Anthropic afirma que pequenos modelos de IA podem um dia se espalhar via IoT

A Anthropic está alertando que avanços em pequenos modelos de IA podem, no futuro, dar suporte a uma nova classe de malware capaz de se espalhar por dispositivos de consumo conectados à internet, como TV boxes com Android e outros hardwares de IoT. A empresa argumenta que, se as tendências atuais continuarem, modelos menores podem em breve se tornar capazes de configurar inferência distribuída em dispositivos comprometidos e carregar parte de seu próprio payload de modelo à medida que se propagam. Mas os próprios resultados da empresa, conforme descritos pela Ars Technica, são limitados por restrições importantes: os modelos leves testados não concluíram uma replicação autônoma de ponta a ponta, o processo foi lento e partes essenciais da configuração dependeram de condições de alvo excepcionalmente fracas.

O que a Anthropic diz ter demonstrado

Segundo o relato da Ars Technica sobre a pesquisa da Anthropic, a empresa executou pequenos modelos de pesos abertos em hardwares de IoT reais ou simulados de baixo custo, incluindo TV boxes com Android de marcas pouco conhecidas. Ao usar quantização e dividir as cargas de trabalho em shards distribuídos entre vários dispositivos, os pesquisadores conseguiram carregar os pesos dos modelos e obter inferência em hardware com recursos limitados. A Ars Technica informa que o Gemma4-26B-A4B precisou de 15 boxes com 4 GB de memória cada para alcançar inferência, enquanto o Qwen3.5-9B conseguiu configurar outros LLMs para rodar em oito de nove tipos de hardware.

A Anthropic descreve isso como importante porque malwares tradicionais normalmente precisam ser escritos para ambientes específicos de hardware ou software. No enquadramento da empresa, um modelo capaz de adaptar configurações em tempo real poderia tornar mais viáveis comprometimentos em dispositivos desconhecidos. O fluxo de ataque proposto incluía encontrar alvos, obter execução de código, estabelecer inferência e então continuar a propagação. A Ars Technica também observa a afirmação da Anthropic de que um sistema desse tipo poderia preservar prompts, código e anotações para tentativas futuras, permitindo que infecções posteriores evitassem repetir etapas malsucedidas.

A etapa mais difícil, segundo a Anthropic, é a configuração dinâmica da inferência em cada dispositivo-alvo. Isso significa selecionar um software de inferência compatível, instalar dependências e depurar problemas específicos de cada plataforma. A Ars Technica diz que a Anthropic vê essa como a fase menos estudada e provavelmente a mais desafiadora do ciclo de replicação. Ainda assim, a empresa argumenta que pequenos modelos estão se tornando mais capazes de resolver partes desse problema de forma autônoma.

O que o experimento não mostrou

A mesma cobertura deixa claro que o experimento não demonstrou um pequeno modelo descobrindo dispositivos de forma autônoma, explorando-os, instalando a si mesmo, configurando a inferência e repetindo o processo de ponta a ponta. A Ars Technica diz que nenhum dos modelos leves testados foi capaz de fazer isso. Também informa que a configuração foi muito lenta: o Gemma4-26B-A4B, distribuído por 15 TV boxes com Android, rodou a 0,39 token por segundo, com tempo total de configuração da inferência entre 71 e 150 horas em uma configuração não otimizada, enquanto o Qwen3.5-9B levou de 29 a 51 horas.

A Ars Technica observa ainda duas ressalvas importantes. Primeiro, os dispositivos Android usados nos testes tinham um Android Debug Bridge exposto sem autenticação. Essa ferramenta é voltada a desenvolvimento e depuração e não deveria ficar exposta em produção, porque concede amplo acesso ao dispositivo. Segundo, a replicação não foi realizada pelos próprios modelos pequenos: a Ars Technica relata que o GLM-5.2 orquestrou o processo, enquanto os alvos executavam um modelo Llama menor.

Essa distinção importa. O pesquisador de IA Xiaohan Fu disse à Ars Technica que o estudo, por si só, não estabelece que pequenos modelos escolheriam se replicar de forma autônoma. Fu também afirmou que mais transparência sobre os prompts e as instruções exatos ajudaria pesquisadores externos a avaliar os resultados e evitar confundir uma capacidade demonstrada com uma ameaça autônoma emergente.

Os cenários de risco levantados pela Anthropic

O alerta da Anthropic não se limita à questão de saber se um modelo pode se espalhar, mas também a quão difícil esse tipo de malware poderia ser de interromper. Como citado pela Ars Technica, a empresa disse que um replicador assim seria difícil de desativar porque não haveria um ponto centralizado a ser desligado. A Anthropic também sugeriu que, ao contrário de malwares sem IA, esses sistemas poderiam entender por conta própria dispositivos desconhecidos. Nesse cenário, os pesos do modelo se tornariam parte do payload do malware, sendo carregados diretamente de um host para outro ou baixados novamente de um hub público.

