Auto-réplication d'IA : l'étude d'Anthropic sur les vers IA

Le 12 octobre 2026, l'équipe Frontier Red Team d'Anthropic a publié une étude sur l'auto-réplication des IA. Selon elle, de petits modèles d'IA pourraient n'être qu'« à quelques mois » de pouvoir se copier seuls d'un objet connecté à l'autre : boîtiers Android TV sans marque, fours connectés, caméras (Anthropic). Un tel « ver IA » n'aurait besoin d'aucun datacenter, et il n'existerait aucun interrupteur central pour l'arrêter.

L'étude est plus prudente que les titres de presse. Le seul modèle qui réussit la réplication complète est un grand modèle de 753 milliards de paramètres, trop gros pour se copier lui-même : il installe un petit modèle sur chaque machine, dans un réseau simplifié où la porte d'entrée avait été laissée ouverte. Anthropic l'écrit elle-même : « We don't yet have a full rogue replicator » (nous n'avons pas encore de réplicateur incontrôlé complet).

Le chiffre qui nous a arrêtés est ailleurs : la vitesse à laquelle progressent les petits modèles. Nous la connaissons bien, puisque c'est elle qui rend crédible l'IA en local dans les entreprises.

Qu'est-ce que l'auto-réplication d'une IA ?

Une IA s'auto-réplique quand elle copie ses poids sur une autre machine, y lance une nouvelle instance, et que cette copie recommence à son tour.

Les poids sont l'ADN du modèle. Ce sont les milliards de nombres réglés pendant l'entraînement, qui contiennent tout ce qu'il sait faire (nous les expliquons dans notre article sur les concepts clés de l'IA). Comme l'ADN, ils ne font rien seuls : il leur faut une machinerie pour être lus, ici un logiciel d'inférence et une puce, là une cellule. Se recopier puis trouver une machinerie qui exécute la copie, c'est ce que fait le vivant depuis quatre milliards d'années.

Le parallèle est aussi vieux que l'informatique. Dès la fin des années 1940, John von Neumann étudiait des machines capables de se reproduire, en partant du vivant ; ses travaux ont été publiés en 1966 sous le titre Theory of Self-Reproducing Automata. Il y relevait ce qui rend la reproduction si puissante : « si, par accident, il en apparaît un seul, alors les principes des probabilités ne s'appliquent plus et il s'en produit beaucoup » (Pour la Science). La sécurité informatique a emprunté tout son vocabulaire à la biologie : virus, ver, infection, épidémie.

Le rapprochement le plus exact est celui du virus. Un virus est un génome sans machinerie propre, qui détourne celle de la cellule qu'il infecte. Le ver IA décrit par Anthropic fait la même chose avec un boîtier TV : il apporte ses poids et se sert de la puce et de la mémoire de l'appareil pour les faire tourner.

Les chercheurs en sécurité parlent d'ARA, pour autonomous replication and adaptation (réplication et adaptation autonomes), depuis un rapport de l'organisme d'évaluation METR en 2023 (arXiv). Le mot « adaptation » a son importance : comme une espèce, un réplicateur ne dure que s'il s'adapte à son milieu.

C'est l'une des « lignes rouges » les plus citées de la sécurité de l'IA. En mars 2024, la déclaration de Pékin de l'IDAIS, signée notamment par Geoffrey Hinton, Yoshua Bengio et Andrew Yao, pose que « aucun système d'IA ne devrait pouvoir se copier ou s'améliorer sans approbation et assistance humaines explicites » (IDAIS).

Un ver informatique classique ne transporte que quelques centaines de lignes de code, un génome minuscule. Un ver IA emporte un modèle de plusieurs gigaoctets et doit le faire tourner sur la machine qu'il infecte. Comme le dit Anthropic, « les poids deviendraient une partie de la charge malveillante ». C'est beaucoup plus lourd et plus lent, mais un tel ver peut s'adapter : au lieu de suivre un script, il écrit son attaque pour chaque nouvelle cible.

Ver IA, virus IA : de quoi parle-t-on ?

