A Anthropic publicou uma pesquisa em 12 de outubro de 2026, sugerindo que pequenos modelos de IA podem estar a apenas alguns meses de serem capazes de se auto-replicar em dispositivos IoT comerciais – fornos inteligentes, câmeras de segurança e, acima de tudo, caixas de Android TV fora da marca. Num cenário semelhante ao de um worm, as cópias de um modelo espalhar-se-iam de dispositivo para dispositivo sem envolvimento humano e, como não existe um ponto centralizado para desligar, os investigadores observam que tal replicador seria um desafio para desligar - embora lento, com um tempo de duplicação medido em dias.
A postagem, intitulada “Modelos de IA podem ser capazes de se auto-replicar sem acesso a um datacenter”, foi escrita pelos pesquisadores da Antrópicos William Zhou e Daniel Freeman e chega em meio a uma longa série de descobertas de segurança de IA de agentes. Para obter mais contexto sobre esta história, consulte nossos últimos desenvolvimentos de IA em andamento.
A ideia central em estudo é a replicação e adaptação autônoma (ARA): um modelo que se implanta e se propaga sem controle humano. Os autores enquadram a variante de curto prazo como um “replicador baseado em peso” – um worm de IA que carrega seus próprios pesos de modelo (ou os baixa novamente de um hub público) e executa inferência diretamente nas máquinas que compromete. Ao contrário do malware tradicional, escrevem eles, esse worm também pode descobrir dispositivos desconhecidos por conta própria.
Uma demonstração de caixas de TV de US$ 55
Para mostrar que o hardware de ponta pode transportar modelos reais, a equipe comprou 15 caixas Android TV baratas de outras marcas – cerca de US$ 55 cada, com cerca de 4 GB de RAM cada – e as conectou em rede. Usando paralelismo de pipeline, com cada caixa contendo uma fração das camadas do modelo, a frota executou Gemma4-26B-A4B a cerca de 0,39 tokens por segundo. É uma velocidade modesta, mas uma demonstração de que modelos abertos surpreendentemente capazes podem funcionar na mesma classe de hardware barato que povoa as salas de estar em todo o mundo.
A escolha do hardware não é acidental. Os pesquisadores citam o botnet Kimwolf, que supostamente infectou mais de dois milhões de dispositivos em seu pico – principalmente caixas de Android TV – de acordo com dados da Synthient citados no post. Se uma frota desse tamanho executasse cópias de um modelo da classe 26B em grupos de 15, a Anthropic estima que isso equivaleria a cerca de 133.000 réplicas, produzindo cerca de 80.000 tokens por segundo no total – aproximadamente a taxa de transferência de inferência de cerca de 40 GPUs H100.
Quatro estágios de um worm de IA
A equipe decompõe a replicação em quatro estágios práticos: encontrar alvos, obter execução, estabelecer inferência e continuar a propagação a partir do novo host. Seus experimentos concentram-se na configuração de inferência – a etapa menos estudada e provavelmente a mais difícil para modelos pequenos, uma vez que requer uma sequência longa e serialmente dependente de decisões específicas de hardware e sistema operacional, desde a escolha de uma pilha de inferência compatível até a depuração de problemas específicos da máquina.
Os resultados foram preocupantes. Um modelo de parâmetros 9B obteve inferência em execução em 8 dos 9 tipos de hardware testados, abrangendo Jetson Nanos, Macs e RTX 4090s. Modelos com parâmetros de 30B ou menos já podem completar muitas das etapas individuais de replicação hoje, escrevem os autores, embora cometam erros ao compô-los de ponta a ponta. Notavelmente, um replicador baseado em peso nem precisaria de privilégios de root: os mecanismos de inferência podem ser executados inteiramente no espaço do usuário, e os tipos de dispositivos de baixa segurança em questão podem simplesmente ser reinfectados após uma reinicialização.
