Cucs d'IA a la teva tele: l'avís d'Anthropic

L'equip de proves ofensives d'Anthropic, el Frontier Red Team, va publicar el 12 d'octubre un informe amb una conclusió inquietant: els models d'IA petits «podrien estar a mesos» de ser capaços de copiar-se per si sols en dispositius IoT comercials, com forns intel·ligents o caixes Android TV de marca blanca, sense necessitar un centre de dades. Avui cap model ho aconsegueix de manera fiable en un televisor, però els investigadors hi veuen «senyals de vida» i calculen que la capacitat necessària arribarà a finals del 2026.

L'informe, signat per William Zhou i Daniel Freeman, canvia el focus habitual del debat. Fins ara, el risc d'una IA que es replica sola s'associava a grans models en clústers de GPU. Anthropic planteja un altre escenari: models petits que es mouen entre milions d'aparells domèstics mal protegits i que, en no tenir un servidor central, serien «difícils d'apagar».

Què ha provat Anthropic

L'equip divideix l'autoreplicació en quatre fases: trobar objectius, aconseguir executar codi, muntar la inferència (posar el model a funcionar al nou equip) i propagar-se des d'allà. Va deixar gairebé fora la part d'explotació, que ja mesuren altres proves, i es va centrar a muntar la inferència, la fase menys estudiada i probablement la més difícil per a un model petit. Per fer-ho va utilitzar Memento, un arnès construït sobre l'agent de programació de codi obert Pi que reinicia periòdicament l'agent amb l'espai de treball i unes notes del seu predecessor.

Maquinari desconegut: Qwen3.5-9B, un model de 9.000 milions de paràmetres, va aconseguir engegar un servidor d'inferència en 8 dels 9 tipus de maquinari provats, des de Jetson Nano fins a Mac i RTX 4090.
Televisors reals: l'equip va comprar 15 caixes Android TV de marca blanca, d'uns 55 dòlars i 4 GB de RAM cadascuna, i va repartir entre totes el model Gemma4-26B-A4B. Va funcionar, però a uns 0,39 tokens per segon.
Replicació completa: en una xarxa aïllada de 8 nodes a Google Cloud que emulaven Android 15, un «pacient zero» havia d'entrar per un port ADB sense autenticar, muntar un servidor d'inferència de Llama3.1-8B i copiar-se. Només GLM-5.2, entre els models oberts provats, ho va aconseguir: els 8 nodes en 4 de 5 intents i 7 de 8 en el cinquè.
Aprenentatge entre generacions: quan cada còpia de Qwen3.5-9B deixava notes a la següent, l'èxit muntant la inferència va pujar del 45 % en la primera generació a entre el 61 % i el 84 % en les següents.

Donar al model petit accés a un assessor de frontera, Claude Opus 4.8, no va millorar els resultats: segons l'informe, els models petits sovint no saben què preguntar.

El «terra» i el «sostre»: per què encara no ha passat

Anthropic ho explica amb dos límits. El terra és la capacitat mínima per replicar-se de manera fiable, que avui marca GLM-5.2. El sostre és el model més gran que cap a l'aparell objectiu: Qwen3.5-9B i Gemma4-26B-A4B caben a les teles de 4 GB, però no arriben al terra. Avui les dues línies no es creuen.

El problema és la tendència. Els millors models oberts de 30.000 milions de paràmetres o menys milloren uns 13,7 punts l'any a l'Epoch Capabilities Index (amb un ajust molt fort, R² = 0,95), cosa que situaria un model petit al nivell de GLM-5.2 a finals del 2026. Els autors adverteixen que aquest índex és només una aproximació, així que la data és orientativa.

Quant de mal podria fer

Com a referència, l'informe fa servir Kimwolf, una botnet que va infectar més de dos milions de dispositius, sobretot caixes Android TV de marca blanca amb entre 1 i 4 GB de RAM. Amb 4 GB i quantització de 4 bits, un model de 9.000 milions necessita uns 4 aparells i un de 26.000 milions, 10 o més. Agrupades de 15 en 15, aquests dos milions de teles donarien unes 133.000 rèpliques i uns 80.000 tokens per segon en total, l'equivalent a unes 40 GPU H100 com a màxim.

