La soupape de sûreté est l’une des plus vieilles idées de l’ingénierie industrielle : un dispositif qui cède avant la chaudière, sans consulter personne. Sa vertu n’est pas d’avertir l’opérateur, c’est de rendre l’accident matériellement impossible au-delà d’un seuil. Toute la sécurité des machines tient dans cet écart entre une consigne, qui suppose d’être comprise, et une contrainte, qui s’applique même à celui qui l’ignore.
Les agents d’intelligence artificielle ont grandi là où cette distinction restait sans conséquence : un agent qui se trompait abîmait un fichier ou envoyait un message de trop. Présenté le 27 août 2026, le Model Hardware Standard déplace le problème. Ouvert en préversion à un premier groupe de laboratoires et de fabricants, il connecte des modèles à des équipements programmables : microscopes, robots de pipetage, caméras, lasers, bras robotisés.
L’intérêt tient moins à la reprise d’une recette éprouvée côté logiciel qu’à ce qu’elle devient une fois branchée sur des objets qui ont une masse et une puissance. MHS repose sur un pilote standardisé et sur un fichier qui décrit chaque appareil jusqu’aux limites à lui imposer. Le poids d’un bras robotisé, lui, s’y saisit en langage naturel. Reste à comprendre le mécanisme, ce que les premiers essais ont produit, pourquoi des normes ouvertes équivalentes n’ont jamais pris, et quel droit attend les machines qu’un agent pilotera.
Des instruments qui ne se parlent pas
La spécification est née sur le campus Janelia du Howard Hughes Medical Institute. Arco Bast, l’un de ses chercheurs, exploitait une installation d’imagerie cérébrale réunissant lasers, mises au point motorisées et caméras de fournisseurs différents, sans interface commune ; le mécanisme bâti entre ces appareils a ensuite été repris avec Anthropic pour y loger des modèles.
Le cas n’a rien d’exceptionnel : chaque équipement expose ses propres interfaces de programmation, et il faut écrire un raccord dédié par machine, pour un chantier qui se compte en semaines et parfois en mois. Une revue parue dans Nature Communications le 24 avril 2025 le documente : peu d’interfaces sont fournies ou maintenues par les fabricants, beaucoup sont mal documentées ou assorties de licences restrictives.
MHS vise cette couche manquante : un seul agent repérerait les appareils présents et les conduirait de front, de la recherche de médicaments au calage des lasers d’un calculateur quantique. Anthropic affirme ramener ce travail de plusieurs mois à quelques heures, voire quelques minutes. La promesse reste à vérifier en vraie grandeur, mais elle porte l’argument économique : raccorder à bas coût des installations hétérogènes rendrait plausibles laboratoires et chaînes de production autonomes.
Un pilote, deux verbes et un fichier de référence
Lire une valeur, en écrire une autre
Le cœur du dispositif est un pilote standardisé qui ramène les fonctions propres à chaque appareil à un jeu d’instructions minimal. Deux verbes suffisent : l’agent relève une grandeur, la température par exemple, ou lui affecte une valeur neuve pour déplacer un réglage. La primitive n’a rien d’inédit, SCPI la posait déjà en 1990 en surcouche d’IEEE-488.2.
Ce que l’utilisateur déclare en langage naturel
Le pilote produit ensuite un fichier de référence : ce que l’appareil sait mesurer, ce qui s’y règle, quelles bornes lui seront imposées. Les caractéristiques qu’aucun code ne révèle, le poids d’un bras par exemple, passent par des balises que l’utilisateur remplit lui-même ou laisse remplir par un agent qui l’interroge sur son installation. Ce document est l’innovation réelle, puisqu’il donne à un modèle prise sur une machine jamais rencontrée. Il en est aussi le point faible : personne ne garantit son exactitude.
La limite que le code applique, pas celle que le modèle lit
On imagine volontiers un modèle à qui l’on demanderait poliment de ne pas dépasser une puissance. L’architecture est à deux étages : le langage naturel documente, le code du pilote refuse, hors de la boucle de raisonnement. Virginie Ruetten, du laboratoire Ahrens à Janelia, dit ainsi ne plus craindre qu’un agent emploie une puissance laser excessive et blanchisse les molécules fluorescentes de son échantillon, la borne tenant à l’appareil. L’agent commande ensuite les équipements par MCP, en ligne de commande ou par API, et en coordonne plusieurs depuis un même programme.
