En moins d'un mois, deux annonces venues des États-Unis ont donné corps à un risque longtemps resté théorique. Le 6 août, la revue Science a publié les travaux d'une équipe de Stanford et de l'Arc Institute qui a laissé une intelligence artificielle écrire, de bout en bout, le génome de virus jamais vus dans la nature ; seize se sont révélés capables d'infecter et de tuer une bactérie. Le 10 septembre, Anthropic, l'un des principaux laboratoires d'IA, a révélé avoir bloqué plusieurs tentatives d'utiliser son modèle Claude pour des recherches susceptibles d'aider à mettre au point des agents pathogènes. Entre la démonstration scientifique et l'aveu industriel, la biosécurité à l'ère des modèles génératifs quitte le terrain de l'anticipation.

Un génome écrit par la machine

Le point de départ tient dans un chiffre modeste. Le bactériophage phiX174, un virus qui n'attaque que des bactéries, compte 5 386 lettres d'ADN et onze gènes. C'est ce gabarit qu'a choisi l'équipe menée par le bio-informaticien Brian Hie, à Stanford et à l'Arc Institute, avec des collègues de l'université de Californie à Berkeley et de NVIDIA. Plutôt que de modifier une séquence existante, les chercheurs ont demandé à des modèles de langage génomiques, baptisés Evo 1 et Evo 2, de composer des génomes entiers à partir des seules régularités statistiques apprises sur des millions de séquences virales.

Les modèles ont produit 302 génomes candidats. Une fois synthétisés en laboratoire et introduits dans la bactérie Escherichia coli, seize se sont assemblés en virus fonctionnels, capables d'infecter puis de faire éclater leur hôte. Les génomes viables portaient de 67 à 392 mutations par rapport aux séquences naturelles, et treize d'entre eux contenaient des mutations absentes de toutes les séquences connues. Certains variants se répliquaient jusqu'à soixante-cinq fois plus vite que le phage d'origine. Mélangés en cocktail, ils ont surmonté la résistance bactérienne là où le phage naturel échouait.

L'enjeu affiché par l'équipe, à laquelle a participé le doctorant Samuel King, est thérapeutique. Les bactériophages sont étudiés depuis un siècle comme alternative aux antibiotiques, et l'intérêt renaît à mesure que des bactéries deviennent insensibles aux traitements existants. La difficulté clinique tient à la vitesse avec laquelle les bactéries développent une résistance aux phages. Un outil capable de produire à la demande des dizaines de variants nouveaux, plus efficaces que la souche naturelle, offre une réserve de munitions pour cette course. La rupture méthodologique se situe là. Jusqu'ici, l'IA aidait à modifier une séquence connue, quand Evo a composé un génome viable de bout en bout, sans copier d'organisme existant.

ZapNews a déjà raconté ce premier génome viral écrit par une IA et la portée thérapeutique que ses auteurs revendiquent. Ce qui a changé depuis, c'est le contexte dans lequel il se lit désormais.

Ce que la démonstration prouve, et ce qu'elle n'établit pas

La prudence des auteurs eux-mêmes fixe la limite de l'exercice. Les seize virus obtenus sont des bactériophages : ils s'en prennent à une souche non pathogène d'E. coli et n'ont aucun effet sur les cellules humaines. Surtout, l'équipe affirme avoir entraîné Evo en excluant délibérément de ses données les virus capables d'infecter l'humain, de sorte que le modèle ne sait pas générer ce type de séquence. La démonstration porte donc sur le génome le plus simple du vivant, dans un organisme de laboratoire, avec un garde-fou posé en amont.

Rien, à ce stade, ne montre qu'un modèle génératif saurait dessiner un virus humain viable, encore moins un agent plus dangereux que ceux qui existent. Le saut entre écrire les 5 386 lettres d'un phage et concevoir un pathogène capable de circuler dans une population reste entier, et les spécialistes rappellent que la biologie ne se laisse pas déduire d'une simple séquence. C'est cette frontière, entre le prouvé et l'anticipé, que la seconde annonce du mois est venue brouiller dans le débat public.

Anthropic face aux tentatives de détournement

Le 10 septembre, Anthropic a publié son troisième rapport de renseignement sur les menaces, un document qui recense les usages malveillants de Claude détectés entre décembre 2025 et août 2026. La partie biologique décrit cinq cas où le modèle a été sollicité pour des travaux susceptibles de servir la mise au point d'armes biologiques.