L'expression « ver IA » désigne trois choses différentes, et « virus IA » une quatrième, qui n'a rien d'informatique.

La première catégorie touche déjà les outils de bureau. En 2024, des chercheurs de Cornell Tech, du Technion et d'Intuit ont créé Morris II, nommé d'après le ver de 1988 : un message piégé pousse un assistant mail à se recopier dans ses réponses et à exfiltrer des données (arXiv). En juillet 2026, le chercheur norvégien Håkon Måløy a montré qu'un texte blanc sur fond blanc dans un document Word suffisait : Copilot l'exécute, modifie les chiffres d'un rapport et recopie l'instruction dans les nouveaux documents. Après 144 jours d'échanges et deux correctifs de Microsoft, l'attaque fonctionnait encore selon lui (iTnews). Aucune exploitation réelle n'a été signalée.

Depuis août 2026, « virus IA » renvoie surtout à des travaux de biologie. Des chercheurs de Stanford et de l'Arc Institute ont fait concevoir environ 700 000 génomes de virus par les modèles Evo, en ont synthétisé 285 et obtenu 16 virus viables, qui infectent la bactérie E. coli et non l'humain (GEN). Ces virus n'ont aucun rapport technique avec les vers informatiques. Ils relancent le même débat : une capacité utile peut aussi servir à nuire.

Ce qu'Anthropic a testé

L'équipe découpe la réplication en quatre étapes : trouver des cibles, y entrer, installer le modèle et le faire tourner, puis recommencer depuis la nouvelle machine. Elle a concentré ses tests sur la troisième et simplifié volontairement la deuxième.

Faire tourner un modèle sur du matériel bon marché

Anthropic a réparti Gemma 4 26B, un modèle ouvert de Google, sur 15 boîtiers Android TV à environ 55 dollars pièce, dotés de 4 Go de mémoire chacun. Le tout produit 0,39 token par seconde, soit environ un mot toutes les trois secondes.

Les chercheurs ont ensuite demandé à des modèles de mettre en place eux-mêmes ce type d'installation sur du matériel varié. Pour garder des résultats comparables, le modèle à installer était toujours le même, Llama 3.1 8B de Meta, et non l'agent lui-même. Un modèle de 9 milliards de paramètres, Qwen3.5-9B d'Alibaba, a réussi sur 8 des 9 types de matériel testés. Pour s'installer lui-même entièrement, il lui faudrait de 28 à 51 heures.

Se propager de machine en machine

Pour le test de bout en bout, Anthropic a monté un réseau isolé de 8 machines qui simulent des appareils Android, avec un port de débogage ouvert sans mot de passe. L'agent devait passer de machine en machine et installer sur chacune le même petit modèle, Llama 3.1 8B. Un seul modèle ouvert y parvient : GLM-5.2, qui atteint les 8 machines dans 4 essais sur 5 et 7 sur 8 dans le dernier. Les autres échouent.

GLM-5.2 n'est pas un petit modèle. Publié en juin 2026 par le chinois Zhipu (Z.ai) sous licence MIT, il compte 753 milliards de paramètres et ne tient sur aucun objet connecté (Hugging Face). Il ne s'est donc pas copié lui-même. Dans l'étude, il sert d'étalon : c'est le niveau qu'un petit modèle devra atteindre pour mener seul toute la chaîne.

Apprendre d'une génération à l'autre

Chaque copie peut transmettre ses notes à la suivante, ce qui la fait progresser. C'est une forme d'hérédité : les poids ne changent pas, mais ce que chaque génération a appris passe à la suivante. Le taux de réussite de Qwen3.5-9B passe de 45 % à la première génération à 61-84 % pour les suivantes. Donner accès à un modèle bien plus puissant comme conseiller, Claude Opus 4.8, n'apporte en revanche rien de mesurable.