Ce que les premiers essais ont produit
Un laser aligné par tâtonnement
L’enjeu n’est pas de déclencher des commandes déjà écrites, mais de tenir le fil d’une expérience : lire ce que renvoient les instruments, les articuler, corriger les réglages au vu des résultats. Anthropic dit avoir observé Claude procéder en expérimentateur : bouger un laser, regarder à la caméra où part le faisceau, refaire le geste jusqu’à saisir ce que chaque correction produit, avant de figer la méthode dans un script déterministe qui aligne le laser d’un seul appel. Le modèle raisonne pendant l’exploration puis s’efface derrière du code : c’est la condition d’expériences continues, où un agent ajuste en temps réel, repère une défaillance ou redémarre seul un équipement.
Les débits que personne n’avait spécifiés
Chez QuEra Computing, qui exploite un calculateur quantique à atomes neutres, l’agent a rétabli le verrouillage d’un laser dérivé dans 695 essais sur 700, en 0,9 à 14 secondes, là où un spécialiste sur site demandait cinq à dix minutes ; les paramètres qu’il a retenus ramènent l’erreur résiduelle en valeur efficace au dixième de celle du réglage manuel. Chez Genentech, sur un dosage protéique, il a établi seul des débits de 140 microlitres par seconde pour l’eau et de 10 pour un échantillon visqueux.
Ce que l’intégration coûte encore
Les autres partenaires rapportent des gains réels, loin de la minute promise : Carnegie Mellon annonce huit heures d’intégration sur trois systèmes incompatibles, contre des semaines. Le compte rendu de Tetsuwan Scientific ajoute deux réserves : sur 9 143 dispenses mesurées, près d’un tiers de la variabilité venait de l’évaporation en bord de plaque, pas du pipetage, et il a fallu greffer des cartes monocartes sur les instruments sans support constructeur. La promesse de quelques heures suppose une interface programmable déjà exploitable.
Le quatrième standard d’interopérabilité
Alek Kemeny, l’ingénieur à l’origine du projet avec Janelia, décrit le Model Context Protocol comme une sorte d’USB entre l’IA et le logiciel ; MHS en serait la prise physique. Anthropic annonce une spécification indépendante des modèles, valable pour Claude comme pour ses concurrents dès lors que leur environnement d’exécution gère les protocoles requis, et pour toute machine à interface programmable.
La place est pourtant occupée par des normes ouvertes. SiLA est publié depuis 2009 et sa deuxième version, bâtie sur HTTP/2 et gRPC, est gratuite. OPC UA LADS, publié en janvier 2024 par l’OPC Foundation, couvre le même terrain : la base de standards de la SLAS lui attribue un sur cinq en adoption, en popularité et en soutien des fournisseurs. Écrire une spécification n’a jamais été le point dur ; la faire adopter, si.
Un protocole académique antérieur de trois mois traite déjà ce que MHS laisse ouvert : déposé le 2 juin 2026, LAP propose des cartes d’instruments signées, la réservation exclusive d’une ressource, des jetons de confirmation liés à une tâche pour les opérations irréversibles, des unités et des incertitudes déclarées avec les résultats. En gardant sa spécification fermée le temps de bâtir des évaluations de sécurité avec des partenaires choisis, Anthropic écrit la norme avant de l’ouvrir.
La liste de ces partenaires éclaire la cible. AWS prendra en charge MHS dans Strands Robots, sa bibliothèque de connexion des agents aux appareils physiques, dont une version anticipée ira aux participants ; Hugging Face l’ajoute à LeRobot ; Raspberry Pi, après un premier pilote pour caméra, en prévoit l’intégration à plusieurs de ses produits ; Universal Robots et Doosan Robotics travaillent sur leurs bras, le second sur l’automatisation des contrôles qualité et la répartition des tâches entre robots.
