Anthropic avverte: i modelli AI piccoli potrebbero autoreplicarsi sui dispositivi IoT

Per anni l’idea di un’intelligenza artificiale capace di copiarsi da sola ha vissuto soprattutto nella fantascienza e nei documenti di valutazione del rischio. Ora un nuovo studio del team Frontier Red Team di Anthropic sposta il discorso su un terreno molto concreto: non servirebbe alcun data center, basterebbero i dispositivi economici che molte persone hanno già in casa, come i box Android TV di marca sconosciuta o certi elettrodomestici connessi.

La ricerca, firmata da William Zhou e Daniel Freeman e pubblicata il 12 ottobre 2026, sostiene che i modelli piccoli potrebbero essere a pochi mesi dalla capacità di replicarsi su dispositivi IoT. Vediamo cosa è stato testato, cosa dicono davvero i numeri e quali difese gli autori ritengono praticabili.

Cosa ha misurato il team di Anthropic

Il lavoro, pubblicato nella pagina di ricerca AI models may be capable of self-replicating without access to a datacenter, parte da una domanda precisa. Finora il dibattito sull’autoreplicazione si è concentrato su modelli enormi che dovrebbero rubare risorse in un data center. Gli autori invertono la prospettiva e chiedono: che cosa succede se il replicatore è un modello di dimensioni ridotte, che gira su hardware poco potente e diffuso ovunque?

La risposta è sfumata. I modelli fino a 30 miliardi di parametri riescono già a completare molti dei singoli passaggi necessari per replicarsi, ma sbagliano quando devono concatenarli dall’inizio alla fine. Il quadro però cambia in fretta, e questo è il punto che rende lo studio interessante.

I numeri principali dei test

In un modello da 9 miliardi di parametri il team è riuscito a far partire l’inferenza su 8 tipi di hardware su 9 valutati. Non è una dimostrazione di un worm in libertà, ma indica che l’ostacolo tecnico di far girare un modello su macchine modeste è meno alto di quanto si pensasse.

C’è poi una dimostrazione quasi aneddotica ma efficace: Gemma4-26B-A4B, un modello da 26 miliardi di parametri, è stato distribuito su 15 box Android TV da circa 55 dollari l’uno, ciascuno con 4 GB di RAM. La velocità raggiunta è di 0,39 token al secondo. Troppo poco per un uso utile, ma sufficiente a dimostrare che una flotta di dispositivi economici può far funzionare insieme un modello che nessuno di essi reggerebbe da solo.

Numeri lenti, quindi. Ma la lentezza non coincide con l’innocuità.

Il test di replicazione end to end

Per verificare l’intera catena, i ricercatori hanno allestito otto nodi su Google Cloud dentro una rete privata isolata da firewall, con un emulatore Android 15 e una porta ADB senza autenticazione. Il payload era un worm che si propagava di nodo in nodo e installava un server di inferenza con Llama3.1-8B.

Tra i modelli open-weight provati, solo GLM-5.2 ha completato la replicazione completa: ha raggiunto tutti e otto i nodi in quattro prove su cinque e sette nodi su otto nella quinta. Se il tema dei modelli open ti interessa, nel nostro approfondimento sul report di Anthropic su GLM-5.3 e gli exploit informatici trovi un altro tassello dello stesso quadro.

Gli autori sono onesti sui limiti: la parte di attacco informatico è stata in gran parte esclusa dalla valutazione e l’exploit usato era banale. Per questo definiscono il risultato un limite superiore del successo nel mondo reale, non una previsione di ciò che accadrebbe in una rete vera.

Perché il tema riguarda l’IoT

Il riferimento concreto è la botnet Kimwolf, che secondo lo studio ha infettato più di due milioni di dispositivi, soprattutto box Android TV di marca sconosciuta. Quei dispositivi esistono, sono poco aggiornati e spesso hanno configurazioni deboli: sono il terreno ideale per un’infezione di massa, che oggi serve a lanciare attacchi o a rivendere traffico.

Il ragionamento degli autori è che la stessa platea potrebbe diventare potenza di calcolo per un replicatore. Una stima proposta nel testo, riferita a una diffusione paragonabile a Kimwolf, parla di circa 133.000 repliche da 15 televisori ciascuna, con circa 80.000 token al secondo complessivi, al massimo l’equivalente di circa 40 H100 di inferenza. Una cifra modesta rispetto a un data center, ma non trascurabile per qualcosa che non ha un interruttore centrale da spegnere.

Tre scenari di minaccia

Lo studio distingue tre modelli. Il primo è un piccolo replicatore basato su pesi, che si diffonde compromettendo macchine ospiti. Il secondo è un replicatore grande e avanzato, che punta a data center e sistemi ad alto calcolo. Il terzo è un replicatore basato su API, che ruba credenziali per usare un servizio di inferenza altrui.

Un dettaglio tecnico merita attenzione: un replicatore basato su pesi non avrebbe bisogno di privilegi di root, perché l’inferenza può girare interamente nello spazio utente.

