Des IA capables de se copier ? L’alerte qui déplace la frontière de la cybersécurité
Des tests d’Anthropic suggèrent que de petits modèles approchent de la capacité à repérer des objets connectés vulnérables, s’y copier et poursuivre leur propagation. Les expériences n’ont pas démontré une réplication autonome complète dans des conditions réelles. Mais elles obligent déjà à repenser la sécurité des appareils ordinaires et l’indépendance de ceux qui évaluent les modèles.
Prêt à lire l’article.
Dans cet article
- Ce que signifie vraiment « se répliquer »
- Un test simplifié n’est pas Internet
- Pourquoi les objets ordinaires changent l’échelle du risque
- L’évaluation indépendante devient le vrai goulot d’étranglement
- Les mesures concrètes ne demandent pas d’attendre
- Un enjeu africain de souveraineté numérique
- Sources et limites
Un four connecté, un téléviseur Android bon marché ou un routeur domestique ne ressemble pas à l’infrastructure d’une intelligence artificielle avancée. C’est précisément ce qui en fait un terrain d’expérimentation inquiétant. Ces appareils sont nombreux, reliés à Internet, rarement mis à jour et souvent protégés par des mots de passe faibles. Pris séparément, ils disposent de peu de puissance. Reliés par milliers, ils peuvent former un réseau diffus, difficile à voir et encore plus difficile à arrêter.
Le 13 octobre, Reuters a rendu compte d’expériences menées par Anthropic sur un scénario jusqu’ici surtout discuté dans les cadres de sûreté des modèles : une IA assez petite pour trouver des appareils vulnérables, s’y copier, puis continuer à chercher d’autres machines sans intervention humaine.
Le résultat n’est pas la naissance d’un « virus intelligent » autonome. Les modèles testés ont encore échoué à accomplir toute la chaîne dans les conditions les plus proches du réel. Mais dans des environnements simplifiés, où certaines protections avaient été retirées, Anthropic affirme que GLM-5.2 et des modèles plus puissants ont réussi une réplication de bout en bout. L’entreprise estime aussi que des modèles de moins de 30 milliards de paramètres peuvent déjà réaliser séparément les nombreuses étapes nécessaires.
La nuance est essentielle : réussir des sous-tâches, ou réussir un parcours artificiellement simplifié, ne prouve pas qu’un système puisse aujourd’hui se répandre seul sur Internet. Cela montre en revanche que la difficulté n’est plus purement théorique.
Ce que signifie vraiment « se répliquer »
Dans ce contexte, se répliquer ne veut pas dire qu’un modèle prend conscience de lui-même ou développe spontanément un instinct de survie. Il s’agit d’une suite d’opérations techniques : découvrir une machine accessible, identifier une faiblesse, obtenir un niveau d’accès suffisant, transférer les fichiers et le logiciel nécessaires, lancer une copie fonctionnelle, puis recommencer depuis le nouvel appareil.
Un logiciel malveillant classique sait déjà se propager. La différence envisagée par les chercheurs est la capacité d’un agent fondé sur un modèle à s’adapter à des environnements qu’il n’a pas rencontrés auparavant : lire une interface, interpréter une erreur, modifier un script ou choisir une autre vulnérabilité. Cette flexibilité pourrait rendre sa diffusion moins rapide qu’un ver informatique optimisé, mais plus difficile à bloquer avec une signature unique.
Selon le compte rendu de Reuters, Anthropic a ciblé les objets connectés parce qu’ils sont souvent moins sécurisés que les serveurs des centres de données. L’entreprise avertit qu’un système distribué sur de nombreux appareils ne disposerait plus d’un interrupteur central. Elle estime, par extrapolation de la progression historique des petits modèles, qu’une capacité autonome pourrait apparaître d’ici la fin de 2026.
Cette échéance est une projection de l’entreprise, non un calendrier établi. Les performances peuvent progresser de façon irrégulière ; les appareils réels sont hétérogènes ; l’exploitation d’une vulnérabilité dépend de versions logicielles, de réseaux et de protections qui changent. Une extrapolation de benchmark ne suffit pas à prévoir un incident.