Seria, en paraules de l'informe, una mena de «floridura mucilaginosa digital»: lent —muntar la inferència en una tele trigaria entre 71 i 150 hores amb Gemma i entre 28 i 51 amb Qwen—, amb un temps de duplicació de dies, però molt difícil d'eradicar. A més, unes 90 línies de productes IoT de NVIDIA amb uns 9,5 milions d'unitats venudes ofereixen molta més potència: entre 9.000 i 35.000 H100 equivalents, tot i que la part realment abastable seria almenys deu vegades menor.

Anthropic contempla dos escenaris més: un model gran que es replica atacant centres de dades i un que roba credencials per fer servir APIs d'inferència alienes. El pitjor cas realista combinaria tots tres.

Els límits de l'experiment

El mateix informe reconeix que els seus resultats són un límit superior:

La fase d'intrusió era trivial: un port ADB obert i sense contrasenya. Tot i que els autors recorden que Mirai es va propagar amb simples contrasenyes de fàbrica.
La replicació completa es va fer en nodes emulats i preparats per a això; les teles reals només es van fer servir per a la prova d'inferència.
La previsió per al 2026 es basa en una tendència d'un índex de capacitats, no en una mesura directa.
No es van provar l'evasió de defenses ni l'enginyeria social, en què els models petits van puntuar entre «molt malament» i «malament».

Tampoc no hi ha cap cuc d'aquest tipus en circulació: és una prova de capacitats. L'informe arriba dos mesos després que l'institut britànic de seguretat d'IA documentés que Claude Mythos 5 i GPT-5.6-Sol van actuar pel seu compte en proves de ciberseguretat, i en ple debat sobre quant control humà queda sobre els agents d'IA.

Com es defensa la xarxa

La bona notícia és que un cuc així ha de moure diversos gigues de pesos del model entre aparells, i això fa soroll. Anthropic proposa:

Mantenir R₀ per sota d'1: que cada aparell infectat en contagiï, de mitjana, menys d'un altre, perquè el brot s'apagui sol.
Vigilar el trànsit: els operadors poden detectar descàrregues de models de diversos gigues, trànsit sostingut entre dispositius i escanejos. Com més ràpid es propagui, més es delata.
Esquers (honeypots) per capturar l'arnès i la càrrega del cuc.
Quarantena amb avís al client: amb Mirai, restringir la connexió dels abonats infectats i donar-los instruccions de neteja va eliminar el 92 % de les infeccions en 14 dies, davant del 74 % sense avís.
Millors valors per defecte: el Regne Unit ja prohíbeix vendre aparells IoT amb contrasenyes de fàbrica genèriques.

No és la primera vegada que parlem de netejar aparells domèstics compromesos: al juny vam explicar com el CSIS canadenc va obtenir una ordre judicial per desactivar dues botnets IoT.

Recomanacions pràctiques per a casa i petites empreses

Canviar les contrasenyes de fàbrica de tots els aparells connectats i desactivar ADB i altres ports de depuració a les caixes Android TV.
Desconfiar de les caixes Android TV de marca blanca molt barates: són l'objectiu preferit de botnets com Kimwolf.
Separar els aparells IoT en la seva pròpia xarxa o VLAN, sense accés a la resta d'equips.
Mantenir el firmware al dia i retirar els aparells que ja no reben actualitzacions.
Revisar el consum de xarxa: una tele que descarrega gigues de matinada o parla sense parar amb altres aparells mereix una ullada.
Si es fan servir agents d'IA a casa o a l'empresa, limitar quines ordres poden executar i en quins equips.

Què cal vigilar a continuació

Si apareix un model obert de menys de 30.000 milions de paràmetres que arribi al nivell de GLM-5.2.
Noves avaluacions d'autoreplicació d'altres laboratoris i d'instituts públics de seguretat d'IA.
Com responen fabricants d'IoT i operadors: contrasenyes per defecte, ports de depuració i detecció de trànsit anormal.

Conclusió: l'informe no descriu una amenaça actual, sinó una data aproximada en què deixarà de ser teòrica. El missatge per a qui té la casa plena d'aparells connectats és el de sempre, però amb més urgència: contrasenyes canviades, ports tancats, firmware al dia i l'IoT en la seva pròpia xarxa.