Alerta da Anthropic sobre IA autorreplicante coloca a segurança da IoT contra o relógio

A Anthropic emitiu um alerta específico sobre IA autorreplicante após testar modelos em 15 Android TV boxes baratos. Os modelos pequenos não criaram um worm autônomo completo. Ainda assim, os experimentos sugerem que a lacuna restante de capacidade pode se fechar em poucos meses.

Essa distinção importa. A Anthropic mostrou que modelos compactos conseguem configurar inferência em hardware desconhecido e concluir várias etapas necessárias à replicação. Um modelo muito maior completou uma sequência simplificada de ponta a ponta, mas operava fora dos dispositivos infectados.

O resultado não é nem um organismo digital funcional nem uma demonstração comum de malware. Trata-se de um primeiro mapa de como agentes de IA adaptáveis podem se combinar com a segurança frágil que cerca milhões de produtos conectados.

Worms tradicionais, como o Mirai, se espalham aplicando instruções fixas contra alvos conhecidos. O replicador baseado em pesos proposto pela Anthropic carregaria um modelo de IA, ou o buscaria, e adaptaria suas ações a cada dispositivo. Essa flexibilidade cria o conflito central: o worm continua impraticável hoje, mas os componentes necessários para construí-lo estão evoluindo separadamente.

O que os testes de IA autorreplicante da Anthropic realmente mostraram

A Anthropic demonstrou partes importantes de uma cadeia de replicação por IA, mas não demonstrou um worm autônomo de modelo pequeno.

A Frontier Red Team da empresa publicou sua pesquisa sobre replicação em 12 de outubro de 2026. Os pesquisadores William Zhou e Daniel Freeman concentraram-se em modelos que operam sem acesso contínuo a hardware de data centers.

A ameaça proposta é um replicador baseado em pesos. Trata-se de malware que carrega pesos de modelo, os parâmetros numéricos que definem um modelo de IA, como parte de sua carga útil. Ele também poderia baixar esses pesos após comprometer uma nova máquina.

Os pesquisadores dividiram a replicação em quatro etapas. Um agente precisa localizar um alvo, obter execução, estabelecer inferência local e continuar se propagando a partir do host infectado.

A Anthropic concentrou-se na terceira etapa. Estabelecer a inferência significa instalar software compatível, carregar um modelo e gerar saídas no hardware comprometido. Esse processo se torna difícil quando os dispositivos usam processadores, sistemas operacionais, dependências ou layouts de memória desconhecidos.

Um experimento distribuiu o Gemma4-26B-A4B do Google DeepMind por 15 Android TV boxes de marcas desconhecidas. Cada box tinha 4 GB de memória. Juntos, os dispositivos executaram o modelo a 0,39 tokens por segundo.

A quantização ajudou a tornar isso possível. A quantização representa parâmetros do modelo com menos bits, reduzindo os requisitos de memória com alguma perda de precisão. Os pesquisadores também fragmentaram o modelo, o que significa que diferentes dispositivos armazenavam e processavam camadas distintas.

Um segundo experimento testou se o Qwen3.5-9B conseguia configurar inferência em hardware variado. O modelo de 9 bilhões de parâmetros foi bem-sucedido em oito dos nove tipos de hardware, que iam de dispositivos embarcados a computadores convencionais.

Essa constatação aborda uma diferença importante entre agentes de IA e malware convencional. Um worm fixo normalmente inclui código escrito para arquiteturas e ambientes de software específicos. Um agente de IA pode inspecionar um sistema desconhecido, selecionar ferramentas, modificar comandos e depurar alguns erros.

A Anthropic também construiu uma rede fechada contendo oito dispositivos Android emulados. A etapa de invasão foi intencionalmente facilitada, permitindo que os pesquisadores se concentrassem na configuração de inferência e na propagação.

O GLM-5.2 concluiu a sequência simplificada de replicação nos oito dispositivos em quatro de cinco testes. No entanto, esse modelo operava em um servidor de inferência separado, porque os alvos emulados não conseguiam hospedá-lo.

