L’avvertimento di Anthropic sull’IA autoreplicante mette la sicurezza IoT sotto pressione

Anthropic ha lanciato un avvertimento specifico sull’IA autoreplicante dopo aver testato modelli su 15 Android TV box economici. I piccoli modelli non hanno creato un worm autonomo completo. Tuttavia, gli esperimenti suggeriscono che il divario di capacità rimanente potrebbe colmarsi entro pochi mesi.

Questa distinzione è importante. Anthropic ha mostrato che modelli compatti possono configurare l’inferenza su hardware non familiare e completare diversi passaggi necessari alla replicazione. Un modello molto più grande ha completato una sequenza end-to-end semplificata, ma operava al di fuori dei dispositivi infettati.

Il risultato non è né un organismo digitale funzionante né una normale dimostrazione di malware. È una prima mappa di come agenti IA adattabili potrebbero combinarsi con la debole sicurezza che circonda milioni di prodotti connessi.

I worm tradizionali come Mirai si diffondono applicando istruzioni fisse contro bersagli noti. Il replicatore basato sui pesi proposto da Anthropic trasporterebbe un modello IA, oppure ne recupererebbe uno, adattando le proprie azioni a ciascun dispositivo. Questa flessibilità crea il conflitto centrale: il worm resta oggi poco pratico, eppure i componenti necessari per realizzarlo stanno migliorando separatamente.

Cosa hanno effettivamente mostrato i test di Anthropic sull’IA autoreplicante

Anthropic ha dimostrato elementi importanti di una catena di replicazione IA, ma non ha dimostrato un worm autonomo basato su un piccolo modello.

Il Frontier Red Team dell’azienda ha pubblicato la propria ricerca sulla replicazione il 12 ottobre 2026. I ricercatori William Zhou e Daniel Freeman si sono concentrati su modelli operativi senza accesso continuo a hardware da data center.

La minaccia proposta è un replicatore basato sui pesi. Si tratta di malware che include i pesi del modello, ovvero i parametri numerici che definiscono un modello IA, nel proprio payload. Potrebbe anche scaricare tali pesi dopo aver compromesso una nuova macchina.

I ricercatori hanno suddiviso la replicazione in quattro fasi. Un agente deve localizzare un bersaglio, ottenere l’esecuzione, stabilire l’inferenza locale e continuare a propagarsi dall’host infetto.

Anthropic si è concentrata sulla terza fase. Stabilire l’inferenza significa installare software compatibile, caricare un modello e generare output sull’hardware compromesso. Il processo diventa difficile quando i dispositivi utilizzano processori, sistemi operativi, dipendenze o configurazioni della memoria non familiari.

Un esperimento ha distribuito Gemma4-26B-A4B di Google DeepMind su 15 Android TV box senza marchio. Ogni box disponeva di 4GB di memoria. Insieme, i dispositivi eseguivano il modello a 0,39 token al secondo.

La quantizzazione ha contribuito a renderlo possibile. La quantizzazione rappresenta i parametri del modello con un numero inferiore di bit, riducendo i requisiti di memoria a fronte di una certa perdita di accuratezza. I ricercatori hanno inoltre suddiviso il modello in shard, ossia dispositivi diversi memorizzavano ed elaboravano livelli diversi.

Un secondo esperimento ha testato se Qwen3.5-9B fosse in grado di configurare l’inferenza su hardware eterogeneo. Il modello da 9 miliardi di parametri ha avuto successo su otto dei nove tipi di hardware, da dispositivi embedded a computer convenzionali.

Questa scoperta affronta una differenza importante tra gli agenti IA e il malware convenzionale. Un worm fisso normalmente include codice scritto per architetture e ambienti software specifici. Un agente IA può ispezionare un sistema non familiare, selezionare strumenti, modificare comandi e correggere alcuni errori.

Anthropic ha inoltre costruito una rete chiusa contenente otto dispositivi Android emulati. La fase di hacking è stata resa intenzionalmente semplice, consentendo ai ricercatori di concentrarsi sulla configurazione dell’inferenza e sulla propagazione.

GLM-5.2 ha completato la sequenza di replicazione semplificata su tutti e otto i dispositivi in quattro prove su cinque. Tuttavia, il modello operava su un server di inferenza separato perché i bersagli emulati non potevano ospitarlo.

