Dans un rapport daté du 12 octobre 2026, la Frontier Red Team d’Anthropic a décrit des essais contrôlés portant sur plusieurs étapes de l’auto-réplication par IA. Le rapport ne démontre pas de réplicateur complet se propageant de façon autonome sur l’internet public. Anthropic détaille ses expériences et leurs conditions.

L’équipe a découpé le processus en quatre étapes : trouver des cibles, obtenir l’exécution du code, installer un modèle pour l’inférence — le calcul qui produit ses réponses — puis poursuivre la propagation depuis le nouvel appareil. Ses essais se sont concentrés sur l’installation de l’inférence et la réplication, tandis que l’accès aux appareils était simplifié.

Deux essais, deux types de contraintes

Dans un premier test, Qwen3.5-9B a configuré un serveur d’inférence Llama3.1-8B sur huit des neuf types de matériel évalués. Le résultat porte sur la capacité à installer le serveur sur ces différentes configurations.

Un autre essai a mesuré la progression de GLM-5.2 dans un réseau cloisonné de huit émulateurs Android 15. Le modèle a atteint les huit nœuds dans quatre essais sur cinq, puis sept sur huit lors du cinquième. Le port Android Debug Bridge (ADB) n’était pas protégé par authentification. GLM-5.2 tournait sur un serveur d’inférence distinct ; les appareils cibles hébergeaient Llama3.1-8B. Une nouvelle copie n’était lancée qu’après des contrôles de correction et d’anti-triche. Anthropic présente cette simplification de l’exploitation comme une borne supérieure des chances de réussite dans le monde réel.

Quinze boîtiers Android TV pour répartir l’inférence

Anthropic a également réparti Gemma4-26B-A4B sur 15 boîtiers Android TV dotés de 4 Go de mémoire vive chacun. Cette configuration d’inférence distribuée a atteint un débit de 0,39 jeton par seconde. Elle montre qu’un modèle peut être réparti entre plusieurs appareils pour effectuer des calculs ; elle ne décrit pas une infection ni une propagation entre ces boîtiers.

Des notes transmises, sans réentraînement du modèle

Dans 20 lignées de six générations de Qwen3.5-9B, le taux de réussite de la configuration est passé de 45 % à la première génération à une fourchette de 61 % à 84 % lors des générations suivantes. Le système Memento transmettait à chaque nouvelle instance l’espace de travail, le code et des notes sur les stratégies et les échecs précédents. Le modèle lui-même n’était pas réentraîné : l’amélioration rapportée venait de ces éléments opérationnels hérités.

Les défenses évoquées par Anthropic

Le rapport propose de surveiller les flux réseau, notamment les transferts volumineux et les échanges persistants entre appareils, et d’utiliser des honeypots — des leurres destinés à attirer et étudier des logiciels malveillants. Il évoque aussi la mise en quarantaine par les fournisseurs d’accès à internet, accompagnée d’une notification aux clients, ainsi que des réglages de sécurité plus stricts par défaut pour les objets connectés.

Pour le botnet classique Mirai, l’étude citée par Anthropic rapporte que la quarantaine accompagnée d’une notification a permis d’éliminer 92 % des infections en 14 jours, contre 74 % sans notification. Ces résultats concernent Mirai. Dans son rapport, Anthropic estimait par ailleurs que de petits modèles pourraient être à quelques mois d’une capacité d’auto-réplication sur des appareils IoT commerciaux : il s’agissait d’une prévision fondée sur une extrapolation, et non d’un résultat observé lors des essais.