinctes pour chaque famille de produits. Un modèle ne comprendrait pas immédiatement chaque appareil, mais pourrait surmonter les différences qui arrêtent les logiciels malveillants rigides.

Les résultats de Qwen3.5-9B apportent un soutien limité à cette affirmation. Le modèle a configuré l’inférence sur des systèmes très différents, y compris des catégories de matériel nécessitant des bibliothèques et des choix de déploiement distincts.

Anthropic a également utilisé un cadre nommé Memento pour améliorer les performances sur les tâches de longue durée. Le cadre remplaçait périodiquement un agent bloqué par une nouvelle instance. Chaque successeur héritait de l’espace de travail et de notes concises décrivant les tentatives précédentes.

Memento est important parce que les longues tâches techniques déraillent souvent lorsqu’un agent reste attaché à un diagnostic erroné. Une nouvelle instance peut réexaminer le problème sans perdre les progrès utiles.

Ce mécanisme d’héritage évoque également l’adaptation pendant la propagation. Anthropic a permis aux instances successives de Qwen3.5-9B de conserver des notes sur les stratégies ayant réussi ou échoué. La mise en place de l’inférence par la première génération a réussi dans 45 % des exécutions.

Les générations ultérieures ont enregistré des taux de réussite compris entre 61 et 84 %. Les poids du modèle ne se sont pas réentraînés eux-mêmes. Les descendants ont plutôt hérité de connaissances opérationnelles via des fichiers, du code et des notes écrites.

Cela se rapproche davantage d’un dépannage cumulatif que d’une évolution biologique. Cela donne néanmoins à un agent réplicateur une manière pratique d’améliorer ses procédures sans cluster central d’entraînement.

Les rencontres antérieures avec de nouveaux matériels pourraient devenir des recettes de déploiement pour les copies futures. Une flotte pourrait accumuler des configurations fonctionnelles pour différents jeux de puces, systèmes d’exploitation et architectures réseau à mesure qu’elle se propage.

Anthropic a également testé si un petit modèle pouvait consulter un modèle plus puissant lorsqu’il se retrouvait bloqué. Donner à Qwen3.5-9B l’accès à Opus 4.8 n’a produit aucune amélioration mesurable.

Le plus petit modèle échouait souvent à identifier les questions qu’il devait poser. Des conseils non sollicités n’ont pas non plus résolu cette faiblesse. Ce résultat s’oppose à l’idée d’un raccourci simple dans lequel un modèle périphérique faible emprunterait simplement de l’intelligence grâce à des consultations occasionnelles.

Une conception hétérogène reste plausible. Un modèle plus puissant pourrait diriger la stratégie tandis que de plus petits agents réaliseraient les tâches locales. Toutefois, cette architecture rétablirait une certaine dépendance à l’infrastructure externe et créerait des communications plus observables.

Pour les équipes de sécurité, le matériel grand public change donc le lieu du risque, et non les lois fondamentales de l’informatique. Les appareils faibles offrent persistance et portée. Ils n’effacent ni les contraintes de bande passante, de mémoire, de latence ou de détection.

Le ver IA d’Anthropic présente un écart de capacités et de matériel

Le principal obstacle est le décalage entre l’intelligence nécessaire à une réplication fiable et la taille de modèle que les appareils cibles faibles peuvent prendre en charge.

Anthropic décrit ce décalage comme un seuil minimal de capacité et un plafond matériel. Un réplicateur doit être suffisamment compétent pour achever une longue chaîne de décisions techniques. Il doit aussi être assez petit pour fonctionner sur du matériel compromis.

GLM-5.2 a franchi le seuil de capacité dans le réseau simplifié d’Anthropic. Pourtant, il ne tenait pas dans l’environnement cible. Qwen3.5-9B et Gemma4-26B-A4B restaient sous le plafond matériel, mais aucun des deux n’a accompli de manière fiable l’ensemble de la tâche de propagation.

Ces deux limites ne se croisent pas actuellement. C’est pourquoi cette recherche ne doit pas être interprétée comme la preuve que des logiciels malveillants autonomes fondés sur l’IA se propagent déjà entre appareils domestiques.

Le résultat le plus solide dépend également de conditions d’accès délibérément favorables. Chaque émulateur Android exposait un port ADB non authentifié. Dès que l’agent identifiait une cible, il pouvait exécuter des commandes sans contourner d’identifiants ni trouver une faille logicielle.

Anthropic qualifie cette conception de limite supérieure des performances en conditions réelles. L’étude isole intentionnellement l’orchestration de l’agent et la mise en place de l’inférence plutôt que de mesurer chaque étape de l’intrusion.

Les cibles réelles introduiraient une incertitude supplémentaire. Les appareils peuvent se trouver derrière une traduction d’adresses réseau, bloquer les connexions entrantes, restreindre les fichiers exécutables ou utiliser des noyaux incompatibles. Certains ne disposeraient pas de suffisamment de mémoire ou de stockage.