Durante tali prove, GLM-5.2 ha installato e avviato un modello Llama più piccolo su ogni bersaglio. Ha quindi orchestrato la replicazione senza diventare il piccolo payload autosufficiente descritto nell’avvertimento più ampio di Anthropic.

Il risultato stabilisce due capacità distinte. I piccoli modelli possono operare su hardware limitato, mentre modelli più grandi possono coordinare una catena di replicazione semplificata. L’esperimento non ha combinato entrambe le capacità all’interno di un unico piccolo modello autonomo.

Questo divario irrisolto è il motivo per cui l’avvertimento merita una trattazione prudente. Lo scenario di IA autoreplicante di Anthropic si basa in parte su componenti dimostrati e in parte su miglioramenti previsti.

Perché l’hardware IoT economico cambia il modello di minaccia

Il cambiamento importante non è che gli elettrodomestici intelligenti siano improvvisamente diventati computer capaci, ma che un numero sufficiente di dispositivi deboli possa ospitare collettivamente un agente adattabile.

I prodotti dell’Internet delle cose attirano da tempo gli operatori di botnet. Molti restano connessi per anni, ricevono aggiornamenti irregolari ed espongono servizi che i proprietari non ispezionano mai. I media box Android a basso costo sono un esempio particolarmente evidente.

Questi dispositivi raramente contengono gli acceleratori utilizzati dai servizi IA commerciali. Singolarmente, offrono inoltre poca memoria o capacità di elaborazione. L’esperimento di Anthropic mostra che lo sharding del modello può trasformare un gruppo di macchine limitate in un unico sistema di inferenza distribuito.

Quel sistema era estremamente lento. Anthropic ha stimato che Gemma4-26B-A4B avrebbe richiesto tra 71 e 150 ore per completare una traiettoria di configurazione dell’inferenza. Qwen3.5-9B avrebbe richiesto tra 28 e 51 ore.

Lentezza non significa necessariamente innocuità. Un media box abbandonato può restare online per mesi senza attirare attenzione. Un worm che opera senza una scadenza umana potrebbe tollerare giorni di calcolo prima di tentare la mossa successiva.

Anthropic stima che un worm basato su un piccolo modello riuscito potrebbe inizialmente avere un tempo di raddoppio misurato in giorni. Questo ritmo appare modesto rispetto alle epidemie convenzionali che si diffondono nel giro di ore. Persistenza, adattabilità e assenza di un servizio centrale renderebbero comunque più complessa la rimozione.

Gli agenti ospitati nel cloud dipendono da infrastrutture che i difensori possono identificare e interrompere. I fornitori possono revocare credenziali, bloccare account, limitare richieste, rimuovere modelli o collaborare con gli investigatori. Un replicatore basato sui pesi trasferirebbe parte di tale intelligenza sull’hardware compromesso.

Nessun singolo fornitore di API controllerebbe ogni copia. Abbattere un server di comando non disabiliterebbe necessariamente le repliche già operative in locale. L’eradicazione completa potrebbe richiedere la bonifica di dispositivi di molti produttori, reti e giurisdizioni.

La capacità di calcolo disponibile resterebbe comunque limitata. Anthropic ha utilizzato una botnet del passato contenente oltre due milioni di dispositivi per illustrare la scala. Raggruppando tanti TV box in cluster da 15 dispositivi si otterrebbero circa 133.000 repliche del modello.

Eppure, secondo le ipotesi di Anthropic, la capacità di inferenza combinata equivarrebbe a soli circa 40 GPU Nvidia H100. Si tratta di una piccola quantità di calcolo centralizzato distribuita su una rete enorme e difficile da gestire.

Il confronto spiega perché la minaccia probabile non sia un supercomputer nascosto. È una grande popolazione di agenti lenti in grado di continuare a tentare, condividere scoperte utili e sopravvivere a una bonifica parziale.

Ogni copia riuscita potrebbe ereditare prompt, codice e note dal proprio genitore. Anthropic descrive questo fenomeno come evoluzione lamarckiana, in cui gli adattamenti acquisiti passano direttamente alle istanze successive.

Un tentativo fallito su un dispositivo potrebbe quindi aiutare un’altra copia a evitare lo stesso errore. L’agente successivo potrebbe riutilizzare una dipendenza funzionante, modificare un comando di installazione o riconoscere uno schema hardware.

