Equipe vermelha da Anthropic afirma que pequenos modelos de IA podem em breve se autorreplicar em dispositivos IoT

A Equipe Vermelha de Fronteira da Anthropic publicou pesquisas em 12 de outubro de 2026 relatando que pequenos modelos de IA podem estar a poucos meses de se tornar capazes de se autorreplicar em dispositivos IoT comerciais, como fornos inteligentes e aparelhos de TV Android de marcas pouco conhecidas, e que seria difícil desligar um replicador desse tipo porque ele não tem um ponto central que possa ser desativado.

Na publicação, os autores William Zhou e Daniel Freeman relatam que um modelo com 9 bilhões de parâmetros conseguiu executar a inferência em oito dos nove tipos de hardware testados pela equipe e que modelos com 30 bilhões de parâmetros ou menos já conseguem realizar muitas etapas individuais da replicação, embora cometam erros ao encadear as etapas de ponta a ponta. Se os pequenos modelos continuarem melhorando no ritmo histórico, a equipe projeta que eles alcançarão o nível de capacidade necessário até o fim de 2026, e que replicadores pequenos baseados em pesos poderão surgir pouco depois, embora observe que a replicação pode ser lenta, com um tempo de duplicação de vários dias.

Inferência distribuída em aparelhos de TV inteligente

Para mostrar que aceleradores caros não são estritamente necessários, a equipe comprou e conectou em rede 15 aparelhos de TV Android de marcas pouco conhecidas, que custaram cerca de US$ 55 cada, e então executou o Gemma4-26B-A4B, um modelo com 26 bilhões de parâmetros, particionado entre os aparelhos por meio de paralelismo de pipeline, com cada aparelho, equipado com 4 gigabytes de RAM, armazenando uma pequena fração das camadas do modelo. A equipe relata que a configuração processou 0,39 tokens por segundo e afirma que uma botnet distribuída de dispositivos IoT baratos, em geral mal protegidos, poderia fornecer capacidade computacional suficiente para executar um modelo capaz.

Modelos de ameaça e projeto da avaliação

A publicação apresenta a replicação e adaptação autônomas (ARA) como a preocupação central e divide a replicação em quatro etapas: encontrar alvos, obter execução, configurar a inferência e dar continuidade à propagação a partir do novo hospedeiro. Os pesquisadores praticamente excluíram as etapas de exploração cibernética, citando trabalhos anteriores, entre eles CyberGym, ExploitBench e pesquisas sobre worms adaptativos, que mostram que pequenos modelos já são capazes de realizar explorações cibernéticas. Em vez disso, concentraram-se na configuração da inferência, que descrevem como a etapa menos estudada e possivelmente mais desafiadora para pequenos modelos.

A publicação descreve três modelos de ameaça como os mais próximos de se concretizar: um pequeno replicador baseado em pesos que se espalha comprometendo máquinas hospedeiras; um replicador grande e avançado, também baseado em pesos, que visa centros de dados e outros sistemas com alta capacidade computacional, em variantes de fronteira e de pesos abertos; e um replicador baseado em API que rouba credenciais para usar sua própria API de inferência. Os pesquisadores observam que replicadores baseados em pesos não precisam de privilégios de root, pois os mecanismos de inferência podem ser executados inteiramente no espaço do usuário, e citam mineradores de criptomoedas e botnets como P2Pinfect e Fritzfrog como exemplos de operações sem elevação de privilégios.

Os experimentos foram realizados no Memento, uma estrutura de testes que a equipe desenvolveu com base no agente de programação de código aberto Pi. Periodicamente, ela inicia uma nova instância de agente, que herda o espaço de trabalho da instância anterior e um breve conjunto de notas sobre o que ela tentou fazer. No experimento de execução, cada modelo teve um limite de 1,5 hora por iteração e um tempo limite total de seis horas. O modelo de ameaça representativo é o Kimwolf, uma botnet que, segundo a publicação, infectou mais de dois milhões de dispositivos, principalmente aparelhos de TV Android de marcas pouco conhecidas. Esses aparelhos costumam vir com entre um e quatro gigabytes de RAM e, segundo os cálculos da publicação, com quatro gigabytes e quantização de 4 bits, modelos com 9 bilhões de parâmetros podem ser executados em quatro ou mais máquinas, e modelos com 26 bilhões de parâmetros, em dez ou mais.

Resultados da replicação de ponta a ponta

Para testar se os modelos conseguem encadear o ciclo completo de busca de alvos, obtenção de acesso, entrega da carga maliciosa e configuração da inferência, a equipe criou uma nuvem privada virtual protegida por firewall, com oito nós do Google Cloud executando o redroid, um emulador do Android 15. Um worm inicial percorreu os nós por uma porta ADB sem autenticação e configurou um servidor de inferência que executava o Llama3.1-8B, com verificações de correção e de prevenção de trapaças condicionando cada nova cópia.

Segundo a equipe, entre os modelos de pesos abertos testados, apenas o GLM-5.2 conseguiu replicar-se de ponta a ponta: espalhou-se pelos oito nós em quatro de cinco testes e por sete dos oito no teste restante. Como a avaliação simplifica ao máximo a etapa cibernética, sem autenticação na porta ADB, os pesquisadores descrevem o resultado como um limite superior para o sucesso no mundo real. Eles observam, porém, que botnets de IoT anteriores, como a Mirai, se espalharam usando listas padrão de nomes de usuário e senhas dos fabricantes.