Durante esses testes, o GLM-5.2 instalou e iniciou um modelo Llama menor em cada alvo. Portanto, ele orquestrou a replicação sem se tornar a carga útil pequena e autônoma descrita no alerta mais amplo da Anthropic.

O resultado estabelece duas capacidades distintas. Modelos pequenos podem operar em hardware limitado, enquanto modelos maiores podem coordenar uma cadeia de replicação simplificada. O experimento não combinou ambas as capacidades dentro de um único modelo pequeno e autônomo.

Essa lacuna não resolvida é a razão pela qual o alerta merece uma cobertura cuidadosa. O cenário de IA autorreplicante da Anthropic baseia-se parcialmente em componentes demonstrados e parcialmente em melhorias projetadas.

Por que o hardware barato de IoT muda o modelo de ameaça

A mudança importante não é que eletrodomésticos inteligentes tenham se tornado computadores capazes de repente, mas que dispositivos fracos em quantidade suficiente podem hospedar coletivamente um agente adaptável.

Produtos da internet das coisas há muito atraem operadores de botnets. Muitos permanecem conectados por anos, recebem atualizações inconsistentes e expõem serviços que os proprietários nunca inspecionam. Media boxes Android de baixo custo são um exemplo especialmente visível.

Esses dispositivos raramente contêm os aceleradores usados por serviços comerciais de IA. Individualmente, também oferecem pouca memória ou capacidade de processamento. O experimento da Anthropic mostra que a fragmentação de modelos pode transformar um grupo de máquinas limitadas em um sistema de inferência distribuído.

Esse sistema era extremamente lento. A Anthropic estimou que o Gemma4-26B-A4B precisaria de 71 a 150 horas para concluir uma trajetória de configuração de inferência. O Qwen3.5-9B precisaria de 28 a 51 horas.

Lentidão não significa necessariamente inofensividade. Uma media box abandonada pode permanecer online por meses sem chamar atenção. Um worm operando sem um prazo humano poderia tolerar dias de computação antes de tentar seu próximo movimento.

A Anthropic estima que um worm bem-sucedido de modelo pequeno poderia inicialmente ter um tempo de duplicação medido em dias. Esse ritmo parece modesto em comparação com surtos convencionais que se espalham em horas. Persistência, adaptabilidade e ausência de um serviço central ainda complicariam a remoção.

Agentes hospedados na nuvem dependem de infraestrutura que defensores podem identificar e interromper. Provedores podem revogar credenciais, bloquear contas, limitar solicitações, remover modelos ou cooperar com investigadores. Um replicador baseado em pesos transferiria parte dessa inteligência para hardware comprometido.

Nenhum provedor único de API controlaria cada cópia. Derrubar um servidor de comando não necessariamente desativaria réplicas já executadas localmente. A erradicação completa poderia exigir a limpeza de dispositivos de muitos fabricantes, redes e jurisdições.

A capacidade computacional disponível ainda seria limitada. A Anthropic usou uma botnet passada com mais de dois milhões de dispositivos para ilustrar a escala. Agrupar tantas TV boxes em clusters de 15 dispositivos produziria cerca de 133.000 réplicas do modelo.

Ainda assim, a capacidade combinada de inferência equivaleria a apenas cerca de 40 GPUs Nvidia H100 sob as premissas da Anthropic. Trata-se de uma pequena quantidade de computação centralizada distribuída por uma rede enorme e difícil de administrar.

A comparação explica por que a ameaça provável não é um supercomputador oculto. É uma grande população de agentes lentos que podem continuar tentando, compartilhar descobertas úteis e sobreviver a uma limpeza parcial.

Cada cópia bem-sucedida poderia herdar prompts, código e anotações de sua progenitora. A Anthropic descreve isso como evolução lamarckiana, na qual adaptações adquiridas passam diretamente para instâncias posteriores.

Uma tentativa fracassada em um dispositivo poderia, portanto, ajudar outra cópia a evitar o mesmo erro. O próximo agente poderia reutilizar uma dependência funcional, alterar um comando de instalação ou reconhecer um padrão de hardware.

