Uma IA capaz de se copiar por televisores, câmeras e eletrodomésticos parece o roteiro perfeito para uma manchete alarmista. O experimento que a Anthropic publicou em 12 de outubro é mais limitado — e justamente por isso merece atenção. Ele não demonstra um worm autônomo solto na internet. Mostra que peças antes separadas do problema começam a caber no mesmo sistema técnico.

O Frontier Red Team da empresa executou o Gemma4-26B-A4B, distribuído entre 15 caixas Android TV genéricas de cerca de US$ 55 cada, a 0,39 token por segundo. Em outro teste, um modelo de 9 bilhões de parâmetros conseguiu configurar inferência em oito de nove tipos de hardware. São resultados reportados pela própria Anthropic, não uma reprodução independente.

O sinal importante não é que um “vírus de IA” já exista. É que agentes, modelos menores e computação barata na borda estão reduzindo a distância entre uma hipótese de segurança e um sistema executável.

O que o experimento realmente mediu

A equipe dividiu a replicação em quatro etapas: encontrar alvos, obter execução, instalar a carga e continuar a propagação. O foco principal foi a configuração de inferência em hardware heterogêneo, uma sequência difícil de escolhas sobre sistema operacional, bibliotecas, versões e limites de memória.

Na avaliação de ponta a ponta, a Anthropic montou uma rede isolada com oito nós que emulavam Android 15. O acesso remoto via ADB não exigia autenticação, eliminando boa parte do desafio de exploração. O modelo GLM-5.2, servido fora desses nós, recebeu a tarefa de instalar e propagar o Llama 3.1 8B: alcançou os oito nós em quatro de cinco execuções e sete nós na quinta.

Há uma distinção essencial. O GLM-5.2 coordenou o trabalho, mas não foi carregado nos dispositivos comprometidos. Quando um nó passava nos testes, o ambiente iniciava uma nova cópia do agente para continuar o ciclo. O ensaio indica que um modelo pequeno com capacidade equivalente poderia realizar a cadeia; não prova que esse modelo já exista, caiba no alvo e se replique sozinho em condições reais.

A própria publicação trata como extrapolação a previsão de que modelos pequenos atinjam esse nível até o fim de 2026. O cálculo usa uma tendência de capacidade geral como aproximação da competência de replicação. É um alerta de planejamento, não um resultado experimental.

Onde a demonstração termina

O trabalho simplificou as duas primeiras etapas, ligadas à invasão. Portas sem autenticação e uma rede preparada são muito diferentes de dispositivos expostos por fabricantes, versões e topologias variadas. Também não houve uma população aberta de alvos, persistência prolongada nem tentativa de escapar do ambiente controlado.

Isso impede duas conclusões comuns. A pesquisa não confirma que uma IA esteja se espalhando pela internet, e tampouco estabelece que agentes substituam worms tradicionais hoje. A Anthropic argumenta que um agente poderia adaptar procedimentos a máquinas desconhecidas; a demonstração observou configuração em diferentes hardwares e transferência de notas entre tentativas, mas não testou evasão contra defensores em produção.

Na análise da MnzAI Labs, o valor do estudo está em separar três restrições que costumavam ser discutidas juntas:

  • capacidade para planejar e corrigir uma sequência longa de ações;
  • tamanho e velocidade do modelo que precisa rodar na borda;
  • acesso inicial a dispositivos vulneráveis.

O risco cresce quando essas fronteiras se encontram. Por enquanto, a avaliação ainda coloca capacidade e tamanho em lados diferentes: os modelos pequenos cabem nos dispositivos, enquanto o modelo que concluiu a orquestração foi servido externamente e não ficou sujeito ao limite do hardware-alvo.

A defesa começa antes do modelo

Para equipes de segurança, esperar a primeira amostra completa seria a leitura menos útil. Um replicador baseado em pesos precisaria transferir gigabytes, manter tráfego entre dispositivos e varrer novos alvos. Esses comportamentos criam sinais de rede, mesmo quando o conteúdo das ações é decidido por um modelo.

A Anthropic sugere monitoramento de fluxo por provedores, quarentena de assinantes infectados, honeypots e padrões mais seguros de fábrica. A recomendação conversa com problemas antigos de IoT: credenciais padrão, atualizações raras, segmentação insuficiente e ativos fora do inventário. Agentes aumentam a capacidade de adaptação, mas ainda dependem dessas portas conhecidas.

Para líderes técnicos, a decisão prática é menos cinematográfica. Inventariar dispositivos de borda, bloquear interfaces administrativas expostas, segmentar redes e detectar transferências anormais de modelos são controles úteis agora, com ou sem IA autorreplicante. O experimento da Anthropic não anuncia um surto. Ele mostra que a arquitetura de defesa precisa considerar que o próximo worm pode carregar não apenas código, mas também um modelo capaz de decidir como executá-lo.

Fontes em inglês: pesquisa e metodologia da Anthropic, análise da Cloudflare sobre o botnet Kimwolf e estudo sobre mitigação do botnet Mirai por um provedor.