La advertencia de Anthropic sobre IA autorreplicante pone la seguridad del IoT contra reloj
Anthropic ha emitido una advertencia específica sobre la IA autorreplicante tras probar modelos en 15 decodificadores Android TV económicos. Los modelos pequeños no crearon un gusano autónomo completo. Sin embargo, los experimentos sugieren que la brecha de capacidad restante podría cerrarse en cuestión de meses.
Esa distinción importa. Anthropic mostró que los modelos compactos pueden configurar la inferencia en hardware desconocido y completar varios pasos necesarios para la replicación. Un modelo mucho mayor completó una secuencia simplificada de principio a fin, pero se ejecutó fuera de los dispositivos infectados.
El resultado no es ni un organismo digital funcional ni una demostración convencional de malware. Es un primer mapa de cómo los agentes de IA adaptables podrían combinarse con la débil seguridad que rodea a millones de productos conectados.
Los gusanos tradicionales como Mirai se propagan aplicando instrucciones fijas contra objetivos conocidos. El replicador basado en pesos propuesto por Anthropic llevaría un modelo de IA, o recuperaría uno, y adaptaría sus acciones a cada dispositivo. Esa flexibilidad genera el conflicto central: el gusano sigue siendo poco práctico hoy, pero los componentes necesarios para construirlo mejoran por separado.
Lo que realmente mostraron las pruebas de IA autorreplicante de Anthropic
Anthropic demostró elementos importantes de una cadena de replicación basada en IA, pero no demostró un gusano autónomo de modelo pequeño.
El equipo Frontier Red Team de la empresa publicó su investigación sobre replicación el 12 de octubre de 2026. Los investigadores William Zhou y Daniel Freeman se centraron en modelos que operan sin acceso continuo a hardware de centros de datos.
La amenaza propuesta es un replicador basado en pesos. Se trata de malware que incorpora los pesos del modelo, los parámetros numéricos que definen un modelo de IA, como parte de su carga útil. También podría descargar esos pesos después de comprometer una nueva máquina.
Los investigadores dividieron la replicación en cuatro etapas. Un agente debe localizar un objetivo, obtener capacidad de ejecución, establecer inferencia local y seguir propagándose desde el host infectado.
Anthropic se concentró en la tercera etapa. Establecer la inferencia implica instalar software compatible, cargar un modelo y generar resultados en el hardware comprometido. El proceso se complica cuando los dispositivos utilizan procesadores, sistemas operativos, dependencias o configuraciones de memoria desconocidos.
Un experimento distribuyó Gemma4-26B-A4B de Google DeepMind entre 15 decodificadores Android TV de marcas desconocidas. Cada uno tenía 4GB de memoria. En conjunto, los dispositivos ejecutaron el modelo a 0,39 tokens por segundo.
La cuantización ayudó a hacerlo posible. La cuantización representa los parámetros del modelo con menos bits, reduciendo los requisitos de memoria a costa de cierta precisión. Los investigadores también fragmentaron el modelo, lo que significa que distintos dispositivos almacenaban y procesaban capas diferentes.
Un segundo experimento probó si Qwen3.5-9B podía configurar inferencia en hardware diverso. El modelo de 9.000 millones de parámetros tuvo éxito en ocho de nueve tipos de hardware, desde dispositivos integrados hasta ordenadores convencionales.
Ese hallazgo aborda una diferencia importante entre los agentes de IA y el malware convencional. Un gusano fijo normalmente incluye código escrito para arquitecturas y entornos de software específicos. Un agente de IA puede inspeccionar un sistema desconocido, seleccionar herramientas, modificar comandos y depurar algunos errores.
Anthropic también construyó una red cerrada con ocho dispositivos Android emulados. El paso de intrusión se simplificó deliberadamente, lo que permitió a los investigadores centrarse en la configuración de la inferencia y la propagación.
GLM-5.2 completó la secuencia de replicación simplificada en los ocho dispositivos en cuatro de cinco pruebas. Sin embargo, ese modelo se ejecutó en un servidor de inferencia independiente porque los objetivos emulados no podían alojarlo.
