O Frontier Red Team da Anthropic publicou em 12 de outubro um estudo que conclui o seguinte: modelos abertos com poucos parâmetros podem ganhar, em alguns meses, capacidade de se autorreplicar em dispositivos IoT baratos, como TV boxes Android que custam algumas dezenas de dólares. Os autores, William Zhou e Daniel Freeman, chamam esse tipo de programa de "replicador baseado em pesos" (weight-based replicator): o próprio modelo varre a rede, invade dispositivos, copia seus pesos para eles, monta um serviço de inferência na nova máquina e continua a se expandir a partir dali.
A frase original do artigo é:
"may be months away from being capable enough to self-replicate on commercial internet-of-things (IoT) devices"
(pode estar a meses de ter capacidade suficiente para se autorreplicar em dispositivos comerciais de internet das coisas (IoT).)
Testado em quatro etapas
O estudo decompõe o processo de replicação em partes. A primeira etapa é implantar inferência em hardware desconhecido. O Qwen3.5-9B conseguiu colocar a inferência para rodar sozinho em 8 de 9 tipos de hardware, do Jetson Nano ao Mac e à RTX 4090, com cada execução levando de 28 a 51 horas. O Gemma4-26B-A4B, maior, foi dividido e executado em 15 TV boxes Android de cerca de 55 dólares cada, com 4 GB de memória, a uma velocidade de aproximadamente 0,3 token por segundo; a implantação completa levou de 71 a 150 horas.
A segunda etapa é a replicação de ponta a ponta. A equipe montou no Google Cloud uma rede simulada de 8 nós e pediu aos modelos que fizessem de uma só vez a varredura, a invasão, a transferência dos pesos e a implantação da inferência. Entre os modelos abertos, apenas o GLM-5.2 concluiu a tarefa de forma estável: em 5 tentativas, 4 vezes se espalhou pelos 8 nós e na outra chegou a 7. Os modelos com menos de 30 bilhões de parâmetros cumpriram a maioria das etapas individuais, mas erraram quando a cadeia ficava mais longa.
A terceira etapa testa o "aprendizado entre gerações". O Qwen3.5-9B tinha de passar as anotações da geração anterior para a seguinte; ao longo de 6 gerações e 20 linhagens, a taxa de sucesso subiu de 45% na primeira geração para entre 61% e 84% nas seguintes. O estudo também tentou usar o Claude Opus 4.8 como consultor para orientar o modelo pequeno, sem melhora significativa.
Escala e velocidade
A Anthropic usou a botnet Kimwolf como referência para estimar: se mais de 2 milhões de dispositivos do mesmo tipo fossem infectados, seria possível executar cerca de 133 mil cópias do modelo, com vazão total de aproximadamente 80 mil tokens por segundo, poder computacional equivalente a cerca de 40 GPUs H100. Uma rede assim não tem nó central e é difícil de derrubar com um único golpe, mas se espalha devagar: o número de cópias leva vários dias para dobrar.
Os próprios autores listam algumas limitações. A etapa de invasão foi simplificada no experimento para uma porta de depuração ADB sem autenticação, de modo que a taxa de sucesso deve ser vista como um teto; o ECI usado para projetar a tendência é um índice geral de capacidade e não mede diretamente a capacidade de replicação; a velocidade e a escala se baseiam em apenas um tipo de hardware e em uma botnet histórica; o cenário de uma botnet de IA enfrentando defensores não foi testado. Quanto à qualidade dos e-mails de spear phishing escritos por modelos pequenos, o estudo a classifica de "muito ruim" a "ruim".
O que isso tem a ver com a China
Os principais modelos do teste, o Qwen da Alibaba e o GLM da Zhipu AI, são pesos abertos de fabricantes chineses. O estudo não diz que esses modelos tenham falhas; o que se aproveitou foi justamente o fato de serem poderosos e executáveis localmente. Até agora, as duas empresas não se manifestaram publicamente sobre a pesquisa.
As TV boxes Android, os projetores e as caixas diversas usados como hospedeiros têm presença enorme nos lares chineses, e a comunidade de segurança alerta há anos para o problema de saírem de fábrica com a porta de depuração aberta e a senha padrão inalterada. O Reino Unido já proibiu por lei o uso de senhas padrão em dispositivos IoT; na China, nas fontes públicas ainda não se encontra uma exigência obrigatória com o mesmo rigor.
As recomendações de defesa seguem a experiência da era Mirai: as operadoras monitoram anomalias de tráfego, isolam os usuários infectados e os notificam para que façam a limpeza. Na época, essa prática eliminou 92% das infecções em 14 dias, contra 74% no grupo de controle que não foi notificado. O objetivo declarado da Anthropic é reduzir o coeficiente de propagação R₀ do replicador para menos de 1.
O estudo traz ainda mais um dado: se a etapa de implantação for substituída por um script fixo, até um modelo de 3B parâmetros consegue cobrir cerca de metade das máquinas numa rede de 17 nós. Quanto menor o modelo, mais fácil é colocá-lo num dispositivo; como essa linha evoluirá dependerá do tamanho do salto da próxima rodada de modelos abertos pequenos.
Fontes: CocoLoop, blog de pesquisa do Frontier Red Team da Anthropic; a página do estudo foi usada para verificar a contagem de parâmetros dos modelos, os tipos de hardware, as taxas de sucesso, as taxas de sucesso entre gerações e o critério da estimativa de escala da Kimwolf.