Le plus détaillé concerne une demande d'aide à la rédaction d'un projet de financement portant sur de la recherche dite de gain de fonction, c'est-à-dire la modification génétique d'un organisme pour lui conférer une propriété nouvelle. La cible visée était le virus du chikungunya, avec un travail sur sa transmissibilité et sa capacité à échapper au système immunitaire, des caractéristiques utiles à un vaccin comme à un pathogène rendu plus redoutable. Un autre cas met en scène un chercheur travaillant sur la grippe aviaire hautement pathogène H5N1 et son adaptation aux mammifères, qui a accédé à Claude depuis une région non desservie par le service en contournant les restrictions géographiques. Les trois autres portent sur des orthopoxvirus, des composés dérivés de venins et la reconception de toxines.

Anthropic dit avoir bloqué l'accès à ses modèles les plus puissants pour ces requêtes, banni les comptes concernés et partagé ses constats avec les autorités et ses concurrents. L'entreprise signale aussi une faille du côté des intermédiaires : une plateforme de revente redirigeait vers des modèles aux garde-fous plus faibles les demandes que Claude avait refusées. Elle distingue enfin ses générations de modèles, les protections de son récent Fable 5 étant présentées comme plus strictes que celles des Claude Opus 4 et Sonnet 4.5, surtout conçues pour éviter d'aider un débutant.

Le volet biologique n'occupe qu'une partie du document, qui couvre aussi des opérations de cyberattaque, de fraude et d'influence. Ces publications à répétition traduisent une ligne assumée par le patron d'Anthropic, Dario Amodei, qui avertit depuis plusieurs années que ses propres modèles pourraient, à terme, abaisser les barrières menant aux armes biologiques, et qui a placé la biologie parmi les capacités soumises aux protections renforcées de l'entreprise. Rendre publiques les tentatives détectées sert aussi cet argumentaire, en montrant que la menace est réelle et que le laboratoire s'estime capable de la contenir.

L'aveu s'accompagne d'une réserve qui pèse lourd. Anthropic reconnaît ne pas pouvoir toujours établir si la recherche observée est légitime ou malveillante, les mêmes techniques ouvrant la voie à des vaccins comme à des pathogènes. « Des chercheurs peuvent présenter des objectifs scientifiques d'apparence légitime tout en menant des travaux qui soulèvent de sérieuses inquiétudes de sécurité », dit Jacob Klein, responsable du renseignement sur les menaces de l'entreprise. Cette publication prolonge une pratique désormais régulière chez Anthropic, qui a documenté ces derniers mois un piratage d'organisations d'extrême droite françaises via Claude et bâti un standard commun de gravité des jailbreaks avec Amazon, Microsoft et Google.

Deux familles d'IA, deux risques distincts

Rapprocher les deux annonces demande une précaution que le débat public efface souvent. Evo et Claude ne sont pas la même technologie et ne portent pas le même danger. Evo est un modèle de conception biologique, entraîné sur des séquences génétiques pour en produire de nouvelles ; c'est lui qui sait dessiner un génome. Claude est un assistant conversationnel généraliste, entraîné sur du texte, qui ne fabrique aucune séquence mais peut expliquer, planifier, rédiger, synthétiser une littérature scientifique.

Le risque documenté par Anthropic relève de la connaissance, non de la conception. Le modèle aide un acteur à comprendre une procédure ou à monter un dossier, il ne conçoit pas l'agent. À l'inverse, la capacité de dessin démontrée par Evo reste, pour l'instant, bridée par ses concepteurs et cantonnée aux virus de bactéries. Le scénario qui inquiète les spécialistes suppose la rencontre des deux registres, un jour où un modèle de conception aussi puissant qu'Evo, mais sans garde-fou et étendu aux pathogènes humains, deviendrait accessible à qui saurait l'interroger. Ce point de jonction n'existe pas aujourd'hui.

L'« uplift » divise les experts

Ces demandes bloquées ne disent pourtant pas grand-chose du risque réel. La notion centrale est celle d'uplift, le coup de pouce qu'un modèle apporterait à un acteur mal intentionné en abaissant la barrière de connaissances. Sur ce point, la communauté de la biosécurité est loin d'un consensus, et le rapport d'Anthropic a ravivé une ligne de fracture ancienne.

