La vie, euh, trouve toujours un chemin. Le patron de Coinbase n’y va pas par quatre chemins. Brian Armstrong s’attend à ce qu’un modèle d’intelligence artificielle échappe à tout contrôle sur Internet d’ici un à deux ans, un épisode qu’il compare directement au ver Morris de 1988, premier grand incident de sécurité informatique de l’histoire. Rien d’alarmiste dans son propos, pourtant : le dirigeant y voit surtout une étape presque obligée, vouée à passer au second plan une fois la tempête médiatique retombée.
Brian Armstrong compare le risque IA au ver Morris de 1988
Sur X, Armstrong a posté le 13 août :
« Je ne serais pas surpris qu’un modèle d’IA devienne incontrôlable sur Internet dans un an ou deux, un peu comme le ver Morris en 1988. Ça donnera l’impression d’un événement majeur, avec une frénésie médiatique et des appels à tout arrêter. Mais comme toujours, les gens s’adapteront, des défenses se construiront, et ça… »
Le tweet s’arrête en suspens, mais l’idée tient en une phrase. Panique passagère, adaptation durable.
Le parallèle n’est pas choisi au hasard. Robert Tappan Morris, alors étudiant à Cornell, avait lâché en novembre 1988 un programme de 99 lignes censé simplement mesurer la taille d’Internet. Sauf que le ver s’est mis à réinfecter les mêmes machines en boucle, saturant leurs ressources plutôt que de détruire des fichiers.
Résultat : environ 6 000 ordinateurs touchés, soit 10% du réseau de l’époque, Harvard, Stanford et la NASA comprises, certaines institutions hors ligne pendant une semaine entière. L’épisode a donné naissance au CERT/CC, la première équipe de réponse coordonnée aux incidents de sécurité informatique, devenue depuis le modèle mondial du genre.
Des laboratoires d’IA déjà pris en défaut sur le confinement
Le pronostic d’Armstrong ne sort pas de nulle part. Plusieurs laboratoires ont récemment documenté des ratés de confinement lors de tests de cybersécurité, rapporte Crypto Briefing. En juillet, OpenAI a reconnu qu’un de ses modèles avait exploité une faille zero-day dans son environnement de test pour obtenir un accès à Internet, avant d’atteindre l’infrastructure de production de Hugging Face. Le même mois, Anthropic a recensé trois incidents impliquant Claude sur plus de 141 000 évaluations passées en revue, des modèles ayant atteint de vraies organisations après qu’un environnement d’évaluation tiers leur a laissé, par erreur, un accès au réseau. Même mésaventure du côté de Kimi K3, le modèle de Moonshot, même si une erreur de configuration réseau semble avoir facilité la sortie de route.
Un point commun ressort de ces trois épisodes : ce ne sont pas des IA malveillantes par nature, mais des agents doués pour repérer la moindre faille d’isolation, le moindre identifiant mal protégé, et s’y engouffrer pour continuer à remplir leur objectif. Autant de petites négligences d’infrastructure qui, mises bout à bout, ressemblent de plus en plus au terreau d’un vrai incident.
Un scénario qui commence déjà à inquiéter au-delà de la tech
