Anthropic : les petits modèles pourront s'autorépliquer sur des appareils IoT d'ici la fin de l'année

L'équipe Frontier Red Team d'Anthropic estime que les petits modèles d'IA pourraient n'être qu'à quelques mois de la capacité à s'autorépliquer sur des appareils IoT du commerce, des fours connectés aux box Android bon marché. Lors des tests, un modèle 9B a lancé l'inférence sur 8 des 9 types de matériel. GLM-5.2 et les modèles plus puissants exécutent un scénario de réplication simplifié du début à la fin. Si les petits modèles continuent de progresser au même rythme, ils atteindront ce niveau d'ici la fin de 2026.

Les chercheurs William Zhou et Daniel Freeman parlent de réplication et d'adaptation autonomes (ARA) : le modèle se déploie et se propage seul, sans contrôle humain. Jusqu'ici, cela exigeait un datacenter équipé de GPU. Les auteurs montrent qu'un accélérateur puissant n'est pas indispensable.

Un ver qui transporte ses poids

Un ver classique se copie d'une machine à l'autre sans intervention humaine. Des travaux antérieurs ont déjà montré qu'un agent IA est capable de scanner un réseau, d'appliquer un exploit et de copier les poids d'un modèle vers un autre nœud d'un cluster GPU. Dans ce cas, les poids font partie de la charge malveillante : le ver peut les emporter avec lui ou les télécharger de nouveau depuis un hub public, puis lancer l'inférence directement sur le matériel compromis.

Les auteurs appellent ces programmes des weight-based replicators. Ils voient comme premières cibles les appareils IoT domestiques et de bureau : ils sont connectés à Internet et, historiquement, mal protégés.

Pour leur démonstration, les chercheurs ont acheté 15 box Android bon marché à ~$55 pièce, les ont réunies en réseau et y ont réparti Gemma4-26B-A4B. Chaque box hébergeait deux couches du modèle. Le débit atteint 0,39 token par seconde. C'est lent, mais cela fonctionne, et le coût total du banc d'essai s'élève à environ $825.

Comment la chaîne a été découpée et ce qui a été testé

La réplication a été décomposée en quatre étapes :

• la recherche de cibles ;
• l'obtention de l'exécution de code sur l'appareil ;
• le lancement de l'inférence ;
• la poursuite de la propagation depuis le nouvel hôte.

Les auteurs ont presque laissé de côté les deux premières étapes. CyberGym, ExploitBench et les travaux sur les vers adaptatifs ont déjà montré que les petits modèles se débrouillent en cyberattaque, surtout avec les bons outils. L'étude se concentre sur la troisième étape : un modèle peut-il configurer seul l'inférence sur un appareil inconnu ?

Les modèles jusqu'à 30B de paramètres réalisent déjà de nombreuses étapes isolées, mais échouent lorsqu'il faut les assembler en une seule chaîne. Dans les tests simplifiés, GLM-5.2 et les modèles plus puissants parcourent la chaîne entière.

Pourquoi il est difficile de l'arrêter

Un modèle trop gros pour un seul appareil peut être découpé en shards et exécuté sur plusieurs machines. Pour un modèle de moins de 30B, les auteurs jugent candidats appropriés les réfrigérateurs connectés, les fours, les aspirateurs robots et les tondeuses. S'y ajoutent les caméras de surveillance et les systèmes de visioconférence.

Un tel réseau n'a pas de nœud central qu'on pourrait éteindre. La vitesse de propagation reste modeste : le doublement prend des jours. En revanche, contrairement à un malware classique, un ver IA peut se débrouiller seul avec des appareils inconnus, au lieu d'attendre un exploit prêt à l'emploi pour chaque modèle. Parmi les autres vecteurs de propagation, les auteurs citent le vol de clés API et d'identifiants de plateformes, ainsi que le paiement de l'inférence par un travail légal, comme le freelancing numérique.

Le reste de l'étude évalue la vitesse d'infection et la capacité du ver à apprendre au fil de la réplication. Il compare aussi ce risque aux malwares de l'ère pré-IA et propose de brèves recommandations de protection.

Que doivent faire les fabricants et les défenseurs ?

La conclusion pratique est simple. La sécurité de l'IoT ne se limite plus aux botnets de DDoS : ces appareils peuvent désormais faire tourner un modèle à part entière. Les fabricants devraient supprimer les mots de passe par défaut et les services ouverts, et rendre les mises à jour obligatoires. Les administrateurs réseau devraient segmenter les appareils « intelligents » et surveiller le trafic anormal entre eux, car l'inférence distribuée exige des échanges de données constants entre les nœuds. Les acheteurs de box bon marché dont le firmware n'est plus maintenu doivent garder à l'esprit qu'un tel appareil peut devenir un nœud de calcul au service d'un tiers.