Anthropic alerta que modelos de IA pequenos podem se autorreplicar em dispositivos domésticos

O Frontier Red Team da Anthropic afirmou que modelos de IA compactos podem estar a poucos meses de se copiarem por gadgets domésticos baratos conectados à internet, sem necessidade de data center. Os pesquisadores alertaram que esse cenário será muito difícil de controlar, pois os modelos serão difíceis de desligar, já que nada central os controla.

O artigo de pesquisa foi publicado em 12 de outubro no site da Anthropic e é uma preocupação para qualquer pessoa que utilize eletrodomésticos inteligentes em casa ou em pequenas empresas.

Quinze caixas de TV baratas, um modelo 26-bilhão de parâmetros

Os pesquisadores William Zhou e Daniel Freeman demonstraram o risco potencial ao conectar 15 caixas Android TV genéricas para executar o Gemma4-26B-A4B, um modelo com 26 bilhões de parâmetros. Cada caixa custou cerca de US$ 55 e veio com 4 GB de RAM. Os pesquisadores distribuíram as camadas do modelo pelos dispositivos usando uma técnica conhecida como paralelismo de pipeline.

Esta coleção de 15 dispositivos Android box diferentes produziu em conjunto apenas 0,39 tokens por segundo, tornando-a lenta demais para qualquer uso prático de chatbot. No entanto, os pesquisadores argumentaram que um verme autorreplicativo não precisa necessariamente operar em alta velocidade em uma única máquina e, na verdade, se beneficiaria mais ao atingir um grande número de dispositivos.

Eles também apontaram o Kimwolf, uma botnet que infectou mais de dois milhões de TVs Android principalmente de marcas genéricas, como exemplo de quantos dispositivos mal protegidos são alvos fáceis nas casas das pessoas.

Nenhum dos modelos testados conseguiu replicar-se de forma confiável em outro dispositivo enquanto permanecia pequeno o suficiente para rodar em uma Smart TV. Os pesquisadores esperam que essa lacuna seja preenchida até o final de 2026, caso os modelos leves e de código aberto continuem a avançar no ritmo atual.

Replicação em quatro etapas, e um modelo que conseguiu

A Anthropic dividiu o processo de replicação em quatro etapas distintas. Elas incluem identificar alvos, adquirir a capacidade de executar código, configurar a inferência e, em seguida, repetir o processo a partir de cada dispositivo recém-infectado.

Os pesquisadores deixaram de lado em grande parte as etapas iniciais de invasão, citando trabalhos anteriores que mostraram que modelos pequenos já podem realizar ciberataques. Em vez disso, focaram na terceira etapa de configuração da inferência, que envolve uma longa série de decisões específicas de hardware.

Para testar todo o processo, os pesquisadores configuraram uma rede isolada com oito nós do Google Cloud, cada um executando um emulador Android. Um verme pré-carregado se espalhou entre os nós por meio de uma porta Android Debug Bridge desprotegida antes de configurar um servidor para executar o Llama3.1-8B. Dentre os modelos de pesos abertos testados, apenas o GLM-5.2, desenvolvido pela Z.ai da China, concluiu o ciclo completo de replicação, atingindo todos os oito nós em quatro das cinco execuções.

Os modelos tornaram-se mais bem-sucedidos na configuração à medida que se espalhavam pelas gerações. Quando instâncias do modelo Qwen3.5-9B, com 9 bilhões de parâmetros, passavam instruções de configuração para suas sucessoras, a taxa de sucesso aumentou de 45% na primeira geração para entre 61% e 84% nas gerações subsequentes.

A Anthropic explica por que é difícil eliminar um verme descentralizado

Velocidade bruta não é a principal preocupação neste cenário, conforme explicado pela Anthropic. A Anthropic estima que configurar o modelo 26B nas caixas de TV levaria de 71 a 150 horas. O risco maior está na persistência envolvida, já que não há um servidor central ou operador humano para desligá-lo; o sistema pode escapar das formas usuais de contenção e desativação.

Roman V. Yampolskiy, especialista em IA e cibersegurança na Universidade de Louisville, afirmou que as descobertas foram muito importantes. Yampolskiy argumentou que vermes alimentados por IA podem ir além do malware tradicional, raciocinando sobre dispositivos desconhecidos, adaptando-se quando uma abordagem falha e continuando a se espalhar sem intervenção humana.

Embora não os considere uma ameaça existencial hoje, ele alertou que o seu desenvolvimento é preocupante.

"Dispositivos IoT residenciais e de pequenas empresas podem ser o primeiro alvo desse tipo de ataques porque estão conectados à internet e, historicamente, têm medidas mínimas de segurança implementadas", escreveram Zhou e Freeman no artigo da Anthropic.

Os defensores ainda têm vantagem

A Anthropic comparou a defesa ao contenção de um surto, com o objetivo de manter o número médio de novas infecções causadas por cada dispositivo abaixo de um. Provedores de internet poderiam sinalizar transferências de modelos incomumente grandes ou comunicação persistente entre dispositivos, enquanto honeypots poderiam ser usados para capturar o código de um worm.

O relatório cita a proibição do Reino Unido sobre senhas padrão para dispositivos inteligentes como uma boa maneira de reduzir o número de dispositivos vulneráveis disponíveis para atacantes.

A Anthropic também afirmou que ainda não observou um replicador malicioso funcional e descreveu as evidências atuais apenas como “sinais de vida”. A empresa publicou a pesquisa junto com uma afirmação separada de que novas salvaguardas reduziram a destilação em 90% a 99%.