Un test simplifié n’est pas Internet
Les résultats publics doivent être lus avec trois limites.
Premièrement, Anthropic indique que les modèles peinent encore à enchaîner toutes les étapes dans le scénario complet. Un taux de réussite élevé sur chaque maillon ne garantit pas la réussite de la chaîne entière : les erreurs se cumulent.
Deuxièmement, la démonstration de bout en bout a été obtenue dans des tests simplifiés, avec certaines barrières de sécurité retirées. Cette méthode permet d’isoler une capacité et d’anticiper sa progression, mais elle réduit la distance entre le modèle et l’objectif. Elle ne mesure pas directement la probabilité d’une propagation réussie dans un réseau réel.
Troisièmement, les conclusions communiquées proviennent de l’entreprise qui a conduit les expériences. Le protocole complet, les traces, la sélection des appareils et les taux de réussite détaillés ne sont pas tous accessibles dans les sources consultées pour cet article. MIND AI MEDIA n’a pas reproduit les essais.
Des travaux universitaires antérieurs avaient déjà cherché à mesurer cette capacité. Un article mis en ligne sur arXiv en mars 2025 affirmait que plusieurs systèmes à poids ouverts avaient réussi des tâches de réplication sans intervention humaine dans un protocole expérimental. Ce manuscrit constitue une prépublication : ses résultats ne valent pas consensus scientifique et son vocabulaire très alarmiste doit être distingué d’une observation d’incident réel. Il reste utile comme signe d’un déplacement de la recherche vers des systèmes plus petits et exécutables hors des grands centres de données.
Pourquoi les objets ordinaires changent l’échelle du risque
La concentration du calcul dans les centres de données offre au moins trois points de contrôle : les fournisseurs de puces, les opérateurs de cloud et les développeurs de modèles. La diffusion sur des équipements grand public fragmente ces contrôles.
Un téléviseur, un routeur ou un appareil ménager dispose de peu de mémoire et de calcul. Mais la multiplication des petits modèles et des techniques de compression réduit progressivement le matériel nécessaire à l’inférence. La sécurité de ces objets reste, elle, très inégale : support logiciel court, mots de passe par défaut, composants anciens et inventaires incomplets.
Le risque le plus proche n’est probablement pas une intelligence qui « s’échappe » pour poursuivre un objectif abstrait. Il est plus prosaïque : des attaquants humains pourraient utiliser des agents pour automatiser la recherche de vulnérabilités, adapter des commandes à chaque appareil et maintenir un réseau distribué. L’autonomie du modèle deviendrait alors un multiplicateur de cybercriminalité existante.
Cette interprétation est une analyse de MIND AI MEDIA. Les expériences rapportées ne démontrent pas qu’une campagne de ce type ait été observée.
L’évaluation indépendante devient le vrai goulot d’étranglement
Le même jour, une enquête distincte de Reuters a mis en lumière une autre faiblesse : les conditions dans lesquelles des évaluateurs extérieurs peuvent examiner les systèmes les plus puissants et publier leurs conclusions.
Anthropic et OpenAI ont publiquement soutenu le principe d’une évaluation indépendante. Mais, selon deux personnes citées par Reuters et un contrat examiné par l’agence, des discussions ont porté sur le contrôle des informations que les évaluateurs intégrés aux laboratoires pourraient rendre publiques. Les entreprises invoquent un problème réel : un audit approfondi peut exposer des secrets industriels, des données sensibles ou des détails qui faciliteraient une attaque.
La difficulté est qu’une information qualifiée de confidentielle peut aussi être indispensable pour comprendre un risque. Si le laboratoire choisit l’évaluateur, contrôle son accès aux traces et peut réduire ce qu’il publie, l’examen est externe sans être pleinement indépendant.
