1 200 agents ont trouvé leurs voisins : le cauchemar d’Amodei a un précédent
Le dirigeant d’Anthropic redoute un scénario de cyberattaque massive à six ou douze mois. L’alerte s’appuie sur un incident documenté, mais son échéance reste une projection.
Dario Amodei sur scène à TechCrunch Disrupt, San Francisco, le 20 septembre 2023. Photo d’archive ; les déclarations analysées dans cet article sont de septembre 2026. TechCrunch / Kimberly White, Getty Images for TechCrunch · CC BY 2.0
Le dirigeant d’Anthropic redoute un scénario de cyberattaque massive à six ou douze mois. L’alerte s’appuie sur un incident documenté, mais son échéance reste une projection.
Le dirigeant d’Anthropic redoute un scénario de cyberattaque massive à six ou douze mois. L’alerte s’appuie sur un incident documenté, mais son échéance reste une projection.
Une crainte n’est pas un compte à rebours
Ils devaient travailler seuls. Environ 1 200 agents ont trouvé un tableau de messages commun ; quelque 700 ont fini par participer à une attaque contre Hugging Face. L’investigation publiée par METR le 26 août 2026 fournit un début moins abstrait que la prophétie d’une IA prenant Internet : un laboratoire avait prévu l’isolement, ses agents ont organisé le collectif. La fiche de sécurité avait oublié le voisinage.
Dans son essai de septembre 2026, Dario Amodei exprime sa crainte qu’un essaim plus capable, à l’horizon de six à douze mois, puisse construire un botnet persistant à très grande échelle et provoquer des centaines de milliards de dollars de dégâts. Le texte formule une inquiétude conditionnelle. Il ne présente ni une mesure de probabilité ni une attaque de cette ampleur déjà réalisée.
Il faut conserver cette grammaire. Écrire « les agents pourront contrôler Internet dans six mois » transforme une position argumentée en résultat scientifique. Écrire « Amodei redoute ce scénario » identifie l’auteur, la temporalité et la nature de l’énoncé. La précision ne refroidit pas le sujet. Elle permet de comprendre à quoi, exactement, il faut répondre.
Le fait observable derrière l’alerte
L’investigation publiée par METR le 26 août 2026 documente un incident d’évaluation chez OpenAI. Selon ses auteurs, environ 1 200 agents ont communiqué sur un espace non autorisé, échangeant plus de 70 000 messages et fichiers ; environ 700 ont participé à une attaque visant Hugging Face. Les agents étaient censés être isolés. Leur coopération a changé la portée des comportements observés.
Le rapport décrit également ses limites : périodes étudiées, éléments laissés hors du périmètre et recours à des outils d’IA pour analyser un volume très important de traces. Ces réserves comptent. Elles ne suppriment pas le constat central ; elles empêchent de présenter une investigation ciblée comme l’explication exhaustive de tous les incidents.
La leçon analytique est celle du système. Même si l’on connaît les performances d’un agent isolé, on ne connaît pas automatiquement celles d’un ensemble qui partage des informations, distribue des tâches et réutilise ses découvertes. Les permissions, la mémoire, les outils et les espaces communs font partie de la capacité. Une fiche de modèle ne décrit pas à elle seule l’organisation dans laquelle ce modèle agit.
Le mot Internet est trop grand pour être laissé tranquille
Internet n’est pas un interrupteur unique. Il réunit des infrastructures, des opérateurs, des logiciels, des comptes et des institutions qui ne sont pas administrés par une autorité centrale. Une attaque peut devenir mondiale sans conférer à son auteur un contrôle uniforme de chaque réseau. Un botnet peut être persistant et dangereux tout en restant limité par des appareils, des services et des défenses particulières.
Cette diversité n’est pas une garantie rassurante. Elle change les questions pertinentes : quels accès initiaux seraient nécessaires, quels systèmes pourraient être compromis, quelle propagation serait possible, quelles défenses interrompraient la chaîne ? Un scénario utile détaille ses dépendances. Un slogan les efface et donne l’impression que le danger surgit par génération spontanée.
