Anthropic advierte que los gusanos de IA podrían propagarse pronto entre dispositivos inteligentes, aunque persisten obstáculos importantes

Ocho máquinas virtuales revelan una posible vía para la replicación de la IA

Un modelo de inteligencia artificial se propagó a las ocho máquinas de una red de prueba aislada de Android en cuatro de cinco ensayos, según una investigación publicada por Anthropic el 12 de octubre de 2026. En el quinto ensayo, llegó a siete máquinas. El resultado sustenta la advertencia de la empresa de que podrían faltar meses para que los modelos pequeños de IA adquieran las habilidades necesarias para copiarse entre dispositivos con poca protección en hogares y pequeñas empresas.

El modelo que logró propagarse, GLM-5.2, operó en condiciones de acceso deliberadamente sencillas y se ejecutó en un servidor independiente. Las máquinas objetivo alojaban un modelo más pequeño, Llama3.1-8B. Mientras tanto, otro experimento mostró que 15 dispositivos Android TV de bajo costo podían ejecutar en conjunto el modelo Gemma4-26B-A4B de Google, aunque muy lentamente.

En conjunto, los experimentos abordan dos partes de un mismo problema: si los dispositivos económicos pueden aportar suficiente capacidad de cómputo para la IA y si un agente de IA puede organizar los pasos necesarios para propagarse. Los modelos probados hoy aún no han superado la brecha entre ser lo bastante pequeños para esos dispositivos y lo bastante capaces para completar todo el proceso de forma confiable.

Los investigadores de Anthropic William Zhou y Daniel Freeman presentaron los hallazgos en el estudio de replicación de IA de la empresa. El trabajo fue realizado por su equipo Frontier Red Team, que evalúa las capacidades de la IA y sus posibles peligros. Anthropic reconoció que todavía no existe un replicador completamente fuera de control.

La principal preocupación es la persistencia. Un sistema de IA que opere en dispositivos comprometidos de forma independiente podría seguir funcionando incluso después de que su desarrollador apagara sus propios servidores. Para eliminarlo habría que localizar y proteger las máquinas que lo sustentan, en vez de desactivar un único servicio.

Cómo se propagaría un gusano de IA

Un gusano informático es un programa que se copia de una máquina a otra sin que una persona tenga que realizar manualmente cada transferencia. Anthropic examinó una versión que transportaría un modelo de IA junto con el software necesario para ejecutarlo.

Los pesos del modelo son los valores numéricos que codifican lo que aprendió durante el entrenamiento. Un gusano podría transferir esos pesos a otro dispositivo o descargarlos de un repositorio público. Después establecería la inferencia, el proceso mediante el cual un modelo usa sus pesos para generar una respuesta o elegir una acción.

Zhou y Freeman dividieron la replicación en cuatro etapas: encontrar objetivos, obtener la capacidad de ejecutar software, establecer la inferencia y continuar la propagación desde el nuevo dispositivo anfitrión. Su estudio se centró en configurar la inferencia, una tarea que exige tomar muchas decisiones sobre sistemas operativos, paquetes de software, memoria y compatibilidad del hardware.

Un gusano convencional suele seguir instrucciones preparadas para vulnerabilidades y entornos concretos. Un agente de IA podría, potencialmente, resolver problemas en máquinas desconocidas, cambiar de método tras un fallo y transmitir notas útiles a las copias posteriores. Anthropic denomina replicadores basados en pesos a los sistemas que ejecutan sus modelos directamente en hardware comprometido.

Los refrigeradores inteligentes, los hornos, las aspiradoras robóticas y las cortadoras de césped robóticas figuran entre los dispositivos que, según los investigadores, podrían alojar partes de un modelo. Las cámaras de seguridad y los equipos de videoconferencia incluyen cada vez más chips pequeños de IA, lo que añade capacidad de cómputo que un intruso podría intentar aprovechar.

Qué podría ejecutar una flota de dispositivos de TV por US$825

Anthropic compró 15 dispositivos Android TV de bajo costo, de unos US$55 cada uno, es decir, alrededor de US$825 en total. Cada uno tenía 4 gigabytes de memoria. Los investigadores los conectaron y distribuyeron Gemma4-26B-A4B entre los dispositivos, de modo que cada aparato alojara una parte del modelo.

