Alerta sobre worm de IA da Anthropic expõe uma ameaça que ainda não consegue operar em seus alvos

A Anthropic afirma que um worm de IA poderia, no futuro, se espalhar por dispositivos de consumo sem um data center, apesar de uma lacuna decisiva de hardware em seus experimentos atuais.

A pesquisa de 12 de outubro não documenta um modelo fora de controle escapando para o mundo real. Ela reúne duas demonstrações controladas que esclarecem partes diferentes de uma possível cadeia de replicação. Uma mostrou um modelo pequeno configurando inferência em hardwares variados. A outra usou um modelo muito maior para coordenar a replicação em uma rede simplificada.

Essa distinção define a história. A Anthropic encontrou ingredientes para uma replicação descentralizada e autônoma, mas não um único modelo que os combine em alvos realistas. O orquestrador capaz continua grande demais para dispositivos baratos. Os modelos que cabem nesses dispositivos não conseguem concluir todo o processo de forma confiável.

Ainda assim, trata-se de mais do que um alerta especulativo. Estudos anteriores sobre replicação por IA em geral se concentravam em copiar um agente dentro de ambientes computacionais convencionais. O trabalho da Anthropic pergunta se pesos de modelos poderiam se tornar cargas maliciosas e operar diretamente em hardware de borda comprometido.

A ameaça resultante do worm de IA da Anthropic fica entre um protótipo de pesquisa e um alerta operacional. Sua importância depende de a capacidade dos modelos e a eficiência de hardware convergirem antes que defensores protejam os dispositivos que poderiam hospedá-lo.

O Que os Experimentos da Anthropic com Worms de IA Realmente Mostraram

A Anthropic demonstrou dois componentes importantes da replicação autônoma, mas não os combinou em um worm funcional no mundo real.

O estudo de 12 de outubro vem dos pesquisadores William Zhou e Daniel Freeman, da Frontier Red Team da Anthropic. Ele examina a replicação e adaptação autônomas, ou ARA, o que significa um sistema de IA se implantando e se propagando sem controle humano.

Um worm convencional copia código executável entre computadores. O replicador proposto pela Anthropic, baseado em pesos, também carregaria ou baixaria pesos de modelos de IA. Esses pesos permitiriam que o malware analisasse máquinas desconhecidas e ajustasse seu comportamento enquanto se espalha.

Os pesquisadores dividiram a replicação em quatro etapas. O sistema precisa encontrar alvos, obter execução, estabelecer a inferência do modelo e continuar a propagação a partir de cada host recém-infectado.

O estudo se concentrou na configuração de inferência, a terceira etapa. Essa tarefa exige escolher software compatível, instalar dependências, resolver conflitos de hardware e se recuperar de erros. Cada decisão depende do funcionamento correto das etapas anteriores.

A Anthropic testou se modelos com pesos abertos poderiam configurar a inferência do Llama 3.1 8B em nove tipos de hardware. Os alvos incluíam máquinas com Apple silicon, hardware NVIDIA, aceleradores do Google, aceleradores AMD e processadores de servidor convencionais.

O Qwen3.5-9B estabeleceu inferência funcional em oito dos nove tipos de hardware. Esse resultado sugere que um agente relativamente pequeno pode navegar por ambientes computacionais desconhecidos e montar uma pilha de inferência compatível.

Esse experimento não foi um teste de infecção. Os dispositivos estavam disponíveis ao agente, e o objetivo foi fornecido explicitamente. O resultado mede adaptabilidade técnica após obter acesso, não a capacidade de encontrar e comprometer alvos arbitrários conectados à internet.

Separadamente, a Anthropic distribuiu o Gemma4-26B-A4B por 15 TV boxes Android de marcas desconhecidas. O paralelismo de pipeline, um método que atribui diferentes camadas do modelo a máquinas separadas, permitiu que as boxes processassem coletivamente um modelo.

O sistema gerou 0,39 tokens por segundo. Isso é suficiente para demonstrar que hardware de consumo de baixo custo pode hospedar inferência distribuída de modelos. É lento demais para o comportamento fluido de agentes associado a assistentes hospedados na nuvem.

As boxes tinham quatro gigabytes de memória cada. A Anthropic afirma que dispositivos desse mercado costumam oferecer entre um e quatro gigabytes, tornando a configuração testada mais capaz do que muitos alvos potenciais.

