Un nuovo esperimento pubblicato da Anthropic suggerisce che i modelli AI di piccole dimensioni potrebbero essere a pochi mesi di distanza dalla capacità di auto-replicarsi su dispositivi IoT commerciali, come forni intelligenti e box Android TV di marca sconosciuta. La ricerca, ripresa anche da aisecret.us, affronta un tema di sicurezza informatica che finora era rimasto in gran parte teorico: la cosiddetta replicazione e adattamento autonomi (ARA), cioè la capacità di un modello di distribuirsi e propagarsi senza controllo umano.
Cos’è un “AI worm” e perché è diverso dal malware tradizionale
Nel campo della cybersecurity, un worm è un programma che si copia da una macchina all’altra senza intervento umano. La novità, secondo Anthropic, è che un agente AI potrebbe comportarsi allo stesso modo portandosi dietro i propri pesi (i file che costituiscono il modello) e girando direttamente sull’hardware compromesso. In pratica, i pesi diventerebbero parte del payload malevolo.
La differenza rispetto al malware pre-AI starebbe in due aspetti: l’assenza di un punto centrale da spegnere e la capacità di adattarsi a dispositivi sconosciuti. Un replicatore di questo tipo sarebbe difficile da bloccare, anche se potenzialmente lento, con un tempo di raddoppio nell’ordine dei giorni.
L’esperimento: 15 box Android TV da 55 dollari
Per testare la fattibilità, i ricercatori hanno messo in rete 15 box Android TV economici, acquistati a circa 55 dollari ciascuno, e vi hanno distribuito il modello Gemma4-26B-A4B. Il sistema ha raggiunto una velocità di 0,39 token al secondo, con ciascun dispositivo fisico incaricato di ospitare due layer del modello. Non prestazioni da datacenter, ma sufficienti a dimostrare che un modello di dimensioni contenute può girare su hardware debole e poco costoso.
Anthropic sottolinea di aver volutamente tralasciato la parte più strettamente legata agli exploit informatici, già documentata in lavori precedenti come CyberGym, ExploitBench e le ricerche sugli “adaptive worms”. Il focus è invece su una fase meno studiata: riuscire a impostare l’inferenza su dispositivi compromessi e sconosciuti.
Cosa riescono a fare i modelli oggi
Secondo i risultati, un modello da 9 miliardi di parametri è riuscito ad avviare l’inferenza su 8 delle 9 tipologie di hardware testate. I modelli fino a 30 miliardi di parametri completano già molte delle singole fasi necessarie alla replicazione, ma commettono errori quando provano a concatenarle dall’inizio alla fine. Nelle valutazioni semplificate, modelli come GLM-5.2 di Zhipu (Cina) e altri di pari livello sono invece riusciti a completare l’intero ciclo di replicazione tra dispositivi Android simulati.
La previsione di Anthropic è che, se i modelli piccoli continueranno a migliorare al ritmo storico, raggiungeranno questo livello di capacità entro la fine dell’anno. Poco dopo potrebbero diventare possibili anche replicatori basati sui pesi.
Perché l’IoT è un bersaglio appetibile
I dispositivi domestici e per piccole imprese sono connessi a internet e storicamente hanno misure di sicurezza minime. Frigoriferi intelligenti, forni, robot aspirapolvere e tosaerba automatici potrebbero ospitare uno shard di un modello sotto i 30 miliardi di parametri. Inoltre, un numero crescente di dispositivi come telecamere di sicurezza e unità per videoconferenze arriva già con piccoli chip AI integrati, pensati per eseguire modelli localmente: una potenza di calcolo aggiuntiva che li rende ancora più interessanti come potenziali target.
Limiti e questioni aperte
La ricerca non dimostra che un worm AI autonomo sia già in grado di propagarsi su larga scala. Mostra piuttosto che i singoli tasselli stanno diventando disponibili e che la soglia potrebbe essere superata nel giro di mesi. Restano da chiarire diversi aspetti: la velocità reale di diffusione su reti eterogenee, la capacità dei modelli piccoli di gestire il social engineering (oggi appaiono più forti nel coding agentico e nell’hacking che nella manipolazione umana), e l’efficacia delle contromisure. Anthropic accenna a possibili difese, ma senza entrare nei dettagli nel materiale disponibile.
Per chi si occupa di sicurezza, sviluppo software o gestione di reti IoT, il messaggio operativo è duplice: da un lato i dispositivi economici e poco protetti vanno considerati parte della superficie d’attacco; dall’altro la corsa tra capacità dei modelli e difese si sta spostando su un terreno nuovo, dove l’automazione non riguarda solo gli attacchi ma anche la loro propagazione.
