A equipe Frontier Red Team, da Anthropic, executou um modelo de inteligência artificial em um conjunto de 15 dispositivos Android TV de baixo custo, cuja construção custou cerca de 825 dólares, em um experimento que investigou quão próximos os modelos pequenos de inteligência artificial estão da capacidade de se copiar por meio de dispositivos conectados à internet. Esse hardware opera a 0,39 token por segundo, uma velocidade lenta para a interação habitual, mas que pode ser suficiente para um software que funcione sem esperar por um usuário.
A pesquisa não significa que a Anthropic tenha criado um worm de inteligência artificial capaz de se propagar automaticamente pela internet pública. Os experimentos ocorreram em ambientes isolados e incluíram atalhos e suposições que facilitaram o acesso aos dispositivos. Mas os resultados, publicados pelos pesquisadores William Zhou e Daniel Freeman, indicam que alguns dos obstáculos técnicos restantes podem ser temporários.
Quatro etapas da cadeia de autorreplicação
A pesquisa identifica quatro tarefas necessárias para que o worm de software se copie: encontrar um alvo, obter acesso a ele, executar a inferência e depois passar para outro dispositivo. Os pesquisadores consideram que os modelos menores já demonstraram algumas das capacidades necessárias para a exploração, enquanto executar o modelo em hardware, sistemas operacionais e dependências desconhecidos representa o maior desafio.
Nos testes, o Qwen3.5-9B conseguiu configurar um servidor de inferência executando um modelo Llama3.1-8B em oito dos nove tipos de hardware, incluindo Jetson Nano, dispositivos Mac e computadores equipados com placas RTX 4090. O GLM-5.2 foi mais confiável e apresentou maior produtividade, mas era grande demais para ser executado diretamente nos dispositivos-alvo.
Em um ambiente do Google Cloud protegido por firewall, com oito nós executando emuladores Android, o GLM-5.2 alcançou os oito nós em quatro de cinco tentativas e sete nós na quinta tentativa. Um servidor separado foi usado para executar o GLM-5.2, enquanto o worm instalou um modelo menor de 8B nos dispositivos-alvo. Uma porta não documentada do Android Debug Bridge também foi deixada aberta, um fator que não necessariamente reflete condições reais de rede.
A memória melhorou as chances de cópia
A capacidade dos agentes de configurar a inferência melhorou quando as cópias posteriores puderam ler notas deixadas pelas tentativas anteriores. Ao executar o Qwen3.5-9B em 20 linhagens, cada uma com duração de seis gerações, a taxa de sucesso aumentou de 45% na primeira geração para uma faixa entre 61% e 84% nas gerações posteriores.
Os pesquisadores chamaram essa abordagem de «herança lamarckiana», pois a experiência passa de uma cópia para outra sem retreinar o modelo. Já conceder ao Qwen3.5-9B a possibilidade de pedir conselhos ao modelo mais poderoso Opus 4.8 não produziu uma melhoria estatisticamente significativa, porque o modelo menor nem sempre sabia quais eram as perguntas corretas a fazer.
O que isso muda na prática?
O paradoxo atual é que o modelo capaz de executar todo o processo de autorreplicação geralmente é grande demais para funcionar nos dispositivos comprometidos, enquanto os modelos pequenos que cabem nesses dispositivos não realizam a tarefa com estabilidade suficiente. Os pesquisadores estimam que dispositivos TV com 4 GB podem executar um modelo 9B distribuído em quatro ou mais unidades, e um modelo 26B distribuído em dez ou mais unidades. O cluster da Anthropic, composto por 15 dispositivos, executa o modelo Gemma4-26B-A4B.
A configuração de uma única inferência nessa categoria de dispositivos pode levar entre 28 e 150 horas, dependendo do modelo. Mas o agente de software não precisa ter paciência humana, o que torna a propagação lenta por um número enorme de dispositivos uma possibilidade diferente dos ataques tradicionais rápidos.
Com base na rede Kimwolf, que infectou mais de dois milhões de dispositivos, a maioria deles Android TV baratos, os pesquisadores calcularam que dividir uma quantidade semelhante em clusters de 15 dispositivos poderia produzir cerca de 133 mil cópias do modelo, a uma velocidade total próxima de 80 mil tokens por segundo. Essa capacidade equivale a não mais que cerca de 40 unidades de processamento gráfico Nvidia H100, mas às custas de dispositivos e custos operacionais pertencentes a outra parte.
Limites do risco e formas de detecção
Os resultados ainda estão longe de provar a existência de um worm autorreplicante na internet. Os testes dependeram de portas abertas e ambientes controlados, e as estimativas dos pesquisadores para o fim de 2026 baseiam-se em tendências gerais nas capacidades dos modelos e não garantem desempenho semelhante em um processo real de autorreplicação.
Por outro lado, os requisitos de propagação podem tornar possível detectar esse tipo de software; transferir modelos de vários gigabytes entre dispositivos deixa um tráfego de rede que os provedores de internet podem monitorar. A pesquisa indica que isolar os assinantes infectados, como ocorreu durante o combate à rede Mirai, quando uma medida de um dos provedores levou à remoção de 92% das infecções em 14 dias, pode ser uma primeira linha de defesa. Mas eliminar completamente as cópias exigiria coordenação entre todos os provedores de serviço cujas redes contenham dispositivos infectados.