Durante esas pruebas, GLM-5.2 instaló y lanzó un modelo Llama más pequeño en cada objetivo. Por tanto, orquestó la replicación sin convertirse en la carga útil pequeña y autónoma descrita en la advertencia más amplia de Anthropic.
El resultado establece dos capacidades independientes. Los modelos pequeños pueden ejecutarse en hardware limitado, mientras que los modelos más grandes pueden coordinar una cadena de replicación simplificada. El experimento no combinó ambas capacidades dentro de un único modelo pequeño autónomo.
Esa brecha sin resolver es la razón por la que la advertencia merece una cobertura cuidadosa. El escenario de IA autorreplicante de Anthropic se basa en parte en componentes demostrados y en parte en mejoras proyectadas.
Por qué el hardware IoT barato cambia el modelo de amenaza
El cambio importante no es que los electrodomésticos inteligentes se hayan convertido de repente en ordenadores capaces, sino que suficientes dispositivos débiles pueden alojar colectivamente a un agente adaptable.
Los productos del Internet de las cosas llevan mucho tiempo atrayendo a operadores de botnets. Muchos siguen conectados durante años, reciben actualizaciones irregulares y exponen servicios que sus propietarios nunca inspeccionan. Los reproductores multimedia Android de bajo coste son un ejemplo especialmente visible.
Estos dispositivos rara vez contienen los aceleradores utilizados para servicios comerciales de IA. De forma individual, también ofrecen poca memoria o capacidad de procesamiento. El experimento de Anthropic muestra que la fragmentación de modelos puede convertir un grupo de máquinas limitadas en un sistema de inferencia distribuido.
Ese sistema era extremadamente lento. Anthropic estimó que Gemma4-26B-A4B necesitaría entre 71 y 150 horas para completar una trayectoria de configuración de inferencia. Qwen3.5-9B necesitaría entre 28 y 51 horas.
Lento no significa necesariamente inofensivo. Un reproductor multimedia abandonado puede permanecer en línea durante meses sin llamar la atención. Un gusano que opera sin un plazo humano podría tolerar días de cómputo antes de intentar su siguiente movimiento.
Anthropic estima que un gusano exitoso de modelo pequeño podría tener inicialmente un tiempo de duplicación medido en días. Ese ritmo parece modesto frente a brotes convencionales que se propagan en cuestión de horas. La persistencia, adaptabilidad y ausencia de un servicio central seguirían complicando su eliminación.
Los agentes alojados en la nube dependen de infraestructura que los defensores pueden identificar e interrumpir. Los proveedores pueden revocar credenciales, bloquear cuentas, limitar solicitudes, retirar modelos o colaborar con investigadores. Un replicador basado en pesos trasladaría parte de esa inteligencia al hardware comprometido.
Ningún proveedor de API controlaría cada copia. Derribar un servidor de mando no necesariamente desactivaría las réplicas que ya se ejecutan localmente. La erradicación completa podría requerir limpiar dispositivos de numerosos fabricantes, redes y jurisdicciones.
La capacidad de cómputo disponible seguiría siendo limitada. Anthropic utilizó una botnet histórica de más de dos millones de dispositivos para ilustrar la escala. Agrupar tantos decodificadores de TV en clústeres de 15 dispositivos produciría aproximadamente 133.000 réplicas de modelos.
Sin embargo, la capacidad de inferencia combinada equivaldría a solo unas 40 GPU Nvidia H100 bajo los supuestos de Anthropic. Se trata de una pequeña cantidad de cómputo centralizado distribuida por una red enorme y difícil de gestionar.
La comparación explica por qué la amenaza probable no es un superordenador oculto. Es una gran población de agentes lentos que pueden seguir intentándolo, compartir descubrimientos útiles y sobrevivir a una limpieza parcial.
Cada copia exitosa podría heredar prompts, código y notas de su progenitor. Anthropic describe esto como evolución lamarckiana, en la que las adaptaciones adquiridas pasan directamente a instancias posteriores.
Un intento fallido en un dispositivo podría, por tanto, ayudar a otra copia a evitar el mismo error. El siguiente agente podría reutilizar una dependencia funcional, modificar un comando de instalación o reconocer un patrón de hardware.
