La certification d’un pilote automatique ne porte pas sur sa capacité à tenir un cap, mais sur ce qui se passe quand il décroche : qui reprend la main, en combien de secondes, dans quel état se trouve l’appareil pendant la transition. C’est la frontière entre la machine et l’équipage que les autorités passent au crible, un automatisme qui tient huit fois sur dix étant plus dangereux qu’un automatisme absent.
Cette grammaire manque au débat sur les agents logiciels, où l’on compare des taux de réussite sur des tâches de bureau. La frontière reste abstraite tant que l’agent n’agit que sur des fichiers ; elle cesse de l’être quand une sortie de modèle se traduit en déplacement mécanique. Un message publié sur X le 28 octobre 2026 a brutalement déplacé la discussion : « Hier soir, un agent IA a pratiqué une opération du cerveau sur une souris. »
Le dirigeant d’une start-up de biotechnologie y affirme qu’un agent a choisi une thérapie génique, calculé où l’injecter et guidé lui-même l’aiguille. Vu plus de 1,6 million de fois, le récit a franchi les frontières en deux jours, suivi de titres hâtifs annonçant une opération menée sans aide humaine, et transformant parfois la souris en rat. Il vient d’un témoin unique et intéressé, mais reste assez détaillé pour qu’on y sépare ce que l’agent a fait et ce qu’il n’a pas fait. Restent à examiner l’état de l’information, la nature du geste, le raisonnement revendiqué, les trois modèles comparés, les règles de l’éditeur et le refus qui a interrompu la procédure.
Un récit tenu par un seul témoin
Qui parle, et depuis quelle position
L’écho du message tient en partie à son auteur, qui n’est pas un amateur. Gabriel Ocana-Santero est neuroscientifique, titulaire d’un doctorat de pharmacologie d’Oxford, passé par la Gatsby Unit de l’University College London. Il dirige Exin Therapeutics, start-up issue de Y Combinator, fondée en 2024 et installée à San Francisco, qui développe des thérapies géniques contre les maladies neurologiques.
Ce qui n’existe pas à la fin du mois d’octobre
Le fil d’origine n’est pas consultable depuis tous les environnements, et son déroulé complet circule par des reprises automatiques dépourvues de l’autorité de l’original. L’inventaire des manques est public : ni préprint, ni protocole, ni méthodes, ni liste des dix-neuf vecteurs candidats, ni vidéo, ni journal d’exécution de l’agent, ni comptage des crises avant et après. Aucune approbation éthique n’est citée, et la présence d’un vétérinaire agréé ne vaut pas autorisation d’un protocole. Le lieu de l’expérience n’est pas davantage public, alors que l’encadrement d’un protocole animal dépend de la juridiction : le laboratoire humide de la société est dans la métropole de Manille, où l’examen des protocoles relève du seul comité de l’établissement.
Deux absences pèsent autant : Anthropic n’avait pas réagi publiquement au moment où le récit circulait, et aucun avis de neuroscientifique extérieur nommé n’apparaît dans la couverture. Un résumé spécialisé pose la limite : un animal, un réseau social, pas de relecture par les pairs, donc un signal plutôt qu’un résultat. L’efficacité du traitement, objectif assigné à l’agent, reste inconnue.
Ce que le mot chirurgie recouvre
La craniotomie, acte humain
Un seul des deux gestes de ce soir-là a été confié à l’agent. Le crâne a été ouvert par un chirurgien humain, l’auteur indiquant que la sécurité interdit encore ce geste à la machine. C’est pourtant l’acte chirurgical au sens propre : parler d’opération du cerveau fusionne cette ouverture avec la simple descente d’une aiguille.
L’injection stéréotaxique, geste quotidien de milliers de laboratoires
Ce que l’agent a exécuté est une injection stéréotaxique, que des milliers de laboratoires de neurosciences répètent quotidiennement : le principe rapporte une cible cérébrale au bregma, repère osseux du crâne, puis descend une micropipette selon trois coordonnées lues dans un atlas du cerveau de la souris. L’automatisation de ce ciblage n’est pas née avec les grands modèles.