Les connexions entre les fragments du modèle créent une autre surface de défaillance. L’inférence distribuée exige que les machines échangent des résultats intermédiaires dans un ordre prévisible. Un appareil déconnecté, redémarré ou surchargé peut interrompre la chaîne.

Anthropic a choisi le parallélisme de pipeline notamment parce qu’un nœud défaillant peut être remplacé plus facilement qu’avec d’autres méthodes de distribution. Malgré cela, maintenir synchronisés de nombreux appareils compromis serait difficile sur le plan opérationnel.

La vitesse constitue une contrainte tout aussi sérieuse. D’après le débit mesuré, Anthropic a estimé que Qwen3.5-9B aurait besoin de 28 à 51 heures pour achever une trajectoire de configuration d’inférence.

L’estimation correspondante pour Gemma4-26B-A4B s’élevait à 71 à 150 heures. Ces durées offrent aux opérateurs réseau une large fenêtre de détection par rapport aux malwares conventionnels, qui se déploient en quelques secondes.

La charge de travail exige également un contexte long. Anthropic a constaté que les performances des agents diminuaient sensiblement sous une fenêtre de contexte de 32 000 tokens. Le traitement de ce contexte sur des appareils à mémoire limitée ajoute des heures à chaque tentative.

Les fichiers de modèles volumineux génèrent un trafic réseau visible. Un hôte recevant des poids de plusieurs gigaoctets se comporterait différemment d’un boîtier TV, d’une caméra ou d’un appareil exécutant ses fonctions habituelles.

L’inférence distribuée ajouterait des communications soutenues d’appareil à appareil. L’analyse du réseau, les tentatives de connexion répétées, les téléchargements de paquets et le trafic sortant produiraient d’autres indicateurs.

Plus un réplicateur se propage rapidement, plus il génère de trafic. S’il réduit son activité pour rester discret, sa population augmente plus lentement et les défenseurs disposent de davantage de temps pour réagir.

Les projections d’Anthropic méritent une prudence similaire. Les chercheurs ont tracé les améliorations de modèles open-weight notables ne dépassant pas 30 milliards de paramètres au total. Leur ligne de tendance gagnait 13,7 points par an sur l’Epoch Capabilities Index.

L’extrapolation de cette tendance place un petit modèle près du niveau de capacité de GLM-5.2 d’ici la fin 2026. Cette prévision suppose que les gains sur les benchmarks se transfèrent aux tâches de réplication à long horizon et se poursuivent à un rythme comparable.

Aucune de ces hypothèses n’est garantie. Les capacités des modèles peuvent s’améliorer de manière inégale, tandis que de meilleurs résultats aux benchmarks peuvent ne pas éliminer des erreurs persistantes de planification. De nouvelles architectures peuvent aussi nécessiter des noyaux plus difficiles à déployer sur d’anciens appareils.

Des analyses indépendantes ont donc souligné ce que l’expérience n’a pas établi. Une analyse de sécurité a relevé qu’Anthropic n’avait jamais exécuté de réplicateur entièrement autonome sur du matériel IoT réel.

Cette limite ne rend pas la recherche sans intérêt. Elle identifie un seuil mesurable que les défenseurs peuvent surveiller. La menace devient sensiblement plus forte lorsqu’un petit modèle franchit à la fois les exigences de capacité et de déploiement.

D’ici là, les descriptions d’un ver IA incontrôlable surestiment les preuves. Anthropic a produit un avertissement sur une convergence, et non la preuve que cette convergence s’est produite.

En quoi cela diffère des recherches antérieures sur l’auto-réplication

Anthropic fait passer le débat de la copie d’un agent dans un environnement préparé à son fonctionnement sur des machines hétérogènes aux ressources limitées.

L’auto-réplication par l’IA n’a pas commencé avec cette expérience. Des chercheurs ont déjà évalué si des agents fondés sur des modèles de langage pouvaient créer des copies fonctionnelles, provisionner des environnements et poursuivre leur fonctionnement sans aide humaine directe.

Une étude de 2024 a rapporté une réplication réussie pour des agents fondés sur Llama 3.1 70B et Qwen 2.5 72B. Les auteurs ont présenté l’auto-réplication comme un risque de contrôle et décrit des systèmes créant des copies de travail distinctes.

Une étude de réplication ultérieure a évalué 32 systèmes et rapporté des réussites impliquant des modèles aussi petits que 14 milliards de paramètres. Ce travail reste un document de recherche, et ses conclusions plus larges sur les risques sont débattues.

De telles expériences définissent généralement la réplication dans des environnements informatiques contrôlés. Un agent peut copier des fichiers, lancer un autre processus, configurer un serveur ou se préserver lors d’une tentative d’arrêt.