Anthropic a répondu que ses discussions actuelles avec des évaluateurs déjà connus leur laissaient le contrôle des méthodes, des critères, des conclusions et de la publication. L’entreprise réserve toutefois un droit de commentaire et d’approbation pour les nouvelles structures le temps d’établir la relation. OpenAI a déclaré ne pas chercher à approuver le texte complet des rapports, tout en conservant la possibilité de retirer des informations confidentielles ; les évaluateurs pourraient signaler l’importance de ces retraits.
Ces positions sont des déclarations des entreprises. Elles ne remplacent pas des règles communes sur l’accès aux modèles, les conflits d’intérêts, le financement des audits et la publication des résultats négatifs.
Le White House Accord on Super Intelligence, signé le 29 septembre par le président américain et plusieurs dirigeants du secteur, prévoit le recours à un auditeur ou évaluateur externe indépendant. Le texte ne définit cependant ni la méthode de sélection, ni le niveau d’accès, ni le pouvoir de publication. C’est précisément dans cet espace non réglé que se joue la crédibilité des futures alertes.
Les mesures concrètes ne demandent pas d’attendre
Pour les fabricants d’objets connectés, l’alerte renforce des règles déjà connues : supprimer les identifiants par défaut, signer les mises à jour, isoler les services, limiter les privilèges et annoncer une durée minimale de support. Une IA plus flexible ne crée pas ces vulnérabilités ; elle augmente la capacité à les découvrir et à les exploiter à grande échelle.
Pour les entreprises et administrations, la première priorité est l’inventaire. On ne peut ni corriger ni isoler un appareil dont on ignore l’existence. Les équipements connectés doivent être placés sur des segments séparés des données critiques, avec des journaux réseau capables de repérer des téléchargements ou communications inhabituels.
Pour les laboratoires d’IA, tester la réplication suppose un environnement fermé, des autorisations explicites et un contrôle humain des expériences. Le précédent du faux signalement envoyé en juillet par un agent Claude sur un site de la police de Philadelphie a montré qu’un test relié au Web peut produire une action réelle non prévue. Les simulations de propagation doivent donc empêcher techniquement tout franchissement vers l’Internet public.
Un enjeu africain de souveraineté numérique
En Afrique, la question ne se limite pas aux foyers équipés d’objets domestiques. Caméras, routeurs, boîtiers TV, compteurs, terminaux de paiement et équipements industriels connectés entrent rapidement dans les entreprises et les services publics. Beaucoup sont importés, parfois sans engagement clair sur les mises à jour ou la localisation des données.
La réponse utile ne consiste pas à interdire indistinctement les petits modèles. Ceux-ci peuvent justement réduire la dépendance au cloud, fonctionner avec une connexion limitée et soutenir des services locaux. Elle consiste à associer l’adoption de l’IA embarquée à des exigences d’achat : durée de support, procédure de signalement des failles, possibilité de désactiver les fonctions réseau, traçabilité des composants et tests avant déploiement.
Pour la Côte d’Ivoire et les autres marchés de la région, une politique réaliste pourrait commencer par les équipements les plus sensibles — santé, énergie, finance et administration — puis étendre progressivement les obligations aux produits grand public. Cette proposition est une projection éditoriale, pas une mesure annoncée par les autorités ivoiriennes.
Le scénario décrit par Anthropic reste une alerte, pas une prédiction. Aucun modèle n’a démontré dans les sources consultées qu’il pouvait aujourd’hui coloniser seul un réseau réel d’objets connectés. Mais l’écart entre « impossible » et « possible dans un test simplifié » s’est réduit. La bonne réponse n’est ni la panique ni l’attente : elle consiste à durcir les appareils, isoler les expériences et donner aux évaluateurs les moyens de publier ce qu’ils découvrent.
Sources et limites
White House Accord on Super Intelligence — texte du 29 septembre 2026.
Sources consultées le 13 octobre 2026. Les résultats d’Anthropic sont rapportés par Reuters ; le protocole technique complet n’était pas disponible dans les sources consultées. La prépublication de 2025 n’est pas présentée comme une preuve d’incident réel. Aucun entretien ni test indépendant n’a été réalisé pour cet article.