Extrapoler à un vrai botnet

Pour estimer l'échelle, Anthropic prend l'exemple de Kimwolf, un botnet de plus de 2 millions d'appareils, aux deux tiers des boîtiers Android TV bon marché, souvent vendus déjà infectés (The Hacker News). Sur un tel parc, un ver IA pourrait faire tourner environ 133 000 copies, soit l'équivalent de 40 cartes H100 en puissance de calcul. C'est négligeable à l'échelle d'un datacenter, mais c'est réparti sur des milliers de foyers et de petites entreprises, et donc impossible à éteindre d'un seul coup.

Ce qu'il faut relativiser

Anthropic énumère elle-même les limites de son étude.

• Le port de débogage était ouvert, l'entrée était donc triviale. Les chercheurs présentent eux-mêmes leurs résultats comme un « plafond » des chances de succès réelles.
• Aucun modèle n'a enchaîné seul, dans des conditions réelles, toutes les étapes de la réplication.
• Ce serait lent : à un mot toutes les trois secondes, un tel ver mettrait plusieurs jours à doubler de taille.
• Les petits modèles sont mauvais en manipulation. Sur des tâches d'hameçonnage ciblé, leurs résultats vont de « très faibles » à « faibles ».
• Rien n'a été relu ni reproduit. C'est un billet de blog, sans article scientifique ni code publié, et l'estimation repose sur une seule classe d'appareils et un seul botnet.

Ciaran Martin, ancien directeur du centre national de cybersécurité britannique (NCSC), y voit une « exagération de fournisseur » : « "Nous avons réussi à faire tourner un petit modèle sur des télévisions bon marché" ne fait pas une crise de sécurité », a-t-il déclaré à Reuters (Investing.com).

Il n'a pas tort sur le ton, et on peut lire un intérêt commercial dans un risque attribué aux modèles ouverts par un labo qui vend des modèles fermés. Pour nous, la démonstration sur les boîtiers TV compte moins que la pente de la courbe des petits modèles, qui se vérifie dans des données publiques (voir plus bas).

Les études précédentes appellent les mêmes réserves. En décembre 2024, l'université Fudan annonçait que Llama 3.1 70B et Qwen 2.5 72B se répliquaient dans 50 % et 90 % des essais, mais les modèles en avaient reçu l'ordre explicite (arXiv). Le banc d'essai RepliBench de l'institut britannique de sécurité de l'IA montrait en 2025 que les meilleurs modèles réussissaient la plupart des étapes, mais aucun ne passait un contrôle d'identité de type KYC (AISI).

Pourquoi c'est quand même sérieux

Pas d'interrupteur

Un modèle utilisé par une API peut être coupé par son fournisseur. Un modèle open weight copié sur des milliers de boîtiers ne dépend plus de personne. Anthropic décrit ce scénario comme une « moisissure numérique » lente et distribuée, qui vivrait sur du matériel mal sécurisé.

La comparaison avec le vivant aide à comprendre pourquoi un tel ver n'aurait besoin d'aucune intention. Dans la nature, rien ne « veut » se reproduire : ce qui se reproduit devient simplement plus nombreux que ce qui ne se reproduit pas. Il suffirait qu'un seul réplicateur fonctionne, par malveillance ou par accident, pour que la remarque de von Neumann s'applique. Anthropic décrit d'ailleurs son pire scénario comme un écosystème : un « essaim » de modèles différents, sur des matériels différents, qui se répliquent chacun à leur façon.

Les petits modèles progressent vite

Selon Anthropic, les meilleurs modèles ouverts de 30 milliards de paramètres ou moins gagnent 13,7 points par an sur l'indice de capacités ECI d'Epoch AI. Les chiffres d'Epoch montrent l'écart parcouru : Qwen3.5-9B, sorti début 2026, dépasse Llama 3.1 405B, sorti en juillet 2024, avec 45 fois moins de paramètres. Qwen3.8 27B, publié en août, n'est plus qu'à 2,4 points de GLM-5.2, soit environ deux mois au rythme actuel (Epoch AI).

