Anthropic mostra limites e riscos de modelos de IA que se replicam em dispositivos IoT

Modelos pequenos de IA já conseguem executar grande parte das etapas necessárias para se copiar entre dispositivos baratos conectados à internet, segundo uma avaliação divulgada pela Anthropic em 12 de outubro de 2026. O experimento não demonstra um verme autônomo operando no mundo real: ele usa rede simplificada, infraestrutura de apoio e etapas de invasão que não foram avaliadas. Ainda assim, mede um gargalo prático até agora pouco explorado: instalar e rodar inferência em hardware heterogêneo e fraco, como TV boxes Android.

O resultado importa porque desloca o risco de agentes autônomos de servidores caros para uma possível frota de dispositivos de consumo. Para empresas brasileiras, a conclusão útil não é que exista uma epidemia de “vermes de IA”, mas que políticas de rede, inventário de IoT e controles de administração remota passam a ter de considerar cargas de modelo, além dos malwares tradicionais.

O que a Anthropic realmente demonstrou

O estudo, assinado por William Zhou e Daniel Freeman, divide a replicação autônoma em quatro etapas: localizar um alvo, obter execução, estabelecer a inferência e continuar a propagação a partir do novo host. A equipe concentrou a avaliação na terceira etapa — fazer o modelo funcionar em equipamento desconhecido e limitado — e afirma explicitamente que deixou o componente de exploração de vulnerabilidades em grande medida fora do escopo.

Na demonstração física, a Anthropic distribuiu o Gemma 4 26B-A4B por 15 TV boxes Android sem marca, compradas por cerca de US$ 55 cada. Cada aparelho hospedava duas camadas do modelo; o conjunto alcançou 0,39 token por segundo. É uma velocidade inadequada para um assistente conversacional comum, mas suficiente para mostrar que a inferência distribuída não exige necessariamente um data center.

Por que “auto-replicação” não significa um ataque confirmado

A principal ressalva do relatório é decisiva. Na avaliação de rede, os nós Android eram emulados e possuíam uma porta de depuração sem autenticação. O modelo que coordenava o processo também rodava em servidor separado, pois os nós individuais não tinham recursos para hospedá-lo. Além disso, os novos nós serviam o Llama 3.1 8B, e não uma cópia completa do próprio agente coordenador.

Portanto, a pesquisa avalia capacidade de cumprir componentes de uma cadeia de replicação, não um malware autônomo, autocontido e ativo na internet. A Anthropic afirma que modelos de até 30 bilhões de parâmetros já realizam várias etapas isoladamente, mas ainda cometem erros ao encadeá-las. Nos testes simplificados, GLM-5.2 e modelos mais capazes completaram a replicação de ponta a ponta; essa afirmação depende do desenho experimental da própria empresa e não equivale a um incidente observado fora do laboratório.

Também não há evidência apresentada de que um verme desse tipo esteja circulando em smart TVs, roteadores, câmeras ou outros dispositivos IoT. Tratar a publicação como confirmação de um ataque em curso seria impreciso. O valor do trabalho é antecipatório: ele documenta quais obstáculos ainda existem, quanto tempo uma instalação levaria e quais sinais operacionais poderiam ser usados na defesa.

O que muda em relação a botnets tradicionais

Botnets convencionais costumam carregar código pré-programado para famílias específicas de equipamento. Um agente baseado em modelo pode, em tese, interpretar logs, adaptar comandos, testar bibliotecas e produzir instruções para uma arquitetura que não estava prevista pelo autor original. Essa adaptabilidade é a diferença de segurança mais relevante, não a velocidade de geração de texto.

A Anthropic observou melhora quando cópias de um modelo recebiam anotações deixadas pelas gerações anteriores. No cenário citado, a taxa de sucesso de configuração do Qwen3.5-9B partiu de 45% e alcançou uma faixa de 61% a 84% nas gerações seguintes. É um resultado de avaliação controlada, não uma previsão garantida de evolução em redes reais; porém, ilustra como memória operacional e tentativa-e-erro podem reduzir a necessidade de um operador humano em campanhas longas.