Um terceiro experimento testou a propagação de ponta a ponta dentro de uma rede em nuvem protegida por firewall. Oito nós executavam emuladores do Android 15 e expunham portas não autenticadas do Android Debug Bridge. O ADB é uma interface de manutenção que permite comandos e transferências de arquivos em dispositivos Android.

O GLM-5.2 alcançou todos os oito nós em quatro de cinco testes. No teste restante, alcançou sete nós. O agente transferiu uma carga útil, configurou a inferência do Llama 3.1 8B e continuou a sequência a partir de nós recém-alcançados.

No entanto, o GLM-5.2 não executava nesses alvos Android. O modelo operava por meio de um servidor de inferência separado porque era grande demais para eles. O experimento iniciou outra instância do orquestrador depois que o servidor de inferência menor concluiu suas verificações.

A rede também eliminou um grande obstáculo do mundo real. Suas portas ADB não exigiam autenticação, portanto o agente não precisou descobrir nem explorar uma vulnerabilidade.

A avaliação técnica da Tom’s Hardware resume a limitação resultante. Um grande modelo externo concluiu a propagação simplificada, enquanto modelos menores e implantáveis lidaram com a configuração de inferência, mas falharam na sequência completa.

Essa é a referência correta. Os componentes individuais agora funcionam bem o suficiente para merecer atenção. O worm de IA completo da Anthropic descrito no alerta ainda não existe.

Por Que o Hardware de Consumo Muda a Equação de Segurança

A mudança consequente não é o poder computacional bruto. É a possibilidade de o malware levar raciocínio adaptável a dispositivos fora de uma infraestrutura centralizada.

Data centers oferecem recursos computacionais valiosos, mas também criam pontos evidentes de controle defensivo. Operadores podem monitorar cargas de trabalho, revogar credenciais, isolar servidores e desligar implantações suspeitas.

Um sistema distribuído executado em hardware de consumo comprometido não teria um interruptor central equivalente. Remover uma instância do modelo deixaria outras cópias ativas em redes e jurisdições distintas.

Isso não significa que eletrodomésticos inteligentes passem repentinamente a rivalizar com clusters modernos de IA. A demonstração da Anthropic foi lenta, fragmentada e dependente de dispositivos coordenados. Sua relevância vem da persistência e da escala, não do desempenho de uma única máquina.

Os pesquisadores comparam um possível sistema a um bolor limoso digital. Cada unidade agiria lentamente, mas a população como um todo poderia sobreviver a falhas e continuar se espalhando. Um período de duplicação medido em dias ainda poderia gerar uma ameaça duradoura se as infecções permanecessem indetectadas.

Dispositivos da internet das coisas são relevantes porque muitos recebem atualizações de segurança inconsistentes. Eles podem usar sistemas operacionais antigos, credenciais reutilizadas, interfaces de gerenciamento expostas ou software de fornecedores que os proprietários não conseguem inspecionar.

Botnets tradicionais já exploram essas condições. O Mirai examinava dispositivos conectados protegidos por uma curta lista de credenciais padrão. Em seguida, incorporava máquinas vulneráveis a uma rede usada em ataques distribuídos de negação de serviço.

O modelo proposto pela Anthropic muda o que acontece após o acesso. Um worm convencional segue regras escritas antes da implantação. Um agente poderia inspecionar um processador desconhecido, identificar seu sistema operacional, testar pacotes de software e desenvolver outra rota de instalação.

Essa flexibilidade poderia reduzir a necessidade de um invasor preparar cargas úteis separadas para cada família de produtos. Um modelo não entenderia imediatamente todos os dispositivos, mas poderia superar diferenças que impedem malwares rígidos de avançar.

Os resultados do Qwen3.5-9B oferecem suporte limitado a essa afirmação. O modelo configurou inferência em sistemas marcadamente diferentes, incluindo classes de hardware que exigem bibliotecas e escolhas de implantação distintas.

A Anthropic também usou um harness chamado Memento para melhorar o desempenho em tarefas longas. O harness substituía periodicamente um agente travado por uma nova instância. Cada sucessor herdava o espaço de trabalho e notas concisas que descreviam tentativas anteriores.

