El Frontier Red Team de Anthropic señala que los modelos compactos de IA podrían estar a solo meses de copiarse a sí mismos en gadgets domésticos baratos conectados a internet, sin necesidad de un centro de datos. Los investigadores advirtieron que este escenario sería muy difícil de controlar, ya que los modelos serían difíciles de apagar al no existir ningún punto central de autoridad.

Los hallazgos se publicaron en un artículo de investigación el 12 de octubre en el sitio web de Anthropic, y tienen implicaciones para cualquier persona que use electrodomésticos inteligentes en casa o en una pequeña empresa.

Quince cajas de TV baratas, un modelo de 26 mil millones de parámetros

Los investigadores William Zhou y Daniel Freeman demostraron el riesgo potencial al conectar 15 cajas de Android TV de marcas genéricas para ejecutar Gemma4-26B-A4B, un modelo con 26 mil millones de parámetros. Cada caja costó unos 55 dólares e incluía 4GB de RAM. El equipo distribuyó las capas del modelo entre los dispositivos mediante una técnica conocida como paralelismo de tubería (pipeline parallelism).

El conjunto de 15 cajas de Android produjo en conjunto solo 0.39 tokens por segundo, demasiado lento para cualquier uso práctico como chatbot. Sin embargo, los investigadores argumentaron que un gusano que se autorreplica no necesita operar a alta velocidad en una sola máquina, y de hecho se beneficiaría más de alcanzar una gran cantidad de dispositivos.

También señalaron Kimwolf, un botnet que infectó más de dos millones de televisores Android, en su mayoría de marcas genéricas, como ejemplo de cuántos dispositivos mal protegidos son blancos fáciles en los hogares. Ese episodio apunta a la otra mitad del escenario: para un modelo que se autorreplica importa menos su velocidad de ejecución que cuántos dispositivos baratos, siempre en línea y débilmente protegidos puede atravesar — las mismas condiciones que permitieron que botnets como Kimwolf se arraigaran en primer lugar.

Ninguno de los modelos probados pudo replicarse de manera confiable en otro dispositivo manteniéndose lo suficientemente pequeño para ejecutarse en un smart TV. Los investigadores esperan que esa brecha se cierre para finales de 2026 si los modelos abiertos ligeros continúan avanzando al ritmo actual, una proyección que brinda a los fabricantes de dispositivos, operadores de red y equipos de seguridad un cronograma concreto a vigilar.

Replicación en cuatro pasos, y un modelo que lo logró

Anthropic dividió el proceso de replicación en cuatro etapas distintas: identificar objetivos, adquirir la capacidad de ejecutar código, configurar la inferencia y luego repetir el proceso desde cada dispositivo recién infectado.

Los investigadores dejaron de lado en gran medida los pasos iniciales de hacking, citando trabajos anteriores que muestran que los modelos pequeños ya pueden realizar explotaciones cibernéticas. En cambio, se centraron en la tercera etapa, la configuración de la inferencia, que implica una larga serie de decisiones específicas del hardware.

Para probar todo el proceso, el equipo configuró una red aislada de ocho nodos de Google Cloud, cada uno ejecutando un emulador de Android Un gusano precargado se propagó entre los nodos a través de un puerto de Android Debug Bridge sin seguridad antes de configurar un servidor para ejecutar Llama3.1-8B. Entre los modelos de pesos abiertos probados, solo GLM-5.2, desarrollado por la empresa china Z.ai, completó el ciclo completo de replicación, alcanzando los ocho nodos en cuatro de las cinco ejecuciones.

Los modelos se volvieron más exitosos al configurarse a sí mismos a medida que se propagaban entre generaciones. Cuando las instancias del modelo Qwen3.5-9B de 9 mil millones de parámetros pasaron notas de configuración a sus sucesores, la tasa de éxito aumentó del 45% en la primera generación a entre el 61% y el 84% en las generaciones posteriores. Este salto generacional importa porque demuestra que el conocimiento puede transmitirse: cada nueva instancia hereda notas de configuración funcionales en lugar de resolver el rompecabezas del hardware desde cero.

Por qué un gusano descentralizado es difícil de eliminar

La velocidad bruta no es la principal preocupación en este escenario, una distinción que Anthropic se encargó de explicar. La empresa estima que configurar el modelo de 26B en las cajas de TV tomaría entre 71 y 150 horas. El mayor riesgo radica en la persistencia: sin un servidor central ni un operador humano que apague el sistema, podría evadir los métodos habituales para contenerlo y desactivarlo.

Roman V. Yampolskiy, experto en IA y ciberseguridad de la Universidad de Louisville, calificó los hallazgos de muy importantes. Argumentó que los gusanos impulsados por IA podrían ir más allá del malware tradicional al razonar sobre dispositivos desconocidos, adaptarse cuando un enfoque falla y seguir propagándose sin intervención humana. Aunque no los considera una amenaza existencial hoy, advirtió que su desarrollo es preocupante.

"Los dispositivos IoT del hogar y de las pequeñas empresas podrían ser el primer objetivo de tales ataques porque están conectados a internet y, históricamente, han tenido medidas de seguridad mínimas", escribieron Zhou y Freeman en el artículo de Anthropic.

Los defensores aún tienen ventaja

Anthropic comparó la tarea defensiva con contener un brote, con el objetivo de mantener por debajo de uno el número promedio de nuevas infecciones causadas por cada dispositivo. Los proveedores de internet podrían señalar transferencias de modelos inusualmente grandes o comunicación persistente entre dispositivos, mientras que los honeypots podrían usarse para capturar el código de un gusano.

El informe cita la prohibición del Reino Unido sobre contraseñas predeterminadas en dispositivos inteligentes como una forma eficaz de reducir la cantidad de dispositivos vulnerables disponibles para los atacantes — una medida del lado de la oferta que reduce el grupo de puntos de entrada de los que dependería un modelo que se autorreplica.

Anthropic también declaró que aún no ha observado un replicador rebelde funcional, y describió la evidencia actual solo como "señales de vida". La empresa publicó la investigación junto con una afirmación separada de que nuevas salvaguardas habían reducido la destilación entre un 90% y un 99%.