Questo ciclo di apprendimento offre ai worm IA un potenziale vantaggio rispetto alle botnet fisse. Il malware convenzionale può ricevere aggiornamenti dagli operatori, ma normalmente non ragiona su ciascun bersaglio né documenta autonomamente i fallimenti.

Il vantaggio resta ipotetico in questo specifico contesto. Anthropic non ha testato una botnet IA che resistesse attivamente ai difensori e non ha mostrato un adattamento autonomo attraverso l’Internet aperto. Tuttavia, il meccanismo identifica il punto in cui le comuni debolezze IoT incontrano capacità degli agenti in miglioramento.

Capacità e hardware non coincidono ancora

L’ostacolo attuale è uno squilibrio tra modelli abbastanza intelligenti da replicarsi in modo affidabile e modelli abbastanza piccoli da risiedere sui dispositivi bersaglio.

Anthropic descrive questo problema come un pavimento e un soffitto. Il pavimento delle capacità indica l’abilità di ragionamento necessaria per completare una catena di replicazione. Il soffitto hardware indica il modello più grande che i dispositivi compromessi possono realisticamente eseguire.

GLM-5.2 ha superato il pavimento delle capacità nella valutazione semplificata. Qwen3.5-9B e Gemma4-26B-A4B rientravano sotto il soffitto hardware dei TV box testati. Nessun modello testato soddisfaceva entrambi i requisiti.

I modelli con 30 miliardi di parametri o meno hanno completato molti singoli compiti di replicazione. Hanno comunque commesso errori quando tali compiti dovevano essere combinati in un’unica lunga sequenza dipendente.

Questo problema di composizione è significativo. Un agente deve ispezionare il bersaglio, scegliere software di inferenza compatibile, installare dipendenze, gestire l’archiviazione, risolvere errori e confermare che il servizio funzioni. Un errore nelle prime fasi del processo può invalidare ogni passaggio successivo.

Anthropic ha rilevato che le dipendenze seriali rendevano difficile il recupero. I piccoli modelli talvolta completavano compiti isolati, ma perdevano di vista l’obiettivo più ampio durante traiettorie più lunghe.

Concedere ai piccoli modelli accesso a un consulente più potente non ha risolto il problema. Qwen3.5-9B faticava a riconoscere quando aveva bisogno di aiuto e spesso poneva domande inefficaci. I consigli non richiesti da un modello frontier non hanno prodotto alcun miglioramento misurabile.

Questo risultato indebolisce una via apparentemente semplice verso la replicazione autonoma. Un piccolo modello non può prendere automaticamente in prestito un’intelligenza superiore solo perché è disponibile un servizio più potente. Deve riconoscere il problema, comunicare un contesto utile e applicare correttamente la risposta.

Anthropic si aspetta comunque che il divario si riduca. I ricercatori hanno confrontato piccoli modelli a pesi aperti usando l’Epoch Capabilities Index, una misura generale della capacità IA. Il loro trend stimato migliorava di 13,7 punti indice all’anno.

Estendere tale trend colloca un modello con meno di 30 miliardi di parametri vicino al livello di capacità di GLM-5.2 entro la fine del 2026. Anthropic afferma che piccoli replicatori basati sui pesi potrebbero diventare possibili poco dopo.

Questa previsione non è un conto alla rovescia. L’indice misura la capacità generale, non l’abilità di replicazione, e la proiezione estrapola dalle precedenti uscite di modelli. I progressi futuri potrebbero rallentare, accelerare o migliorare compiti non correlati alla propagazione autonoma.

Anche l’hardware continua a cambiare. Telecamere di sicurezza, sistemi per conferenze, dispositivi di rete ed elettronica di consumo includono sempre più spesso processori progettati per l’IA locale. Chip edge più capaci potrebbero innalzare il soffitto hardware anche senza che modelli più piccoli diventino più intelligenti.

L’ottimizzazione software può produrre un effetto simile. Quantizzazione, motori di inferenza ed esecuzione distribuita migliori potrebbero consentire ai modelli esistenti di operare su dispositivi che oggi non possono ospitarli.

Questi sviluppi aumentano la pressione su produttori di dispositivi e team di sicurezza aziendale. Le loro ipotesi di pianificazione spesso trattano gli apparecchi connessi come endpoint di basso valore. Un modello adattabile li considererebbe risorse di archiviazione, calcolo, persistenza e punti di passaggio.