Este ciclo de aprendizaje da a los gusanos de IA una posible ventaja frente a las botnets fijas. El malware convencional puede recibir actualizaciones de sus operadores, pero normalmente no razona sobre cada objetivo ni documenta fallos por sí solo.
La ventaja sigue siendo hipotética en este contexto concreto. Anthropic no probó una botnet de IA que resistiera activamente a los defensores, ni mostró una adaptación autónoma a través de internet abierto. Aun así, el mecanismo identifica dónde se encuentran las debilidades habituales del IoT con las capacidades cada vez mayores de los agentes.
La capacidad y el hardware aún no coinciden
La barrera actual es un desajuste entre los modelos lo bastante inteligentes para replicarse de manera fiable y los modelos lo bastante pequeños para residir en los dispositivos objetivo.
Anthropic describe este problema como un suelo y un techo. El umbral de capacidad marca la habilidad de razonamiento necesaria para completar una cadena de replicación. El techo de hardware marca el mayor modelo que los dispositivos comprometidos pueden ejecutar de forma realista.
GLM-5.2 superó el umbral de capacidad en la evaluación simplificada. Qwen3.5-9B y Gemma4-26B-A4B se situaron por debajo del techo de hardware de los decodificadores de TV probados. Ningún modelo evaluado cumplió ambos requisitos.
Los modelos con 30.000 millones de parámetros o menos completaron muchas tareas individuales de replicación. Sin embargo, seguían cometiendo errores cuando esas tareas debían componerse en una sola secuencia larga y dependiente.
Ese problema de composición es importante. Un agente debe inspeccionar el objetivo, elegir software de inferencia compatible, instalar dependencias, gestionar el almacenamiento, resolver errores y confirmar que el servicio funciona. Un error al inicio del proceso puede invalidar todos los pasos posteriores.
Anthropic descubrió que las dependencias en serie dificultaban la recuperación. Los modelos pequeños a veces completaban tareas aisladas, pero perdían de vista el objetivo más amplio durante trayectorias más largas.
Dar a los modelos pequeños acceso a un asesor más potente no resolvió el problema. Qwen3.5-9B tuvo dificultades para reconocer cuándo necesitaba ayuda y a menudo formulaba preguntas ineficaces. Los consejos no solicitados de un modelo de frontera no produjeron ninguna mejora medible.
Este resultado debilita una vía aparentemente sencilla hacia la replicación autónoma. Un modelo pequeño no puede tomar prestada automáticamente una mayor inteligencia solo porque haya disponible un servicio más potente. Debe reconocer el problema, comunicar contexto útil y aplicar correctamente la respuesta.
No obstante, Anthropic espera que la brecha se reduzca. Los investigadores compararon modelos pequeños de pesos abiertos mediante el Epoch Capabilities Index, una medida general de la capacidad de IA. Su tendencia ajustada mejoró 13,7 puntos del índice al año.
Extender esa tendencia situaría a un modelo de menos de 30.000 millones de parámetros cerca del nivel de capacidad de GLM-5.2 para finales de 2026. Anthropic afirma que los pequeños replicadores basados en pesos podrían ser posibles poco después.
Esa previsión no es una cuenta atrás. El índice mide la capacidad general, no la habilidad de replicación, y la proyección extrapola a partir de lanzamientos históricos de modelos. El progreso futuro podría ralentizarse, acelerarse o mejorar tareas no relacionadas con la propagación autónoma.
El hardware también sigue cambiando. Las cámaras de seguridad, los sistemas de videoconferencia, los dispositivos de red y la electrónica de consumo incorporan cada vez más procesadores diseñados para IA local. Chips de borde más capaces podrían elevar el techo de hardware incluso sin que los modelos pequeños se vuelvan más inteligentes.
La optimización de software puede producir un efecto similar. Una mejor cuantización, motores de inferencia y ejecución distribuida podrían permitir que los modelos actuales operen en dispositivos que hoy no pueden alojarlos.
Estos avances presionan a los fabricantes de dispositivos y a los equipos de seguridad empresarial. Sus supuestos de planificación a menudo tratan los dispositivos conectados como endpoints de poco valor. Un modelo adaptable los valoraría como almacenamiento, cómputo, persistencia y puntos de apoyo.