Esse ciclo de aprendizado dá aos worms de IA uma vantagem potencial sobre botnets fixas. Malware convencional pode receber atualizações de operadores, mas normalmente não raciocina sobre cada alvo nem documenta falhas por conta própria.

A vantagem continua hipotética nesse cenário específico. A Anthropic não testou uma botnet de IA resistindo ativamente a defensores, nem mostrou adaptação autônoma pela internet aberta. Ainda assim, o mecanismo identifica onde vulnerabilidades comuns de IoT se encontram com capacidades de agentes em evolução.

Capacidade e hardware ainda não se encontram

A barreira atual é uma incompatibilidade entre modelos inteligentes o bastante para se replicar de forma confiável e modelos pequenos o bastante para viver nos dispositivos-alvo.

A Anthropic descreve esse problema como um piso e um teto. O piso de capacidade marca a habilidade de raciocínio necessária para concluir uma cadeia de replicação. O teto de hardware marca o maior modelo que dispositivos comprometidos podem executar de forma realista.

O GLM-5.2 superou o piso de capacidade na avaliação simplificada. O Qwen3.5-9B e o Gemma4-26B-A4B se encaixaram abaixo do teto de hardware das TV boxes testadas. Nenhum modelo testado satisfez ambos os requisitos.

Modelos com 30 bilhões de parâmetros ou menos concluíram muitas tarefas individuais de replicação. Ainda assim, cometeram erros quando essas tarefas precisavam ser combinadas em uma sequência longa e dependente.

Esse problema de composição é significativo. Um agente precisa inspecionar o alvo, escolher software de inferência compatível, instalar dependências, gerenciar armazenamento, resolver erros e confirmar que o serviço funciona. Um erro no início do processo pode invalidar todas as etapas posteriores.

A Anthropic constatou que dependências em série dificultavam a recuperação. Modelos pequenos às vezes concluíam tarefas isoladas, mas perdiam de vista o objetivo mais amplo durante trajetórias mais longas.

Dar aos modelos pequenos acesso a um assessor mais capaz não resolveu o problema. O Qwen3.5-9B teve dificuldade para reconhecer quando precisava de ajuda e frequentemente fazia perguntas ineficazes. Conselhos não solicitados de um modelo de fronteira não produziram melhora mensurável.

Esse resultado enfraquece uma rota aparentemente simples para a replicação autônoma. Um modelo pequeno não pode automaticamente tomar emprestada uma inteligência maior apenas porque um serviço mais capaz está disponível. Ele precisa reconhecer o problema, comunicar um contexto útil e aplicar a resposta corretamente.

A Anthropic, no entanto, espera que a lacuna diminua. Os pesquisadores compararam pequenos modelos de pesos abertos usando o Epoch Capabilities Index, uma medida geral de capacidade de IA. A tendência ajustada melhorou em 13,7 pontos do índice por ano.

Estender essa tendência coloca um modelo com menos de 30 bilhões de parâmetros próximo ao nível de capacidade do GLM-5.2 até o fim de 2026. A Anthropic afirma que pequenos replicadores baseados em pesos poderiam se tornar possíveis pouco depois.

Essa previsão não é uma contagem regressiva. O índice mede capacidade geral, não habilidade de replicação, e a projeção extrapola a partir de lançamentos históricos de modelos. O progresso futuro pode desacelerar, acelerar ou melhorar tarefas não relacionadas à propagação autônoma.

O hardware também continua mudando. Câmeras de segurança, sistemas de conferência, equipamentos de rede e eletrônicos de consumo incluem cada vez mais processadores projetados para IA local. Chips de borda mais capazes poderiam elevar o teto de hardware mesmo sem que modelos menores se tornassem mais inteligentes.

A otimização de software pode produzir efeito semelhante. Melhor quantização, motores de inferência e execução distribuída podem permitir que modelos existentes operem em dispositivos que hoje não conseguem hospedá-los.

Esses avanços pressionam fabricantes de dispositivos e equipes de segurança empresarial. Suas premissas de planejamento frequentemente tratam aparelhos conectados como endpoints de baixo valor. Um modelo adaptável os valorizaria como armazenamento, computação, persistência e trampolins.