Implicações práticas para empresas no Brasil

Organizações brasileiras não precisam criar uma categoria separada de incidente chamada “verme de IA”. As medidas prioritárias são conhecidas, mas ganham urgência quando aplicadas a dispositivos esquecidos: segmentar redes de IoT, remover serviços de depuração expostos, trocar credenciais-padrão, manter firmware atualizado e bloquear tráfego lateral desnecessário entre equipamentos.

Sinais que merecem investigação

• Transferências incomuns de vários gigabytes entre dispositivos que normalmente só enviam telemetria ou vídeo.
• Conexões laterais persistentes entre câmeras, TVs, terminais de ponto de venda ou equipamentos industriais.
• Uso de CPU, memória ou temperatura fora do perfil em dispositivos de baixa potência.
• Portas de administração e depuração acessíveis, especialmente ADB e interfaces web sem autenticação forte.
• Downloads repetidos de arquivos grandes a partir de repositórios públicos ou domínios não aprovados.

Monitorar esses sinais não exige inspecionar o conteúdo de cada pacote. Telemetria de fluxo, segmentação e listas de destinos autorizados já reduzem bastante a superfície. Em ambientes com fornecedores e filiais, o inventário deve registrar não só computadores, mas também TV boxes, gateways, roteadores, dispositivos de reunião e equipamentos adquiridos fora do padrão de TI.

Limitações e contrapontos que não podem ser ignorados

O estudo não mede a probabilidade de invasão inicial, que continua sendo uma barreira importante e depende de vulnerabilidades, configurações inseguras ou credenciais expostas. A operação também seria lenta: a própria Anthropic estima tempos de configuração de dezenas de horas em hardware de borda. Uma campanha que movimenta pesos de modelos e mantém inferência distribuída pode ser mais ruidosa do que malware compacto.

Há ainda a diferença entre um laboratório com acesso físico ou controlado e uma internet real, com NAT, firewalls, redes instáveis, atualizações de firmware e heterogeneidade maior. O relatório sugere que provedores possam identificar padrões anormais de tráfego e usar honeypots e quarentena para reduzir a taxa de propagação abaixo de um. Essa hipótese é plausível como estratégia defensiva, mas sua eficácia em escala não foi demonstrada pelo experimento.

Análise do NoticIA

O ponto estrutural do estudo não é a previsão de uma data para um “verme de IA”. É a mudança do recurso escasso: antes, a execução de um modelo razoavelmente capaz parecia limitada à infraestrutura centralizada; agora, a pesquisa mostra que o custo pode ser repartido por muitos dispositivos baratos, embora com grande perda de desempenho. Para equipes de segurança, isso aproxima a governança de modelos da governança de ativos e redes.

A resposta proporcional é evitar alarmismo e fechar lacunas antigas. Empresas que já não sabem quais dispositivos estão conectados, permitem administração remota em rede plana ou não observam tráfego lateral terão mais dificuldade para detectar tanto botnets tradicionais quanto agentes capazes de se adaptar. A defesa contra os dois começa no mesmo lugar: reduzir privilégios, autenticar interfaces e isolar o que não precisa conversar.

O que permanece em aberto

• Quando — e se — um modelo menor poderá completar toda a cadeia sem servidor de apoio.
• Como essas avaliações se comportarão em dispositivos atualizados e redes empresariais segmentadas.
• Se provedores, fabricantes de IoT e equipes de resposta publicarão métricas de detecção específicas para movimentação de pesos de modelos.
• Quais métodos de defesa mantêm eficácia caso os agentes aprendam a reduzir tráfego e a dividir tarefas entre dispositivos.

A pesquisa da Anthropic é uma evidência de capacidade emergente, não a confirmação de uma ameaça autônoma já disseminada. Seu uso mais responsável é orientar testes defensivos e priorização de controles, sem transformar uma avaliação controlada em manchete de ataque confirmado.