La empresa Anthropic publicó un estudio en el que describe un posible escenario de aparición de gusanos de IA autorreplicantes: modelos pequeños capaces de infectar de forma autónoma dispositivos IoT mal protegidos, copiar en ellos sus propios pesos y usar su capacidad de cómputo para seguir propagándose. Se trata de un pronóstico, no de un ataque observado: la compañía indica claramente que aún no se ha creado un replicador autónomo plenamente funcional. No obstante, los experimentos de laboratorio muestran que algunos eslabones de esta cadena ya funcionan, y la amenaza afecta sobre todo a los propietarios de TV box Android de gama baja, cámaras “inteligentes” y otros electrodomésticos con protección mínima.
Qué mostró el experimento
Los investigadores de Anthropic realizaron una serie de pruebas que modelan distintas fases del ciclo de vida hipotético de un gusano de IA: desde el despliegue de la inferencia en hardware desconocido hasta la propagación entre nodos de la red.
Inferencia distribuida en hardware barato. Según Anthropic, el modelo Gemma4-26B-A4B con 26.000 millones de parámetros se ejecutó de forma distribuida en 15 TV box Android de bajo coste, de unos 55 dólares cada uno (4 GB de RAM). La velocidad fue de solo 0,39 tokens por segundo, extremadamente lenta para tareas prácticas, pero esto demuestra la posibilidad fundamental de ejecutar un modelo grande de forma distribuida en hardware de consumo.
Configuración de la inferencia en dispositivos desconocidos. El modelo Qwen3.5-9B logró configurar automáticamente la inferencia en 8 de los 9 tipos de hardware probados, lo que demuestra la capacidad de un agente de IA para adaptarse a un entorno heterogéneo.
Autopropagación en una red de prueba. El experimento clave se llevó a cabo en una red de 8 dispositivos Android virtuales (emulador redroid, Android 15). De los 11 modelos con pesos abiertos de Alibaba, DeepSeek, Google, Meta, MoonShot AI, OpenAI y Zhipu AI que se probaron, solo GLM-5.2 consiguió propagar de forma estable Llama3.1-8B a los 8 nodos: en 4 de 5 intentos se infectaron los 8 dispositivos y, en el quinto, 7 de 8. El resto de modelos no pudo reproducir este resultado.
Limitaciones críticas del experimento
El resultado de 8/8 no debe interpretarse como una prueba de operatividad real de un gusano de IA. El experimento se simplificó deliberadamente, y Anthropic lo califica explícitamente como un límite superior del posible éxito en condiciones reales. Tres simplificaciones clave:
- Ausencia de autenticación. En los dispositivos virtuales se dejó abierto un puerto ADB sin ningún tipo de autenticación. El agente de IA no tuvo que detectar ni explotar vulnerabilidades: la fase más compleja de un ataque real se excluyó por completo.
- Inferencia externalizada. El modelo GLM-5.2 realizaba los cálculos no en los dispositivos comprometidos, sino en un servidor independiente. En un escenario real, el gusano tendría que ejecutarse directamente en el equipo comprometido, con recursos limitados.
- Control externo del lanzamiento. Las nuevas copias del agente no se iniciaban de forma autónoma, sino mediante un sistema de prueba que comprobaba previamente si el despliegue se había realizado con éxito.
De este modo, el experimento medía la capacidad del modelo para orquestar y configurar la inferencia en condiciones ideales, y no un ciclo completo y autónomo de infección.
Tres vectores de propagación
Anthropic describe tres tipos de replicadores potenciales:
- Replicadores basados en pesos: modelos pequeños que copian sus pesos a los dispositivos comprometidos y ejecutan la inferencia localmente. El objetivo principal son los dispositivos IoT con protección mínima.
- Replicadores a nivel de centros de datos: modelos dirigidos contra servidores de alta capacidad para crear despliegues incontrolados con mayor potencia de cómputo.
- Replicadores basados en API: agentes que roban claves de acceso a servicios de IA en la nube y camuflan sus solicitudes como tráfico legítimo. Este vector es el más vulnerable a la detección mediante el monitoreo de patrones anómalos de uso de API.
Pronóstico y su incertidumbre
Anthropic pronostica que, si se mantiene el ritmo actual de desarrollo de los modelos pequeños, el nivel de capacidades necesario podría alcanzarse hacia finales de 2026. Sin embargo, este pronóstico se basa en la extrapolación de un índice general de capacidades de los modelos (ECI) que, según admiten los propios investigadores, es solo un indicador aproximado de la capacidad de replicación. No se ha encontrado confirmación independiente de este pronóstico en las fuentes disponibles.
Incluso si este escenario se materializa, la propagación, según la evaluación de Anthropic, será lenta: para duplicar el número de dispositivos infectados podrían requerirse varios días, y las estimaciones de laboratorio del tiempo necesario para configurar por completo la inferencia van de 28 a 150 horas, dependiendo del modelo y del hardware.
Recomendaciones de detección y protección
La arquitectura de ataque descrita presupone la transferencia de archivos de pesos de modelo de varios gigabytes entre dispositivos y un intercambio constante de datos para la inferencia distribuida. Según Anthropic, esto genera anomalías de red características que pueden detectarse antes de que el gusano complete la configuración de la inferencia local:
- Transferencia de archivos de varios gigabytes entre dispositivos que normalmente no intercambian grandes volúmenes de datos
- Tráfico persistente entre dispositivos IoT dentro de la red (movimiento lateral)
- Escaneo de red y conexiones salientes anómalas desde dispositivos domésticos
- Puertos ADB abiertos sin autenticación en dispositivos Android
Medidas prácticas de protección: desactivar ADB en los dispositivos que no requieran depuración; cambiar las contraseñas por defecto; segmentar los dispositivos IoT en una subred independiente; supervisar el tráfico de red anómalo entre los dispositivos de la red doméstica y corporativa.
Anteriormente ya hemos escrito sobre las investigaciones de Anthropic en el ámbito de la seguridad de la IA, incluidos los incidentes con comportamiento autónomo de Claude y el uso de agentes de IA por parte del grupo APT29 para reconstruir malware. El estudio actual continúa esta línea, pero desplaza el foco del uso de la IA por parte de los atacantes hacia la potencial autonomía de los propios modelos.
El estudio de Anthropic es una advertencia sobre una amenaza emergente, no un informe de incidente. No se han detectado gusanos de IA activos en entornos reales y, antes de que aparezca un replicador completamente autónomo, quedan por resolver varias tareas técnicas, principalmente la detección automática y explotación de vulnerabilidades. Sin embargo, para los propietarios de infraestructuras IoT ya tiene sentido cerrar los puntos de entrada evidentes: desactivar las interfaces de depuración no utilizadas, aislar los dispositivos IoT a nivel de red y configurar alertas sobre tráfico inusual entre dispositivos.
