Il Frontier Red Team di Anthropic afferma che i modelli AI compatti potrebbero essere a pochi mesi dal copiarsi autonomamente su dispositivi domestici economici connessi a Internet, senza il coinvolgimento di alcun data center. I ricercatori hanno avvertito che uno scenario del genere sarebbe molto difficile da controllare, perché i modelli sarebbero difficili da spegnere in assenza di un punto centrale di autorità.

I risultati sono apparsi in un articolo di ricerca pubblicato il 12 ottobre sul sito web di Anthropic, e hanno implicazioni per chiunque utilizzi elettrodomestici intelligenti a casa o in una piccola impresa.

Quindici TV box economici, un modello da 26 miliardi di parametri

I ricercatori William Zhou e Daniel Freeman hanno dimostrato il rischio potenziale collegando 15 Android TV box di marchi secondari per eseguire Gemma4-B-A4B, un modello con 26 miliardi di parametri. Ogni box costava circa 55 dollari ed era dotato di 4GB di RAM. Il team ha distribuito i livelli del modello sui dispositivi utilizzando una tecnica nota come pipeline parallelism.

L'insieme dei 15 Android box ha prodotto complessivamente solo 0,39 token al secondo, troppo lento per qualsiasi uso pratico come chatbot. I ricercatori hanno tuttavia sostenuto che un worm auto-diffondente non ha bisogno di operare ad alta velocità su una singola macchina, e anzi trarrebbe maggior beneficio dal raggiungere un gran numero di dispositivi.

Hanno inoltre indicato Kimwolf, una botnet che ha infettato più di due milioni di Android TV per lo più di marchi secondari, come esempio di quanti dispositivi mal protetti siano facile preda nelle case delle persone. Quell'episodio evidenzia l'altra metà dello scenario: per un modello auto-diffondente conterebbe meno la velocità di esecuzione che il numero di dispositivi economici, sempre online e debolmente protetti attraverso cui può propagarsi — le stesse condizioni che hanno permesso a botnet come Kimwolf di affermarsi in primo luogo.

Nessuno dei modelli testati è riuscito a replicarsi in modo affidabile su un altro dispositivo restando abbastanza piccolo da girare su uno smart TV. I ricercatori si aspettano che questo divario si colmi entro la fine del 2026 se i modelli open leggeri continueranno a progredire al ritmo attuale, una proiezione che offre a produttori di dispositivi, operatori di rete e team di sicurezza una tempistica concreta da monitorare.

Replicazione in quattro passi, e un modello che ci è riuscito

Anthropic ha suddiviso il processo di replicazione in quattro fasi distinte: identificare i bersagli, acquisire la capacità di eseguire codice, configurare l'inferenza e infine ripetere il processo da ciascun dispositivo appena infettato.

I ricercatori hanno in gran parte messo da parte le fasi iniziali di hacking, citando lavori precedenti che mostrano come i piccoli modelli siano già in grado di eseguire exploit informatici. Si sono concentrati invece sulla terza fase, la configurazione dell'inferenza, che comporta una lunga serie di decisioni specifiche per l'hardware.

Per testare l'inter processo, il team ha allestito una rete isolata di otto nodi Google Cloud, ciascuno con un emulatore Android. Un worm preinstallato si è diffuso tra i nodi tramite una porta Android Debug Bridge non protetta, prima di configurare un server per eseguire Llama3.1-8B. Tra i modelli open-weight testati, solo GLM-5.2, sviluppato dalla cinese Z.ai, ha completato l'intero ciclo di replicazione, raggiungendo tutti gli otto nodi in quattro delle cinque esecuzioni.

I modelli sono diventati più efficaci nel configurarsi man mano che si diffondevano attraverso le generazioni. Quando le istanze del modello Qwen3.5-9B da 9 miliardi di parametri trasmettevano note di configurazione ai loro successori, il tasso di successo è salito dal 45% nella prima generazione a una forbice tra il 61% e l'84% nelle generazioni successive. Il salto generazionale è importante perché dimostra che il know-how può essere tramandato: ogni nuova istanza eredita note di configurazione funzionanti invece di risolvere da zero il rompicapo hardware.

Perché un worm decentralizzato è difficile da eliminare

La velocità pura non è la preoccupazione principale in questo scenario, una distinzione che Anthropic ha curato di spiegare. L'azienda stima che configurare il modello da 26B sui TV box richiederebbe da 71 a 150 ore. Il rischio maggiore risiede nella persistenza: senza un server centrale o un operatore umano che spenga il sistema, questo potrebbe eludere i metodi abituali di contenimento e disattivazione.

Roman V. Yampolskiy, esperto di AI e cybersecurity presso l'Università di Louisville, ha definito i risultati molto importanti. Ha sostenuto che i worm basati su AI potrebbero andare oltre il malware tradizionale ragionando su dispositivi sconosciuti, adattandosi quando un approccio fallisce e continuando a diffondersi senza intervento umano. Sebbene oggi non li consideri una minaccia esistenziale, ha avvertito che il loro sviluppo è preoccupante.

"I dispositivi IoT domestici e delle piccole imprese potrebbero essere il primo bersaglio di tali attacchi perché sono connessi a Internet e, storicamente, hanno avuto misure di sicurezza minime", hanno scritto Zhou e Freeman nellarticolo di Anthropic.

I difensori mantengono comunque un vantaggio

Anthropic ha paragonato il compito difensivo al contenimento di un'epidemia, con l'obiettivo di mantenere al di sotto di uno il numero medio di nuove infezioni causate da ciascun dispositivo. I provider Internet potrebbero segnalare trasferimenti di modelli insolitamente grandi o comunicazioni persistenti tra dispositivi, mentre gli honeypot potrebbero essere usati per catturare il codice di un worm.

Il report cita il divieto del Regno Unito sulle password predefinite per i dispositivi intelligenti come un modo efficace per ridurre il numero di dispositivi vulnerabili disponibili per gli attaccanti — una misura dal lato dell'offerta che riduce il bacino di punti di ingresso da cui dipenderebbe un modello auto-diffondente.

Anthropic ha inoltre dichiarato di non aver ancora osservato un replicatore autonomo funzionante, descrivendo le prove attuali solo come "segni di vita". L'azienda ha pubblicato la ricerca insieme a un'affermazione separata secondo cui le nuove salvaguardie avrebbero ridotto la distillazione del 90-99%.