Anthropic: los modelos pequeños podrán autorreplicarse en dispositivos IoT ya a finales de año

El equipo Frontier Red Team de Anthropic considera que los modelos de IA pequeños pueden estar a pocos meses de poder autorreplicarse en dispositivos IoT comerciales, desde hornos inteligentes hasta TV boxes Android baratas. En las pruebas, un modelo de 9B ejecutó inferencia en 8 de los 9 tipos de hardware. GLM-5.2 y los modelos más potentes completan de principio a fin un escenario de replicación simplificado. Si los modelos pequeños siguen mejorando al ritmo actual, alcanzarán ese nivel a finales de 2026.

Los investigadores William Zhou y Daniel Freeman hablan de replicación y adaptación autónomas (ARA): el modelo se despliega y se propaga sin control humano. Hasta ahora, esto requería un centro de datos con GPU. Los autores muestran que no hace falta un acelerador potente.

El gusano que lleva los pesos consigo

Un gusano clásico se copia de una máquina a otra sin intervención humana. Trabajos anteriores ya demostraron que un agente de IA puede escanear una red, aplicar un exploit y copiar los pesos del modelo a otro nodo de un clúster de GPU. En ese caso, los pesos pasan a formar parte de la carga maliciosa: pueden transportarse con el gusano o descargarse de nuevo desde un hub público, y después se ejecuta la inferencia directamente en el hardware comprometido.

Los autores llaman a estos programas weight-based replicators. Consideran que sus primeros objetivos serán los dispositivos IoT domésticos y de oficina, porque están conectados a internet y, históricamente, están mal protegidos.

Para la demostración, los investigadores compraron 15 TV boxes Android baratas por ~$55 cada una, las conectaron en red y distribuyeron entre ellas Gemma4-26B-A4B. Cada dispositivo alojaba dos capas del modelo. La velocidad fue de 0,39 tokens por segundo. Es lenta, pero funciona, y el coste total del montaje ronda los $825.

Cómo se dividió la cadena y qué se evaluó

La replicación se descompuso en cuatro etapas:

• búsqueda de objetivos;
• obtención de ejecución de código en el dispositivo;
• puesta en marcha de la inferencia;
• continuación de la propagación desde el nuevo host.

Los autores apenas estudiaron las dos primeras etapas. CyberGym, ExploitBench y los trabajos sobre gusanos adaptativos ya han mostrado que los modelos pequeños se desenvuelven bien en ciberataques, sobre todo con las herramientas adecuadas. El foco está en la tercera etapa: si el modelo puede configurar por sí mismo la inferencia en un dispositivo desconocido.

Los modelos de hasta 30B parámetros ya ejecutan muchos pasos por separado, pero fallan cuando hay que encadenarlos todos. En las pruebas simplificadas, GLM-5.2 y los modelos más potentes recorren la cadena completa.

Por qué es difícil de detener

Un modelo que no cabe en un solo dispositivo puede dividirse en shards y ejecutarse en varias máquinas. Los autores señalan como candidatos adecuados para un modelo de menos de 30B los frigoríficos y hornos inteligentes, los robots aspiradora y los cortacéspedes robotizados. A ellos se suman las cámaras de vigilancia y los sistemas de videoconferencia.

Una red así no tiene un nodo central que se pueda apagar. La velocidad de propagación es baja: duplicarse lleva días. Sin embargo, a diferencia del malware convencional, un gusano de IA puede descifrar por sí mismo dispositivos desconocidos, en lugar de esperar un exploit listo para cada modelo. Entre otras vías de propagación, los autores mencionan el robo de claves API y de credenciales de plataformas, así como el pago de la inferencia mediante trabajo legal, como el freelancing digital.

El resto del estudio evalúa la velocidad de infección y la capacidad del gusano de aprender a medida que se replica. También incluye una comparación con el malware de la era previa a la IA y unas breves recomendaciones de protección.

Qué deben hacer fabricantes y defensores

La conclusión práctica es sencilla. La seguridad del IoT ya no se limita a las botnets para DDoS: en estos dispositivos ahora puede ejecutarse un modelo completo. Los fabricantes deberían eliminar las contraseñas por defecto y los servicios abiertos, y hacer obligatorias las actualizaciones. Los administradores de red deberían segmentar los dispositivos «inteligentes» y vigilar el tráfico anómalo entre ellos, ya que la inferencia distribuida exige un intercambio constante de datos entre nodos. Quienes compren TV boxes baratas sin soporte de firmware deben tener presente que ese dispositivo puede acabar siendo un nodo de cómputo ajeno.