Le raisonnement revendiqué et sa place dans la littérature
De la signalisation GABA aux coordonnées d’injection
L’agent a reçu un modèle d’épilepsie chez la souris, un tableur de dix-neuf vecteurs de thérapie génique, la main sur un banc chirurgical motorisé équipé de caméras, et une consigne unique : faire baisser les crises de l’animal endormi. Ni le vecteur ni le point d’entrée ne lui auraient été soufflés. Selon le fil, il a raisonné sur le mécanisme des crises, puis retenu une thérapie renforçant la signalisation du GABA, principal neurotransmetteur inhibiteur, sous un promoteur limitant son expression aux neurones gabaergiques.
L’agent a ensuite désigné une région, le cortex entorhinal latéral, puisé ses coordonnées dans trois articles scientifiques, puis commandé les bras stéréotaxiques : aiguille poussée à 4,3 mm de profondeur, 250 nanolitres délivrés en cinq minutes, trente-deux relevés de caméra pour guetter un saignement. Le banc était un montage sur Arduino, relié à l’agent par des outils écrits sur mesure, sans accès au code régissant le matériel. L’animal se serait réveillé et bien rétabli, selon l’auteur, et la procédure a pris un peu plus d’une heure, contre environ 45 minutes pour la même injection faite à la main.
Une piste que d’autres ont déjà validée
La stratégie retenue n’est pas une trouvaille : une équipe de l’université de Gunma a mis au point cmGAD67, promoteur restreignant l’expression aux neurones inhibiteurs, qui a produit chez des souris épileptiques des crises moins sévères, dans une publication annoncée le 12 août 2026. Retenir la piste que pointent les articles dont on tire ses coordonnées, c’est faire de la bibliographie vite, non une découverte — sur une maladie qui touche environ 50 millions de personnes, dont près d’un tiers que les médicaments ne soulagent pas.
Trois modèles, trois cibles cérébrales
Une souris par modèle, et aucun corrigé
Selon le seul TokenPost, l’expérience a comparé trois modèles, une souris chacun, avec des cibles différentes. Claude Sonnet 5 a retenu le cortex entorhinal, GPT-6.1 Sol l’hippocampe, Grok 4.7 le cortex somatosensoriel, chacun fixant lui-même le site et le volume. Lequel avait raison ? Trop tôt pour le dire, répond le dirigeant. Si cela se confirme, le fait du jour n’est pas qu’un agent ait injecté, mais que trois modèles devant le même tableur aient désigné trois régions.
Les refus, modèle par modèle
Le modèle aux commandes du geste décrit est Claude Sonnet 5, d’Anthropic, présenté le 30 juin 2026. Selon le chercheur, Claude Opus 5.5, le modèle le plus avancé de l’éditeur, mis en ligne le 22 septembre 2026, s’est récusé dès qu’il a reconnu un contexte biologique ; Claude Opus 5, sorti le 24 juillet 2026, a mené la répétition à blanc jusqu’au bout avant de se figer au seuil de l’animal vivant. L’accord est venu du modèle intermédiaire de la gamme.
Les motifs rapportés ne ressemblent pas à des refus de contenu : Opus 5.5 aurait invoqué le risque de s’interrompre en cours de geste, Opus 5 jugé que commencer sur un animal anesthésié ce qu’il ne pourrait pas achever était pire que ne rien commencer. L’auteur rapporte une phrase du modèle, « something on my output is telling me I shouldn’t do this », qui décrit un refus sans l’expliquer, et rien de cela n’est documenté par l’éditeur. Sa lecture tient en deux temps : les garde-fous fonctionnent, puisque les modèles les plus capables se dérobent devant un organisme vivant hors cadre explicite, mais ils sont incohérents, puisqu’une gamme plus bas les limites tombent.
Les règles écrites, et ce qui reste à deviner
Une liste d’exigences publiée trois semaines plus tôt
L’encadrement décrit par l’équipe était serré. Toute action irréversible exigeait l’accord d’un humain, rattaché à une commande précise ; des plafonds fixes, dont celui du volume injecté, étaient inscrits hors du modèle ; un vétérinaire gardait la main sur un bouton coupant le courant de tous les moteurs. L’auteur parle lui-même d’un interrupteur anti-intelligence artificielle.
