Anthropic: modele IA mici, aproape de autoreplicare pe IoT

Frontier Red Team de la Anthropic a publicat o cercetare despre așa-numitele „AI worms”: malware care poartă cu el ponderile unui model de limbaj și îl rulează direct pe dispozitivele compromise, fără să depindă de un centru de date. Concluzia cercetătorilor este că modelele open-weight mici (30 de miliarde de parametri sau mai puțin) ar putea fi, în doar câteva luni, suficient de capabile să se replice singure pe dispozitive IoT comerciale, precum box-uri TV Android ieftine sau cuptoare conectate.

Știrea a fost preluată de SecurityWeek, Security Affairs, The Register, BleepingComputer, The Hacker News, Dark Reading și Ars Technica. Nu este o amenințare activă: niciun replicator autonom complet nu a fost observat, nici în laborator, nici pe internet. Pentru cei care apără rețelele, valoarea cercetării stă în cifrele fiecărui pas și în contramăsuri.

Ce au măsurat cercetătorii

Anthropic împarte replicarea în patru faze: găsirea țintelor, obținerea execuției de cod, pornirea inferenței pe noul dispozitiv și propagarea către alte gazde. Potrivit Ars Technica, agenții aveau la dispoziție instrumente obișnuite de exploatare, precum reverse shell-urile.

• Un model distribuit pe hardware ieftin. Gemma4-26B-A4B, cuantizat și împărțit în bucăți, a rulat pe 15 box-uri TV Android fără marcă (circa 55 de dolari bucata, câte 4 GB de memorie fiecare). Funcționează, dar cu 0,39 token-uri pe secundă.
• Pornirea inferenței pe hardware necunoscut. Qwen3.5-9B a reușit să instaleze și să configureze inferența pentru Llama3.1-8B pe 8 din cele 9 tipuri de hardware testate, de la un Jetson Nano la un Mac. Este faza pe care Anthropic o consideră cel mai puțin studiată și cea mai dificilă: alegerea software-ului compatibil, instalarea dependențelor, corectarea erorilor specifice platformei.
• Ciclul complet. Pe o rețea închisă de opt dispozitive Android emulate (instanțe cloud cu emulator Android 15, potrivit The Register), doar GLM-5.2 a finalizat replicarea de la zero, propagând Llama3.1-8B pe toate cele opt noduri în 4 din 5 încercări (șapte din opt în a cincea). Celelalte modele open-weight testate eșuează sistematic; The Register observă că raportul nu spune câte au fost.
• Învățare de la o generație la alta. Fiecare copie lasă următoarei note despre ce a încercat și ce nu a funcționat. Rata de succes a Qwen3.5-9B într-o sarcină de configurare a crescut de la 45% inițial la valori între 61% și 84% în șase generații. Un model mai puternic folosit drept consilier (Opus 4.8) nu a adus îmbunătățiri măsurabile.

Timpii rămân lungi: pentru pornirea inferenței, BleepingComputer raportează 28–51 de ore cu Qwen3.5-9B (29–51 potrivit Ars Technica) și 71–150 de ore cu Gemma4-26B-A4B. Timpul estimat de dublare este de zile; Mirai, în 2016, se dubla în aproximativ o oră.

Limitele studiului

Sursele sunt de acord asupra câtorva puncte care relativizează rezultatul:

• exploatarea a fost făcută banală: țintele expuneau ADB (Android Debug Bridge) fără autentificare. Anthropic consideră rezultatele o limită superioară față de lumea reală și trimite la studii anterioare pentru capacitatea modelelor mici de a exploata vulnerabilități;
• replicarea completă a reușit doar cu GLM-5.2, care orchestra procesul în timp ce pe ținte rula un model mai mic;
• potrivit The Register, a fost folosit și un mediu de lucru construit special, numit Memento.

The Register este publicația cea mai critică și vorbește despre o amenințare care încă nu există. În Ars Technica, cercetătorul Xiaohan Fu observă că studiul nu demonstrează că un model ar alege singur să se replice și cere publicarea prompturilor și a configurațiilor, pentru ca rezultatele să poată fi reproduse.