Les vers adaptatifs existent déjà en laboratoire

D'autres équipes sont allées plus loin sur l'étape d'intrusion. En mai 2026, Palisade Research a fait pirater puis recopier un agent sur quatre serveurs situés au Canada, aux États-Unis, en Finlande et en Inde, en 2 heures 41 minutes (arXiv). En juin, une équipe de l'université de Toronto a lâché un ver équipé d'un modèle ouvert sur un réseau de test de 33 machines. Il en a atteint 20 en moyenne, sur jusqu'à 7 générations, en exploitant des failles publiées après l'entraînement du modèle (arXiv). Dans les deux cas, les réseaux étaient volontairement vulnérables et les agents avaient reçu l'ordre de se propager.

Les labos avaient baissé la garde

Entre 2024 et 2025, Anthropic, Google DeepMind et OpenAI ont tous trois rétrogradé la réplication autonome dans leurs politiques de sécurité, en la jugeant peu probable ou mieux couverte par d'autres risques. METR estimait en 2024 qu'elle avait été « surestimée ». L'étude d'octobre rouvre le dossier et déplace le risque vers les petits modèles ouverts qui tournent sur du matériel grand public.

Petits modèles open weight : le même progrès, des deux côtés

Nous déployons des modèles open weight chez nos clients, souvent pour des raisons de souveraineté. C'est la courbe qui inquiète Anthropic qui nous fait aujourd'hui tourner sur un seul serveur des usages qui demandaient un modèle géant il y a deux ans. Beaucoup de ces petits modèles sont des élèves de modèles plus gros, obtenus par distillation.

L'étude ne demande pas d'interdire ces modèles. En juillet 2026, Dario Amodei, le patron d'Anthropic, écrivait que l'entreprise n'a « jamais plaidé pour une interdiction des modèles open weight », tout en réclamant des tests de sécurité obligatoires pour les modèles les plus capables (Anthropic). Il rappelait aussi qu'un modèle publié ne peut plus être retiré : les poids des modèles visés sont déjà en circulation.

Le cadre européen ne couvre pas ce scénario. L'AI Act allège les obligations des modèles sous licence libre tant qu'ils restent sous le seuil du risque systémique, fixé à 10²⁵ opérations de calcul pour l'entraînement (article 53). Les petits modèles en sont très loin. Si le risque décrit par Anthropic se confirme, il viendra de modèles qu'aucun seuil de calcul ne repère.

Le maillon faible, ce sont les appareils que personne ne gère : le boîtier branché sur la télévision de la salle de réunion, la caméra installée il y a cinq ans et jamais mise à jour. Le serveur d'IA d'une entreprise, lui, est administré, surveillé et protégé par un pare-feu.

Ce qu'une entreprise peut faire dès maintenant

Anthropic raisonne en épidémiologiste : l'objectif est de faire passer le R₀ sous 1, c'est-à-dire qu'une machine infectée en contamine en moyenne moins d'une autre, pour que le ver s'éteigne au lieu de s'installer. Comme pour une épidémie, cela passe par moins d'hôtes vulnérables et une détection rapide.

Il y a deux fronts : les objets connectés, cibles du scénario d'Anthropic, et les assistants IA, cibles des vers par injection de prompt qui existent déjà.

Côté objets connectés

1. Faire l'inventaire des appareils branchés au réseau : télévisions et boîtiers des salles de réunion, caméras, systèmes de visioconférence, imprimantes.
2. Les isoler sur un réseau séparé, sans accès aux postes de travail et aux serveurs.
3. Fermer les ports de débogage et changer les mots de passe par défaut. Le Royaume-Uni interdit déjà ces mots de passe sur les objets connectés vendus sur son territoire.
4. Écarter les boîtiers Android sans marque, souvent vendus déjà compromis.
5. Surveiller le trafic sortant : un boîtier qui télécharge plusieurs gigaoctets ou ouvre des milliers de connexions doit alerter.

Côté assistants IA

6. Traiter comme non fiable tout document, e-mail ou message lu par un agent ou un assistant.
7. Limiter les droits des agents et faire valider par un humain toute action qui écrit, envoie ou supprime. Nous détaillons ces principes dans notre article sur les agents IA en entreprise.