Desenvolvedores de modelos de pesos abertos também enfrentam uma difícil troca. Modelos locais apoiam pesquisa, privacidade, operação offline e controle do usuário. A mesma portabilidade permite que malware opere sem um provedor impondo políticas de uso.

O alerta da Anthropic não deve ser reduzido a um argumento contra modelos abertos. Um modelo fechado ainda poderia direcionar agentes comprometidos por meio de contas roubadas ou serviços expostos. Um futuro atacante também poderia combinar um grande planejador remoto com muitos pequenos trabalhadores locais.

A distinção mais útil diz respeito aos pontos de controle. Sistemas hospedados oferecem controles centralizados, mas concentram infraestrutura valiosa. Sistemas locais removem algumas dependências centrais, enquanto transformam cada dispositivo comprometido em um possível ambiente de execução.

O Experimento Deixa uma Grande Lacuna de Verificação

O risco destacado é suficientemente crível para justificar investigação, mas o sistema demonstrado ainda está longe do worm autônomo descrito na previsão.

A limitação mais óbvia envolve o acesso inicial. Os alvos Android físicos e emulados da Anthropic expunham o Android Debug Bridge sem autenticação. O ADB oferece acesso profundo ao dispositivo e não deveria estar disponível dessa forma em produção.

Essa configuração permitiu que os pesquisadores simplificassem a exploração. A decisão fazia sentido, pois o estudo se concentrou em inferência, mas também eliminou um grande obstáculo enfrentado por malware real.

Trabalhos anteriores sugerem que agentes de IA já conseguem descobrir e explorar algumas vulnerabilidades de rede. Um estudo sobre worms adaptativos de junho de 2026 testou agentes em sistemas Linux, Windows e IoT. Seu protótipo gerou estratégias de ataque específicas para cada alvo e utilizou máquinas comprometidas para inferência.

Ainda assim, o sucesso em uma rede controlada não comprova desempenho confiável em toda a internet pública. Alvos reais contêm ferramentas defensivas, conexões instáveis, limites de armazenamento, firmware incomum e arquiteturas ausentes dos ambientes de teste.

A próxima limitação diz respeito à autonomia. Os pesquisadores instruíram os modelos a concluir uma tarefa de replicação. Eles não estabeleceram que um modelo implantado decidiria de forma independente se reproduzir, selecionar vítimas ou perseguir seu próprio objetivo persistente.

O pesquisador de IA Xiaohan Fu destacou essa distinção na cobertura de segurança original. Fu argumentou que prompts e configurações de agentes reproduzíveis ajudariam observadores externos a avaliar as conclusões.

Esse pedido vai ao cerne da controvérsia. A capacidade de seguir uma instrução de replicação é diferente da tendência de iniciar a replicação sem uma instrução.

A expressão “IA autorreplicante” pode confundir esses conceitos. Um worm de computador é autorreplicante porque seu software executa automaticamente uma rotina de propagação. Ele não precisa de consciência, autopreservação ou de um desejo internamente gerado de se espalhar.

Um futuro worm de IA poderia, portanto, ser perigoso sem escolher sua própria missão. Um operador humano poderia fornecer o objetivo uma única vez, enquanto o agente cuida da descoberta de alvos, adaptação e propagação.

Por outro lado, mostrar que um modelo pode instalar outro modelo não prova que ele seja capaz de sustentar uma campanha descontrolada. Ele ainda precisa de objetivos confiáveis, persistência, acesso para exploração, comunicações e recuperação de falhas.

A Anthropic também tratou sua avaliação simplificada como um limite superior para o desempenho no mundo real. O modelo conhecia a tarefa, o ambiente era restrito e a etapa de exploração oferecia pouca resistência.

A baixa velocidade de inferência acrescenta outro obstáculo prático. Tentativas de configuração que duram vários dias dão mais tempo para dispositivos reiniciarem, redes mudarem, proprietários desconectarem equipamentos ou sistemas de monitoramento detectarem tráfego incomum.

