Anthropic advierte que modelos de IA pequeños podrían autorreplicarse en dispositivos IoT antes de fin de año

El Frontier Red Team de Anthropic publicó el 12 de octubre una investigación que plantea un escenario hasta ahora teórico: modelos de inteligencia artificial pequeños que se copian a sí mismos de un dispositivo a otro, sin necesidad de un centro de datosInstalación que concentra servidores, almacenamiento y equipos de red para procesar y guardar datos de forma continua, con un consumo eléctrico alto y constante.. Según los autores, William Zhou y Daniel Freeman, los modelos chicos "podrían estar a meses" de ser capaces de autorreplicarse en dispositivos comerciales de internet de las cosas (IoT).

Qué es un replicador basado en pesos

El estudio llama replicadores basados en pesos a un tipo de gusano informático que lleva consigo (o vuelve a descargar) los pesos de un modelo de IA y ejecuta la inferencia en el mismo hardware que infecta. Los blancos son equipos baratos y con poca seguridad: cajas de TV Android de marcas genéricas, electrodomésticos inteligentes y aparatos similares.

La diferencia con una botnet tradicional es que el gusano no depende de un tipo de dispositivo. Un modelo con capacidad de programar puede resolver por su cuenta cómo hacer funcionar la inferencia en hardware que no conoce. Y, como no hay un punto central que lo controle, los autores advierten que "sería difícil de apagar".

Cómo lo midieron

El trabajo deja de lado la etapa de explotación inicial, ya estudiada en investigaciones previas, y se concentra en dos preguntas: si un modelo logra poner en marcha la inferencia en hardware desconocido y si puede encadenar el ciclo completo de replicación.

• Demostración distribuida: corrieron el modelo Gemma4-26B-A4B repartido entre 15 cajas de TV Android genéricas, de unos 55 dólares y 4 GB de memoria cada una. Alcanzó 0,39 tokensUnidad mínima de texto que procesa un modelo de lenguaje, como una palabra, parte de una palabra o un signo. Se usa para medir cuánto lee y escribe un modelo y para cobrar su uso. por segundo.
• Puesta en marcha de la inferencia: modelos abiertos tuvieron que servir Llama3.1-8B en hardware heterogéneo, desde placas Jetson Nano hasta computadoras Mac y placas RTX 4090. Un modelo de 9.000 millones de parámetros lo logró en 8 de los 9 tipos de hardware probados.
• Replicación de punta a punta: en una red aislada de 8 emuladores de Android 15, con un puerto ADB sin autenticación en lugar del paso de explotación, GLM-5.2 fue el único modelo abierto que completó el ciclo: llegó a los 8 nodos en 4 de 5 intentos y a 7 en el restante. Con la puesta en marcha resuelta por guion, hasta un modelo de 3.000 millones de parámetros alcanzó cerca de la mitad de los nodos.

Los investigadores aclaran que ese entorno simplificado marca un techo: en el mundo real, la etapa de intrusión sería más difícil.

Aprenden en el camino

Uno de los hallazgos más relevantes es que los agentes mejoran de una generación a la siguiente. En seis generaciones de Qwen3.5-9B, cada una heredó las notas de la anterior, y la tasa de éxito en la puesta en marcha subió del 45% inicial a entre 61% y 84%.

En cambio, darles acceso a un modelo de frontera como asesor no mejoró de forma medible a los modelos chicos, que según el estudio "tienden a no saber qué preguntas hacer". Los autores sugieren que los modelos grandes encajarían mejor en la coordinación general, con los pequeños como subagentes. También observaron que los modelos chicos rinden mucho mejor en programación y hacking que en ingeniería socialConjunto de técnicas de manipulación que buscan que una persona entregue datos, contraseñas o dinero aprovechando la confianza, la autoridad o la urgencia, en lugar de explotar una falla técnica.: su phishing dirigido fue calificado de "muy pobre" a "pobre".

Cuándo y a qué escala

Con una proyección sobre el índice de capacidades de Epoch, el equipo estima que un modelo pequeño podría alcanzar el nivel de GLM-5.2 hacia fin de 2026, aunque lo presenta como una estimación aproximada. La propagación sería lenta, con tiempos de duplicación de días: la puesta en marcha completa llevaría entre 71 y 150 horas para Gemma4-26B-A4B sin optimizar, y entre 28 y 51 horas para Qwen3.5-9B.

Como referencia de escala, una botnet del tamaño de Kimwolf, con más de 2 millones de dispositivos, podría alojar unas 133.000 réplicas de Gemma4-26B-A4B. Sumadas, generarían unos 80.000 tokens por segundo, el equivalente a unas 40 GPU H100.

Qué recomiendan

El estudio propone medidas que ya existen contra las botnets clásicas:

• Monitoreo de tráfico: las transferencias de modelos de varios gigabytes y el tráfico inusual entre dispositivos dejan huellas que los proveedores de internet podrían detectar.
• Señuelos: dispositivos trampa para capturar el código y la carga de un replicador.
• Cuarentena: en la limpieza de la botnet Mirai, el 92% de las infecciones se eliminó en 14 días cuando los proveedores aislaron y notificaron a sus clientes, contra el 74% sin aviso.
• Seguridad de fábrica: reducir la cantidad de equipos vulnerables con configuraciones seguras por defecto y regulación, como la prohibición de contraseñas predeterminadas en dispositivos IoT del Reino Unido.

Los autores piden endurecer los sistemas y, al mismo tiempo, prepararse para un escenario en el que estos replicadores persistan. Por ahora describen sus resultados como "señales de vida" de los gusanos de IA, y no como un replicador autónomo completo: "Como pasó con los agentes de programación en 2024, estamos viendo señales de vida".