Se l’AI impara a replicarsi: codici malevoli autonomi potrebbero invadere elettrodomestici e Tv

Anthropic ha provato a eseguire il modello AI Gemma4-26B-A4B usando 15 economici TV box Android, ciascuno dotato di appena 4 GB di memoria RAM. Collegando i dispositivi tra loro, i ricercatori sono riusciti a far funzionare il modello senza ricorrere ai potenti server normalmente utilizzati per l’intelligenza artificiale. La velocità raggiunta era di 0,39 token al secondo: un token è una piccola unità di testo, come una parola, una parte di parola o un segno di punteggiatura, che il modello elabora per comprendere una richiesta e generare una risposta. In pratica, il sistema era molto lento, ma l’esperimento dimostra che anche dispositivi economici possono contribuire a eseguire modelli AI relativamente grandi.

I ricercatori hanno poi testato modelli diversi su nove tipi di hardware. Un modello con 9 miliardi di parametri, cioè valori numerici che determinano come l’AI elabora le informazioni, è riuscito a prepararsi per funzionare su otto delle nove piattaforme. Tra i modelli esaminati, GLM-5.2 è stato invece l’unico a completare in modo affidabile tutte le fasi previste dall’esperimento di autoreplicazione, mostrando come un sistema AI possa, in condizioni controllate, contribuire a trasferire e avviare una copia funzionante su un altro dispositivo.

“Small weight-based replicators may be possible soon after.” (“Piccoli sistemi autoreplicanti basati sui pesi del modello potrebbero diventare possibili poco dopo.”) È una previsione degli autori, non la descrizione di una minaccia già operativa su larga scala.

Cerchiamo di comprendere perché un worm AI, un codice malevolo basato su AI autoreplicante, sarebbe diverso.

I malware tradizionali spesso dipendono da vulnerabilità, credenziali predefinite o procedure preparate per specifici dispositivi. Un agente AI potrebbe invece adattare le proprie operazioni a sistemi differenti, scegliere strumenti compatibili e correggere alcuni errori durante la configurazione. Questo non significa che sappia superare qualsiasi difesa: significa che la varietà dell’hardware potrebbe diventare un ostacolo meno efficace.

Il rapporto richiama precedenti come Mirai e Kimwolf, botnet che hanno sfruttato dispositivi IoT poco protetti, comprese le TV box Android. La novità potenziale non è quindi la compromissione di dispositivi connessi, fenomeno noto da anni, ma la capacità di combinare accesso, configurazione e propagazione con una maggiore autonomia.

“Al momento, le capacità minime necessarie e i limiti imposti dall’hardware non si incontrano ancora.” Con questa frase, Anthropic spiega che i modelli AI abbastanza piccoli da funzionare su dispositivi economici non sono ancora in grado di completare in modo affidabile tutte le operazioni necessarie per replicarsi autonomamente. La situazione, però, potrebbe cambiare: sulla base della crescita delle prestazioni dei modelli open-weight, cioè modelli i cui pesi sono accessibili e che possono essere eseguiti su infrastrutture diverse, i ricercatori stimano che questo divario potrebbe ridursi entro la fine del 2026. Si tratta di una previsione basata sulle tendenze osservate, non di una scadenza certa.

Gli esperimenti hanno inoltre mostrato che questi sistemi possono migliorare sfruttando le esperienze precedenti. Le diverse istanze del modello Qwen3.5-9B si sono passate informazioni sulle strategie provate e sugli errori incontrati, permettendo alle successive di affrontare meglio la configurazione del software necessario per eseguire il modello. Il tasso di successo è così passato dal 45% iniziale a valori compresi tra il 61% e l’84%, a seconda del test. Questi risultati non dimostrano che l’AI si evolva autonomamente come un organismo vivente, bensì che può conservare e trasferire istruzioni utili, rendendo più efficace il lavoro delle istanze successive e aumentando le possibilità di completare operazioni che inizialmente fallivano.

Il rapporto ha anche verificato se un modello piccolo potesse migliorare chiedendo aiuto a un modello più potente. Nei test descritti, l’accesso a un modello avanzato non ha prodotto miglioramenti significativi: gli agenti più piccoli spesso non sapevano formulare le domande giuste. Personalmente ritengo sia solo questione di tempo affinché si superi anche questo ostacolo. Gli autori ipotizzano quindi una possibile architettura diversa, con un modello più capace che pianifica le operazioni e agenti più piccoli che eseguono compiti specifici.

Per chi fa threat intelligence, il dato importante è che la sorveglianza non può limitarsi ai server aziendali o agli endpoint gestiti. Router, telecamere, TV box, dispositivi industriali e apparecchiature con acceleratori AI possono offrire risorse di calcolo o diventare punti di propagazione, soprattutto quando espongono servizi non necessari, usano credenziali deboli o non ricevono più aggiornamenti.

I sistemi preposti alla difesa devono tempestivamente individuare comportamenti anomali: scansioni di rete, trasferimenti insolitamente grandi di dati tra dispositivi che normalmente non comunicano, download ripetuti di pesi dei modelli e traffico persistente verso sistemi esterni. Un singolo indicatore non dimostra la presenza di un worm AI, ma la correlazione tra questi segnali può aiutare a individuare una compromissione.

Anthropic ricorda anche un precedente intervento contro il malware Mirai, basato sulla quarantena delle connessioni infette e sulla notifica agli utenti.

Il caso della botnet Mirai dimostra che è possibile ridurre la diffusione di malware che infettano dispositivi connessi a Internet. In un esperimento reale, un provider Internet (ISP) ha utilizzato informazioni raccolte da fonti esterne per individuare i clienti con dispositivi infetti, isolare temporaneamente le loro connessioni e avvisarli del problema. Durante la quarantena, i dispositivi potevano raggiungere soltanto un elenco limitato di siti autorizzati; quando gli utenti provavano a navigare altrove, il browser li reindirizzava a una pagina con le istruzioni per rimuovere l’infezione.

I risultati sono stati significativi: in 14 giorni, questa procedura ha permesso di eliminare il 92% delle infezioni, contro il 74% registrato tra gli utenti che non avevano ricevuto alcuna notifica. Secondo i ricercatori di Anthropic, un approccio simile potrebbe aiutare a contenere inizialmente anche un malware capace di replicare un modello AI su altri dispositivi. Il problema sarebbe però eliminarlo completamente: se il malware si diffondesse attraverso reti gestite da diversi provider, servirebbe coordinare le operazioni di contenimento e bonifica tra tutti gli operatori coinvolti. Un’attività complessa, soprattutto se la propagazione avvenisse rapidamente e su scala internazionale.

Sul piano preventivo, servono credenziali uniche e robuste, aggiornamenti firmware, disattivazione dei servizi esposti inutilmente, segmentazione e procedure per isolare rapidamente i dispositivi compromessi. I produttori e i regolatori hanno un ruolo decisivo: ridurre il numero di apparati vulnerabili significa restringere lo spazio operativo disponibile a qualsiasi botnet, AI o tradizionale.

La conclusione degli autori è prudente, ma non rassicurante. “We don’t yet have a full rogue replicator.” (“Non abbiamo ancora un sistema autoreplicante completamente autonomo e fuori controllo.”) Proprio per questo è il momento di prepararsi: quando tutte le fasi tecniche saranno affidabili, intervenire soltanto dopo aver osservato una propagazione su larga scala potrebbe essere troppo tardi.