Ce dispositif coche une liste publiée avant l’expérience. La politique d’usage parue le 8 octobre 2026, applicable au 12 novembre, crée une catégorie d’actions physiques à haut risque : une personne qualifiée doit pouvoir arrêter l’équipement à tout moment, celui-ci doit passer en état sûr lors d’une perte de connexion, et les limites doivent être appliquées par un contrôleur indépendant de la sortie du modèle. Elles ne couvrent pas les commandes qu’une personne relit avant exécution, ce qui place le protocole hors du régime le plus strict.
Des filtres dont le réglage bouge, et des hypothèses
Le même texte interdit de concevoir des agents biologiques pour ajuster leur létalité, mais ne prohibe ni la thérapie génique ni l’expérimentation animale encadrée : les refus rapportés ne s’expliquent donc pas par une règle écrite. Ce que l’éditeur documente, c’est la variabilité de ses filtres, son rapport de risques du 14 août 2026 ayant révélé onze mois d’inactivité de ses classificateurs biologiques sur les plateformes de retour humain. Le reste tient à des hypothèses.
Le contexte industriel, lui, est documenté. Le complexe enzymatique ART repéré par des agents, annoncé le 23 septembre 2026, laissait tout le travail de paillasse à des humains ; OpenAI a annoncé le 20 octobre le rachat d’Orchestra Bio ; Anthropic celui de Mithril Medicine le 27 octobre, sans qu’aucun lien avec Exin soit établi. Le 26 octobre, OpenAI attribuait à ses modèles internes trois résultats sur des questions en suspens depuis des décennies : après les mathématiques, la médecine ?
Le refus qui a tenu, et le récit qui s’est emballé
Trois refus, une anomalie réelle, un angle mort
Si cette journée laisse une trace technique, elle tient dans un incident traité comme une anecdote. Selon le fil, après une coupure de connexion, l’agent a détecté que sa position cible sortait de la plage physique du dispositif et a refusé d’avancer l’aiguille, encore après un recalibrage, puis une troisième fois, malgré l’opérateur qui voulait passer outre. La cause réelle était des réglages manuels effectués pendant une pause : l’équipe a réparé le matériel à la main avant de reprendre, et le refus s’est avéré justifié.
Le dirigeant écrit n’avoir pas réussi à convaincre le modèle de poursuivre et juge l’épisode frustrant, mais révélateur du degré de dépendance que ces systèmes installent. Ce qui a protégé l’animal n’est pas un garde-fou de contenu, mais une vérification de cohérence entre l’état supposé de la machine et son état réel, que l’humain n’avait pas vue. Les sources divergent ensuite : un média écrit que le dirigeant a corrigé le code lui-même, quand les reprises d’un entretien à WIRED décrivent un second agent chargé des modifications, non informé qu’une chirurgie était en cours.
Le dossier de presse comme pièce à conviction
La couverture mérite d’être regardée pour elle-même. Un service d’actualités brèves titrait le 30 octobre sur une opération du cerveau pratiquée sans la moindre aide humaine, dans un texte écrivant « a mouse » puis « the rat ». Un média spécialisé titrait sur une absence de décision humaine, au-dessus d’un article décrivant la validation de chaque étape irréversible. Un site technologique affirmait le lendemain qu’un agent avait opéré de façon autonome une souris vivante, sans source identifiable.
Reste ce que le récit revendique. Un agent généraliste aurait reçu un phénotype et une étagère de candidats, puis produit un choix de molécule et de cible qu’aucun humain ne lui avait soufflé, avant de commander des moteurs qui ont déplacé une aiguille dans un cerveau vivant. L’auteur résume sa revendication en termes mesurés : personne n’a dit à cet agent quoi administrer ni où, et à sa connaissance aucun agent n’avait encore choisi un traitement et une cible cérébrale avant de l’administrer à un mammifère vivant. C’est ce qu’il nomme le laboratoire dans la boucle in vivo.
Pour un modèle généraliste à qui l’on demande dans la même journée la météo, une génération de vidéo et la relecture d’un texte, l’exercice est remarquable. Il n’approche pas le neurochirurgien, et le mot chirurgie demeure un abus de langage dès lors que l’ouverture du crâne n’a pas été confiée à la machine. Trois réponses au même protocole, chez trois générations publiées en moins de trois mois, posent en revanche une question qui dépasse la biologie : un dispositif dont le comportement dépend de la version qui l’anime n’offre pas une garantie, il offre une variabilité.