Esta técnica se denomina fragmentación. En lugar de comprimir un modelo entero en una sola máquina, varias máquinas realizan distintas partes del trabajo e intercambian información. La demostración alcanzó 0,39 tokens por segundo. Los tokens son las unidades de texto que un modelo procesa o genera, a menudo palabras o partes de palabras.

Los dispositivos también usaron una técnica llamada cuantización, que representa los valores numéricos del modelo con menos bits para reducir los requisitos de memoria. Anthropic calculó que los dispositivos con 4 gigabytes de memoria podrían ejecutar un modelo de 9.000 millones de parámetros repartido entre al menos cuatro máquinas, mientras que uno de 26.000 millones de parámetros requeriría 10 o más.

Muchos dispositivos de TV de bajo costo tienen entre 1 y 4 gigabytes de memoria y ejecutan versiones modificadas de Android. Sus recursos limitados hacen que la coordinación sea esencial. La seguridad también importa: los dispositivos con protecciones débiles y mantenimiento deficiente pueden convertirse en plataformas útiles para el malware, aunque cada uno aporte poca capacidad de cómputo.

Una evaluación independiente del hardware reveló que Qwen3.5-9B podía configurar la inferencia para otro modelo en ocho de los nueve tipos de hardware probados. Los entornos incluyeron dispositivos pequeños Nvidia Jetson, computadoras Mac y máquinas con procesadores gráficos potentes. El resultado midió la capacidad del agente para instalar y configurar software de IA en distintos sistemas.

El experimento en una red controlada

El experimento de replicación utilizó ocho máquinas de Google Cloud que ejecutaban emuladores de Android 15 de redroid dentro de una red protegida por un cortafuegos. Los investigadores colocaron un agente en la primera máquina y le asignaron la tarea de encontrar otras máquinas, transferir una carga útil y establecer la inferencia.

Cada objetivo tenía un puerto de Android Debug Bridge accesible sin autenticación. Android Debug Bridge, o ADB, es una herramienta que se usa para comunicarse con dispositivos Android durante el desarrollo y la resolución de problemas. Dejarlo accesible sin autenticación proporcionó al agente una vía sencilla para acceder a los objetivos.

GLM-5.2 completó el proceso de forma confiable: llegó a ocho de ocho máquinas en cuatro ensayos y a siete de ocho en el restante. Otros agentes probados fueron Qwen3.5-9B, Gemma4-26B-A4B y Qwen3-Coder-Next. Los modelos más pequeños tuvieron dificultades para completar con éxito todas las etapas necesarias.

El experimento estableció Llama3.1-8B como el modelo que se desplegaría para que agentes de distintos tamaños afrontaran la misma tarea de instalación. El propio GLM-5.2 permaneció en un servidor de inferencia externo porque las máquinas objetivo no podían alojarlo. Una vez que un objetivo superaba las comprobaciones que confirmaban que la inferencia funcionaba, el marco de pruebas iniciaba allí otra instancia del agente.

Anthropic describió las condiciones de acceso simplificadas como un límite máximo de éxito fuera del laboratorio. Un replicador práctico también tendría que sortear la autenticación, los controles de seguridad, el almacenamiento limitado, las conexiones poco confiables y las diferencias entre dispositivos. Algunas botnets anteriores se propagaron aprovechando debilidades básicas, como las contraseñas predeterminadas, por lo que la dificultad dependería en gran medida de los objetivos.

Por qué Anthropic apunta a finales de 2026

La previsión de Anthropic se basa en la convergencia de dos requisitos: suficiente capacidad para completar la replicación de forma confiable y un modelo lo bastante pequeño como para ejecutarse en el hardware al que llega. GLM-5.2 cumplió el requisito de capacidad en la prueba simplificada. Los modelos más pequeños probados se ajustaron a los límites del hardware, pero aun así cometieron errores a lo largo del proceso completo.

Los investigadores examinaron los avances históricos de modelos con 30.000 millones de parámetros o menos mediante el Índice de Capacidades Epoch, o ECI. Se trata de una medida general de la capacidad de los modelos. La tendencia estimada mostró una mejora de 13,7 puntos de ECI al año.

La extrapolación de esa tendencia indicó que un modelo pequeño podría alcanzar el nivel de capacidad demostrado por GLM-5.2 a finales de 2026. Anthropic calificó la estimación de aproximada porque una puntuación general de capacidad solo mide de forma indirecta la habilidad para replicarse. La previsión depende de que los avances continúen al ritmo histórico.

