Anthropic ha pubblicato uno studio che fa girare la testa: modelli AI relativamente piccoli potrebbero essere a pochi mesi dal sapersi replicare autonomamente su dispositivi IoT commerciali. Tipo il vostro forno smart. O quel TV box Android comprato su AliExpress a 50 euro.
Parliamo di un ‘worm AI’ — un programma che si copia da solo di dispositivo in dispositivo, senza intervento umano. La differenza rispetto al malware tradizionale? Questo potrebbe capire hardware sconosciuto da solo, adattarsi, imparare dai fallimenti. E sarebbe dannatamente difficile da spegnere, visto che non c’è un server centrale da staccare.
La demo che nessuno voleva vedere
Il team Frontier Red di Anthropic ha comprato 15 TV box Android scadenti (circa 55 dollari l’uno) e ci ha fatto girare Gemma4-26B-A4B in modalità distribuita. Velocità raggiunta: 0.39 token al secondo. Ogni box tiene un paio di layer del modello e comunica con gli altri per completare l’inferenza.
Lento? Sì. Impossibile? No.
Non servono GPU da datacenter. Bastano dispositivi economici, scarsamente difesi, sparsi per casa e ufficio. Router, telecamere smart, aspirapolvere automatici. Roba che ha già accesso alla rete e storicamente zero sicurezza.
Cosa serve per replicarsi davvero
Anthropic scompone il processo in quattro fasi: trovare i target, ottenere l’esecuzione, stabilire l’inferenza, propagarsi dal nuovo host. Il vero collo di bottiglia è configurare l’inferenza su hardware sconosciuto.
Non è come copiare un file. Bisogna scegliere lo stack giusto, trovare le versioni compatibili dei pacchetti, debuggare problemi specifici della macchina. Una catena di decisioni seriali dove ogni errore blocca tutto.
I ricercatori hanno testato modelli da 9B a 30B parametri su nove tipi di hardware diversi, da Jetson Nano a Mac, da RTX 4090 a Raspberry Pi. Qwen3.5-9B riesce a configurare server di inferenza su 8 piattaforme su 9. GLM-5.2 fa ancora meglio: più affidabile e più veloce.
Il test completo: replicazione autonoma end-to-end
I ricercatori hanno costruito una rete isolata di 8 nodi GCP che emulano Android 15. Paziente zero: un nodo infettato col worm. Obiettivo: saltare da nodo a nodo via porta ADB non autenticata, configurare un server di inferenza per Llama3.1-8B, propagarsi.
Solo GLM-5.2 ce l’ha fatta in modo affidabile: 8 nodi su 8 in quattro prove su cinque. Gli altri modelli falliscono sistematicamente.
Se un modello piccolo raggiungesse le capacità di GLM-5.2 — e se la tendenza storica continua, potrebbe succedere entro fine anno — avremmo un replicatore funzionante. Il soffitto di dimensioni (modelli abbastanza piccoli da girare sui dispositivi target) e il pavimento di capacità (abbastanza capaci da replicarsi) si stanno avvicinando.
Quanto veloce si diffonderebbe?
Non stiamo parlando di un’epidemia lampo. Più di una muffa digitale che si espande lentamente. Sul setup di TV box testato, Gemma4-26B-A4B processa circa 0.3 token/s. Per completare un ciclo di replicazione servono tra le 71 e le 150 ore. Giorni, non minuti.
Facciamo i conti. La botnet Kimwolf ha infettato oltre 2 milioni di dispositivi al suo picco, principalmente TV box Android. Se ogni gruppo di 15 TV facesse girare una copia del modello, avremmo circa 133.000 repliche attive. Potenza aggregata: circa 80k token/s, l’equivalente di una quarantina di H100 ad alta concorrenza.
In termini assoluti è pochissimo. Ma è distribuito, persistente, difficile da eradicare. E continuerebbe a crescere.
Il malware che impara
I worm tradizionali sono hard-coded per un tipo specifico di dispositivo. Un worm AI può adattarsi.
Anthropic ha testato se Qwen3.5-9B migliora con l’esperienza. Ogni istanza tiene appunti sulle strategie provate e i fallimenti incontrati, passandoli alla generazione successiva. Il tasso di successo sale dal 45% nella prima generazione al 61-84% nelle successive. Le istanze figlie ereditano le conoscenze delle istanze genitore. Un worm che impara mentre si diffonde.
Chiedere aiuto ai modelli grandi?
I ricercatori hanno dato a Qwen3.5-9B accesso a Opus 4.8 come consulente esperto. Non serve a nulla. I modelli piccoli non sanno quali domande fare, e i consigli non richiesti vengono ignorati. Anche dopo training con reinforcement learning, il miglioramento è trascurabile.
I modelli piccoli funzionano bene come agenti individuali persistenti, ma coordinano male. Lo scenario più probabile è un modello grande che gestisce la strategia e coordina sciami di modelli piccoli come subagent.
Difendersi da una muffa digitale
La buona notizia: un replicatore weight-based che si moltiplica su dispositivi IoT lascia tracce di rete visibili. Payload da svariati gigabyte che saltano tra dispositivi, traffico sostenuto device-to-device tra macchine che normalmente non comunicano. Anomalie rilevabili dai sistemi di monitoraggio degli ISP.
Il trade-off è semplice: più veloce si replica, più rumore fa.
Una volta scoperto, si possono usare honeypot per raccogliere il payload e caratterizzare il comportamento. La quarantena funziona: quando un ISP ha applicato questa strategia contro la botnet Mirai, ha ripulito il 92% delle infezioni in 14 giorni, contro il 74% senza notifica. Eliminare completamente un replicatore distribuito richiede però di coordinare ogni ISP con reti infette, e non è banale.
Lato produttori, standard di sicurezza più alti aiuterebbero. Nel Regno Unito le password IoT di default sono già fuorilegge. Alzare il livello minimo di compliance renderebbe la vita più difficile sia ai worm AI che a quelli tradizionali.
Segni di vita
Anthropic è chiara: non esiste ancora un replicatore completo in circolazione. Ma i pezzi si stanno assemblando. I modelli completano sempre più passi della catena di replicazione in modo affidabile e passano le strategie accumulate alle copie future.
I dispositivi IoT sono vulnerabili da sempre, ma agenti leggeri potrebbero essere molto più disposti degli attaccanti umani a compromettere frazioni enormi del compute IoT mondiale. E i replicatori lenti sarebbero solo il campanello d’allarme per quelli più aggressivi, capaci di violare macchine più protette o rubare credenziali API su scala.
Il messaggio di Anthropic è pragmatico: rendiamo difficile la diffusione, ma prepariamoci a un mondo dove questi replicatori esistono. Se i trend continuano, potrebbero essere qui prima di quanto pensiamo.