Los desarrolladores de modelos de pesos abiertos también enfrentan una disyuntiva difícil. Los modelos locales respaldan la investigación, la privacidad, el funcionamiento sin conexión y el control de los usuarios. La misma portabilidad permite que el malware se ejecute sin que un proveedor aplique políticas de uso.
La advertencia de Anthropic no debe reducirse a un argumento contra los modelos abiertos. Un modelo cerrado aún podría dirigir agentes comprometidos mediante cuentas robadas o servicios expuestos. Un atacante futuro también podría combinar un gran planificador remoto con numerosos trabajadores locales pequeños.
La distinción más útil se refiere a los puntos de control. Los sistemas alojados proporcionan controles centralizados, pero concentran infraestructura valiosa. Los sistemas locales eliminan algunas dependencias centrales, al tiempo que convierten cada dispositivo comprometido en un posible entorno de ejecución.
El experimento deja una amplia brecha de verificación
El riesgo principal es lo bastante creíble como para investigarlo, pero el sistema demostrado sigue estando muy lejos del gusano autónomo descrito en la previsión.
La limitación más evidente afecta al acceso inicial. Los objetivos Android físicos y emulados de Anthropic exponían Android Debug Bridge sin autenticación. ADB proporciona acceso profundo al dispositivo y no debería estar disponible de esa manera en producción.
Esta configuración permitió a los investigadores simplificar la explotación. La decisión tenía sentido porque el estudio se centraba en la inferencia, pero también eliminó un obstáculo importante al que se enfrenta el malware real.
Trabajos anteriores sugieren que los agentes de IA ya pueden descubrir y explotar algunas vulnerabilidades de red. Un estudio de gusanos adaptativos de junio de 2026 probó agentes en sistemas Linux, Windows e IoT. Su prototipo generó estrategias de ataque específicas para cada objetivo y utilizó máquinas comprometidas para la inferencia.
Aun así, el éxito en una red controlada no demuestra un rendimiento fiable en la Internet pública. Los objetivos reales incluyen herramientas defensivas, conexiones inestables, límites de almacenamiento, firmware inusual y arquitecturas ausentes de los entornos de prueba.
La siguiente limitación se refiere a la autonomía. Los investigadores indicaron a los modelos que completaran una tarea de replicación. No demostraron que un modelo desplegado decidiría de forma independiente reproducirse, seleccionar víctimas o perseguir su propio objetivo persistente.
El investigador de IA Xiaohan Fu destacó esta distinción en la cobertura de seguridad original. Fu sostuvo que disponer de prompts y configuraciones de agentes reproducibles ayudaría a terceros a evaluar los hallazgos.
Esa solicitud va al núcleo de la controversia. La capacidad de seguir una instrucción de replicación es distinta de la tendencia a iniciar una replicación sin recibirla.
La expresión «IA autorreplicante» puede difuminar esos conceptos. Un gusano informático se autorreplica porque su software ejecuta automáticamente una rutina de propagación. No necesita conciencia, autopreservación ni un deseo interno de expandirse.
Por lo tanto, un futuro gusano de IA podría ser peligroso sin elegir su propia misión. Un operador humano podría proporcionar el objetivo una sola vez, mientras el agente se encarga de descubrir objetivos, adaptarse y propagarse.
A la inversa, demostrar que un modelo puede instalar otro modelo no prueba que pueda sostener una campaña sin control. Aún necesita objetivos fiables, persistencia, acceso para explotar vulnerabilidades, comunicaciones y capacidad de recuperarse de fallos.
Anthropic también consideró su evaluación simplificada como un límite superior del rendimiento en el mundo real. El modelo conocía la tarea, el entorno estaba restringido y el paso de explotación ofrecía poca resistencia.
La lenta velocidad de inferencia añade otro obstáculo práctico. Los intentos de configuración que duran varios días dan más tiempo a que los dispositivos se reinicien, las redes cambien, los propietarios desconecten equipos o los sistemas de monitorización detecten tráfico inusual.
Mover los pesos del modelo también crea una huella visible. Las descargas de varios gigabytes a electrodomésticos destacarían, especialmente cuando los dispositivos comiencen a enviar tráfico sostenido a pares con los que rara vez contactan.