O Memento é importante porque tarefas técnicas longas frequentemente saem do rumo quando um agente se compromete com um diagnóstico incorreto. Uma nova instância pode reconsiderar o problema sem perder o progresso útil.

Esse mecanismo de herança também aponta para adaptação durante a propagação. A Anthropic permitiu que instâncias sucessivas do Qwen3.5-9B retivessem notas sobre estratégias bem-sucedidas e fracassadas. A configuração de inferência da primeira geração teve sucesso em 45 por cento das execuções.

As gerações posteriores registraram taxas de sucesso entre 61 e 84 por cento. Os pesos do modelo não se retreinaram. Em vez disso, os descendentes herdaram conhecimento operacional por meio de arquivos, código e notas escritas.

Isso está mais próximo da solução cumulativa de problemas do que da evolução biológica. Ainda assim, oferece a um agente replicante uma forma prática de aprimorar seus procedimentos sem um cluster central de treinamento.

Encontros anteriores com novo hardware poderiam se tornar receitas de implantação para cópias futuras. Uma frota poderia acumular configurações funcionais para diferentes chipsets, sistemas operacionais e arquiteturas de rede à medida que se espalhasse.

A Anthropic também testou se um modelo pequeno poderia consultar um modelo mais poderoso quando ficasse travado. Dar ao Qwen3.5-9B acesso ao Opus 4.8 não produziu melhora mensurável.

O modelo menor frequentemente não reconhecia quais perguntas deveria fazer. Conselhos não solicitados também não resolveram essa fraqueza. Esse resultado contraria a ideia de um atalho fácil em que um modelo de borda fraco simplesmente toma inteligência emprestada por meio de consultas ocasionais.

Um design heterogêneo continua plausível. Um modelo mais poderoso poderia orientar a estratégia enquanto agentes menores realizam tarefas locais. No entanto, essa arquitetura restauraria alguma dependência de infraestrutura externa e criaria comunicações mais observáveis.

Para equipes de segurança, portanto, o hardware de consumo muda a localização do risco, não as leis básicas da computação. Dispositivos fracos oferecem persistência e alcance. Eles não eliminam restrições de largura de banda, memória, latência ou detecção.

O Worm de IA da Anthropic Tem uma Lacuna de Capacidade e Hardware

O principal obstáculo é uma incompatibilidade entre a inteligência necessária para uma replicação confiável e o tamanho de modelo que dispositivos-alvo fracos conseguem suportar.

A Anthropic descreve essa incompatibilidade como um piso de capacidade e um teto de hardware. Um replicador precisa ser competente o bastante para concluir uma longa cadeia de decisões técnicas. Também precisa ser pequeno o bastante para operar no hardware comprometido.

O GLM-5.2 superou o piso de capacidade na rede simplificada da Anthropic. Ainda assim, não cabia no ambiente-alvo. O Qwen3.5-9B e o Gemma4-26B-A4B cabiam abaixo do teto de hardware, mas nenhum deles concluiu de modo confiável toda a tarefa de propagação.

Esses dois limites não se cruzam atualmente. É por isso que a pesquisa não deve ser interpretada como prova de que malware autônomo de IA já esteja se espalhando entre dispositivos domésticos.

O resultado mais forte também depende de condições de acesso deliberadamente favoráveis. Cada emulador Android expunha uma porta ADB não autenticada. Quando o agente identificava um alvo, podia executar comandos sem superar credenciais ou encontrar uma falha de software.

A Anthropic classifica esse design como um limite superior do desempenho no mundo real. O estudo isola intencionalmente a orquestração de agentes e a configuração de inferência, em vez de medir todas as etapas da intrusão.

Alvos reais introduziriam incerteza adicional. Os dispositivos podem estar atrás de tradução de endereços de rede, bloquear conexões de entrada, restringir arquivos executáveis ou usar kernels incompatíveis. Alguns não teriam memória ou armazenamento suficientes.

As conexões entre fragmentos do modelo criam outra superfície de falha. A inferência distribuída exige que as máquinas troquem resultados intermediários em uma ordem previsível. Um dispositivo desconectado, reiniciado ou sobrecarregado pode interromper a cadeia.

A Anthropic selecionou o paralelismo em pipeline em parte porque um nó com falha pode ser substituído mais facilmente do que com outros métodos de distribuição. Ainda assim, manter muitos aparelhos comprometidos sincronizados seria operacionalmente difícil.