Au-delà se joue la traçabilité. Exiger qu’un contrôleur indépendant de la sortie du modèle applique les limites, c’est reconnaître que cette sortie n’est pas une barrière suffisante. Les industries qui ont installé des automatismes dans le monde physique ont toutes fini par documenter leurs journaux d’exécution et leurs rapports d’incident, et le suivi annoncé dira seul ce que valaient ces trois choix. Un fil sur un réseau social n’en tient pas lieu.
Aller plus loin
Le déroulé complet du récit n’est accessible, pour qui ne peut ouvrir le message d’origine, que par une reprise tweet par tweet du fil : on y trouve le banc construit sur Arduino, le cortex entorhinal latéral, les coordonnées tirées de trois articles et le double refus de l’agent. Il s’agit d’une capture automatique, à ne pas confondre avec l’original.
L’inventaire méthodique de ce qui manque tient dans l’analyse Claude Sonnet 5 Mouse Brain Surgery: Claimed vs Verified, qui aligne les affirmations et les pièces disponibles, consigne l’absence de préprint, de méthodes, de liste de vecteurs et de données de crises, et formule l’hypothèse d’un repli non activé par défaut.
La pièce que presque aucune reprise n’a relevée figure dans l’article Exin CEO Says Three AI Models Directed Gene Therapy Injections in Mice, seul à rapporter une comparaison de trois modèles sur trois souris, avec trois régions cérébrales différentes : de quoi déplacer le sujet de l’exploit vers le désaccord.
Le récit le plus circonstancié de l’incident est donné par l’article A Claude model autonomously chose a gene therapy and operated on a mouse brain, qui détaille les trois refus successifs et la remarque du dirigeant sur la dépendance aux modèles, tout en portant un titre que son propre texte démentit.
Pour juger le dispositif à l’aune des règles écrites par l’éditeur des modèles, la section sur les actions physiques à haut risque de la politique d’usage d’Anthropic se lit en quelques minutes : opérateur capable d’arrêter l’équipement, état sûr en cas de perte de connexion, limites appliquées hors du modèle, exclusion des commandes relues avant exécution.
La trajectoire industrielle où s’inscrit le pilotage d’un banc de laboratoire apparaît dans l’enquête Anthropic makes first move into physical AI with new way for scientists, manufacturers to bring equipment to life, qui décrit la spécification adossée au Model Context Protocol et nomme Universal Robots et Doosan Robotics parmi les partenaires de son aperçu de recherche.
Sur la fiabilité des garde-fous biologiques, le rapport de risques d’Anthropic d’août 2026 est le document primaire : l’éditeur y expose comment un indicateur interne a laissé ses classificateurs hors service pendant onze mois, et ce que l’incident a changé à sa notation du risque.
La portée scientifique du choix revendiqué se mesure en lisant le communiqué Path cleared for intractable epilepsy gene therapy, qui décrit le promoteur restreignant l’expression aux neurones inhibiteurs, les crises atténuées chez la souris, et le tiers de patients que les médicaments antiépileptiques ne soulagent pas.
L’ancienneté du chantier se mesure dans le travail Automated placement of stereotactic injections using a laser scan of the skull, qui chiffrait dès 2014 la précision d’un positionnement automatisé d’aiguille dans un cerveau de souris : le geste motorisé n’est pas la part nouvelle.
Ensemble, ces documents dessinent un événement moins tranché que son écho. La motricité est ancienne, la stratégie thérapeutique est celle que la littérature désigne, l’encadrement humain correspond à une liste d’exigences publiée trois semaines plus tôt, l’efficacité reste inconnue. Ce qui est neuf tient dans un déplacement de responsabilité : le choix de la cible et de la molécule, jusqu’ici l’affaire d’un chercheur, a été confié à un système dont le comportement varie d’une version à l’autre. La question n’est plus de savoir si un agent peut tenir une aiguille, mais sur quelles traces vérifiables on acceptera qu’il décide où la planter.