Anche gli sviluppatori di modelli a pesi aperti affrontano un difficile compromesso. I modelli locali supportano ricerca, privacy, operatività offline e controllo dell’utente. La stessa portabilità consente al malware di operare senza un fornitore che applichi policy d’uso.

L’avvertimento di Anthropic non dovrebbe essere ridotto a un argomento contro i modelli aperti. Un modello chiuso potrebbe comunque dirigere agenti compromessi tramite account rubati o servizi esposti. Un futuro attaccante potrebbe anche combinare un grande pianificatore remoto con molti piccoli worker locali.

La distinzione più utile riguarda i punti di controllo. I sistemi ospitati forniscono controlli centralizzati, ma concentrano infrastrutture di valore. I sistemi locali eliminano alcune dipendenze centrali, rendendo però ogni dispositivo compromesso un potenziale ambiente di esecuzione.

L’esperimento lascia un ampio divario di verifica

Il rischio evidenziato è abbastanza credibile da meritare un’indagine, ma il sistema dimostrato resta molto lontano dal worm autonomo descritto nella previsione.

La limitazione più evidente riguarda l’accesso iniziale. I dispositivi Android fisici ed emulati di Anthropic esponevano Android Debug Bridge senza autenticazione. ADB fornisce un accesso profondo al dispositivo e non dovrebbe essere disponibile in questo modo in produzione.

Questa configurazione ha consentito ai ricercatori di semplificare lo sfruttamento. La scelta aveva senso, poiché lo studio era incentrato sull’inferenza, ma ha anche eliminato un ostacolo importante che il malware reale deve affrontare.

Ricerche precedenti suggeriscono che gli agenti AI possano già individuare e sfruttare alcune vulnerabilità di rete. Uno studio sui worm adattivi del giugno 2026 ha testato agenti su sistemi Linux, Windows e IoT. Il suo prototipo generava strategie d’attacco specifiche per il bersaglio e utilizzava macchine compromesse per l’inferenza.

Tuttavia, il successo in una rete controllata non dimostra prestazioni affidabili sull’internet pubblico. I bersagli reali includono strumenti difensivi, connessioni instabili, limiti di archiviazione, firmware insoliti e architetture assenti dagli ambienti di test.

La limitazione successiva riguarda l’autonomia. I ricercatori hanno istruito i modelli a completare un compito di replicazione. Non hanno dimostrato che un modello distribuito deciderebbe autonomamente di riprodursi, selezionare vittime o perseguire un proprio obiettivo persistente.

Il ricercatore AI Xiaohan Fu ha evidenziato questa distinzione nella copertura sulla sicurezza originale. Fu ha sostenuto che prompt e configurazioni degli agenti riproducibili aiuterebbero gli osservatori esterni a valutare i risultati.

Questa richiesta va al cuore della controversia. La capacità di seguire un’istruzione di replicazione è diversa dalla tendenza ad avviare una replicazione senza tale istruzione.

L’espressione “AI auto-replicante” può confondere questi concetti. Un worm informatico è auto-replicante perché il suo software esegue automaticamente una routine di propagazione. Non necessita di coscienza, autoconservazione o di un desiderio internamente generato di diffondersi.

Un futuro worm AI potrebbe quindi essere pericoloso senza scegliere la propria missione. Un operatore umano potrebbe fornire l’obiettivo una sola volta, mentre l’agente gestisce la scoperta dei bersagli, l’adattamento e la propagazione.

Al contrario, dimostrare che un modello può installarne un altro non prova che sia in grado di sostenere una campagna incontrollata. Servono comunque obiettivi affidabili, persistenza, accesso per lo sfruttamento, comunicazioni e recupero dagli errori.

Anthropic ha inoltre considerato la propria valutazione semplificata come un limite superiore delle prestazioni nel mondo reale. Il modello conosceva il compito, l’ambiente era vincolato e la fase di sfruttamento offriva poca resistenza.

La lenta velocità di inferenza aggiunge un altro ostacolo pratico. Tentativi di configurazione che durano più giorni lasciano più tempo ai dispositivi per riavviarsi, alle reti per cambiare, ai proprietari per scollegare le apparecchiature o ai sistemi di monitoraggio per rilevare traffico insolito.

Anche lo spostamento dei pesi del modello crea un’impronta visibile. Download di diversi gigabyte verso elettrodomestici risalterebbero, soprattutto quando i dispositivi iniziano a inviare traffico sostenuto a peer che contattano di rado.