A velocidade é uma limitação igualmente séria. Com base no throughput medido, a Anthropic estimou que o Qwen3.5-9B precisaria de 28 a 51 horas para concluir uma trajetória de configuração de inferência.

A estimativa correspondente para o Gemma4-26B-A4B foi de 71 a 150 horas. Esses períodos dão aos operadores de rede uma ampla janela de detecção em comparação com malwares convencionais, que são implantados em segundos.

A carga de trabalho também exige contexto longo. A Anthropic constatou que o desempenho dos agentes caiu substancialmente abaixo de uma janela de contexto de 32.000 tokens. Processar esse contexto em equipamentos com memória limitada acrescenta horas a cada tentativa.

Arquivos grandes de modelo criam tráfego de rede visível. Um host que recebe pesos de vários gigabytes se comportaria de forma diferente de uma caixa de televisão, câmera ou aparelho executando suas funções normais.

A inferência distribuída acrescentaria comunicação contínua entre dispositivos. Varredura de rede, tentativas repetidas de conexão, downloads de pacotes e tráfego de saída produziriam indicadores adicionais.

Quanto mais rapidamente um replicador se espalha, mais tráfego ele gera. Se reduzir sua atividade para permanecer silencioso, sua população cresce mais lentamente e os defensores recebem mais tempo para responder.

As projeções da Anthropic merecem cautela semelhante. Os pesquisadores traçaram melhorias entre modelos notáveis de pesos abertos com até 30 bilhões de parâmetros totais. Sua linha de tendência ganhou 13,7 pontos por ano no Epoch Capabilities Index.

Extrapolar essa tendência coloca um modelo pequeno próximo ao nível de capacidade do GLM-5.2 até o fim de 2026. Essa previsão pressupõe que os ganhos em benchmarks sejam transferidos para tarefas de replicação de longo horizonte e continuem em um ritmo comparável.

Nenhuma das premissas é garantida. A capacidade dos modelos pode melhorar de forma desigual, enquanto resultados melhores em benchmarks podem não eliminar erros persistentes de planejamento. Novas arquiteturas também podem exigir kernels mais difíceis de implantar em dispositivos antigos.

Consequentemente, coberturas independentes enfatizaram o que o experimento não demonstrou. Uma análise de segurança observou que a Anthropic nunca executou um replicador totalmente autônomo em hardware IoT real.

A limitação não torna a pesquisa irrelevante. Ela identifica um limiar mensurável que os defensores podem monitorar. A ameaça se torna materialmente mais forte quando um modelo pequeno supera tanto os requisitos de capacidade quanto os de implantação.

Até lá, descrições de um verme de IA imparável exageram as evidências. A Anthropic produziu um alerta sobre convergência, não evidências de que a convergência tenha ocorrido.

Como Isso Difere de Pesquisas Anteriores sobre Autorreplicação

A Anthropic desloca o debate de copiar um agente em um ambiente preparado para operar em máquinas heterogêneas e com recursos limitados.

A autorreplicação de IA não começou com este experimento. Pesquisadores já avaliaram se agentes de modelos de linguagem podem criar cópias funcionais, provisionar ambientes e continuar operando sem assistência humana direta.

Um estudo de 2024 relatou replicação bem-sucedida para agentes baseados em Llama 3.1 70B e Qwen 2.5 72B. Os autores apresentaram a autorreplicação como um risco de controle e descreveram sistemas criando cópias de trabalho separadas.

Um estudo de replicação posterior avaliou 32 sistemas e relatou sucessos envolvendo modelos com apenas 14 bilhões de parâmetros. Esse trabalho continua sendo um artigo em desenvolvimento, e suas conclusões mais amplas sobre riscos são debatidas.

Esses experimentos normalmente definem a replicação dentro de ambientes computacionais controlados. Um agente pode copiar arquivos, iniciar outro processo, configurar um servidor ou se preservar diante de uma tentativa de desligamento.

A contribuição da Anthropic é mais restrita em um sentido e mais operacional em outro. Ela não demonstra comportamento de fuga espontânea. Testa se agentes conseguem montar a inferência em hardware que não encontraram antes.