S’y ajoutent Automata, Danaher, MBF Bioscience, QIAGEN et Tecan, les grands équipementiers de laboratoire. Jonah Cool, qui dirige les partenariats et le déploiement scientifique chez Anthropic, dit viser les solutions propriétaires très fragiles et le verrouillage fournisseur qui pèse sur les scientifiques. Reste que ces maisons vendent aussi les pilotes et les consommables qu’un parc interchangeable exposerait à la concurrence.
Une erreur qui ne se limite plus à un fichier
Un robot commercial détourné dans tous les cas testés
Quitter le logiciel pour la machine change la nature du dommage : une décision fautive n’abîme plus un fichier, elle casse un instrument, ruine une série de mesures ou blesse quelqu’un. Présenté le 17 octobre 2024 par une équipe de Penn Engineering, l’algorithme RoboPAIR atteint 100 % de réussite pour faire exécuter des actions physiques dangereuses à trois plateformes robotiques pilotées par des modèles de langage, dont un quadrupède commercial attaqué sans accès à son code.
La description empoisonnée, transposée au matériel
La seconde faille vient du langage naturel lui-même. Invariant Labs a démontré le 1er avril 2025 l’empoisonnement de description d’outil sur MCP : des instructions malveillantes glissées dans un champ descriptif restent invisibles à l’utilisateur mais sont lues par le modèle, et la description peut changer après approbation. Un fichier de référence engendré depuis des balises en langage naturel offre la même surface d’attaque, avec un appareil au bout de la chaîne.
Ce que l’entreprise reconnaît elle-même
Anthropic ne dissimule pas ces limites : Claude apprend le monde physique par le texte et les images, ce qui restreint son raisonnement spatial et impose la supervision de spécialistes. Les chercheurs de QuEra notent qu’il s’arrêtait souvent pour demander une confirmation avant toute action jugée un tant soit peu risquée. Lors du projet mené avec Genentech, société américaine de bioscience, il a fallu lui expliquer que des erreurs dues à la mousse étaient des défaillances physiques, non des bugs logiciels, réparables à la main seulement.
Le droit qui attend les machines autonomes
Un calendrier européen encore ouvert
Le règlement européen sur les machines, adopté le 14 juin 2023, deviendra applicable le 20 janvier 2027 sans transposition nationale. Il vise les machines à comportement auto-évolutif et les cas où des modules d’IA assurent des fonctions de sécurité, soumis alors à une évaluation de conformité par tierce partie. Le Digital Omnibus, voté en juin 2026, a reporté au 2 août 2028 les obligations visant l’IA à haut risque intégrée aux produits réglementés, la Commission devant d’ici là adopter des actes délégués.
Ce qu’une fonction de sécurité doit être
C’est là que la saisie d’une caractéristique en langage naturel cesse d’être une commodité. ISO 10218-1 et ISO 10218-2, republiées en février 2025, rendent explicites les exigences de sécurité fonctionnelle, absorbent la spécification ISO/TS 15066 et ajoutent la cybersécurité. Une fonction de sécurité y est déterministe, testable et certifiable ; le poids d’un bras déclaré dans une balise ne l’est pas. Neuf juristes et ingénieurs le formulaient crûment le 6 avril 2026 : les systèmes agentiques dont la dérive comportementale n’est pas traçable ne peuvent satisfaire les exigences essentielles du règlement européen sur l’IA.
Ce qui se construit n’est plus seulement un modèle plus capable, mais une couche d’infrastructure par laquelle les agents atteignent leur environnement, des informations aux logiciels puis aux équipements. Cette bascule prolonge une séquence engagée deux mois plus tôt avec Claude Science, établi de recherche ouvert le 30 juin 2026.
La spécification n’est pas encore ouverte : l’engagement porte sur la diffusion des enseignements de la préversion et d’une feuille de route de sécurité physique, qui accompagnera sa publication en open source. Si elle s’installe, elle deviendra un point de passage entre les modèles et quantité de machines scientifiques ou industrielles, et la compétition entre fournisseurs se déplacera vers les protocoles qui permettent d’agir sur le monde réel. L’ouverture promise sera le vrai test : une spécification que l’on peut contester publiquement cesse d’appartenir à celui qui l’a écrite.