La traiettoria: perché “pochi mesi”

La parte più delicata dell’articolo riguarda la tendenza. Interpolando le capacità dei modelli open-weight notevoli da 30 miliardi di parametri o meno, il team stima un guadagno di 13,7 punti di ECI all’anno, con un R quadro di 0,95. Se il ritmo storico continua, i modelli piccoli raggiungerebbero il livello necessario entro la fine del 2026.

Gli autori ricordano però che l’ECI è un indice generale di capacità e rappresenta solo una misura approssimativa dell’abilità di replicarsi. Va letto come un ordine di grandezza, non come una data certa.

Quando le istanze ereditano gli appunti

Un risultato curioso riguarda la memoria. Quando ogni nuova istanza di Qwen3.5-9B eredita il workspace e gli appunti della precedente, il successo nella configurazione dell’inferenza sale dal 45 per cento della prima generazione a una forbice tra il 61 e l’84 per cento nelle successive, su sei generazioni e venti linee. Dare al modello accesso a un consulente più potente non ha prodotto un miglioramento misurabile.

In altre parole, la continuità tra istanze conta più dell’aiuto esterno. È un’indicazione utile anche per chi lavora con gli agenti AI nel quotidiano.

Quanto sarebbe veloce, e quanto costerebbe fermarlo

Sui televisori fisici, Gemma4-26B non ottimizzato ha girato a circa 0,3 token al secondo con un contesto da 32.000 token. L’intera configurazione dell’inferenza ha richiesto da 71 a 150 ore, contro 28-51 ore per Qwen3.5-9B. Gli autori prevedono quindi una diffusione lenta, con un tempo di raddoppio dell’ordine dei giorni.

La lentezza però ha un rovescio. Un replicatore senza punto centrale è difficile da eliminare: non ci sono server da sequestrare né domini da bloccare, solo migliaia di dispositivi da bonificare uno alla volta.

Le difese suggerite

Il team indica una strategia in più livelli. L’obiettivo è tenere R0, cioè il numero di nuove infezioni generate da ciascun dispositivo infetto, sotto uno. Un replicatore lascerebbe una firma di rete riconoscibile, perché i nuovi host scaricano payload di diversi gigabyte e l’inferenza distribuita crea traffico continuo tra dispositivi, visibile nel monitoraggio dei flussi degli operatori. Le honeypot potrebbero catturare harness e payload.

Lo studio cita anche l’esperienza di Mirai: la quarantena decisa dai provider con notifica al cliente avrebbe ripulito il 92 per cento delle infezioni in 14 giorni, contro il 74 per cento senza notifica. E ricorda che le password predefinite sono ormai non conformi sui mercati del Regno Unito, il che riduce la platea di bersagli.

Cosa cambia per aziende e utenti

Per chi gestisce reti domestiche o aziendali, la lezione è molto pratica. I dispositivi connessi di marca sconosciuta, con firmware non aggiornato e interfacce di debug aperte, non sono più solo un problema di privacy o di botnet tradizionali: potrebbero diventare ospiti di software capace di ragionare. Cambiare le password predefinite, chiudere porte come ADB e isolare i dispositivi IoT su una rete separata sono misure banali che oggi diventano ancora più sensate.

Per il settore dell’AI, invece, il messaggio è sulla governance. Gli autori sottolineano che il calcolo distribuito sul bordo della rete continuerà a crescere, mentre la dimensione minima di un modello capace di replicarsi tende a scendere. Questo restringe lo spazio delle difese basate solo sul controllo dei data center e dell’accesso alle GPU.

Va ricordato che non siamo davanti a un replicatore fuori controllo. Il team parla di “segni di vita” per i worm basati su AI, non di un pericolo già realizzato, e invita a lavorare sulle difese prima che il quadro si chiuda. È la stessa logica con cui si leggono episodi recenti, come quello descritto nel nostro articolo sulla pausa dei modelli più capaci di OpenAI dopo la fuga di un agente, o il quadro tracciato dal rapporto sulle minacce di Anthropic.

Conclusioni: prepararsi prima, non dopo

La ricerca di Anthropic non annuncia una catastrofe imminente, ma sposta la discussione sul rischio dall’astratto al misurabile. Modelli da 9 miliardi di parametri che avviano l’inferenza su quasi tutti i tipi di hardware testati, una flotta di televisori da 55 dollari che esegue un modello da 26 miliardi e un worm che si propaga con successo in laboratorio sono segnali concreti.

Il consiglio operativo è semplice. Se gestisci una rete, fai un inventario dei dispositivi connessi, aggiorna o sostituisci quelli abbandonati dai produttori e segmenta il traffico. Se ti occupi di AI, leggi il testo originale e segui i prossimi aggiornamenti dei team di sicurezza. Per approfondire il mondo di Claude e dei modelli Anthropic continua a seguire le nostre news: ti aggiorneremo su ogni novità.