Le Frontier Red Team d'Anthropic a publié le 12 octobre une étude dont la conclusion est la suivante : des modèles open source de taille modeste pourraient, d'ici quelques mois, être capables de se répliquer seuls sur des objets connectés bon marché, par exemple des box TV Android à quelques dizaines de dollars pièce. Les auteurs, William Zhou et Daniel Freeman, appellent ce type de programme un « réplicateur à base de poids » (weight-based replicator) : le modèle scanne lui-même le réseau, pénètre dans les appareils, y copie ses poids, monte un service d'inférence sur la nouvelle machine, puis poursuit sa propagation à partir de là.
La phrase d'origine de l'article est la suivante :
"may be months away from being capable enough to self-replicate on commercial internet-of-things (IoT) devices"
(il pourrait ne plus manquer que quelques mois avant qu'ils soient assez capables pour se répliquer seuls sur des appareils commerciaux de l'internet des objets (IoT).)
Un test en quatre étapes
L'étude décompose le processus de réplication en plusieurs parties. La première étape consiste à déployer l'inférence sur un matériel inconnu. Qwen3.5-9B a réussi à faire tourner l'inférence seul sur 8 des 9 types de matériel, du Jetson Nano au Mac en passant par la RTX 4090, chaque exécution durant de 28 à 51 heures. Le modèle plus gros Gemma4-26B-A4B a été fragmenté pour fonctionner sur 15 box TV Android d'environ 55 dollars l'unité, dotées chacune de 4 Go de mémoire, à une vitesse d'environ 0,3 token par seconde ; le déploiement complet a pris de 71 à 150 heures.
La deuxième étape est la réplication de bout en bout. L'équipe a monté sur Google Cloud un réseau simulé de 8 nœuds et demandé aux modèles d'enchaîner d'une traite le scan, l'intrusion, le transfert des poids et le déploiement de l'inférence. Parmi les modèles open source, seul GLM-5.2 y parvient de façon stable : sur 5 essais, il s'est étendu à l'ensemble des 8 nœuds 4 fois, et à 7 nœuds la fois restante. Les modèles de moins de 30 milliards de paramètres viennent à bout de la plupart des étapes prises une à une, mais se trompent dès que la chaîne s'allonge.
La troisième étape teste l'« apprentissage entre générations ». Qwen3.5-9B devait transmettre à la génération suivante les notes laissées par la précédente ; sur 6 générations et 20 lignées, le taux de réussite est passé de 45 % à la première génération à une fourchette de 61 % à 84 % pour les suivantes. L'étude a aussi essayé de confier à Claude Opus 4.8 un rôle de conseiller auprès du petit modèle, sans amélioration significative.
Échelle et vitesse
Anthropic s'est appuyée sur le botnet Kimwolf comme référence pour estimer que, si plus de 2 millions d'appareils du même type étaient infectés, on pourrait faire tourner environ 133 000 copies du modèle, pour un débit cumulé d'environ 80 000 tokens par seconde, soit une puissance de calcul équivalente à une quarantaine de GPU H100. Un tel réseau n'a pas de nœud central et se coupe difficilement d'un seul coup, mais il se propage lentement : le nombre de copies met plusieurs jours à doubler.
Les auteurs énumèrent eux-mêmes plusieurs limites. L'étape d'intrusion a été simplifiée dans l'expérience à un port de débogage ADB sans authentification, si bien que le taux de réussite doit être lu comme un plafond ; l'ECI utilisé pour extrapoler la tendance est un indicateur général de capacité qui ne mesure pas directement l'aptitude à se répliquer ; la vitesse et l'échelle reposent sur un seul type de matériel et un seul botnet historique ; le cas d'un botnet d'IA affrontant des défenseurs n'a pas été testé. Quant à la qualité des courriels de spear phishing rédigés par de petits modèles, l'étude la juge « très mauvaise » à « mauvaise ».
Quel rapport avec la Chine
Les principaux modèles du test, Qwen d'Alibaba et GLM de Zhipu AI, sont des modèles à poids ouverts de fabricants chinois. L'étude ne dit pas que ces modèles présentent des défauts ; elle exploite précisément le fait qu'ils sont performants et exécutables en local. Les deux entreprises ne se sont pour l'instant pas exprimées publiquement sur ces travaux.
Les box TV Android, projecteurs et boîtiers divers servant de support sont très répandus dans les foyers chinois, et les spécialistes de la sécurité alertent depuis des années sur les appareils sortis d'usine avec le port de débogage ouvert et un mot de passe par défaut jamais changé. Le Royaume-Uni a déjà légiféré pour interdire les mots de passe par défaut sur les objets connectés ; en Chine, les sources publiques ne font pas apparaître de disposition obligatoire d'une fermeté équivalente.
Les recommandations de défense reprennent l'expérience de l'époque Mirai : les opérateurs surveillent les anomalies de trafic, isolent les utilisateurs infectés et les préviennent pour qu'ils nettoient leurs appareils. À l'époque, cette méthode avait éliminé 92 % des infections en 14 jours, contre 74 % pour le groupe témoin non notifié. L'objectif affiché par Anthropic est de ramener le taux de reproduction R₀ du réplicateur sous 1.
L'étude fournit encore un chiffre : si l'étape de déploiement est remplacée par un script codé en dur, même un modèle de 3B paramètres peut couvrir environ la moitié des machines d'un réseau de 17 nœuds. Plus le modèle est petit, plus il est facile de l'installer sur un appareil ; la suite dépendra de l'ampleur du prochain saut des petits modèles open source.
Sources : CocoLoop, blog de recherche du Frontier Red Team d'Anthropic ; la page de l'étude a servi à vérifier le nombre de paramètres des modèles, les types de matériel, les taux de réussite, les taux de réussite entre générations et la méthode d'estimation de l'échelle de Kimwolf.