Pequenos modelos de inteligência artificial poderão, em questão de meses, copiar a si mesmos e se espalhar entre dispositivos comerciais da Internet das Coisas, segundo uma pesquisa conduzida pela equipe Frontier Red Team da Anthropic. Esse cenário difere do malware tradicional porque o próprio modelo funciona no dispositivo infectado, eliminando o ponto de controle central que poderia ser desativado para interromper o ataque.
Os pesquisadores testaram 15 dispositivos receptores de televisão com Android, ao preço aproximado de 55 dólares por dispositivo. Um modelo de pesos abertos com 26 bilhões de parâmetros conseguiu funcionar de forma distribuída entre eles a uma velocidade de 0,39 token por segundo. O experimento se concentrou na capacidade dos modelos de executar inferência em hardware desconhecido, em vez de estudar a exploração de vulnerabilidades, um ponto abordado por pesquisas anteriores.
Resultados dos testes
Um modelo com 9 bilhões de parâmetros conseguiu executar inferência em oito dos nove tipos de hardware testados pela equipe. Em seguida, os pesquisadores testaram o ciclo completo de replicação em uma rede fechada com oito dispositivos Android simulados, simplificando deliberadamente a etapa de invasão.
Entre os modelos de pesos abertos testados, o GLM-5.2 concluiu o ciclo e alcançou os oito dispositivos em quatro de cinco tentativas. A Anthropic descreve esse resultado como um limite superior do sucesso esperado no mundo real, e não como um indicador de uma taxa efetiva de propagação.
O que pode mudar na prática?
Modelos com 30 bilhões de parâmetros ou menos já conseguem executar muitas das etapas individuais, mas cometem erros quando elas são conectadas em uma única sequência. Com base na taxa histórica de melhoria, a Anthropic prevê que esses modelos alcançarão o nível do GLM-5.2 até o fim de 2026, o que poderá tornar possíveis, pouco depois disso, «replicadores pequenos baseados em pesos».
A comparação realizada pela empresa indica que uma rede do tamanho da rede Kimwolf, que infectou mais de dois milhões de dispositivos, poderia hospedar cerca de 133 mil cópias de um modelo de 26 bilhões de parâmetros se cada 15 dispositivos executasse uma cópia. No entanto, a capacidade computacional agregada não equivaleria a mais de cerca de 40 unidades de processamento gráfico Nvidia H100, e cada replicação poderia levar mais de um dia, o que significa que a propagação seria lenta e computacionalmente cara.
Vantagens da defesa e limitações atuais
Ao contrário das botnets tradicionais projetadas para tipos específicos de dispositivos, um worm baseado em inteligência artificial poderia se adaptar a hardware desconhecido. Porém, a transferência de modelos grandes e o tráfego contínuo entre dispositivos que normalmente não se comunicam poderiam aparecer claramente nos sistemas de monitoramento dos provedores de serviços de Internet. Além disso, eliminar as senhas padrão e melhorar as configurações de segurança por parte dos fabricantes poderia reduzir o número de dispositivos vulneráveis a ataques.
Conclusão editorial: os experimentos não comprovam a existência de um replicador malicioso atualmente capaz de se espalhar em um ambiente aberto; o ciclo foi testado em uma rede fechada e com uma etapa de invasão simplificada. Mas eles mostram que o risco futuro não depende apenas do aumento do tamanho dos modelos, mas também da capacidade deles de reunir tarefas de reconhecimento, execução e replicação, além de transferir o que aprendem para outras cópias.