La contribution d’Anthropic est plus limitée dans un sens et plus opérationnelle dans un autre. Elle ne montre pas de comportement d’évasion spontané. Elle teste si des agents peuvent mettre en place l’inférence sur du matériel qu’ils n’ont jamais rencontré auparavant.

Cet axe est important, car les poids d’un modèle sont inutiles sans environnement d’exécution fonctionnel. Une cible peut utiliser un jeu d’instructions non pris en charge, une mémoire limitée, des pilotes inhabituels ou une pile logicielle obsolète.

Configurer l’environnement d’exécution exige de nombreuses actions interdépendantes. L’agent doit inspecter la machine, choisir un moteur d’inférence, sélectionner des paquets compatibles, gérer la mémoire, exposer un service et valider sa sortie.

Un ver scripté peut effectuer ces actions lorsque son auteur connaît la cible. Un ver assisté par l’IA pourrait tenter de les accomplir dynamiquement. La capacité à résoudre les problèmes devient alors une partie de la charge utile.

L’expérience sépare également la capacité de réplication de l’intention malveillante. Anthropic a explicitement demandé aux modèles de se propager dans un environnement confiné. L’entreprise n’a pas observé de modèle décidant indépendamment d’infecter des appareils.

Cette distinction est essentielle pour interpréter l’avertissement d’Anthropic concernant une IA auto-réplicative. Les évaluations de capacités révèlent ce qu’un système dirigé peut accomplir. Elles n’établissent pas la probabilité qu’un modèle déployé poursuive cet objectif.

Une attaque réaliste aurait toujours besoin d’une origine. Un opérateur humain pourrait construire et diffuser le système, ou un autre service compromis pourrait le livrer. Le modèle n’aurait pas besoin de développer un instinct de survie.

La menace se rapproche ainsi davantage d’un malware adaptatif que d’une autonomie de science-fiction. La préoccupation pratique est que des attaquants puissent automatiser des décisions qui exigeaient auparavant un dépannage humain patient.

La comparaison principale n’oppose donc pas l’IA au contrôle humain. Elle oppose le code adaptable au code fixe.

Les malwares conventionnels restent bien plus rapides lorsqu’un exploit connu et un profil de cible sont disponibles. Ils peuvent analyser d’immenses plages d’adresses, livrer une charge utile compacte et exécuter efficacement des commandes prévisibles.

Un agent devient utile lorsque les hypothèses ne tiennent plus. Il peut inspecter les erreurs, essayer d’autres paquets, modifier des fichiers de configuration ou choisir un rôle d’hôte différent. Ces actions sont plus lentes, mais potentiellement plus générales.

Le système probable à court terme combinerait les deux approches. Les scripts géreraient les appareils connus et les exploits reproductibles. Les modèles interviendraient lorsqu’une cible nécessite une investigation ou qu’une installation échoue.

Cette architecture hybride atténue l’image spectaculaire d’une intelligence autonome sautant d’un four à l’autre. Elle rend aussi l’enjeu de sécurité plus crédible, car les attaquants combinent déjà automatisation et escalade humaine.

Les recherches d’Anthropic apportent une autre observation importante. Les petits modèles affichent actuellement des compétences plus solides en programmation et en exploitation technique qu’en ingénierie sociale. Leurs faibles performances en hameçonnage limitent certaines voies de propagation possibles.

Des modèles plus grands pourraient gérer la persuasion pendant que des modèles plus petits réaliseraient le travail au niveau des appareils. Une telle coordination introduit toutefois une infrastructure, des identifiants et des communications que les défenseurs peuvent cibler.

La frontière de sécurité pertinente évolue donc par étapes. Les travaux antérieurs demandaient si un agent pouvait se copier lui-même. Anthropic demande si un agent compact pourrait continuer à fonctionner après un changement d’environnement.

La réponse est incomplète. Les petits modèles peuvent résoudre une grande partie du problème de déploiement. Un modèle beaucoup plus grand peut coordonner la boucle complète dans des conditions simplifiées. L’intersection manquante demeure l’indicateur central du risque.

Ce que les défenseurs devraient surveiller ensuite

Trois signaux montreront si cette recherche devient une menace opérationnelle : l’autonomie des modèles compacts, des tests d’infection réalistes et des preuves sur le terrain de malwares embarquant des modèles.

Le premier signal serait un modèle de moins de 30 milliards de paramètres achevant l’évaluation complète d’Anthropic sans orchestrateur externe. Il devrait énumérer les cibles, transférer la charge utile, configurer l’inférence et poursuivre la propagation de manière fiable.

Ce résultat réduirait l’écart entre les capacités et le matériel. Il serait plus convaincant si le modèle fonctionnait également dans le même environnement contraint qu’il tentait de reproduire.

