Anthropic advierte de que los modelos de IA pequeños podrían estar a meses de copiarse solos en aparatos conectados

Los modelos de IA pequeños podrían estar a meses de ser capaces de copiarse solos de un aparato a otro, como un gusano informático, en aparatos conectados comerciales como hornos inteligentes o cajas de Android TV de marca blanca. Es lo que apuntan unos experimentos que el equipo Frontier Red Team de Anthropic publicó el lunes 12 de octubre.

La primera prueba mide si esos aparatos tienen potencia suficiente. Los investigadores compraron 15 cajas de Android TV de marca blanca, de unos 55 dólares y 4 GB de memoria cada una, las conectaron en red y ejecutaron repartido entre ellas el modelo Gemma4-26B-A4B, a 0,39 tokens por segundo. Cada caja guardaba una pequeña parte de las capas del modelo. Es un ritmo por debajo de la velocidad de los asistentes con los que se conversa.

La parte menos estudiada del proceso, y en la que se centra el trabajo, es que un modelo consiga instalar otro y dejarlo funcionando en una máquina que no conoce. Un modelo de 9.000 millones de parámetros puso en marcha la inferencia en 8 de los 9 tipos de hardware probados. Según el texto, los modelos pequeños, como Qwen3.5-9B, son capaces de montar servidores de inferencia en equipos que van de una Jetson Nano a un Mac o una tarjeta RTX 4090. Los investigadores dejaron en buena medida fuera el paso previo, el de entrar en el aparato, porque estudios anteriores ya indican que los modelos pequeños pueden explotar fallos de seguridad.

En evaluaciones simplificadas, algunos modelos más potentes ya completan la replicación de principio a fin. En una red cerrada de ocho máquinas de Google Cloud que emulaban Android, GLM-5.2 fue el único de los modelos abiertos probados que lo logró: llegó a las ocho en cuatro de cinco intentos y a siete en el restante. Anthropic advierte de que la prueba facilitaba la entrada, porque el puerto de acceso no pedía autenticación, de modo que el resultado es un límite superior de lo que pasaría fuera del laboratorio. Además, el modelo del gusano funcionaba en un servidor aparte, porque esas máquinas no tenían capacidad para alojarlo.

Por ahora, según el texto, la capacidad mínima que hace falta para replicarse y el tamaño máximo que cabe en estos aparatos no coinciden en un mismo modelo: GLM-5.2 supera el mínimo en la evaluación simplificada, y Qwen3.5-9B y Gemma4-26B-A4B son los que caben en las cajas probadas. Si los modelos pequeños mejoran al mismo ritmo que hasta ahora, alcanzarían ese nivel a finales de este año, y los replicadores pequeños podrían ser posibles poco después. La propia Anthropic lo presenta como una estimación aproximada, porque se apoya en un índice de capacidad general que solo sirve de referencia indirecta.

Un replicador así sería difícil de apagar, porque no hay un punto central que desconectar, aunque podría ser lento y tardar días en duplicarse: más de uno o dos días por cada copia de un modelo de 9.000 millones de parámetros, según el cálculo de los autores. Una flota del tamaño de Kimwolf, una red de aparatos infectados que superó los dos millones de dispositivos, sumaría como mucho, ejecutando Gemma4-26B-A4B, la capacidad de unas 40 H100, los aceleradores que se usan en los centros de datos, una cantidad que el texto califica de minúscula en términos absolutos. A diferencia de un programa malicioso tradicional, un modelo podría averiguar por su cuenta cómo funcionan aparatos que no conoce.

Anthropic precisa que todavía no existe un replicador autónomo completo y que los chips que cita no son una fuente de riesgo ni de fallos de seguridad. Entre las defensas, señala que una propagación a gran escala dejaría rastro en la red, porque mover modelos de varios gigabytes entre aparatos genera un tráfico anómalo que los operadores de internet pueden ver, y que los fabricantes pueden reducir los blancos con configuraciones de fábrica más seguras: en el Reino Unido, las contraseñas por defecto en estos aparatos ya incumplen la norma.