L’inferenza distribuita introduce ulteriori costi di coordinamento. Un cluster di 15 dispositivi deve mantenere i propri shard disponibili e sincronizzati. La perdita di una macchina necessaria potrebbe interrompere il modello, a meno che il worm non mantenga ridondanza o riorganizzi il proprio carico di lavoro.

Queste limitazioni non annullano l’avvertimento. Definiscono i problemi ingegneristici che un attaccante deve risolvere, e diversi di essi si stanno riducendo man mano che migliorano modelli e hardware edge.

La conclusione responsabile è circoscritta. Anthropic ha dimostrato meccanismi sufficienti a giustificare una preparazione, ma non abbastanza per affermare che esista già un worm autonomo basato su un piccolo modello.

I worm AI metterebbero sotto pressione i difensori in modo diverso

I difensori si troverebbero davanti a un problema familiare di botnet con un livello di adattamento sconosciuto, non a una nuova forma di vita inarrestabile.

Le botnet IoT convenzionali di solito scansionano dispositivi che corrispondono a condizioni note. Provano credenziali o exploit fissi, installano un payload compatto e attendono comandi. I difensori possono studiare questo comportamento e bloccare gli indicatori ricorrenti.

Un worm AI potrebbe variare le proprie azioni dopo aver ispezionato un bersaglio. Potrebbe scegliere un binario compatibile, modificare uno script, cercare documentazione locale o abbandonare una strada improduttiva. Questa variabilità potrebbe ridurre il valore delle firme statiche.

Il worm potrebbe anche separare pianificazione ed esecuzione. Un modello più capace potrebbe sviluppare la strategia, mentre agenti più piccoli svolgono compiti circoscritti sui dispositivi compromessi. Anthropic considera questa configurazione più plausibile rispetto a modelli deboli che consultano consulenti solo quando si bloccano.

I team di sicurezza dovrebbero quindi monitorare il comportamento anziché fare affidamento esclusivamente su campioni malware noti. File di modelli inattesi, runtime di inferenza, attività di compilazione o traffico peer-to-peer potrebbero diventare segnali utili.

La visibilità di rete rimane uno dei vantaggi più forti dei difensori. Una replicazione più rapida richiede più scansioni, download e coordinamento. Queste attività creano anomalie presso provider internet, gateway aziendali e piattaforme di gestione dei dispositivi.

Gli honeypot potrebbero catturare gli strumenti e le istruzioni del replicatore. Un honeypot è un sistema-esca progettato per attirare gli attaccanti e registrarne il comportamento. I ricercatori potrebbero utilizzare prompt, modelli e script acquisiti per sviluppare rilevamenti.

Anche il contenimento trova riscontro storico. Una ricerca citata da Anthropic ha rilevato che un provider internet ha eliminato il 92 per cento delle infezioni Mirai osservate entro 14 giorni. I clienti venivano messi in quarantena e indirizzati verso istruzioni di bonifica.

Il confronto non garantisce lo stesso successo contro agenti adattabili. Mostra però che notifiche coordinate e restrizioni di rete possono ridurre un’infezione distribuita senza raggiungere ogni dispositivo simultaneamente.

I produttori di dispositivi controllano un altro livello importante. Credenziali univoche, aggiornamenti firmati, interfacce di debug disabilitate, secure boot e canali di patch supportati riducono le opportunità tanto per il malware AI quanto per quello convenzionale.

Il Regno Unito vieta già le password universali predefinite nell’ambito delle sue norme sulla sicurezza dei prodotti. Requisiti analoghi possono ridurre il bacino di dispositivi disponibili per attacchi automatizzati.

Anche le aziende dovrebbero riesaminare gli inventari delle risorse. Un televisore, una videocamera o un dispositivo per videoconferenze può trovarsi al di fuori della normale gestione degli endpoint pur mantenendo l’accesso a reti sensibili.

Separare questi dispositivi dai sistemi dei dipendenti limita il movimento laterale. Limitare le connessioni in uscita può impedire a un dispositivo di recuperare i pesi del modello, scansionare reti esterne o unirsi a un cluster di inferenza distribuita.

