/// Signal

Anthropic décrit un ver IA ; la France vient d’en vivre la version manuelle

Le fait : le 12 octobre 2026, l’équipe Frontier Red Team d’Anthropic a publié un billet intitulé « AI models may be capable of self-replicating without access to a datacenter », signé William Zhou et Daniel Freeman. Anthropic y décrit un ver IA qui se répliquerait sur des appareils connectés bon marché — « like smart ovens and off-brand Android TV boxes » —, écrit que les petits modèles en sont « may be months away », et pose elle-même une réserve de taille : « a doubling time of days ». Deux éléments du document comptent plus que le titre qu’on en a fait : un modèle nommé sait déjà répliquer de bout en bout, et l’expérience est un majorant, pas une mesure. Dans la nuit du dimanche 11 au lundi 12 octobre, la version manuelle de ce scénario a mis en dégivrage les frigos de centaines de supermarchés français, jusqu’à 50 °C, sans la moindre IA.

Ce qu’Anthropic décrit, et à quelles conditions. Les appareils visés ne sont pas des serveurs. Anthropic les nomme : « Machines that could run a significant model shard for a <30B model include smart fridges, smart ovens, automatic vacuum cleaners, and lawnmowers. » La mesure qui porte tout le reste tient en une phrase, et Anthropic l’écrit telle quelle : « In our evaluations, a 9B model got inference running on 8 of the 9 hardware types we tested. » Un modèle de 9 milliards de paramètres — et la borne du billet monte jusqu’à 30 milliards, avec la réserve qu’Anthropic écrit dans la même phrase : « Models of 30B parameters and under can already complete many of the individual steps for replication today, though they make mistakes when composing them end to end. » Deux réserves, écrites par Anthropic elle-même, bornent la portée de l’ensemble. La première est la lenteur : le ver « would be challenging to shut down, since there’s no centralized point to shut off », mais « it may be slow (with a doubling time of days) », et Anthropic chiffre ailleurs « the agents are slow replicators (over 1-2 days per 9B replication) ». La seconde est plus lourde, et c’est un aveu de méthode qu’Anthropic écrit sans détour : « Our evaluation keeps the cyber-exploit element of the replication trivial (there’s no authentication over the ADB port), which makes this an upper bound on real-world success. » L’attaque est donc facilitée exprès dans le banc d’essai, et le résultat est un plafond de ce qui est possible — pas une prévision de ce qui aura lieu. Ce qui progresse, en revanche, est documenté : Anthropic écrit que les instances transmettent leurs notes à leurs descendantes — « parent instances can pass on their prompts, code, and notes to their daughter replicators » — et que le taux de réussite de l’installation de l’inférence « rises from 45% in the first generation to between 61% and 84% in later ones. » Anthropic referme elle-même la porte qu’on lui a ouverte : « We don’t yet have a full rogue replicator ».

GLM-5.2 : le fait que la couverture a laissé de côté. Le titre retenu par la presse est un futur — « months away ». Le document, lui, contient un présent, et ce présent porte un nom. Anthropic écrit : « In our simplified evaluations, GLM-5.2 and stronger models are capable of end to end replication. » Le résumé d’Anthropic est plus précis encore — « Only GLM-5.2 out of our set of tested open-weight models is capable of full end-to-end replication (assuming its capabilities could be packed into Llama3.1-8B). » — et Anthropic donne le score : « it spread to 8/8 nodes in 4 out of 5 trials and 7/8 in 1 ». La réplication autonome de bout en bout n’est donc pas une hypothèse d’avenir dans ce banc d’essai : elle a un modèle, un taux de réussite et cinq essais. Ce qu’Anthropic projette dans l’avenir est autre chose, et le billet le dit en deux temps : « If small models improve at their historical rate, they’ll match this capability level by the end of this year. » L’ajustement qui produit cette date est publié avec son coefficient, et Anthropic l’écrit — « with a gain of 13.7 ECI per year », sur l’Epoch Capabilities Index. D’où la conclusion, toujours d’Anthropic : « the trend line puts a small model at that level by the end of 2026 ». La question utile n’est donc pas quand l’IA saura se répliquer, mais quel modèle le sait déjà, et à quelle échéance les modèles légers le sauront. Ce déplacement vaut mieux qu’un titre alarmant, parce qu’il est vérifiable.