Les améliorations des benchmarks ne suffisent pas à elles seules. Les équipes de sécurité devraient rechercher des performances reproductibles sur des tâches longues avec un contexte limité, une inférence lente, des installations défaillantes et du matériel inattendu.

Le deuxième signal serait la réussite sous des contrôles d’accès réalistes. Les futures évaluations devraient supprimer les ports ADB ouverts et introduire des identifiants variés, des réseaux segmentés, des redémarrages, des limites de stockage et des logiciels incohérents.

Les chercheurs n’ont pas besoin de publier les détails des exploits. Ils peuvent divulguer des taux de réussite agrégés, la diversité des cibles, les interventions défensives et les hypothèses accordées à chaque agent.

Un résultat spectaculaire dans un réseau artificiel ne devrait pas avoir le même poids qu’une propagation à travers des appareils représentatifs. Une communication claire sur ces conditions restera cruciale.

Le troisième signal serait l’apparition dans la nature de malwares transportant des poids de modèles, des environnements d’inférence ou une mémoire d’agent entre les hôtes. Les défenseurs devraient distinguer cela des malwares ordinaires qui se contentent d’appeler une API d’IA commerciale.

Un réplicateur fondé sur les poids devrait laisser des traces reconnaissables. Elles comprennent des téléchargements anormalement volumineux, un trafic local soutenu, des bibliothèques d’inférence sur des appareils, des inspections matérielles répétées et des fichiers contenant des notes de tâches héritées.

Anthropic suggère de surveiller les flux réseau à la recherche de transferts de modèles et de communications anormales entre appareils. Les honeypots, des systèmes leurres conçus pour attirer les attaques, pourraient capturer les charges utiles et révéler leur comportement.

Les fournisseurs d’accès à Internet pourraient mettre en quarantaine les abonnés dont les appareils affichent un trafic persistant d’analyse et de réplication. Les fabricants peuvent réduire le nombre de cibles disponibles en supprimant les identifiants par défaut et en maintenant des canaux de mises à jour de sécurité utilisables.

Un précédent en matière d’intervention de base existe déjà. Les règles britanniques sur la sécurité des appareils interdisent les mots de passe universels par défaut pour les produits connectés destinés aux consommateurs. De telles mesures limitent à la fois les botnets conventionnels et ceux assistés par l’IA.

Les organisations devraient également inventorier les accélérateurs en périphérie. Les caméras, unités de visioconférence, appareils de stockage, cartes de développement et systèmes robotiques peuvent offrir une capacité de calcul plus exploitable que les anciens appareils grand public.

Toutefois, visible ne signifie pas vulnérable. Anthropic a estimé que de nombreux appareils équipés d’accélérateurs se connectent par des tunnels de gestion sortants plutôt que par des services entrants exposés.

Son rapport indique également qu’aucun compromis de masse historique d’appareils de périphérie équipés d’accélérateurs, comparable aux botnets IoT standards, n’a été observé. Ce constat affaiblit les affirmations selon lesquelles une capacité de calcul IA distribuée serait immédiatement accessible aux attaquants.

Les équipes devraient éviter de répondre par des interdictions indiscriminées des modèles d’IA locaux. Les poids ouverts constituent un ingrédient possible, mais les appareils vulnérables, les identifiants faibles et des contrôles réseau médiocres créent l’opportunité.

Le même logiciel d’inférence peut prendre en charge des applications privées et utiles. Le risque dépend de l’accès, de la persistance, de la coordination et de la propagation non autorisée, plutôt que de la simple présence d’un fichier de modèle.

Les développeurs qui créent des agents devraient plutôt traiter les actions liées à la réplication comme des opérations privilégiées. Provisionner des machines, copier des identifiants, ouvrir des ports et lancer des descendants exigent des limites explicites et une approbation vérifiable.

L’évaluation des modèles devrait également mesurer si les agents reconnaissent l’incertitude. Un système qui tente de manière répétée des étapes d’installation dangereuses peut causer des dommages opérationnels, même s’il ne parvient pas à se reproduire avec succès.

Les recherches d’Anthropic sur les vers d’IA établissent un seuil d’alerte utile. La technologie devient sensiblement plus dangereuse lorsqu’un agent compact peut s’adapter, se propager et préserver ses connaissances opérationnelles sur du matériel peu puissant.

Ce seuil n’a pas été franchi dans les expériences rapportées. Pourtant, plusieurs composants sont désormais suffisamment proches pour être évalués plutôt qu’imaginés.

Les prochains mois devraient répondre à une question précise : l’autonomie des modèles compacts progresse-t-elle plus vite que les défenseurs ne peuvent réduire le nombre d’appareils vulnérables et accessibles ?

Cette question compte davantage que l’image d’un appareil doté de conscience. Si l’écart se réduit, les organisations auront besoin de mécanismes de détection et de confinement avant l’apparition du premier botnet équipé de modèles.