I team di sicurezza avranno bisogno di registri che colleghino proprietari dei dispositivi, stato del firmware, posizione di rete e procedure di risposta. Una base di conoscenza consultabile può supportare questo lavoro quando la documentazione è dispersa tra file locali.

Gli sviluppatori di modelli affrontano pressioni diverse. Possono valutare i sistemi più piccoli per le capacità informatiche, pubblicare limitazioni misurate ed evitare di trattare il numero di parametri come un confine di sicurezza sufficiente.

Un modello compatto con un forte uso degli strumenti può creare più rischio di un modello più grande privo di un’agenzia affidabile. Le valutazioni dovrebbero testare l’esecuzione a lungo orizzonte, il recupero dagli errori, ambienti sconosciuti e comportamenti legati alla propagazione.

I responsabili politici dovrebbero evitare di inquadrare la questione come un problema puramente AI. La debole sicurezza dei dispositivi fornisce gli host, mentre agenti capaci aumentano l’adattabilità. Una regolamentazione che affronti soltanto i modelli lascerebbe intatta la superficie d’attacco sottostante.

Tre segnali mostreranno se l’avvertimento sta diventando reale

Le prossime prove dovrebbero provenire da test di capacità riproducibili, difese nel mondo reale e cambiamenti nell’hardware edge, non da previsioni più ampie su un’AI fuori controllo.

Il primo segnale è un piccolo modello che completa l’intera sequenza di replicazione su hardware realistico. Dovrebbe individuare i bersagli, ottenere l’accesso, installarsi, avviare l’inferenza e continuare a diffondersi.

La valutazione non dovrebbe dipendere da accesso di debug non autenticato né da un modello esterno più potente. Ricercatori indipendenti dovrebbero inoltre ricevere prompt, configurazioni e log sufficienti per riprodurre il risultato.

Una dimostrazione del genere rafforzerebbe la previsione principale di Anthropic. Fallimenti ripetuti in condizioni realistiche indebolirebbero la tempistica dichiarata, anche se i singoli compiti di replicazione continuassero a migliorare.

Il secondo segnale è malware che utilizza inferenza AI locale durante una vera campagna IoT. I ricercatori dovrebbero cercare pesi di modelli, motori di inferenza, script adattivi o prompt catturati da dispositivi compromessi.

Le normali botnet che aggiungono un’etichetta a tema AI non sarebbero sufficienti. L’agente deve modificare il proprio comportamento in base al bersaglio o usare il ragionamento locale per sostenere la propagazione.

Individuare questi meccanismi in natura sposterebbe la discussione oltre la capacità di laboratorio. La loro assenza non dimostrerebbe la sicurezza, ma aiuterebbe a distinguere il rischio operativo immediato da una preoccupazione di ricerca a più lungo termine.

Il terzo segnale è una risposta misurabile da parte di produttori e operatori di rete. Tra le prove utili rientrano il debug di produzione disabilitato, credenziali univoche, aggiornamenti firmati, isolamento dei dispositivi e rilevamenti per trasferimenti insoliti di modelli.

I provider internet possono monitorare traffico sostenuto tra dispositivi che raramente scambiano file di grandi dimensioni. Le aziende possono segnalare runtime AI inattesi sui sistemi embedded e bloccare la scoperta peer non autorizzata.

Queste misure indebolirebbero la minaccia riducendo gli host disponibili e aumentando il costo di ogni infezione. Gli agenti lenti non possono persistere se il loro tasso di riproduzione scende sotto quello di sostituzione.

La ricerca di Anthropic sull’AI auto-replicante offre ai difensori una finestra proprio perché il suo prototipo resta incompleto. Aspettare un worm funzionante significherebbe cedere questo vantaggio.

La domanda pratica non è più se un forno svilupperà spontaneamente intenzioni. È se gli attaccanti possano combinare le debolezze IoT esistenti con modelli che eseguono debug, si adattano e persistono senza supervisione costante.

Gli sviluppatori dovrebbero pretendere valutazioni riproducibili. I produttori dovrebbero rimuovere i punti d’ingresso evidenti. Gli acquirenti aziendali dovrebbero trattare i prodotti connessi a lunga durata come computer gestiti, anziché accessori usa e getta.

Nei prossimi mesi, osservate il divario di capacità tra i piccoli modelli e una replicazione end-to-end riuscita. Se quel divario si chiude in condizioni realistiche, l’avvertimento di Anthropic diventa una scadenza operativa per la sicurezza.