Anthropic avverte: i piccoli modelli di IA potrebbero autoreplicarsi sui dispositivi domestici

Il Frontier Red Team di Anthropic ha dichiarato che i modelli AI compatti potrebbero essere a pochi mesi dal copiare se stessi su dispositivi domestici economici connessi a Internet, senza coinvolgere data center. I ricercatori hanno avvertito che questo scenario si rivelerebbe molto difficile da controllare, poiché i modelli saranno difficili da spegnere dato che nulla li controlla centralmente.

L'articolo di ricerca è stato pubblicato il 12 ottobre sul sito web di Anthropic ed è una preoccupazione per chiunque utilizzi elettrodomestici intelligenti a casa o in piccole attività commerciali.

Quindici box TV economici, un modello da 26 miliardi di parametri

I ricercatori William Zhou e Daniel Freeman hanno dimostrato il potenziale rischio collegando 15 box Android TV di marche diverse per eseguire Gemma4-26B-A4B, un modello con 26 miliardi di parametri. Ogni box costava circa 55 dollari ed era dotato di 4 GB di RAM. I ricercatori hanno distribuito gli strati del modello sui dispositivi utilizzando una tecnica nota come parallelismo a pipeline.

Questa raccolta di 15 dispositivi Android box diversi ha prodotto complessivamente solo 0,39 token al secondo, risultando troppo lenta per qualsiasi utilizzo pratico di un chatbot. Tuttavia, i ricercatori hanno sostenuto che un worm auto-diffondente non deve necessariamente operare ad alta velocità su una singola macchina e, anzi, trarrebbe maggior vantaggio dal raggiungere un gran numero di dispositivi.

Hanno inoltre citato Kimwolf, una botnet che ha infettato oltre due milioni di Smart TV Android principalmente di marchi sconosciuti, come esempio di quanti dispositivi poco sicuri siano facili prede nelle case delle persone.

Nessuno dei modelli testati è riuscito a replicarsi in modo affidabile su un altro dispositivo restando abbastanza piccolo da essere eseguito su una Smart TV. I ricercatori prevedono che questo divario si riduca entro la fine del 2026, se i modelli open source leggeri continueranno a evolversi al ritmo attuale.

Replicazione in quattro fasi e un modello che ce l'ha fatta

Anthropic ha suddiviso il processo di replicazione in quattro fasi distinte. Queste includono l'identificazione dei bersagli, l'acquisizione della capacità di eseguire codice, la configurazione dell'inferenza e quindi la ripetizione del processo da ogni dispositivo appena infettato.

I ricercatori hanno in gran parte trascurato le fasi iniziali di hacking, facendo riferimento a studi precedenti che dimostrano come i piccoli modelli possano già eseguire exploit informatici. Si sono invece concentrati sulla terza fase di configurazione dell'inferenza, che implica una lunga serie di decisioni specifiche per l'hardware.

Per testare l'intero processo, i ricercatori hanno configurato una rete isolata composta da otto nodi di Google Cloud, ciascuno in esecuzione su un emulatore Android. Un worm pre-caricato si è diffuso tra i nodi attraverso una porta Android Debug Bridge non sicura, prima di impostare un server per eseguire Llama3.1-8B. Tra i modelli open-weight testati, solo GLM-5.2, sviluppato da Z.ai in Cina, ha completato l'intero ciclo di replicazione, raggiungendo tutti e otto i nodi in quattro delle cinque esecuzioni.

I modelli sono diventati più efficaci nell'impostarsi man mano che si diffondevano tra le generazioni. Quando le istanze del modello Qwen3.5-9B a 9 miliardi di parametri trasmettevano note di configurazione ai loro successori, il tasso di successo è aumentato dal 45% nella prima generazione al 61-84% nelle generazioni successive.

Anthropic spiega perché un worm decentralizzato è difficile da eliminare

La velocità pura non è la preoccupazione principale in questo scenario, come Anthropic si è impegnata a spiegare. Anthropic stima che la configurazione del modello 26B sui box TV richiederebbe da 71 a 150 ore. Il rischio maggiore è la persistenza coinvolta, poiché non esiste un server centrale o un operatore umano per spegnerlo, il sistema potrebbe eludere i modi usuali di contenere e disabilitarlo.

Roman V. Yampolskiy, esperto di intelligenza artificiale e cybersecurity presso l'Università di Louisville, ha definito i risultati molto importanti. Yampolskiy sostiene che i worm basati sull'IA potrebbero andare oltre il malware tradizionale, ragionando su dispositivi sconosciuti, adattandosi quando un approccio fallisce e continuando a diffondersi senza intervento umano.

Sebbene non li consideri una minaccia esistenziale oggi, ha avvertito che il loro sviluppo è preoccupante.

«I dispositivi IoT per la casa e le piccole imprese potrebbero essere il primo bersaglio di tali attacchi perché sono connessi a Internet e, storicamente, hanno avuto misure di sicurezza minime», hanno scritto Zhou e Freeman nell'articolo di Anthropic.

I difensori mantengono un vantaggio

Anthropic ha paragonato la difesa al contenimento di un focolaio, con l'obiettivo di mantenere il numero medio di nuove infezioni causate da ciascun dispositivo inferiore a uno. I provider Internet potrebbero segnalare trasferimenti di modelli insolitamente grandi o comunicazioni persistenti tra i dispositivi, mentre gli honeypot potrebbero essere utilizzati per catturare il codice di un worm.

Il report cita il divieto del Regno Unito delle password predefinite per i dispositivi intelligenti come un buon modo per ridurre il numero di dispositivi vulnerabili disponibili per gli attaccanti.

Anthropic ha anche dichiarato di non aver ancora osservato un replicatore malintenzionato funzionante e ha descritto le prove attuali solo come "segni di vita". L'azienda ha pubblicato la ricerca insieme a una rivendicazione separata secondo cui nuove misure di sicurezza hanno ridotto la distillazione del 90-99%.