Anthropic ha pubblicato una ricerca il 12 ottobre 2026, suggerendo che i piccoli modelli di intelligenza artificiale potrebbero essere a soli pochi mesi dall'essere abbastanza capaci da auto-replicarsi su dispositivi IoT commerciali: forni intelligenti, telecamere di sicurezza e, soprattutto, box TV Android fuori marca. In uno scenario simile a un worm, le copie di un modello si diffonderebbero da un dispositivo all'altro senza alcun coinvolgimento umano e, poiché non esiste un punto centralizzato da cui spegnere, i ricercatori notano che un tale replicatore sarebbe difficile da spegnere, anche se lento, con un tempo di raddoppio misurato in giorni.
Il post, intitolato "I modelli di intelligenza artificiale possono essere in grado di auto-replicarsi senza accesso a un data center", è stato scritto dai ricercatori di Anthropic William Zhou e Daniel Freeman e arriva nel mezzo di una lunga serie di risultati sulla sicurezza dell'intelligenza artificiale. Per ulteriori informazioni su questa storia, consulta i nostri ultimi sviluppi dell'intelligenza artificiale.
L’idea centrale allo studio è la replicazione e adattamento autonomo (ARA): un modello che si sviluppa e si propaga senza il controllo umano. Gli autori inquadrano la variante più a breve termine come un "replicatore basato sul peso": un worm AI che trasporta i propri pesi di modello (o li scarica nuovamente da un hub pubblico) ed esegue l'inferenza direttamente sulle macchine che compromette. A differenza del malware tradizionale, scrivono, un worm di questo tipo potrebbe anche individuare da solo i dispositivi sconosciuti.
Una demo sui TV Box da $ 55
Per dimostrare che l'hardware edge può supportare modelli reali, il team ha acquistato 15 TV box Android di marca economica - circa 55 dollari ciascuno, con circa 4 GB di RAM ciascuno - e li ha collegati in rete. Utilizzando il parallelismo della pipeline, con ciascuna scatola che conteneva una frazione degli strati del modello, la flotta ha eseguito Gemma4-26B-A4B a circa 0,39 token al secondo. Si tratta di una velocità modesta, ma una dimostrazione che i modelli open-weight sorprendentemente capaci possono funzionare sulla stessa classe di hardware economico che popola i salotti di tutto il mondo.
La scelta dell'hardware non è casuale. I ricercatori citano la botnet Kimwolf, che secondo quanto riferito ha infettato più di due milioni di dispositivi al suo apice, principalmente TV box Android, secondo i dati di Synthient citati nel post. Se una flotta di queste dimensioni eseguisse ciascuna copie di un modello di classe 26B in gruppi di 15, Anthropic stima che ammonterebbe a circa 133.000 repliche producendo circa 80.000 token al secondo in totale, approssimativamente il throughput di inferenza di circa 40 GPU H100.
Quattro fasi di un verme AI
Il team scompone la replica in quattro fasi pratiche: trovare obiettivi, ottenere l'esecuzione, stabilire l'inferenza e continuare la propagazione dal nuovo host. I loro esperimenti si concentrano sulla configurazione dell'inferenza, il passaggio meno studiato e probabilmente più difficile per i modelli di piccole dimensioni, poiché richiede una lunga sequenza di decisioni specifiche per l'hardware e il sistema operativo, dalla scelta di uno stack di inferenza compatibile al debug di problemi specifici della macchina.
I risultati sono stati deludenti. Un modello con parametri 9B ha ottenuto l'inferenza in esecuzione su 8 dei 9 tipi di hardware testati, tra Jetson Nanos, Mac e RTX 4090. I modelli con parametri pari o inferiori a 30B possono già completare molti dei singoli passaggi per la replica oggi, scrivono gli autori, anche se commettono errori quando li compongono dall'inizio alla fine. In particolare, un replicatore basato sul peso non avrebbe nemmeno bisogno dei privilegi di root: i motori di inferenza possono essere eseguiti interamente nello spazio utente e i tipi di dispositivi a bassa sicurezza in questione possono semplicemente essere nuovamente infettati dopo un riavvio.