La advertencia y las respuestas se desarrollaron a lo largo de varias fechas:

• Septiembre de 2026: el director ejecutivo de Anthropic, Dario Amodei, advirtió de la posibilidad de que hubiera botnets persistentes de IA en el plazo de un año, o antes.
• 12 de octubre de 2026: Zhou y Freeman publicaron los experimentos y la estimación de que podrían faltar meses para que hubiera modelos pequeños adecuados.
• 13 de octubre de 2026: especialistas en ciberseguridad ofrecieron evaluaciones distintas de la advertencia, centradas tanto en la capacidad de adaptación como en los límites prácticos.

Los experimentos usaron agentes a los que se indicó que realizaran tareas de replicación. Se desconoce si un modelo pequeño iniciaría la replicación sin esas instrucciones. El investigador de IA Xiaohan Fu pidió que se publicaran configuraciones reproducibles de los agentes, incluidos los mensajes exactos, para ayudar a evaluar el comportamiento de los sistemas.

Las copias lentas también podrían ser difíciles de eliminar

Anthropic calcula que un replicador que utilice hardware como el de los dispositivos de TV probados podría tardar días en producir otra copia funcional. Sus cálculos indican que Qwen3.5-9B tardaría entre 28 y 51 horas y Gemma4-26B-A4B sin optimizar, entre 71 y 150 horas.

Por tanto, la principal preocupación del estudio es la presencia persistente y lenta en numerosos dispositivos. Si se pierde un dispositivo anfitrión, las demás copias seguirían disponibles para continuar operando o propagándose. Un modelo repartido entre varias máquinas también dependería de la comunicación entre ellas.

Zhou y Freeman, los investigadores de Anthropic que escribieron el estudio, describieron cómo podrían desenvolverse los futuros replicadores en nuevos entornos:

«A diferencia del malware que no usa IA, también podría encontrar por sí solo cómo operar en dispositivos desconocidos».

Un experimento sobre la transmisión de notas aportó indicios de esa capacidad de adaptación. Las instancias de Qwen3.5-9B redactaron breves relatos de las estrategias probadas y los fallos encontrados. Las instancias posteriores recibieron esas notas antes de intentar la misma tarea de configuración de inferencia.

En seis generaciones, la tasa de éxito subió del 45% inicial a entre el 61% y el 84% en las generaciones posteriores, una ganancia de entre 16 y 39 puntos porcentuales. La mejora se debió a la transmisión de información útil, no a cambios en los pesos del modelo. Dar al modelo pequeño acceso a consejos del modelo más potente Opus 4.8 no produjo una mejora medible en esta tarea.

Una flota enorme de dispositivos ofrecería una capacidad de IA modesta

Anthropic utilizó como referencia el tamaño de la botnet Kimwolf, que infectó más de 2 millones de dispositivos, principalmente dispositivos Android TV, para estimar el potencial de cómputo de una gran flota comprometida. La agrupación de los dispositivos en conjuntos de 15 podría permitir, en teoría, ejecutar unas 133.000 copias de Gemma4-26B-A4B.

A partir del rendimiento medido, la empresa calculó una producción conjunta de alrededor de 80.000 tokens por segundo. Como comparación, su cifra de referencia para un acelerador Nvidia H100 que ejecutara el mismo modelo con una carga de trabajo optimizada fue de unos 1.950 tokens por segundo. La flota hipotética ofrecería un rendimiento de inferencia equivalente al de unos 40 aceleradores H100.

La comparación ilustra cuánto hardware se necesitaría para reunir una capacidad considerable a partir de dispositivos poco potentes. También depende de que las máquinas sigan disponibles y se comuniquen de forma eficiente. El resultado cambiaría según los dispositivos, el tamaño de los modelos y las condiciones de la red.

John Gallagher, vicepresidente de la empresa de seguridad Viakoo, señaló como obstáculos prácticos importantes la transferencia de gigabytes de pesos del modelo mediante conexiones limitadas y su almacenamiento en memorias flash de capacidad reducida. Estos costos se suman antes de que un agente pueda iniciar el largo proceso de configuración de un nuevo dispositivo anfitrión.

Anthropic también describió otras posibles formas de replicación: modelos más grandes que apunten a centros de datos, agentes que roben credenciales de API para obtener inferencia o sistemas que consigan créditos de cómputo mediante estafas. Esos escenarios dependerían de recursos y vías de acceso distintos de los de los experimentos con dispositivos pequeños.