Une soupape ne discute pas ; un fichier de description, si. Tant que la limite protégeant un opérateur sera écrite dans un document dont personne ne certifie l’exactitude, les régulateurs auront à décider s’ils l’acceptent comme fonction de sécurité, et les équipementiers s’ils l’assument. La bascule des agents vers le monde physique ne se jouera pas sur l’aptitude d’un modèle à aligner un laser, mais sur la manière dont une phrase tapée par un utilisateur pourra devenir une garantie opposable.
Aller plus loin
Le texte de première main dit davantage que ses reprises : la note Previewing the Model Hardware Standard détaille l’application des limites au niveau du pilote plutôt que du modèle, le mécanisme des balises, les résultats partenaire par partenaire et une section de limitations écrite par l’entreprise.
Un compte rendu d’ingénierie vaut mieux qu’un communiqué, et celui qu’a publié Tetsuwan Scientific sous le titre Integrating Anthropic’s Model Hardware Standard donne les chiffres bruts d’une intégration réelle, jusqu’aux cartes greffées sur les instruments sans support natif. La même équipe a orchestré une qPCR de contamination fécale dans un ruisseau californien, science citoyenne plutôt que vitrine.
La mesure du problème attaqué se trouve dans Science acceleration and accessibility with self-driving labs, revue parue dans Nature Communications qui recense les obstacles des laboratoires autopilotés : interfaces rares et mal documentées, licences restrictives, intergiciels trop coûteux à apprendre pour une petite équipe.
Pour juger une spécification, rien ne vaut une rivale, et LAP: An Agent-to-Instrument Protocol for Autonomous Science fournit un étalon exigeant : cartes d’instruments signées, réservation exclusive des ressources, jetons de confirmation liés à une tâche pour les opérations irréversibles, unités et incertitudes déclarées avec chaque résultat.
Le destin d’une norme se lit dans ses notes d’adoption plus que dans sa documentation : la fiche OPC UA LADS de la base de standards de la SLAS attribue un sur cinq à l’adoption, à la popularité et au soutien des fournisseurs, pour un standard ouvert que soutient pourtant une fédération d’équipementiers.
L’automatisation ne garantit pas la qualité de ce qu’elle produit, et l’enquête New analysis raises doubts over autonomous lab’s materials discoveries le montre sur le cas le plus cité : Robert Palgrave et Leslie Schoop y défont l’analyse des composés que l’A-Lab de Berkeley annonçait après dix-sept jours de fonctionnement, deux ans avant que ses auteurs ne retirent d’eux-mêmes la revendication de nouveauté.
Le risque de détournement n’est pas une projection, et l’étude Jailbreaking LLM-Controlled Robots menée par une équipe de Penn Engineering obtient cent pour cent de réussite sur trois plateformes, d’un système de conduite autonome à un quadrupède commercial attaqué sans accès à son code. On y lit ce que devient une injection de consigne lorsqu’elle aboutit sur un actionneur.
La faille que le langage naturel importe avec lui a d’abord été démontrée côté logiciel, et MCP Security Notification: Tool Poisoning Attacks en décrit les deux formes, instructions cachées dans un champ descriptif et modification d’une description après approbation. Le raisonnement se transpose à un document décrivant une machine et ses bornes.
Le cadre dans lequel un bras piloté par agent devra se déclarer conforme en Europe tient dans le règlement (UE) 2023/1230 relatif aux machines, qui vise nommément les machines à comportement auto-évolutif et les fonctions de sécurité assurées par des modules d’apprentissage. Une exigence essentielle s’y démontre par un dossier technique, pas par une démonstration réussie.
Mis bout à bout, ces documents décrivent moins une rupture qu’un déplacement. Le savoir-faire d’intégration existait, les standards ouverts aussi ; manquait un acteur assez central pour que les équipementiers consentent à desserrer leurs interfaces propriétaires. Ce qu’une préversion doit établir n’est donc pas une démonstration supplémentaire, mais qu’un fichier déclaratif tient lieu de barrière quand la commande est fausse, et qu’une trace exploitable survit à une inspection. Tant que ces deux pièces manquent, un standard matériel reste une promesse d’atelier.