La inferencia distribuida introduce costes adicionales de coordinación. Un clúster de 15 dispositivos debe mantener sus fragmentos disponibles y sincronizados. La pérdida de una máquina necesaria podría interrumpir el modelo, a menos que el gusano mantenga redundancia o reorganice su carga de trabajo.
Estas limitaciones no eliminan la advertencia. Definen los problemas de ingeniería que un atacante debe resolver, y varios se están reduciendo a medida que mejoran los modelos y el hardware de borde.
La conclusión responsable es acotada. Anthropic demostró suficiente infraestructura como para justificar la preparación, pero no lo suficiente como para afirmar que ya existe un gusano autónomo de modelo pequeño.
Los gusanos de IA presionarían a los defensores de otra manera
Los defensores se enfrentarían a un problema conocido de botnets con una capa de adaptación desconocida, no a una nueva forma de vida imparable.
Las botnets IoT convencionales suelen buscar dispositivos que cumplan condiciones conocidas. Intentan usar credenciales o exploits fijos, instalan una carga útil compacta y esperan órdenes. Los defensores pueden estudiar ese comportamiento y bloquear indicadores recurrentes.
Un gusano de IA podría variar sus acciones tras inspeccionar un objetivo. Podría elegir un binario compatible, modificar un script, buscar documentación local o abandonar una ruta improductiva. Esa variabilidad podría reducir el valor de las firmas estáticas.
El gusano también podría separar la planificación de la ejecución. Un modelo más capaz podría desarrollar la estrategia, mientras agentes más pequeños realizan tareas acotadas en dispositivos comprometidos. Anthropic considera esta disposición más plausible que los modelos débiles que consultan a asesores solo cuando se atascan.
Por ello, los equipos de seguridad tendrían que vigilar el comportamiento en lugar de depender exclusivamente de muestras de malware conocidas. Archivos de modelos inesperados, entornos de ejecución de inferencia, actividad de compiladores o tráfico entre pares podrían convertirse en señales útiles.
La visibilidad de la red sigue siendo una de las mayores ventajas de los defensores. Una replicación más rápida requiere más exploración, descargas y coordinación. Esas actividades generan anomalías en proveedores de Internet, puertas de enlace empresariales y plataformas de gestión de dispositivos.
Los honeypots podrían capturar las herramientas e instrucciones del replicador. Un honeypot es un sistema señuelo diseñado para atraer atacantes y registrar su comportamiento. Los investigadores podrían utilizar los prompts, modelos y scripts capturados para desarrollar detecciones.
La contención también cuenta con respaldo histórico. Una investigación citada por Anthropic halló que un proveedor de Internet eliminó el 92 por ciento de las infecciones Mirai observadas en un plazo de 14 días. Los clientes fueron puestos en cuarentena y dirigidos a instrucciones de limpieza.
La comparación no garantiza un éxito equivalente frente a agentes adaptables. Sí muestra que la notificación coordinada y las restricciones de red pueden reducir una infección distribuida sin llegar simultáneamente a todos los dispositivos.
Los fabricantes de dispositivos controlan otra capa importante. Credenciales únicas, actualizaciones firmadas, interfaces de depuración desactivadas, arranque seguro y canales de parches compatibles reducen las oportunidades tanto para la IA como para el malware convencional.
El Reino Unido ya prohíbe las contraseñas predeterminadas universales bajo sus normas de seguridad de productos. Requisitos similares pueden reducir el conjunto de dispositivos disponibles para ataques automatizados.
Las empresas también deberían revisar sus inventarios de activos. Un televisor, una cámara o un equipo de videoconferencia pueden quedar fuera de la gestión habitual de endpoints, pese a mantener acceso a redes sensibles.
Separar esos dispositivos de los sistemas de los empleados limita el movimiento lateral. Restringir las conexiones salientes puede impedir que un dispositivo recupere pesos de modelos, explore redes externas o se una a un clúster de inferencia distribuida.
