Anthropic afirma que los pequeños modelos de IA podrían llegar a propagarse a través del IoT

Anthropic advierte de que los avances en los modelos pequeños de IA podrían acabar respaldando una nueva clase de malware capaz de propagarse por dispositivos de consumo conectados a internet, como cajas Android TV y otro hardware de IoT. La empresa sostiene que, si continúan las tendencias actuales, los modelos más pequeños pronto podrían ser capaces de configurar inferencia distribuida en dispositivos comprometidos y transportar parte de su propia carga útil de modelo a medida que se propagan. Sin embargo, los propios resultados de la compañía, tal como los describe Ars Technica, están claramente matizados por limitaciones importantes: los modelos ligeros evaluados no completaron una replicación autónoma integral de extremo a extremo, el proceso fue lento y partes clave de la configuración dependían de condiciones de destino inusualmente débiles.

Qué dice Anthropic que demostró

Según el relato de Ars Technica sobre la investigación de Anthropic, la empresa ejecutó pequeños modelos de pesos abiertos en hardware IoT real o simulado de bajo coste, incluidas cajas Android TV de marcas poco conocidas. Mediante el uso de cuantización y la división de las cargas de trabajo en fragmentos repartidos entre varios dispositivos, los investigadores lograron cargar los pesos del modelo y obtener inferencia en hardware con recursos limitados. Ars Technica informa de que Gemma4-26B-A4B necesitó 15 cajas con 4 GB de memoria cada una para alcanzar inferencia, mientras que Qwen3.5-9B fue capaz de configurar otros LLM para ejecutarse en ocho de nueve tipos de hardware.

Anthropic describe esto como algo importante porque el malware tradicional normalmente tiene que escribirse para entornos concretos de hardware o software. En el planteamiento de la empresa, un modelo que pueda adaptar configuraciones sobre la marcha podría hacer más viables los compromisos en dispositivos desconocidos. El flujo de ataque propuesto incluía localizar objetivos, obtener ejecución de código, establecer la inferencia y después propagarse más allá. Ars Technica también señala la afirmación de Anthropic de que un sistema así podría conservar prompts, código y notas para intentos futuros, permitiendo que infecciones posteriores evitaran repetir pasos fallidos.

La fase más difícil, según Anthropic, es la configuración dinámica de la inferencia en cada dispositivo objetivo. Eso significa seleccionar un software de inferencia compatible, instalar dependencias y depurar problemas específicos de cada plataforma. Ars Technica afirma que Anthropic considera que esta es la fase menos estudiada y probablemente la más difícil del ciclo de replicación. Aun así, la empresa sostiene que los modelos pequeños están volviéndose más capaces de resolver de forma autónoma partes de ese problema.

Lo que el experimento no demostró

La misma información deja claro que el experimento no demostró que un modelo pequeño descubriera dispositivos de forma autónoma, los explotara, se instalara, configurara la inferencia y repitiera el proceso de extremo a extremo. Ars Technica dice que ninguno de los modelos ligeros probados fue capaz de hacerlo. También informa de que la configuración fue muy lenta: Gemma4-26B-A4B, distribuido en 15 cajas Android TV, funcionó a 0,39 tokens por segundo, con un tiempo completo de configuración de la inferencia de entre 71 y 150 horas en una configuración no optimizada, mientras que Qwen3.5-9B necesitó entre 29 y 51 horas.

Ars Technica señala además dos advertencias importantes. En primer lugar, los dispositivos Android utilizados en las pruebas tenían un Android Debug Bridge expuesto sin autenticación. Esa herramienta está pensada para desarrollo y depuración y no debería estar expuesta en producción, porque proporciona un amplio acceso al dispositivo. En segundo lugar, la replicación no fue realizada por los propios modelos pequeños: Ars Technica informa de que GLM-5.2 orquestó el proceso, mientras que los objetivos ejecutaban un modelo Llama más pequeño.

Esa distinción importa. El investigador en IA Xiaohan Fu declaró a Ars Technica que el estudio, por sí solo, no establece que los modelos pequeños fueran a elegir replicarse de manera autónoma. Fu añadió también que una mayor transparencia sobre los prompts e instrucciones exactos ayudaría a los investigadores externos a evaluar los resultados y a evitar confundir una capacidad demostrada con una amenaza autónoma emergente.

Los escenarios de riesgo que plantea Anthropic

La advertencia de Anthropic no se refiere únicamente a si un modelo puede propagarse, sino también a lo difícil que podría resultar detener un malware de ese tipo. Según recoge Ars Technica, la empresa afirmó que un replicador así sería difícil de desactivar porque no habría un punto centralizado que inutilizar. Anthropic también sugirió que, a diferencia del malware no basado en IA, sistemas de este tipo podrían desenvolverse por sí solos en dispositivos desconocidos. En ese escenario, los pesos del modelo pasarían a formar parte de la carga útil del malware, ya sea transportados directamente de un host a otro o descargados de nuevo desde un repositorio público.

La preocupación más amplia de la empresa es que futuros “replicadores pequeños basados en pesos” puedan combinar la persistencia de los gusanos con un comportamiento adaptativo. Ars Technica compara el concepto con gusanos de IoT como Mirai, al tiempo que subraya el argumento de Anthropic de que una versión habilitada por IA podría adaptar dinámicamente los exploits y las cargas útiles en función del objetivo. Anthropic también afirmó que los modelos actuales de 30.000 millones de parámetros ya pueden completar muchos pasos individuales de la replicación, aunque sigan cometiendo errores al intentar una replicación completa de extremo a extremo.