La réglementation avance aussi. Depuis le 11 septembre 2026, le Cyber Resilience Act oblige les fabricants à signaler sous 24 heures les failles activement exploitées dans leurs produits connectés. Ses autres exigences, dont la sécurité par défaut, s'appliqueront le 11 décembre 2027 (NCSC Irlande). Les fournisseurs d'accès ont aussi un rôle à jouer : face au botnet Mirai, mettre les abonnés infectés en quarantaine a permis d'éliminer 92 % des infections en 14 jours (NDSS 2019).

Questions fréquentes sur l'auto-réplication des IA

Une IA peut-elle se répliquer toute seule ?

En laboratoire, oui, à condition qu'on lui en donne l'ordre et un environnement vulnérable. Plusieurs études (Fudan en 2024, Palisade Research et l'université de Toronto en 2026) ont montré des modèles qui copient leurs poids sur une autre machine et y relancent une instance. En octobre 2026, Anthropic a montré qu'un grand modèle ouvert, GLM-5.2, pouvait se propager sur un réseau de test simplifié. Aucune IA ne s'est répliquée de façon autonome hors d'un laboratoire.

Qu'est-ce qu'un ver IA ?

Un ver IA est un programme qui se propage de machine en machine sans intervention humaine en s'appuyant sur un modèle d'IA. Il en existe trois formes : une instruction cachée qu'un assistant IA recopie dans ce qu'il produit (Morris II, ver de Copilot pour Word), un malware qui demande à un modèle d'écrire son code (PromptLock, PROMPTFLUX), et un modèle qui se copie lui-même sur les machines qu'il infecte, le scénario étudié par Anthropic.

Qu'est-ce qu'un virus IA ?

En français, « virus IA » désigne surtout, depuis août 2026, des virus biologiques conçus par l'IA. Des chercheurs de Stanford et de l'Arc Institute ont fait concevoir des génomes de virus par les modèles Evo et obtenu 16 bactériophages viables, qui infectent la bactérie E. coli et non l'humain. Pour un programme malveillant qui se propage avec l'aide de l'IA, on parle plutôt de ver IA.

Quel modèle a réussi à se répliquer dans l'étude d'Anthropic ?

Seul GLM-5.2, publié en juin 2026 par le chinois Zhipu, a réussi la chaîne complète : il a atteint les 8 machines du réseau de test dans 4 essais sur 5 et installé un petit modèle sur chacune. Ce n'est pas un petit modèle : il compte 753 milliards de paramètres, ne tient pas sur un objet connecté et ne s'est donc pas copié lui-même. Anthropic estime qu'un modèle de moins de 30 milliards de paramètres pourrait atteindre ce niveau d'ici fin 2026.

Les objets connectés d'une entreprise sont-ils menacés ?

Ce sont les appareils mal sécurisés qui sont visés : boîtiers Android TV sans marque, caméras, systèmes de visioconférence, appareils jamais mis à jour ou laissés avec leur mot de passe par défaut. Ils sont déjà la cible de botnets classiques comme Kimwolf. Les isoler sur un réseau séparé, fermer leurs ports de débogage et surveiller leur trafic sortant protège contre les deux menaces.

Faut-il renoncer aux modèles d'IA open weight ?

Non. L'étude d'Anthropic ne le demande pas, et les poids des modèles concernés sont déjà publiés et ne peuvent pas être retirés. Le risque décrit vient d'objets connectés que personne ne surveille, pas d'un serveur d'IA administré par une entreprise. Un modèle open weight hébergé chez soi ou chez un fournisseur européen reste un bon choix pour garder la maîtrise de ses données.

---

Aucun ver IA ne circule aujourd'hui. Les étapes pour en construire un deviennent accessibles à des modèles assez petits pour tourner sur du matériel à 55 dollars, et le jour où l'un d'eux fonctionnera, il n'y aura pas d'interrupteur à couper. Comme dans le vivant, il suffira qu'un seul réplicateur réussisse.

Pour une entreprise, le plus utile n'a rien de nouveau : savoir ce qui est branché sur son réseau, l'isoler et le mettre à jour, et ne pas donner à ses assistants IA plus de droits qu'il n'en faut.