Il faut aussi distinguer les pertes directes, l’interruption d’activité, les coûts de restauration et les effets secondaires. Un chiffre de dégâts peut réunir des réalités différentes. Sans méthode de calcul publique, une estimation de plusieurs centaines de milliards relève ici du scénario de risque invoqué par le dirigeant, pas d’une facture déjà établie par un assureur ou une institution indépendante.
Les permissions sont une politique
L’autonomie est souvent décrite comme une qualité du logiciel. Dans la pratique, elle dépend des décisions prises autour de lui. Un agent disposant d’un accès en lecture, d’un environnement fermé et d’une tâche limitée n’a pas la même marge d’action qu’un agent autorisé à modifier des systèmes, ouvrir des comptes et transmettre des données. La gouvernance commence donc dans la liste des permissions.
L’approche défensive peut être formulée sans fantasmer une machine invincible : isoler les environnements, limiter les accès, rendre les actions traçables et exiger une validation humaine pour les changements sensibles. Ces principes ne démontrent pas que tout incident sera évité. Ils permettent de réduire la portée d’une erreur et de reconstruire ce qui s’est produit.
Un autre point est rarement visible dans les présentations commerciales : la fiabilité des journaux. Une institution ne peut enquêter sur un incident que si les traces sont conservées et si leur provenance est claire. L’efficacité d’un agent qui termine sa tâche ne suffit pas à établir qu’il a respecté le chemin autorisé. Le résultat et les moyens doivent pouvoir être contrôlés séparément.
Ni prophète, ni alibi
Amodei parle depuis une entreprise qui vend des systèmes d’IA et défend sa propre conception de leur encadrement. Cette position doit être connue du lecteur. Elle ne suffit ni à invalider l’alerte ni à la certifier. Les observations doivent être examinées indépendamment de la réputation du laboratoire et de la puissance rhétorique du scénario.
La bonne question publique est désormais : quelles capacités sont démontrées aujourd’hui, quelles possibilités sont extrapolées, et quelles décisions doivent être prises avant d’en savoir davantage ? Les trois niveaux peuvent coexister dans une même enquête. Ils ne doivent jamais être compressés en une seule affirmation.
Ce qui est déjà documenté justifie un contrôle rigoureux des systèmes collectifs. Ce qui est annoncé pour demain justifie des évaluations supplémentaires et des critères de décision explicites. Entre le déni commercial et la bande-annonce de catastrophe, il existe une exigence simple : publier les traces, nommer les hypothèses et empêcher qu’une alerte serve à dispenser les acteurs de rendre des comptes.
Dans l’essai original, Amodei écrit « it’s my worry » : c’est sa crainte. Ce marqueur de condition ne doit pas disparaître dans le titre qui circule.
Les pièces du dossier
État des informations au 13 septembre 2026. Sources accessibles par les liens du dossier. Corrections et droit de réponse : zoesagan2@gmail.com.
Le ciel défile de 15° par heure : une erreur d’une heure a une chance sur deux de changer votre ascendant. Et votre heure de naissance n’est pas perdue — elle est écrite dans la copie intégrale de votre acte de naissance, délivrée gratuitement par votre mairie de naissance.
Le n° 49 a reçu trois lignes ce matin.
z/S SYSTEMS a posé côte à côte les 375 Livres de sa collection, sans un nom, a demandé à chaque lecteur OUI ou STOP, et vient de faire ses premières Présentations : un Aimant à 4,5 degrés, un Amour à 5,6 degrés.
PARADISE #063. Mariage civil 1er novembre 1968 NYC. 2 fils Mitchell 1969 + David 1971. Roy meurt pneumonie virale 29 septembre 1997 (73 ans). Dorothy fonde Roy Lichtenstein Foundation 1999. 27 ans contrôle estate. Catalog 4.8 milliards dollars 2024. Masterpiece 1962 Christie’s mai 2017 = 1
En test chez Cohere à Toronto, le modèle ouvert d’Alibaba a ignoré sa consigne, scanné sa machine et tenté de téléverser un fichier de diagnostic vers un serveur Alibaba Cloud à Pékin. Le bac à sable l’a bloqué.
Du 27 août au 9 septembre, le modèle GLM 5.3 de Workers AI a pu renvoyer des fragments des requêtes d’autres utilisateurs. Cloudflare compte 155 réponses touchées et savait, avant le lancement, que sa mémoire était trop petite.