Ce qu’Anthropic propose, et qui manque partout ailleurs. Un document qui décrit une menace sans dire comment y répondre laisse son lecteur avec la peur et rien d’autre. Celui-ci a une section entière sur la défense, et elle est chiffrée. Le principe, qu’Anthropic emprunte à l’épidémiologie : « As with an epidemic, defense involves driving R₀ (the number of new devices each infected device goes on to infect) below 1, such that the replicator dies out instead of staying endemic. » Le levier technique existe, parce que le ver se trahit, et Anthropic le décrit : « A weight-based replicator multiplying through IoT machines at scale would leave a network signature, visible as an anomaly in ISP flow-based monitoring systems. » Puis viennent les parades, dont l’une a déjà été mesurée sur un cas réel — Anthropic écrit : « This cleared 92% of infections within 14 days, against 74% with no notification. » Restent les pots de miel, ces leurres qui servent à récupérer le code du ver pour l’analyser, et la seule mesure qui ne dépende pas de la réponse à incident : « Manufacturers can shrink the pool of targets, with regulation acting to coordinate. » Anthropic donne même l’exemple d’une règle déjà en vigueur ailleurs : « default IoT passwords are now non-compliant in UK markets ». Et l’ordre de grandeur de ce qui est en jeu est écrit noir sur blanc, sans qu’aucune IA n’intervienne : « a large IoT botnet that infected over two million devices, primarily off-brand Android TVs. » Deux millions d’appareils, pour un ver qui, lui, n’existe pas encore.

La version manuelle, elle, a déjà eu lieu, et pas par une IA. Dans la nuit du dimanche 11 au lundi 12 octobre, des centaines de supermarchés français ont vu leurs installations frigorifiques passer en dégivrage, la température montant jusqu’à 50 °C. La phrase qui compte pour notre sujet est celle de Reuters : « The attack manually changed fridge temperatures at Carrefour, Monoprix, Intermarche and Cooperative U, affecting at least 350 supermarkets and spoiling food. » Le nombre de magasins varie selon les sources, et nous donnons les deux : RMC/BFMTV écrit qu’« entre 800 et 1000 magasins ont été touchés par cette cyberattaque », et Reuters qu’« at least 350 » supermarchés au moins ont été touchés. Le moyen d’entrée n’a rien d’une intelligence, et RMC/BFMTV le rapporte : « des cybercriminels ont pris la main sur ces équipements avec un mot de passe hyper simple puisque c’était à chaque fois la date du jour qui permettait de se connecter à tous ces équipements ». La faille, elle, était publique depuis le 9 août, et Reuters le précise : « On August 9, cybersecurity firm Claroty detailed weaknesses - since patched - in the Danfoss AK-SM 800A controller that could have allowed intruders to bypass authentication and run code on compromised devices. » L’agence française confirme depuis que le matériel ne s’arrête pas à un seul fournisseur, et La Dépêche l’écrit : « Après Danfoss, l’ANSSI confirme la compromission de systèmes Copeland et Dixell. » Les contrôleurs joignables depuis Internet se comptent en milliers : Reuters écrit qu’« at least 4,500 Danfoss interfaces still viewable on Tuesday », et Le Progrès rapporte que le hacker éthique Baptiste Robert « a recensé lundi 2 752 systèmes Danfoss accessibles depuis internet dans le monde, dont une bonne majorité (1 590) situés en France ». Les pertes se lisent à deux échelles et il faut les deux. Le Progrès avance « jusqu’à plusieurs centaines de milliers d’euros par magasin, selon les premières estimations », et au niveau national La Dépêche cite Thierry Cotillard, patron des Mousquetaires, évoquant des pertes atteignant « des dizaines de millions d’euros » à l’échelle nationale. Le parquet de Paris a ouvert une enquête, et l’attaque n’était pas revendiquée. Aucune des quatre sources françaises ne mentionne d’IA : c’est précisément ce qui en fait la version manuelle du scénario d’Anthropic — la même exposition, exploitée à la main.

Notre lecture : la nouvelle n’est pas que l’IA sait se répliquer, c’est que le parc à répliquer est déjà ouvert. La meilleure objection à cet article est aussi la plus simple, et c’est Anthropic qui l’écrit : son expérience facilite l’attaque à dessein, elle ne mesure donc pas le monde réel — « an upper bound on real-world success ». Nous ne concluons pas autre chose, et nous ne présentons pas le ver comme acquis, parce qu’Anthropic ne le fait pas non plus : « We don’t yet have a full rogue replicator ». Mais l’attaque française, elle, n’est pas un majorant. Elle a détruit de la marchandise, vidé des rayons, et les pertes sont estimées à des dizaines de millions d’euros, avec un mot de passe qui était la date du jour. Le rapprochement des deux dossiers dit où se situe le risque : dans un parc dont les mises à jour ne suivent pas, chez un fabricant dont Reuters, citant Danfoss, rapporte que « many affected units had reached end of life without software or security updates ». Le test du retour à la moyenne n’est donc pas de savoir si l’IA va s’échapper, mais si les contrôleurs en fin de vie seront remplacés avant que les modèles légers atteignent le seuil de capacité. Anthropic publie une courbe, 13,7 points ECI par an, et le dossier français fournit l’autre : des appareils que leur fabricant déclare en fin de vie. Ce qui reste non tranché, et nous l’écrivons comme tel : la forme qu’un tel ver prendrait — Anthropic en envisage une, « It could be a slow, distributed "digital slime mold," living on relatively insecure compute. » — et ce que vaut son évaluation hors de son propre banc d’essai, où l’exploit est trivial par construction.