Anthropic a exécuté un modèle d'IA sur 15 boîtiers Android TV bon marché, puis a testé une tâche distincte de réplication dans un réseau confiné d'émulateurs Android. Le premier résultat montre que des appareils grand public peuvent fournir collectivement de la puissance de calcul pour l'inférence. Le second montre comment un agent plus puissant s'est comporté lorsque l'accès à la machine suivante avait été délibérément simplifié. Aucune des expériences n'a placé dans la nature un système d'IA capable de se propager tout seul.

L'article de recherche du 12 octobre soulève une question pratique pour les personnes qui possèdent ou défendent des appareils connectés : un agent pourrait-il un jour passer d'une machine ordinaire à une autre et y exécuter son propre modèle sans centre de données ? Les expériences d'Anthropic rendent certains maillons de cette chaîne plus concrets, tout en laissant un large écart entre une tâche de laboratoire et une véritable attaque.

Le principal changement

  • Ce qui a changé : Anthropic a démontré l'inférence distribuée d'un modèle sur des boîtiers TV achetés et mesuré les performances d'un agent sur une tâche de réplication confinée. L'entreprise a aussi estimé quand de petits modèles pourraient acquérir assez de capacités pour combiner ces aptitudes.
  • Qui est concerné : Les propriétaires et les responsables de la sécurité d'appareils connectés susceptibles de fournir à un attaquant de la puissance de calcul ou un accès réseau utile.
  • Ce qui reste incertain : La tâche confinée simplifiait l'accès à chaque cible, utilisait une inférence externe pour l'agent le plus puissant et fournissait des outils de recherche. Anthropic n'a pas démontré un réplicateur autonome complet se propageant parmi de vrais appareils.

Les boîtiers TV achetés ont fourni la puissance de calcul

Anthropic a acheté et mis en réseau 15 boîtiers Android TV sans marque, chacun doté de 4 Go de mémoire. L'entreprise a réparti Gemma4-26B-A4B entre eux, chaque boîtier hébergeant une fraction des couches du modèle. Elle rapporte une vitesse de génération de 0,39 jeton par seconde dans cette démonstration. Cela montre que cette catégorie de matériel bon marché peut exécuter collectivement un modèle de cette taille, à la vitesse mesurée.

La démonstration avec les boîtiers TV n'impliquait pas que le modèle trouve ou compromette ces appareils. Anthropic a évalué séparément si des agents à poids ouverts pouvaient configurer l'inférence sur du matériel inconnu. Son résumé indique qu'un modèle de 9 milliards de paramètres a réussi sur huit des neuf types de matériel. L'évaluation détaillée de la configuration de l'inférence demandait aux agents de servir Llama3.1-8B sur différentes machines. L'entreprise a utilisé un banc de recherche appelé Memento, qui fournissait périodiquement à un nouvel agent l'espace de travail et de brèves notes de la tentative précédente. Les chercheurs ont aussi fourni des informations sur le matériel et une limite de temps. Ces aides comptent lorsqu'on interprète le résultat comme une capacité d'agent plutôt que comme un déploiement sans assistance.

Le résultat de réplication provient d'un émulateur simplifié

La seconde expérience d'Anthropic utilisait un réseau cloud isolé par pare-feu, composé de huit nœuds exécutant des émulateurs Android. La tâche consistait à partir d'un nœud initial, à parcourir le parc et à configurer un serveur d'inférence sur chaque nœud atteint. L'accès au nœud suivant était volontairement dépourvu d'authentification : le test portait donc sur l'enchaînement des étapes et la configuration de l'inférence, plutôt que sur le contournement d'une défense réaliste d'appareil.

Le modèle de l'agent le plus puissant s'exécutait sur un serveur distinct, car les nœuds émulés ne pouvaient pas l'héberger. Chaque cible devait plutôt servir Llama3.1-8B, une charge couramment utilisée pour comparer des agents de tailles différentes. Lorsque ce serveur réussissait les vérifications, le système de l'expérience lançait la copie suivante de l'agent. Cette conception teste si un agent capable peut organiser la chaîne dans des conditions contrôlées ; elle ne montre pas que le même modèle s'est transporté et exécuté sur chaque appareil.

Anthropic indique que GLM-5.2 a atteint les huit nœuds lors de quatre essais sur cinq, et sept lors du cinquième. Les autres modèles à poids ouverts testés n'ont pas achevé la tâche complète de façon fiable. Les auteurs présentent ce résultat comme une limite supérieure de réussite dans le monde réel, car l'étape d'accès était rendue triviale. Cette réserve est essentielle : un véritable parc d'appareils présenterait d'autres logiciels, permissions, chemins réseau et défenses. L'expérience ne fournit aucun taux de réussite mesuré pour ce contexte.

La date d'arrivée est une prévision

Anthropic a comparé un seuil de capacité suggéré par le résultat de l'émulateur aux progrès de modèles à poids ouverts de 30 milliards de paramètres ou moins dans l'indice général de capacités d'Epoch AI. L'extrapolation de cette tendance plaçait un petit modèle au seuil d'ici la fin de 2026. L'indice mesure des capacités générales et ne constitue qu'un indicateur indirect de la tâche complète de réplication. Le seuil lui-même provient d'une expérience confinée avec un agent plus puissant et une voie d'accès plus facile. Il s'agit donc d'une estimation des chercheurs, et non d'une date observée à laquelle un réplicateur IoT existera.

La vitesse impose une autre limite. Selon les estimations d'Anthropic, aux vitesses mesurées sur les appareils et pour la charge de configuration de l'inférence, une tentative avec un modèle de 9 milliards de paramètres pourrait durer environ 28 à 51 heures, tandis que sa configuration Gemma non optimisée pourrait demander environ 71 à 150 heures. Ce sont des calculs pour cette charge, pas des durées d'infection observées. Ils suggèrent qu'un agent fondé sur des appareils pourrait être persistant et lent, ce qui change les phénomènes que les défenseurs devraient surveiller.

Ce que les défenseurs d'appareils peuvent retenir

Anthropic cite les transferts inhabituels de grands modèles et le trafic soutenu entre appareils comme des signes possibles d'un système fondé sur les poids qui fonctionnerait sur un parc entier. Ces schémas sont des pistes de détection proposées ; les chercheurs n'ont pas testé de système de détection en direct contre un ver d'IA déployé. Ils préconisent également des paramètres par défaut plus sûrs sur les appareils et une réponse coordonnée des opérateurs réseau pour réduire les possibilités de propagation.

Pour les particuliers et les petites entreprises, les éléments disponibles justifient des mesures familières d'hygiène numérique pour une raison plus précise : savoir quels appareils connectés sont utilisés, maintenir leurs logiciels et paramètres d'accès à jour lorsque le fournisseur le permet, et examiner les communications inattendues entre appareils. Les équipes de sécurité peuvent s'appuyer sur l'étude pour réfléchir à la détection de calculs lents et prolongés ainsi que de transferts volumineux entre appareils gérés. Aucun de ces contrôles n'établit qu'un ver d'IA est actuellement présent. Anthropic indique explicitement ne pas avoir montré de réplicateur autonome complet.

Sources et lectures complémentaires