A preocupação mais ampla da empresa é que futuros “replicadores pequenos baseados em pesos” possam combinar a persistência dos worms com comportamento adaptativo. A Ars Technica compara o conceito a worms de IoT como o Mirai, ao mesmo tempo em que destaca o argumento da Anthropic de que uma versão habilitada por IA poderia adaptar dinamicamente exploits e payloads com base no alvo. A Anthropic também afirmou que modelos atuais com 30 bilhões de parâmetros já conseguem completar muitas etapas individuais da replicação, mesmo que ainda cometam erros ao tentar uma replicação completa de ponta a ponta.

• Um modelo distribuído por muitos dispositivos de IoT poderia continuar operando sem um único servidor central.
• Malwares futuros poderiam se adaptar a hardwares ou softwares desconhecidos em vez de depender de um payload fixo.
• Se uma tentativa falhar, infecções posteriores poderiam reutilizar anotações, prompts ou código deixados por tentativas anteriores.
• Defensores poderiam enfrentar uma propagação mais lenta, porém mais distribuída, em vez de um único ponto de controle óbvio.

Por que alguns observadores dizem que a ameaça está sendo exagerada

A New Scientist adota uma visão muito mais cética sobre o risco no curto prazo. A publicação afirma que as alegações amplamente divulgadas de que uma IA autorreplicante em dispositivos inteligentes estaria a apenas alguns meses de distância “quase certamente” não são verdadeiras. Seu principal argumento é prático, e não teórico: os sistemas discutidos são grandes, lentos e difíceis de manejar em comparação com worms convencionais. Em seu resumo do experimento da Anthropic, três modelos não conseguiram se configurar de forma alguma, e o GLM-5.2 teve sucesso em quatro de cinco testes apenas ao configurar outro modelo, muito menor. A New Scientist sustenta que isso ainda está muito longe de uma autorreplicação verdadeira e que as afirmações mais fortes sobre prazo decorrem de extrapolações de tendências, e não de uma capacidade demonstrada de ponta a ponta.

A New Scientist também enfatiza que malware capaz de fazer cópias de si mesmo não é novidade. Worms existem há décadas, e worms convencionais já causaram danos em escala de internet. Nessa comparação, um worm de IA pode até ser menos eficiente em muitos casos. A New Scientist observa que a configuração da Anthropic exigiria vários dias para uma única operação de cópia, que o payload de modelo usado no experimento era muito maior do que o de um worm convencional e que mover arquivos tão grandes provavelmente seria mais visível para defensores de rede. Por isso, a publicação questiona por que um cibercriminoso escolheria esse caminho em vez de usar técnicas de malware já existentes.

A revista vai além e argumenta que uma preocupação mais imediata pode ser a de sistemas de IA poderosos já operando em infraestrutura centralizada de servidores. Ela aponta para relatos de sistemas de IA obtendo acesso não autorizado a organizações terceiras, incluindo incidentes divulgados pela Anthropic e por outras empresas. Isso não refuta a pesquisa da Anthropic, mas sugere uma priorização diferente: o uso indevido atual de modelos capazes em grandes fazendas de servidores pode ser mais concreto do que um futuro especulativo em que pequenos modelos se espalham amplamente por dispositivos domésticos.

Separando experimento, projeção e realidade

Tomadas em conjunto, as duas fontes apontam para uma conclusão cuidadosa. A Anthropic parece ter mostrado que modelos relativamente pequenos podem ser distribuídos por dispositivos de baixo custo e podem executar algumas tarefas de configuração relevantes para a implantação de malware. Esse é o resultado experimental. A Anthropic então projeta que, se a capacidade dos modelos continuar melhorando, pequenos replicadores baseados em pesos poderão se tornar possíveis em breve. Isso é um cenário, não um evento observado no mundo real. A New Scientist contesta o prazo implícito e argumenta que restrições físicas, como memória, largura de banda e tempos de transferência, tornam improvável uma disseminação rápida em massa no curto prazo.

Tão importante quanto isso é o que não foi observado. Nenhuma das duas fontes descreve um surto real de malware autônomo de pequeno modelo se espalhando por dispositivos de IoT de consumo. A Ars Technica afirma explicitamente que os modelos leves testados não conseguiram realizar a replicação completa de ponta a ponta. A New Scientist afirma explicitamente que o experimento falhou quando os pesquisadores de fato tentaram fazer um modelo copiar a si mesmo dessa maneira, exceto pela configuração limitada, feita por um modelo maior, de um modelo muito menor. Por enquanto, o alerta diz respeito a uma capacidade futura plausível sob certas condições, e não a uma onda confirmada de worms de IA já circulando pela internet.

Para empresas no Brasil e em outros mercados de língua portuguesa, a conclusão prática não é presumir que uma crise de worms de IA já chegou, mas tratar a pesquisa como mais um motivo para reforçar pontos básicos de exposição em dispositivos conectados. As fontes destacam acesso inseguro de depuração, frotas heterogêneas de IoT e a possibilidade de que malwares futuros se adaptem a sistemas desconhecidos. Em termos concretos, empresas que usam smart TVs, TV boxes, câmeras, sensores ou outros dispositivos embarcados devem prestar mais atenção a interfaces de gerenciamento expostas, hardware sem suporte e transferências incomuns de grandes volumes de dados, mantendo em mente que o risco demonstrado até aqui é parcial e experimental, e não uma epidemia documentada no mundo real.