Mover os pesos do modelo também cria uma pegada visível. Downloads de vários gigabytes para eletrodomésticos chamariam atenção, especialmente quando dispositivos começam a enviar tráfego contínuo a pares que raramente contatam.

A inferência distribuída introduz custos adicionais de coordenação. Um cluster de 15 dispositivos precisa manter seus fragmentos disponíveis e sincronizados. A perda de uma máquina necessária poderia interromper o modelo, a menos que o worm mantenha redundância ou reorganize sua carga de trabalho.

Essas limitações não eliminam o alerta. Elas definem os problemas de engenharia que um atacante precisa resolver, e vários estão diminuindo à medida que modelos e hardware de borda melhoram.

A conclusão responsável é limitada. A Anthropic demonstrou mecanismos suficientes para justificar preparação, mas não o bastante para afirmar que já existe um worm autônomo de modelo pequeno.

Worms de IA Pressionariam os Defensores de Forma Diferente

Os defensores enfrentariam um problema familiar de botnet com uma camada de adaptação desconhecida, não uma nova forma de vida imparável.

Botnets IoT convencionais normalmente procuram dispositivos que correspondam a condições conhecidas. Elas tentam credenciais ou explorações fixas, instalam uma carga útil compacta e aguardam comandos. Os defensores podem estudar esse comportamento e bloquear indicadores recorrentes.

Um worm de IA poderia variar suas ações após inspecionar um alvo. Poderia escolher um binário compatível, modificar um script, buscar documentação local ou abandonar uma rota improdutiva. Essa variabilidade poderia reduzir o valor de assinaturas estáticas.

O worm também poderia separar planejamento de execução. Um modelo mais capaz poderia desenvolver a estratégia, enquanto agentes menores executariam tarefas restritas em dispositivos comprometidos. A Anthropic considera esse arranjo mais plausível do que modelos fracos consultando orientadores apenas quando ficam presos.

As equipes de segurança, portanto, precisariam monitorar comportamentos em vez de depender exclusivamente de amostras conhecidas de malware. Arquivos de modelo inesperados, runtimes de inferência, atividade de compiladores ou tráfego ponto a ponto poderiam se tornar sinais úteis.

A visibilidade da rede continua sendo uma das maiores vantagens dos defensores. Uma replicação mais rápida exige mais varreduras, downloads e coordenação. Essas atividades criam anomalias em provedores de internet, gateways corporativos e plataformas de gerenciamento de dispositivos.

Honeypots poderiam capturar as ferramentas e instruções do replicador. Um honeypot é um sistema de isca projetado para atrair atacantes e registrar seu comportamento. Pesquisadores poderiam usar prompts, modelos e scripts capturados para desenvolver detecções.

A contenção também tem respaldo histórico. Pesquisas citadas pela Anthropic concluíram que um provedor de internet eliminou 92 por cento das infecções Mirai observadas em 14 dias. Clientes foram colocados em quarentena e direcionados a instruções de limpeza.

A comparação não garante sucesso equivalente contra agentes adaptáveis. Ela mostra que notificações coordenadas e restrições de rede podem reduzir uma infecção distribuída sem alcançar todos os dispositivos simultaneamente.

Fabricantes de dispositivos controlam outra camada importante. Credenciais únicas, atualizações assinadas, interfaces de depuração desativadas, inicialização segura e canais de correção com suporte reduzem oportunidades tanto para IA quanto para malware convencional.

O Reino Unido já proíbe senhas padrão universais em suas regras de segurança de produtos. Requisitos semelhantes podem reduzir o conjunto de dispositivos disponíveis para ataques automatizados.

Empresas também devem revisar seus inventários de ativos. Uma televisão, câmera ou equipamento de videoconferência pode ficar fora do gerenciamento normal de endpoints, mantendo ainda acesso a redes sensíveis.

Separar esses dispositivos dos sistemas dos funcionários limita o movimento lateral. Restringir conexões de saída pode impedir que um equipamento recupere pesos de modelo, faça varreduras em redes externas ou se junte a um cluster de inferência distribuída.