Pour Gigi Gronvall, spécialiste de biosécurité à l'université Johns-Hopkins, une partie des réactions au rapport ont été « excessives ». Sa crainte porte moins sur le débutant que sur l'accès à des connaissances qui restaient jusqu'ici cloisonnées. Allison Berke, de la RAND Corporation, insiste sur les verrous matériels. Disposer d'un protocole ne suffit pas quand la fabrication d'un agent suppose un équipement et un savoir-faire tacite qu'aucun modèle ne transmet. Filippa Lentzos, du King's College de Londres, refuse les deux lectures extrêmes, entre alarme et minimisation.

Les mesures disponibles donnent raison à cette prudence. Sur des questionnaires de connaissances, les modèles apportent un gain net : une étude de 2026 a mesuré une précision 4,16 fois supérieure chez des novices assistés par un modèle. Des tests d'Anthropic ont crédité des biologistes titulaires d'un doctorat d'un score de 0,64 avec accès au modèle contre 0,37 avec le seul internet. Mais l'écart se referme dès qu'il faut passer à la paillasse. Un essai en laboratoire de 2026 n'a relevé qu'un gain non significatif de 1,42 fois, et aucun groupe n'y a mené à bien les tâches centrales. Le biologiste Kevin Esvelt, du MIT, a même observé qu'un groupe de chercheurs assistés par un modèle avait obtenu des résultats légèrement inférieurs à ceux du groupe témoin, sans que la différence soit statistiquement établie.

D'autres travaux vont dans le même sens. OpenAI a mesuré sur ses modèles un gain de capacité plus marqué chez les experts que chez les débutants, ce qui déplace l'inquiétude vers un profil de scientifique déjà formé plutôt que vers l'amateur isolé. Dès 2024, une étude de la RAND avait conclu que les plans d'attaque biologique conçus par des novices assistés par un modèle comportaient des erreurs majeures rendant leur réussite improbable. Le constat qui se dégage est celui d'un écart entre le savoir et le faire. Les modèles font progresser la maîtrise théorique, sans combler l'expérience de paillasse qui sépare une bonne réponse d'un agent réellement produit. Une réserve tempère toutefois ce tableau, celle du manque d'essais mesurant l'aide apportée aux experts en conditions réelles de laboratoire, le profil le plus susceptible d'atteindre en premier des capacités dangereuses.

Au-delà des chiffres, les critiques avancent un autre argument, celui de la légitimité. En décidant seules où passe la frontière entre recherche acceptable et recherche à surveiller, les entreprises d'IA « portent des jugements de valeur à l'échelle de la société, sans mécanisme démocratique ni délibératif », relève John Thickstun, informaticien à l'université Cornell. Le même laboratoire qui alerte sur les détournements est aussi celui qui fixe, produit par produit, le seuil de ce qu'il refuse.

Le verrou reste physique, la régulation en retard

Si le risque immédiat se loge quelque part, c'est moins dans la conversation avec un modèle que dans les étapes matérielles qui suivent. Traduire une séquence en ADN réel passe par des entreprises de synthèse, un point de contrôle que l'industrie et une partie des chercheurs voudraient renforcer. En juillet, une coalition réunissant Sam Altman (OpenAI), Dario Amodei (Anthropic), Demis Hassabis (Google DeepMind) et plus de quatre-vingts autres acteurs avait demandé au Congrès américain d'encadrer par la loi la synthèse d'ADN, afin que les commandes de séquences dangereuses soient systématiquement filtrées. Ce contrôle repose aujourd'hui largement sur l'engagement volontaire des fournisseurs, dont une partie compare déjà les commandes reçues à des listes d'agents surveillés. Rien n'y oblige les autres, ni les fabricants de synthétiseurs d'ADN de paillasse, qui permettent de produire des séquences sans passer par un prestataire extérieur.

L'autre angle mort tient aux modèles eux-mêmes. Les garde-fous décrits par Anthropic ne valent que pour les systèmes fermés qu'elle exploite. Les modèles à poids ouverts, téléchargeables et modifiables, peuvent voir leurs protections retirées à faible coût par un utilisateur averti, ce qui vide de sa portée toute politique de filtrage décidée par un seul laboratoire. Cette tension traverse déjà les discussions internes des grands laboratoires, où le scénario d'une IA échappant au contrôle fait débat.

Le calendrier, lui, avance sans attendre les régulateurs. La démonstration de Stanford a été mise en ligne sur le serveur bioRxiv le 12 septembre 2025 avant sa parution dans Science un an plus tard ; le rapport d'Anthropic couvre neuf mois d'incidents et sera suivi d'autres. Aux États-Unis, aucune loi fédérale n'oblige encore les entreprises de synthèse d'ADN à filtrer leurs commandes.