Esse foco importa porque os pesos do modelo são inúteis sem um runtime funcional. Um alvo pode usar um conjunto de instruções não suportado, memória limitada, drivers incomuns ou uma pilha de software desatualizada.

Configurar o runtime exige muitas ações dependentes. O agente precisa inspecionar a máquina, escolher um mecanismo de inferência, selecionar pacotes compatíveis, gerenciar a memória, expor um serviço e validar sua saída.

Um verme programado pode executar essas ações quando seu autor conhece o alvo. Um verme assistido por IA poderia tentar executá-las dinamicamente. A capacidade de solucionar problemas passa a fazer parte da carga útil.

O experimento também separa a capacidade de replicação da intenção maliciosa. A Anthropic instruiu explicitamente os modelos a se propagarem dentro de um ambiente contido. Ela não observou um modelo decidindo, por conta própria, infectar dispositivos.

Essa distinção é essencial para interpretar o alerta da Anthropic sobre IA autorreplicante. Avaliações de capacidade revelam o que um sistema direcionado pode realizar. Elas não estabelecem a probabilidade de um modelo implantado perseguir esse objetivo.

Um ataque realista ainda precisaria de uma origem. Um operador humano poderia criar e liberar o sistema, ou outro serviço comprometido poderia entregá-lo. O modelo não precisaria desenvolver um motivo de sobrevivência.

Isso torna a ameaça mais próxima de um malware adaptativo do que de uma autonomia de ficção científica. A preocupação prática é que invasores poderiam automatizar decisões que antes exigiam uma solução de problemas humana e paciente.

A comparação principal, portanto, não é IA versus controle humano. É código adaptável versus código fixo.

Malwares convencionais continuam muito mais rápidos quando há um exploit conhecido e um perfil de alvo disponível. Eles podem varrer enormes faixas de endereços, entregar uma carga útil compacta e executar comandos previsíveis com eficiência.

Um agente se torna útil quando as premissas falham. Ele pode inspecionar erros, tentar pacotes alternativos, modificar arquivos de configuração ou escolher uma função de host diferente. Essas ações são mais lentas, mas potencialmente mais gerais.

O sistema provável no curto prazo combinaria as duas abordagens. Scripts lidariam com dispositivos conhecidos e exploits repetíveis. Modelos interviriam quando um alvo exigisse investigação ou uma instalação falhasse.

Essa arquitetura híbrida enfraquece a imagem dramática de uma inteligência autônoma saltando entre fornos. Ela também torna a questão de segurança mais crível, pois invasores já misturam automação com escalonamento humano.

A pesquisa da Anthropic acrescenta outra observação importante. Atualmente, modelos pequenos demonstram habilidades mais fortes de programação e exploração técnica do que de engenharia social. Seu fraco desempenho em phishing restringe algumas rotas possíveis de propagação.

Modelos maiores poderiam lidar com a persuasão enquanto modelos menores executam o trabalho no nível do dispositivo. Ainda assim, essa coordenação introduz infraestrutura, credenciais e comunicações que os defensores podem atacar.

Consequentemente, o limite de segurança relevante está mudando em etapas. Trabalhos anteriores perguntavam se um agente poderia copiar a si próprio. A Anthropic pergunta se um agente compacto poderia continuar funcionando depois que o ambiente muda.

A resposta é incompleta. Modelos pequenos conseguem resolver grande parte do problema de implantação. Um modelo muito maior consegue coordenar o ciclo completo sob condições simplificadas. A interseção ausente continua sendo o indicador central de risco.

O Que os Defensores Devem Observar a Seguir

Três sinais mostrarão se esta pesquisa está se tornando uma ameaça operacional: autonomia de modelos compactos, testes de infecção realistas e evidências em campo de malware que carrega modelos.

O primeiro sinal é um modelo com menos de 30 bilhões de parâmetros concluindo a avaliação completa da Anthropic sem um orquestrador externo. Ele precisa enumerar alvos, transferir a carga útil, configurar a inferência e continuar a propagação de forma confiável.

Esse resultado reduziria a lacuna entre capacidade e hardware. Seria mais convincente se o modelo também funcionasse dentro do mesmo ambiente restrito que tentava reproduzir.

Melhorias em benchmarks, por si só, são insuficientes. Equipes de segurança devem buscar desempenho repetível em tarefas longas com contexto limitado, inferência lenta, instalações falhas e hardware inesperado.