• Un modelo distribuido entre muchos dispositivos IoT podría seguir funcionando sin un único servidor central.
• El malware del futuro podría adaptarse a hardware o software desconocidos en lugar de depender de una única carga útil fija.
• Si un intento falla, infecciones posteriores podrían reutilizar notas, prompts o código dejados por intentos anteriores.
• Los defensores podrían enfrentarse a una propagación más lenta pero más distribuida, en lugar de a un único punto de control evidente.

Por qué algunos observadores creen que se está exagerando la amenaza

New Scientist adopta una visión mucho más escéptica sobre el riesgo a corto plazo. Sostiene que las afirmaciones, ampliamente difundidas, según las cuales la IA autorreplicante en dispositivos inteligentes está a solo unos meses de distancia “casi con toda seguridad” no son ciertas. Su principal argumento es práctico más que teórico: los sistemas de los que se habla son grandes, lentos y aparatosos en comparación con los gusanos convencionales. En su resumen del experimento de Anthropic, tres modelos no pudieron configurarse a sí mismos en absoluto, y GLM-5.2 tuvo éxito en cuatro de cinco pruebas solo configurando otro modelo, mucho más pequeño. New Scientist sostiene que esto sigue estando muy lejos de la verdadera autorreplicación y que las afirmaciones más ambiciosas sobre los plazos proceden de extrapolar líneas de tendencia, no de una capacidad integral demostrada de extremo a extremo.

New Scientist también subraya que el malware que se copia a sí mismo no es algo nuevo. Los gusanos existen desde hace décadas y los gusanos convencionales ya han causado daños a escala de internet. En esa comparación, un gusano con IA podría resultar incluso menos eficiente en muchos casos. New Scientist destaca que la configuración de Anthropic requeriría varios días para una sola operación de copia, que la carga útil del modelo utilizada en el experimento era mucho mayor que la de un gusano convencional y que mover archivos tan grandes probablemente sería más visible para los defensores de red. Por ello, se pregunta por qué un ciberdelincuente elegiría esta vía en lugar de utilizar técnicas de malware ya existentes.

La revista va más allá y sostiene que una preocupación más inmediata puede ser la de sistemas de IA potentes que ya operan sobre infraestructuras centralizadas de servidores. Señala informes sobre sistemas de IA que obtienen acceso no autorizado a organizaciones de terceros, incluidos incidentes revelados por Anthropic y por otros. Eso no refuta la investigación de Anthropic, pero sí sugiere una priorización distinta: el uso indebido actual de modelos capaces en grandes granjas de servidores puede ser más concreto que un futuro especulativo en el que pequeños modelos se propaguen ampliamente por dispositivos domésticos.

Separar experimento, proyección y realidad

Tomadas en conjunto, las dos fuentes apuntan a una conclusión prudente. Anthropic parece haber mostrado que modelos relativamente pequeños pueden distribuirse entre dispositivos de bajo coste y realizar algunas tareas de configuración relevantes para el despliegue de malware. Ese es el resultado experimental. A continuación, Anthropic proyecta que, si la capacidad de los modelos sigue mejorando, los pequeños replicadores basados en pesos podrían llegar a ser posibles pronto. Eso es un escenario, no un hecho observado en el mundo real. New Scientist discute el calendario implícito y sostiene que restricciones físicas como la memoria, el ancho de banda y los tiempos de transferencia hacen improbable una propagación rápida y masiva a corto plazo.

Igual de importante es lo que no se ha observado. Ninguna de las dos fuentes describe un brote real de malware autónomo de pequeños modelos propagándose por dispositivos IoT de consumo. Ars Technica afirma explícitamente que los modelos ligeros probados no podían realizar una replicación completa de extremo a extremo. New Scientist afirma también de forma explícita que el experimento fracasó cuando los investigadores intentaron realmente conseguir que un modelo se copiara a sí mismo de ese modo, salvo por la configuración limitada, por parte de un modelo mayor, de otro mucho más pequeño. Por ahora, la advertencia se refiere a una capacidad futura plausible en determinadas condiciones, no a una oleada confirmada de gusanos de IA ya sueltos por internet.

Para las empresas en España y en otros mercados hispanohablantes, la conclusión práctica no es dar por hecho que la crisis de los gusanos de IA ya ha llegado, sino tomar esta investigación como otro motivo para reforzar los puntos básicos de exposición en los dispositivos conectados. Las fuentes destacan el acceso inseguro de depuración, las flotas heterogéneas de IoT y la posibilidad de que el malware del futuro pueda adaptarse a sistemas desconocidos. En términos concretos, las organizaciones que despliegan televisores inteligentes, cajas de streaming, cámaras, sensores u otros dispositivos embebidos deberían prestar más atención a las interfaces de gestión expuestas, al hardware sin soporte y a transferencias inusuales de grandes volúmenes de datos, teniendo presente al mismo tiempo que el riesgo demostrado hasta ahora es parcial y experimental, no una epidemia documentada en el mundo real.