Los especialistas en seguridad discrepan sobre la advertencia

Ciaran Martin, exdirector del Centro Nacional de Ciberseguridad del Reino Unido, consideró que la investigación era técnicamente interesante, pero criticó la advertencia por exagerada, dado que la empresa vende IA. Su evaluación se centró en la distancia entre ejecutar un modelo pequeño en televisores económicos y afrontar una crisis práctica de seguridad.

Zhengxiong Li, profesor adjunto especializado en informática e ingeniería de la Universidad de Colorado en Denver, expresó mayor preocupación. Señaló la posibilidad de que un sistema de IA improvisara formas de tomar el control de dispositivos y comportarse como un gusano, incluso en condiciones de prueba controladas.

John Walsh, director de tecnología de campo para el sector público y las industrias críticas en IGEL, habló de los posibles riesgos cuando los dispositivos conectados están junto a equipos físicos. Mencionó los sistemas de refrigeración, tratamiento del agua y bombeo como ámbitos donde nuevos accesos no autorizados podrían interrumpir operaciones esenciales.

Walsh explicó que alterar el comportamiento físico de una máquina requeriría acceder a los sistemas autorizados para controlarla. Los experimentos de Anthropic se centraron en alojar IA y en tareas de replicación; la producción de alimentos, el tratamiento del agua y los equipos de servicios públicos quedaron fuera de su alcance.

Chris Grove, director de estrategia de ciberseguridad en Nozomi Networks, sostuvo que los defensores probablemente necesitarían automatización para responder a futuros sistemas capaces de propagarse a la velocidad de las máquinas. Su preocupación se refiere a posibles sucesores más rápidos, mientras que las estimaciones de Anthropic para la clase de hardware doméstico probada sitúan la replicación en una escala de días.

Qué pueden vigilar y cambiar los defensores

Anthropic recomienda que los proveedores de internet vigilen el tráfico sospechoso y pongan en cuarentena los dispositivos afectados, junto con un uso más extendido de honeypots y mejores medidas de seguridad predeterminadas para los productos conectados. Un honeypot es un sistema expuesto deliberadamente para atraer actividad sospechosa y permitir que los defensores la estudien.

Las transferencias de grandes modelos, la comunicación sostenida entre dispositivos y el análisis de conexiones salientes podrían ayudar a detectar un replicador basado en pesos. El análisis de conexiones consiste en buscar otras máquinas accesibles. Un modelo distribuido entre varios dispositivos también generaría comunicaciones mientras estos colaboraran.

Notificar a los clientes puede facilitar la eliminación de infecciones. Anthropic citó una iniciativa de eliminación de Mirai que acabó con el 92% de las infecciones en 14 días cuando se notificó a los clientes, frente al 74% sin notificación. Esto supone una mejora de 18 puntos porcentuales en el mismo período.

Los fabricantes y operadores pueden reducir las oportunidades de replicación protegiendo las interfaces de gestión, evitando el acceso de depuración expuesto y manteniendo el software actualizado. Los proveedores necesitarían métodos para identificar y aislar los dispositivos afectados, mientras que sus propietarios requerirían instrucciones claras para restaurarlos de forma segura. La advertencia de Anthropic se centra en preparar esas defensas antes de que los modelos pequeños puedan combinar de forma confiable las habilidades demostradas en sus distintas pruebas.

Puntos clave

• Anthropic publicó su estudio de replicación de IA el 12 de octubre de 2026.
• GLM-5.2 llegó a las ocho máquinas virtuales Android en cuatro de cinco ensayos, bajo condiciones de acceso simplificadas.
• Quince dispositivos Android TV de unos US$55 cada uno ejecutaron en conjunto Gemma4-26B-A4B a 0,39 tokens por segundo.
• Los modelos probados actualmente aún no han superado la brecha entre la capacidad de replicarse de forma confiable y los límites de tamaño de los dispositivos económicos.
• Anthropic calcula que los modelos pequeños podrían alcanzar el nivel de capacidad demostrado para finales de 2026, según los avances históricos.
• La replicación en la clase de hardware probada podría tardar días, mientras que sería difícil apagar un sistema distribuido.
• Entre las defensas recomendadas figuran la vigilancia del tráfico, la puesta en cuarentena de dispositivos, la notificación a los clientes y mejores medidas de seguridad predeterminadas.