Os vermes de IA podem atingir primeiro o IoT barato

O que a Anthropic mediu e o que não mostrou

A equipa Frontier Red Team da Anthropic publicou a 12 de outubro um artigo de William Zhou e Daniel Freeman, que defende que modelos de IA pequenos podem estar a meses de se copiarem para dispositivos comerciais da internet das coisas, como fornos inteligentes e caixas de TV Android genéricas. Os números abaixo vêm do próprio artigo.

O Qwen3.5-9B configurou os seus servidores em hardware que vai de placas Jetson Nano a Mac e placas RTX 4090. Os autores dividem a replicação em quatro etapas: encontrar alvos, obter execução, configurar a inferência e continuar a partir do novo hospedeiro. Deixaram propositadamente triviais as duas primeiras. A rede de teste expunha uma porta de depuração do Android sem autenticação, pelo que a Anthropic chama ao resultado um teto para o sucesso no mundo real. A conclusão é modesta: o artigo diz que ainda não há um replicador desgovernado completo, apenas 'sinais de vida'.

Porque os dispositivos baratos são os prováveis primeiros hospedeiros

Os dispositivos de casas e de pequenas empresas podem ser os primeiros alvos, escrevem os autores, porque estão ligados à internet e historicamente tiveram segurança mínima. A Anthropic comprou 15 caixas de TV Android genéricas a cerca de 55 dólares cada, ligou-as em rede e correu o modelo Gemma4-26B-A4B por elas a 0,39 tokens por segundo, com cada caixa a alojar algumas camadas do modelo.

As caixas desta classe costumam trazer 1 a 4 GB de memória. Com 4 GB cada e compressão de 4 bits, quatro ou mais caixas conseguem servir um modelo de 9B e dez ou mais um de 26B, e é por isso que um enxame de dispositivos fracos pode alojar algo capaz.

A pergunta seguinte é a escala. A botnet Kimwolf infetou mais de 2 milhões de dispositivos, sobretudo caixas de TV Android genéricas. Se cada grupo de 15 desses dispositivos corresse uma cópia do modelo de 26B, a Anthropic estima cerca de 133.000 cópias e 80.000 tokens por segundo no total, aproximadamente a inferência de 40 aceleradores Nvidia H100. É pouca capacidade de cálculo, e um replicador espalhar-se-ia devagar, com um tempo de duplicação de dias. O dano, neste modelo, vem de uma pegada sem um único interruptor para desligar, porque o cálculo em si é pequeno. A estimativa assenta numa classe de hardware e numa botnet anterior, como notam os autores.

A data do fim de 2026 vem de uma linha de tendência

A data do fim de 2026 da Anthropic vem de um ajuste linear a modelos abertos com no máximo 30B parâmetros, cuja pontuação no Epoch Capabilities Index sobe cerca de 13,7 pontos por ano, com um R quadrado de 0,95.

Dos modelos abertos testados, só o GLM-5.2 completou toda a cadeia: chegou aos 8 nós em 4 de 5 tentativas e a 7 na quinta. Tomando-o como piso de capacidade e uma caixa de TV de 4 GB como teto de tamanho, a linha de tendência põe um modelo pequeno nesse piso por volta do fim deste ano. Os autores descrevem o índice apenas como um indicador aproximado da capacidade de replicação e a data como uma estimativa grosseira.

Dois outros resultados apontam nos dois sentidos. Quando cada cópia do Qwen3.5-9B herdava as notas da anterior, o seu sucesso a configurar a inferência subia de 45 por cento na primeira geração para entre 61 e 84 por cento nas seguintes. O acesso a um modelo conselheiro mais forte, o Opus 4.8, não trouxe nenhum ganho mensurável.

As vozes externas são prudentes. A Al Jazeera, que noticiou o artigo a 13 de outubro, cita Roman Yampolskiy, da Universidade de Louisville, que diz que um verme de IA poderia raciocinar sobre dispositivos desconhecidos e continuar a espalhar-se sem operador humano, mas que hoje não é uma ameaça existencial. A Anthropic não respondeu às perguntas da Al Jazeera, enviadas fora do horário de expediente.

Quatro verificações para escritórios, lojas e pequenos locais

A Anthropic descreve a defesa como uma epidemia: levar o R0, o número de novos dispositivos que cada dispositivo infetado contagia, para abaixo de 1, de modo que o replicador se extinga. Para quem gere um negócio, são quatro verificações.

Primeiro, faça uma lista de todos os dispositivos com processador na sua rede, incluindo caixas de TV, câmaras, equipamentos de videoconferência e caixas de armazenamento, feche as portas de gestão de entrada e substitua as credenciais predefinidas. O Mirai espalhou-se através de palavras-passe de fábrica dos fabricantes, e o verme do teste só precisava de uma porta de depuração do Android sem autenticação. O regime britânico para produtos de consumo conectáveis, em vigor desde 29 de abril de 2024, proíbe palavras-passe predefinidas universais e fáceis de adivinhar, e a Anthropic cita esse tipo de regra como forma de reduzir o conjunto de alvos.

Segundo, pergunte ao seu fornecedor de internet ou de rede gerida se vigia os dados de fluxo. Um replicador deixaria transferências de modelos de vários gigabytes e tráfego constante entre máquinas que normalmente não falam entre si, e o artigo diz que a monitorização do fornecedor poderia ver ambos. Terceiro, pergunte se os clientes infetados são postos em quarentena e avisados: na limpeza do Mirai, um fornecedor que o fez eliminou 92 por cento das infeções em 14 dias, contra 74 por cento sem aviso.

Quarto, pergunte aos fornecedores de dispositivos como vão cumprir o Cyber Resilience Act da UE. A Comissão Europeia indica 11 de setembro de 2026 para as obrigações de notificação de vulnerabilidades ativamente exploradas e 11 de dezembro de 2027 para as obrigações principais. Um fornecedor sem resposta é um fornecedor a trocar na próxima renovação.

Leia a seguir: Falhas de 2014 ainda abrem portas a prestador chinês  |  OSS Scanner da Anthropic envia relatórios sem revisão