Proiecția Anthropic este condiționată: dacă modelele mici continuă să se îmbunătățească în ritmul istoric, vor atinge nivelul GLM-5.2 până la sfârșitul lui 2026, iar replicatoarele bazate pe ponderi „ar putea deveni posibile curând după aceea”.

De ce contează pentru cei care apără rețelele

Diferența față de botnet-urile tradiționale este adaptabilitatea. Mirai și Kimwolf (peste două milioane de dispozitive infectate, mai ales box-uri TV Android) sunt scrise pentru anumite tipuri de dispozitive și anumite exploit-uri; un agent IA, potrivit Anthropic, poate înțelege singur un hardware pe care nu îl cunoaște. Potrivit Ars Technica, ponderile ar putea călători odată cu malware-ul sau ar putea fi descărcate din nou dintr-un hub public de modele, devenind parte din payload.

Aceleași caracteristici îl fac însă vizibil. Potrivit calculului prezentat de SecurityWeek, un botnet de mărimea Kimwolf ar găzdui aproximativ 133.000 de copii ale modelului de 26 de miliarde de parametri, cu o putere totală de cel mult circa 40 de GPU-uri Nvidia H100. Iar mutarea unor fișiere de mai mulți gigabytes între dispozitive care în mod normal nu comunică lasă urme.

Impactul pentru companiile europene și italiene

Box-uri TV, ecrane din sălile de ședințe, camere, electrocasnice conectate: în multe companii sunt în aceeași rețea cu calculatoarele, adesea cu credențialele din fabrică. Este același perimetru pe care îl exploatează deja botnet-urile IoT clasice, iar cercetarea nu schimbă prioritățile: cel mult le face mai urgente.

Pentru entitățile NIS2, articolul 21 cere gestionarea activelor, a vulnerabilităților și securitatea lanțului de aprovizionare: dispozitivele IoT negestionate intră în perimetru. Anthropic indică drept pârghie pe termen lung producătorii și autoritățile de reglementare (fără parole implicite, actualizări obligatorii de firmware, certificări mai stricte) și citează Regatul Unit, care a interzis deja parolele implicite pe dispozitivele IoT. În Uniunea Europeană merge în aceeași direcție Cyber Resilience Act, care include printre cerințele esențiale configurația sigură în mod implicit.

Ce să faci acum

1. Fă inventarul dispozitivelor IoT și de consum din rețelele companiei, inclusiv box-uri TV și dispozitive aduse de furnizori sau angajați. Scoate-le pe cele fără marcă sau fără actualizări.
2. Închide ADB în rețea (de obicei pe portul TCP 5555) și verifică să nu fie accesibil nici de pe internet, nici din rețeaua internă.
3. Schimbă credențialele din fabrică și dezactivează Telnet și celelalte servicii de administrare nefolosite.
4. Segmentează: dispozitivele IoT într-o rețea separată, fără trafic către servere și, unde se poate, nici între ele.
5. Filtrează traficul de ieșire al dispozitivelor IoT, permițând doar destinațiile necesare, inclusiv descărcările din hub-uri publice de modele.
6. Caută anomaliile indicate de cercetare: transferuri de fișiere mari către sau dinspre dispozitive IoT, trafic continuu între dispozitive care de obicei nu comunică, scanări pornite de pe un dispozitiv IoT.
7. Pregătește carantina: în curățarea Mirai citată de Anthropic, izolarea abonaților infectați și ghidarea lor în curățare au eliminat 92% din infecții în 14 zile, față de 74% fără notificare.

Cum ajută ARXDOME

ARX Watch găsește în rețea dispozitivele fără sondă, precum box-uri TV, camere și imprimante, ascultând cererile DHCP și tabelele de vecini, și te anunță când apare unul nou. ARX Expose arată din exterior porturile deschise și serviciile expuse din greșeală, precum un ADB accesibil de pe internet. ARX Sentry aduce jurnalele firewall-urilor în paginile SOC și pe harta NOC, cu conexiunile respinse și traficul de ieșire blocat, inclusiv cel al dispozitivelor IoT.

Ultima actualizare: 14 octombrie 2026