Los equipos de seguridad necesitarán registros que conecten propietarios de dispositivos, estado del firmware, ubicación de red y procedimientos de respuesta. Una base de conocimiento con capacidad de búsqueda puede respaldar ese trabajo cuando la documentación está dispersa entre archivos locales.
Los desarrolladores de modelos afrontan una presión distinta. Pueden evaluar sistemas más pequeños en busca de capacidad cibernética, publicar limitaciones medidas y evitar tratar el número de parámetros como una frontera de seguridad suficiente.
Un modelo compacto con un uso sólido de herramientas puede generar más riesgo que un modelo mayor sin agencia fiable. Las evaluaciones deberían probar ejecución de largo horizonte, recuperación de errores, entornos desconocidos y comportamientos relacionados con la propagación.
Los responsables de políticas deberían evitar presentar el asunto como un problema puramente de IA. La débil seguridad de los dispositivos proporciona los anfitriones, mientras que los agentes capaces aumentan la adaptabilidad. Una regulación que aborde solo los modelos dejaría intacta la superficie de ataque subyacente.
Tres señales mostrarán si la advertencia se está haciendo realidad
Las próximas pruebas deberían proceder de ensayos reproducibles de capacidad, defensas en el mundo real y cambios en el hardware de borde, no de predicciones más amplias sobre una IA descontrolada.
La primera señal sería un modelo pequeño que complete la secuencia completa de replicación en hardware realista. Tendría que localizar objetivos, obtener acceso, instalarse, establecer la inferencia y seguir propagándose.
La evaluación no debería depender de acceso de depuración sin autenticación ni de un modelo externo más potente. Los investigadores independientes también deberían recibir suficientes prompts, configuraciones y registros para reproducir el resultado.
Esa demostración reforzaría la previsión central de Anthropic. Los fallos repetidos en condiciones realistas debilitarían el calendario planteado, incluso si las tareas individuales de replicación siguieran mejorando.
La segunda señal sería malware que utilizara inferencia local de IA durante una campaña IoT real. Los investigadores deberían buscar pesos de modelos, motores de inferencia, scripts adaptativos o prompts capturados en dispositivos comprometidos.
No bastaría con que botnets ordinarias añadieran una etiqueta relacionada con la IA. El agente debe cambiar su comportamiento según el objetivo o utilizar razonamiento local para sostener la propagación.
Encontrar esa infraestructura en entornos reales llevaría el debate más allá de la capacidad de laboratorio. Su ausencia no demostraría seguridad, pero ayudaría a distinguir el riesgo operativo inmediato de una preocupación de investigación a más largo plazo.
La tercera señal es una respuesta medible de fabricantes y operadores de red. Entre las pruebas útiles se incluyen la desactivación de la depuración en producción, credenciales únicas, actualizaciones firmadas, aislamiento de dispositivos y detecciones de transferencias de modelos inusuales.
Los proveedores de Internet pueden vigilar el tráfico sostenido entre electrodomésticos que rara vez intercambian archivos grandes. Las empresas pueden marcar entornos de ejecución de IA inesperados en sistemas embebidos y bloquear el descubrimiento de pares no autorizado.
Estas medidas debilitarían la amenaza al reducir los anfitriones disponibles y elevar el coste de cada infección. Los agentes lentos no pueden persistir si su tasa de reproducción cae por debajo de la tasa de reemplazo.
La investigación de Anthropic sobre IA autorreplicante ofrece a los defensores una ventana precisamente porque su prototipo sigue incompleto. Esperar a que exista un gusano funcional supondría ceder esa ventaja.
La cuestión práctica ya no es si un horno desarrollará espontáneamente intenciones. Es si los atacantes pueden combinar debilidades existentes de IoT con modelos que depuran, se adaptan y persisten sin supervisión constante.
Los desarrolladores deberían exigir evaluaciones reproducibles. Los fabricantes deberían eliminar puntos de entrada evidentes. Los compradores empresariales deberían tratar los productos conectados de larga duración como ordenadores gestionados, no como accesorios desechables.
Durante los próximos meses, observe la brecha de capacidad entre los modelos pequeños y la replicación integral exitosa. Si esa brecha se cierra en condiciones realistas, la advertencia de Anthropic se convertirá en un plazo operativo de seguridad.