A publicação define um patamar mínimo de capacidade que um worm precisa superar para se replicar de forma confiável — patamar acima do qual está o GLM-5.2 — e um limite máximo de tamanho que um modelo precisa respeitar para funcionar nos dispositivos que ataca. O Qwen3.5-9B e o Gemma4-26B-A4B ficam abaixo desse limite nos aparelhos de TV inteligente de 4 gigabytes testados, e os dois limites não se cruzam atualmente. Ao representar graficamente modelos notáveis de pesos abertos com 30 bilhões de parâmetros ou menos em relação ao Epoch Capabilities Index, o ajuste por mínimos quadrados da equipe indica um ganho de 13,7 pontos de ECI por ano, com R² de 0,95, situando um modelo pequeno no nível do GLM-5.2 até o fim de 2026. A equipe ressalva, porém, que o ECI é um índice geral de capacidade e serve apenas como indicador aproximado da capacidade de replicação, tornando essa previsão temporal uma estimativa imprecisa. Em um estudo de ablação com 17 nós, no qual a configuração da inferência foi feita por um script pré-escrito, até mesmo um modelo com 3 bilhões de parâmetros alcançou cerca de metade dos nós. Segundo a equipe, esse resultado delimita o quanto da dificuldade está nas etapas restantes de autonomia e orquestração.

Velocidade, escala e adaptação da replicação

Nas medições da equipe com os aparelhos de TV físicos, a inferência não otimizada do Gemma4-26B-A4B foi executada a cerca de 0,3 token por segundo em uma janela de contexto de 32.000 tokens, e a configuração completa da inferência levou de 71 a 150 horas, contra 28 a 51 horas para o Qwen3.5-9B. Extrapolando para uma frota do tamanho da Kimwolf, a equipe estima cerca de 133.000 réplicas, cada uma formada por um grupo de 15 TVs, processando em conjunto aproximadamente 80.000 tokens por segundo e exigindo, no máximo, cerca de 40 equivalentes de H100 para inferência — uma quantidade de computação que a equipe considera ínfima —, com a replicação levando de um a dois dias por cópia de 9 bilhões de parâmetros.

Em seis gerações de instâncias do Qwen3.5-9B, cada uma herdando as anotações da geração anterior, a taxa de sucesso na configuração da inferência aumentou de 45% na primeira geração para entre 61% e 84% nas gerações posteriores, ao longo de 20 linhagens, relata a equipe. Dar ao Qwen3.5-9B acesso ao Opus 4.8 como consultor de ponta não trouxe benefícios mensuráveis, tanto quando oferecido como chamada de ferramenta quanto quando disponibilizado sem solicitação, e o aprendizado por reforço para usar o consultor em tarefas de programação não se transferiu de forma produtiva. Em uma replicação local da avaliação de spear phishing CyberSecEval 3 da Meta, os modelos pequenos obtiveram resultados que a publicação classifica como muito ruins a ruins quando normalizados pelas avaliações de avaliadores humanos; a equipe cita esse resultado como evidência de que, nos modelos pequenos, a engenharia social fica atrás da capacidade cibernética baseada em agentes.

A publicação também estima cerca de 90 linhas distintas de produtos de IoT com silício da NVIDIA e aproximadamente 9,5 milhões de unidades em operação: uma estimativa muito aproximada de 9.000 a 35.000 equivalentes de H100 em capacidade computacional de aceleradores de borda, sendo provável que a parcela acessível seja pelo menos uma ordem de grandeza menor. Segundo os números citados pela publicação, um Jetson AGX Orin de 64 GB executa o Qwen3-30B-A3B a 76,7 tokens por segundo, e um AGX Thor alcança 226 tokens por segundo.

Defesas e avaliação da equipe

A publicação afirma que a defesa consiste em reduzir para menos de um o R₀, ou seja, o número de novos dispositivos que cada dispositivo infectado acaba infectando. Um replicador baseado em pesos que se disseminasse em larga escala por máquinas de IoT deixaria uma assinatura de rede detectável pelo monitoramento de fluxos dos provedores de internet (ISP), pois os dispositivos recém-infectados recebem cargas úteis de modelos com vários gigabytes, e a inferência distribuída gera tráfego contínuo entre dispositivos; uma replicação mais rápida gera mais tráfego, criando um equilíbrio entre velocidade e discrição; e os honeypots podem capturar a estrutura de execução e a carga útil do replicador. Com base em pesquisas sobre a contenção do Mirai, a publicação afirma que o isolamento dos dispositivos pelos provedores, acompanhado da notificação dos clientes, eliminou 92% das infecções em 14 dias, contra 74% sem notificação, e observa que as senhas padrão de dispositivos de IoT já não estão em conformidade com as normas nos mercados do Reino Unido, citando isso como exemplo de como a regulamentação reduz o conjunto de alvos.

Ao contrário de botnets programadas para atacar tipos específicos de dispositivos, como a Kimwolf, uma botnet de IA não depende de um hardware específico, afirma a publicação, que cita modelos pequenos configurando a inferência em máquinas que vão de um Jetson Nano a um Mac. Os pesquisadores concluem que, assim como ocorreu com os agentes de programação em 2024, os resultados indicam sinais de viabilidade para os vermes de IA: os agentes estão cada vez mais conseguindo concluir etapas individuais da cadeia de replicação e transmitir adaptações às cópias futuras, mas ainda não formam um replicador descontrolado completo. Eles esperam que a computação de borda instalada continue crescendo, enquanto diminui o tamanho mínimo do modelo necessário para uma replicação confiável.