Un modello ha superato il test end-to-end
L'esperimento principale ha inserito i modelli in un cloud privato virtuale protetto da firewall di otto nodi GCP che eseguono Redroid, un emulatore di Android 15. Un nodo "paziente zero" è stato seminato con il worm, che poi ha dovuto saltare da un nodo all'altro su una porta ADB non autenticata, consegnare il suo carico utile (pesi e cablaggio) e attivare un server di inferenza che serviva Llama3.1-8B su ogni nuovo host.
Dei modelli open-weight testati, solo GLM-5.2 è stato in grado di eseguire una replica completa end-to-end in questo contesto semplificato, e lo ha fatto in modo affidabile: si è diffuso a tutti gli 8 nodi in 4 prove su 5 e 7 su 8 nella sessione rimanente. I ricercatori sono attenti a cosa ciò significhi: poiché l’elemento cyber-exploit è stato mantenuto banale (non c’era autenticazione sulla porta ADB), la valutazione è un limite superiore al successo nel mondo reale. Ma notano anche che le botnet IoT del passato come Mirai si sono diffuse utilizzando poco più che nomi utente e password predefiniti del produttore, quindi la sicurezza IoT nel mondo reale potrebbe non essere drammaticamente più difficile del passaggio banalizzato.
Lento, persistente e imparante
Niente in questo modello di minaccia è veloce. In base alle velocità reali dell'hardware del team, un ciclo di replica completo sul nuovo hardware ha richiesto circa dalle 28 alle 51 ore per Qwen3.5-9B e dalle 71 alle 150 ore per una configurazione Gemma4-26B-A4B non ottimizzata. La diffusione, scrivono gli autori, sarebbe "lenta e persistente, con gettoni gocciolati sull'hardware limite" - paragonano un replicatore a una muffa melmosa o a uno sciame di moscerini della frutta piuttosto che a un verme in rapido movimento.
Ciò che potrebbe rendere i replicatori IA più pericolosi dei classici worm è l’adattamento. Poiché un'istanza genitore può trasmettere i suoi suggerimenti, il codice e le note alle sue figlie, i ricercatori descrivono una sorta di evoluzione lamarckiana. In un esperimento, gli agenti Qwen3.5-9B che hanno tentato di impostare l'inferenza su sei generazioni, ciascuna delle quali eredita note dal suo predecessore, hanno migliorato il loro tasso di successo dal 45% nella prima generazione al 61-84% successivamente. Gli esperimenti hanno utilizzato Memento, un'imbracatura Anthropic costruita sull'agente di codifica Pi open source, progettata per impedire agli agenti di fissarsi su una teoria sbagliata di un bug invece di tornare sui propri passi.
Una finestra che si chiude
Il team delinea la zona di pericolo in due limiti: un livello di capacità sopra il quale un modello deve sedersi per replicarsi in modo affidabile e un limite di dimensioni sotto il quale deve sedersi per correre sui dispositivi che attacca. Oggi questi limiti non si intersecano: i modelli capaci sono troppo grandi e i modelli piccoli non sono abbastanza capaci. Tracciando modelli open-weight con parametri pari o inferiori a 30B rispetto all'Epoch Capabilities Index, i ricercatori misurano un guadagno di 13,7 punti ECI all'anno e stimano che, se la tendenza dovesse reggere, un piccolo modello raggiungerà il livello di capacità di GLM-5.2 entro la fine del 2026, con piccoli replicatori basati sul peso che diventeranno possibili subito dopo. Sottolineano che si tratta di una stima approssimativa costruita su una metrica proxy.
Il post mappa anche i modelli di minaccia adiacenti – replicatori di frontiera che funzionano sulla propria infrastruttura di laboratorio, replicatori open-weight che iniziano senza monitoraggio e replicatori basati su API che rubano credenziali per la propria deduzione – e avverte che il caso peggiore realistico è uno sciame di modelli diversi su hardware diverso utilizzando schemi diversi. Anthropic chiude spiegando in che modo i worm IA differirebbero dai malware pre-IA e fornendo brevi suggerimenti per le difese, inquadrando il lavoro come uno sguardo iniziale a una minaccia che è più facile da studiare prima che maturi.
---
Stai al passo con l'intelligenza artificialeRicevi le ultime notizie, analisi e scoperte sull'intelligenza artificiale, tutto in un unico posto.
Leggi altre notizie sull'AI →
