Anthropic publicó una investigación el 12 de octubre de 2026, sugiriendo que los modelos pequeños de IA pueden estar a solo unos meses de ser lo suficientemente capaces de autorreplicarse en dispositivos comerciales de IoT: hornos inteligentes, cámaras de seguridad y, sobre todo, cajas de TV Android sin marca. En un escenario similar al de un gusano, las copias de un modelo se propagarían de un dispositivo a otro sin participación humana, y debido a que no hay un punto centralizado para apagar, los investigadores señalan que sería difícil apagar un replicador de este tipo, aunque lento, con un tiempo de duplicación medido en días.
La publicación, titulada "Los modelos de IA pueden ser capaces de autorreplicarse sin acceso a un centro de datos", fue escrita por los investigadores de Anthropic William Zhou y Daniel Freeman y llega en medio de una serie de hallazgos sobre la seguridad de la IA. Para obtener más contexto sobre esta historia, consulte nuestros [últimos desarrollos de IA] en curso (https://aibuzzwire.news).
La idea central bajo estudio es la replicación y adaptación autónoma (ARA): un modelo que se despliega y propaga sin control humano. Los autores enmarcan la variante más cercana como un "replicador basado en pesos": un gusano de IA que lleva sus propios pesos de modelo (o los vuelve a descargar desde un centro público) y ejecuta inferencias directamente en las máquinas que compromete. A diferencia del malware tradicional, escriben, un gusano de este tipo también podría detectar dispositivos desconocidos por sí solo.
Una demostración de TV Box de $55
Para demostrar que el hardware de vanguardia puede soportar modelos reales, el equipo compró 15 cajas de TV Android económicas de otras marcas (aproximadamente 55 dólares cada una, con aproximadamente 4 GB de RAM cada una) y las conectó en red. Utilizando el paralelismo de canalización, con cada caja conteniendo una fracción de las capas del modelo, la flota ejecutó Gemma4-26B-A4B a aproximadamente 0,39 tokens por segundo. Es una velocidad modesta, pero una demostración de que modelos de peso abierto sorprendentemente capaces pueden funcionar con la misma clase de hardware barato que puebla las salas de estar en todo el mundo.
La elección del hardware no es casual. Los investigadores citan la botnet Kimwolf, que supuestamente infectó más de dos millones de dispositivos en su punto máximo, principalmente cajas de TV con Android, según datos de Synthient citados en la publicación. Si una flota de ese tamaño ejecutara copias de un modelo de clase 26B en grupos de 15, Anthropic estima que equivaldría a aproximadamente 133.000 réplicas que producirían alrededor de 80.000 tokens por segundo en total, aproximadamente el rendimiento de inferencia de unas 40 GPU H100.
Cuatro etapas de un gusano con IA
El equipo descompone la replicación en cuatro etapas prácticas: encontrar objetivos, lograr la ejecución, establecer inferencias y continuar la propagación desde el nuevo host. Sus experimentos se concentran en la configuración de la inferencia, el paso menos estudiado y posiblemente el más difícil para los modelos pequeños, ya que requiere una secuencia larga y dependiente en serie de decisiones específicas del hardware y del sistema operativo, desde elegir una pila de inferencia compatible hasta depurar problemas específicos de la máquina.
Los resultados fueron aleccionadores. Se ejecutó inferencia en un modelo de parámetros 9B en 8 de los 9 tipos de hardware probados, que abarcan Jetson Nanos, Mac y RTX 4090. Los modelos con parámetros de 30B y menos ya pueden completar muchos de los pasos individuales para la replicación hoy en día, escriben los autores, aunque cometen errores al componerlos de un extremo a otro. En particular, un replicador basado en peso ni siquiera necesitaría privilegios de root: los motores de inferencia pueden ejecutarse completamente en el espacio del usuario, y los tipos de dispositivos de baja seguridad en cuestión pueden simplemente reinfectarse después de un reinicio.
