Anthropic: modelos pequenos poderão se autorreplicar em dispositivos IoT já no fim do ano

A equipe Frontier Red Team, da Anthropic, avalia que modelos de IA pequenos podem estar a poucos meses de conseguir se autorreplicar em dispositivos IoT comerciais, de fornos inteligentes a TV boxes Android baratas. Nos testes, um modelo de 9B rodou inferência em 8 dos 9 tipos de hardware. O GLM-5.2 e modelos mais fortes completam, do início ao fim, um cenário simplificado de replicação. Se os modelos pequenos continuarem evoluindo no ritmo atual, devem chegar a esse nível até o fim de 2026.

Os pesquisadores William Zhou e Daniel Freeman falam em replicação e adaptação autônomas (ARA, na sigla em inglês): o modelo se implanta e se propaga sem controle humano. Antes, isso exigia um data center com GPUs. Os autores mostram que um acelerador potente não é obrigatório.

O worm que carrega os pesos consigo

Um worm clássico copia a si mesmo de máquina em máquina sem intervenção humana. Trabalhos anteriores já mostraram que um agente de IA consegue escanear a rede, aplicar um exploit e copiar os pesos do modelo para outro nó de um cluster de GPUs. Nesse caso, os pesos passam a fazer parte da carga maliciosa: podem ser levados junto ou baixados de novo de um hub público, e a inferência roda diretamente no hardware invadido.

Os autores chamam esses programas de weight-based replicators. Eles apontam como primeiros alvos os dispositivos IoT domésticos e de escritório, que estão conectados à internet e historicamente têm pouca proteção.

Para a demonstração, os pesquisadores compraram 15 TV boxes Android baratas, de ~US$ 55 cada, ligaram todas em rede e distribuíram o Gemma4-26B-A4B entre elas. Cada TV box ficou com duas camadas do modelo. A velocidade foi de 0,39 token por segundo. É lento, mas funciona, e o custo total da bancada é de cerca de US$ 825.

Como a cadeia foi dividida e o que foi testado

A replicação foi decomposta em quatro etapas:

• busca de alvos;
• obtenção de execução de código no dispositivo;
• início da inferência;
• continuação da propagação a partir do novo host.

Os autores quase não estudaram as duas primeiras etapas. CyberGym, ExploitBench e trabalhos sobre worms adaptativos já mostraram que modelos pequenos se saem bem em ciberataques, principalmente com as ferramentas certas. O foco está na terceira etapa: saber se o modelo consegue configurar a inferência sozinho em um dispositivo desconhecido.

Modelos de até 30B parâmetros já executam muitos passos isolados, mas erram quando é preciso encadear tudo. Nos testes simplificados, o GLM-5.2 e modelos mais fortes percorrem a cadeia inteira.

Por que é difícil conter

Um modelo que não cabe em um único dispositivo pode ser dividido em shards e executado em várias máquinas. Para modelos abaixo de 30B, os autores citam como candidatos adequados geladeiras inteligentes, fornos, robôs aspiradores e cortadores de grama robóticos. Somam-se a isso câmeras de vigilância e sistemas de videoconferência.

Uma rede assim não tem um nó central que possa ser desligado. A velocidade de propagação é baixa, e dobrar o número de nós leva dias. Ao mesmo tempo, ao contrário de um malware comum, um worm de IA pode entender sozinho dispositivos desconhecidos, em vez de esperar um exploit pronto para cada modelo. Entre outras vias de propagação, os autores citam o roubo de chaves de API e de credenciais de plataformas, além do pagamento da inferência por meio de trabalho legítimo, como freelance digital.

O restante do estudo avalia a velocidade de infecção e a capacidade do worm de aprender ao longo da replicação. Também traz uma comparação com malware da era pré-IA e recomendações breves de proteção.

O que fabricantes e defensores devem fazer

A conclusão prática é simples. A proteção de IoT deixa de ser uma questão restrita a botnets de DDoS: agora um modelo completo pode rodar nesses dispositivos. Os fabricantes devem eliminar senhas padrão e serviços expostos, e tornar as atualizações obrigatórias. Os administradores de rede devem segmentar os dispositivos "inteligentes" e monitorar tráfego anômalo entre eles, já que a inferência distribuída exige troca constante de dados entre os nós. Quem compra TV boxes baratas sem suporte de firmware deve lembrar que o aparelho pode se tornar um nó de processamento de terceiros.