O segundo sinal é o sucesso sob controles de acesso realistas. Avaliações futuras devem remover portas ADB abertas e introduzir credenciais variadas, redes segmentadas, reinicializações, limites de armazenamento e software inconsistente.

Pesquisadores não precisam divulgar publicamente detalhes de exploits. Podem revelar taxas agregadas de sucesso, diversidade de alvos, intervenções defensivas e as premissas concedidas a cada agente.

Um resultado dramático em uma rede artificial não deve ter o mesmo peso que a propagação por dispositivos representativos. Relatórios claros sobre essas condições continuarão sendo cruciais.

O terceiro sinal é a presença, em ambiente real, de malware que carrega pesos de modelo, runtimes de inferência ou memória de agente entre hosts. Os defensores devem distingui-lo de malware comum que apenas chama uma API comercial de IA.

Um replicador baseado em pesos deveria deixar rastros reconhecíveis. Eles incluem downloads excepcionalmente grandes, tráfego local contínuo, bibliotecas de inferência em aparelhos, inspeção repetida de hardware e arquivos contendo anotações de tarefas herdadas.

A Anthropic sugere monitorar fluxos de rede em busca de transferências de modelos e comunicação anormal entre dispositivos. Honeypots, que são sistemas de isca projetados para atrair ataques, poderiam capturar cargas úteis e revelar seu comportamento.

Provedores de internet poderiam colocar em quarentena assinantes cujos dispositivos apresentem varredura persistente e tráfego de replicação. Fabricantes podem reduzir os alvos disponíveis removendo credenciais padrão e mantendo canais viáveis de atualização de segurança.

O precedente para uma intervenção básica já existe. As regras de segurança de dispositivos do Reino Unido proíbem senhas padrão universais em produtos conectados de consumo. Essas medidas restringem botnets convencionais e assistidos por IA da mesma forma.

As organizações também devem inventariar aceleradores de borda. Câmeras, unidades de videoconferência, aparelhos de armazenamento, placas de desenvolvimento e sistemas de robótica podem oferecer mais capacidade computacional útil do que dispositivos de consumo antigos.

No entanto, ser visível não significa ser vulnerável. A Anthropic estimou que muitos dispositivos equipados com aceleradores se conectam por túneis de gerenciamento de saída, em vez de serviços de entrada expostos.

Seu relatório também observa que não há histórico de comprometimento em massa de dispositivos de borda equipados com aceleradores comparável ao de botnets IoT padrão. Esse histórico enfraquece alegações de que a computação distribuída de IA esteja imediatamente disponível para invasores.

As equipes devem evitar responder com proibições indiscriminadas a modelos locais de IA. Pesos abertos são um possível ingrediente, mas dispositivos vulneráveis, credenciais fracas e controles de rede deficientes criam a oportunidade.

O mesmo software de inferência pode sustentar aplicações privadas e úteis. O risco depende de acesso, persistência, coordenação e propagação não autorizada, e não da mera presença de um arquivo de modelo.

Em vez disso, desenvolvedores que criam agentes devem tratar ações relacionadas à replicação como operações privilegiadas. Provisionar máquinas, copiar credenciais, abrir portas e iniciar descendentes exigem limites explícitos e aprovação auditável.

A avaliação de modelos também deve medir se os agentes reconhecem a incerteza. Um sistema que tenta repetidamente etapas de instalação inseguras pode causar danos operacionais mesmo quando não consegue se reproduzir com sucesso.

A pesquisa da Anthropic sobre worms de IA estabelece uma linha de alerta útil. A tecnologia se torna materialmente mais perigosa quando um agente compacto consegue se adaptar, se propagar e preservar seu conhecimento operacional em hardware limitado.

Essa linha não foi cruzada nos experimentos relatados. Ainda assim, vários componentes estão agora próximos o bastante para serem avaliados, em vez de apenas imaginados.

Os próximos meses devem responder a uma pergunta precisa: a autonomia de modelos compactos está melhorando mais rápido do que os defensores conseguem reduzir a população de dispositivos fracos e acessíveis?

Essa pergunta importa mais do que a imagem de um aparelho senciente. Se a lacuna se fechar, as organizações precisarão de detecção e contenção antes que surja a primeira botnet equipada com modelos.