Um modelo passou no teste de ponta a ponta
O experimento principal colocou modelos em uma nuvem privada virtual protegida por firewall de oito nós GCP executando redroid, um emulador do Android 15. Um nó "paciente zero" foi semeado com o worm, que então teve que saltar de nó em nó através de uma porta ADB não autenticada, entregar sua carga útil - pesos e equipamentos - e montar um servidor de inferência servindo Llama3.1-8B em cada novo host.
Dos modelos de peso aberto testados, apenas o GLM-5.2 foi capaz de replicação completa de ponta a ponta nesta configuração simplificada, e o fez de forma confiável: espalhou-se por todos os 8 nós em 4 de 5 testes e 7 de 8 na execução restante. Os pesquisadores são cuidadosos sobre o que isso significa – como o elemento de exploração cibernética foi mantido trivial (não houve autenticação na porta ADB), a avaliação é um limite superior para o sucesso no mundo real. Mas eles também observam que botnets IoT anteriores, como o Mirai, se espalhavam usando pouco mais do que nomes de usuário e senhas padrão do fabricante, portanto, a segurança da IoT no mundo real pode não ser dramaticamente mais difícil do que a etapa banalizada.
Lento, persistente - e aprendendo
Nada neste modelo de ameaça é rápido. Com base nas velocidades reais de hardware da equipe, um ciclo completo de replicação em novo hardware levou cerca de 28 a 51 horas para Qwen3.5-9B e 71 a 150 horas para uma configuração Gemma4-26B-A4B não otimizada. A propagação, escrevem os autores, seria “lenta e persistente, com tokens sendo espalhados pelo hardware de ponta” – eles comparam um replicador a um bolor viscoso ou a um enxame de moscas da fruta, em vez de um verme em movimento rápido.
O que poderia tornar os replicadores de IA mais perigosos do que os worms clássicos é a adaptação. Como uma instância pai pode passar seus prompts, códigos e notas para suas filhas, os pesquisadores descrevem uma espécie de evolução lamarckiana. Em um experimento, agentes Qwen3.5-9B que tentaram configurar inferências ao longo de seis gerações – cada um herdando notas de seu antecessor – melhoraram sua taxa de sucesso de 45% na primeira geração para entre 61 e 84% depois. Os experimentos usaram o Memento, um equipamento Anthropic construído sobre o agente de codificação Pi de código aberto, projetado para impedir que os agentes se fixem em uma teoria errada de um bug, em vez de voltarem atrás.
Uma janela de fechamento
A equipe esboça a zona de perigo em dois limites: um limite de capacidade acima do qual o modelo deve ficar para replicar de maneira confiável e um limite de tamanho sob o qual ele deve ficar para funcionar nos dispositivos que ataca. Hoje, esses limites não se cruzam – os modelos capazes são demasiado grandes e os modelos pequenos não são suficientemente capazes. Traçando modelos de peso aberto de parâmetros de 30B ou menos em relação ao Epoch Capabilities Index, os pesquisadores medem um ganho de 13,7 pontos ECI por ano e estimam que, se a tendência se mantiver, um modelo pequeno alcançará o nível de capacidade do GLM-5.2 até o final de 2026 – com pequenos replicadores baseados em peso se tornando possíveis logo depois. Eles enfatizam que esta é uma estimativa aproximada baseada em uma métrica proxy.
A postagem também mapeia modelos de ameaças adjacentes – replicadores de fronteira executados na infraestrutura do próprio laboratório, replicadores de peso aberto que iniciam sem monitoramento e replicadores baseados em API que roubam credenciais para sua própria inferência – e alerta que o pior caso realista é um enxame de modelos diferentes em hardware diferente usando esquemas diferentes. A Anthropic termina explicando como os worms de IA seriam diferentes dos malwares pré-IA e breves sugestões de defesas, enquadrando o trabalho como uma visão antecipada de uma ameaça que é mais fácil de estudar antes que ela amadureça.
---
Fique à frente da IAReceba as últimas notícias, análises e avanços sobre IA — tudo em um só lugar.
Leia mais notícias sobre IA →