Un modelo superó la prueba de un extremo a otro
El experimento principal colocó modelos en una nube privada virtual con firewall de ocho nodos GCP que ejecutan redroid, un emulador de Android 15. Se sembró el gusano en un nodo "paciente cero", que luego tuvo que saltar de nodo a nodo a través de un puerto ADB no autenticado, entregar su carga útil (pesos y arnés) y establecer un servidor de inferencia que sirviera Llama3.1-8B en cada nuevo host.
De los modelos de peso abierto probados, solo GLM-5.2 fue capaz de realizar una replicación completa de extremo a extremo en esta configuración simplificada, y lo hizo de manera confiable: se extendió a los 8 nodos en 4 de 5 pruebas y a 7 de 8 en la ejecución restante. Los investigadores son cuidadosos con lo que esto significa: debido a que el elemento de ciberexplotación se mantuvo trivial (no había autenticación en el puerto ADB), la evaluación es un límite superior para el éxito en el mundo real. Pero también señalan que las botnets de IoT del pasado, como Mirai, se propagaban usando poco más que nombres de usuario y contraseñas predeterminados del fabricante, por lo que la seguridad de IoT en el mundo real puede no ser dramáticamente más difícil que el paso trivializado.
Lento, persistente y aprendiendo
Nada en este modelo de amenaza es rápido. Según las velocidades del hardware real del equipo, un ciclo de replicación completo en hardware nuevo tomó entre aproximadamente 28 y 51 horas para Qwen3.5-9B, y de 71 a 150 horas para una configuración Gemma4-26B-A4B no optimizada. La propagación, escriben los autores, sería "lenta y persistente, con tokens distribuidos en el hardware de vanguardia": comparan un replicador con un moho mucilaginoso o un enjambre de moscas de la fruta en lugar de un gusano que se mueve rápidamente.
Lo que podría hacer que los replicadores de IA sean más peligrosos que los gusanos clásicos es la adaptación. Debido a que una instancia principal puede pasar sus indicaciones, código y notas a sus hijas, los investigadores describen una especie de evolución lamarckiana. En un experimento, los agentes Qwen3.5-9B que intentaron configurar la inferencia a lo largo de seis generaciones (cada una de las cuales heredó notas de su predecesora) mejoraron su tasa de éxito del 45 por ciento en la primera generación a entre el 61 y el 84 por ciento después. Los experimentos utilizaron Memento, un arnés Anthropic construido sobre el agente de codificación Pi de código abierto, diseñado para evitar que los agentes se fijen en una teoría errónea de un error en lugar de retroceder.
Una ventana que se cierra
El equipo esboza la zona de peligro en dos límites: un piso de capacidad sobre el cual un modelo debe sentarse para replicarse de manera confiable, y un techo de tamaño bajo el cual debe sentarse para ejecutar los dispositivos que ataca. Hoy en día esos límites no se cruzan: los modelos capaces son demasiado grandes y los modelos pequeños no son lo suficientemente capaces. Al trazar modelos de peso abierto de 30 mil millones de parámetros o menos frente al Índice de Capacidades de Época, los investigadores miden una ganancia de 13,7 puntos ECI por año y estiman que si la tendencia se mantiene, un modelo pequeño alcanzará el nivel de capacidad de GLM-5.2 para fines de 2026, y poco después serán posibles pequeños replicadores basados en peso. Destacan que se trata de una estimación aproximada basada en una métrica proxy.
La publicación también mapea modelos de amenazas adyacentes (replicadores fronterizos que se ejecutan en la propia infraestructura de un laboratorio, replicadores abiertos que comienzan sin supervisión y replicadores basados en API que roban credenciales para su propia inferencia) y advierte que el peor de los casos realistas es un enjambre de diferentes modelos en diferentes hardware usando diferentes esquemas. Anthropic cierra con cómo los gusanos de IA se diferenciarían del malware anterior a la IA y breves sugerencias para las defensas, enmarcando el trabajo como una mirada temprana a una amenaza que es más fácil de estudiar antes de que madure.
---
Manténgase a la vanguardia de la IAObtenga las últimas noticias, análisis y avances en IA, todo en un solo lugar.
Leer más noticias sobre IA →