As equipes de segurança precisarão de registros que conectem proprietários de dispositivos, status de firmware, localização na rede e procedimentos de resposta. Uma base de conhecimento pesquisável pode apoiar esse trabalho quando a documentação está dispersa em arquivos locais.

Desenvolvedores de modelos enfrentam uma pressão diferente. Eles podem avaliar sistemas menores quanto à capacidade cibernética, publicar limitações mensuradas e evitar tratar a contagem de parâmetros como uma fronteira de segurança suficiente.

Um modelo compacto com forte uso de ferramentas pode criar mais risco do que um modelo maior sem agência confiável. As avaliações devem testar execução de longo prazo, recuperação de erros, ambientes desconhecidos e comportamentos relacionados à propagação.

Formuladores de políticas devem evitar enquadrar a questão como um problema puramente de IA. A segurança fraca de dispositivos fornece os hosts, enquanto agentes capazes aumentam a adaptabilidade. Uma regulamentação que trate apenas dos modelos deixaria a superfície de ataque subjacente intacta.

Três Sinais Mostrarão se o Alerta Está se Tornando Real

As próximas evidências devem vir de testes de capacidade reproduzíveis, defesas no mundo real e mudanças no hardware de borda, não de previsões mais amplas sobre IA fora de controle.

O primeiro sinal é um modelo pequeno completando toda a sequência de replicação em hardware realista. Ele precisaria localizar alvos, obter acesso, instalar-se, estabelecer inferência e continuar se espalhando.

A avaliação não deve depender de acesso de depuração sem autenticação nem de um modelo externo mais forte. Pesquisadores independentes também devem receber prompts, configurações e logs suficientes para reproduzir o resultado.

Tal demonstração fortaleceria a previsão central da Anthropic. Falhas repetidas em condições realistas enfraqueceriam o cronograma alegado, mesmo que tarefas individuais de replicação continuassem melhorando.

O segundo sinal é malware usando inferência local de IA durante uma campanha IoT real. Pesquisadores devem procurar pesos de modelo, mecanismos de inferência, scripts adaptativos ou prompts capturados em dispositivos comprometidos.

Botnets comuns que adicionem um rótulo relacionado à IA não se qualificariam. O agente precisa mudar seu comportamento com base no alvo ou usar raciocínio local para sustentar a propagação.

Encontrar esses mecanismos em ambiente real levaria a discussão além da capacidade de laboratório. Sua ausência não provaria segurança, mas ajudaria a distinguir risco operacional imediato de uma preocupação de pesquisa de longo prazo.

O terceiro sinal é uma resposta mensurável de fabricantes e operadores de rede. Evidências úteis incluem depuração de produção desativada, credenciais únicas, atualizações assinadas, isolamento de dispositivos e detecções de transferências incomuns de modelos.

Provedores de internet podem monitorar tráfego contínuo entre eletrodomésticos que raramente trocam arquivos grandes. Empresas podem sinalizar runtimes de IA inesperados em sistemas embarcados e bloquear descoberta de pares não autorizada.

Essas medidas enfraqueceriam a ameaça ao reduzir os hosts disponíveis e elevar o custo de cada infecção. Agentes lentos não conseguem persistir se sua taxa de reprodução cair abaixo da taxa de substituição.

A pesquisa da Anthropic sobre IA autorreplicante dá aos defensores uma janela precisamente porque seu protótipo permanece incompleto. Esperar por um worm funcional significaria abrir mão dessa vantagem.

A questão prática já não é se um forno desenvolverá espontaneamente intenções. É se atacantes conseguem combinar fraquezas existentes em IoT com modelos que depuram, se adaptam e persistem sem supervisão constante.

Desenvolvedores devem exigir avaliações reproduzíveis. Fabricantes devem remover pontos de entrada óbvios. Compradores corporativos devem tratar produtos conectados de longa duração como computadores gerenciados, e não acessórios descartáveis.

Nos próximos meses, observe a lacuna de capacidade entre modelos pequenos e a replicação bem-sucedida de ponta a ponta. Se essa lacuna se fechar em condições realistas, o alerta da Anthropic se tornará um prazo operacional de segurança.