Anthropic alerta: IAs pequenas podem se copiar em TVs box e geladeiras

A Anthropic publicou, em 12 de outubro, uma pesquisa do seu time de Frontier Red Team com um aviso incômodo: modelos de IA pequenos podem estar a poucos meses de conseguir se copiar sozinhos para aparelhos comuns de internet das coisas, como TV box de marca desconhecida, forno inteligente ou geladeira conectada. No texto original da empresa, os pesquisadores William Zhou e Daniel Freeman afirmam que um replicador desse tipo seria difícil de desligar, porque não existe um ponto central para cortar, embora tendesse a ser lento, com tempo de duplicação de dias.

A reportagem da Ars Technica, publicada em 14 de outubro, resume os números: um modelo de 9 bilhões de parâmetros conseguiu colocar a inferência para rodar em 8 dos 9 tipos de hardware testados, e modelos de até 30 bilhões de parâmetros já completam muitos dos passos individuais da cadeia de replicação, embora errem quando precisam encadear tudo do começo ao fim. A própria Anthropic ressalva que o resultado é um alerta de capacidade, não a descoberta de um vírus em circulação.

O que a Anthropic testou na prática

O raciocínio da pesquisa parte de uma ideia simples. Um worm clássico é um programa que passa de um computador para outro sem ajuda humana. Um worm de IA levaria junto os pesos do modelo (ou baixaria de um repositório público) e rodaria o modelo direto no aparelho invadido, de modo que os pesos virariam parte da carga do malware. A diferença para um worm tradicional é que o modelo consegue descobrir sozinho como lidar com um equipamento que nunca viu, em vez de depender de um código escrito para um hardware específico.

Para medir se isso é plausível em equipamento barato, a empresa comprou 15 caixas de TV com Android de marca genérica, a cerca de 55 dólares cada, e as ligou em rede. Dividindo as camadas do modelo Gemma4-26B-A4B entre as caixas, cada uma com cerca de 4 GB de memória, a equipe fez o modelo responder a 0,39 token por segundo, o que é lentíssimo para uso humano, mas prova que o conjunto funciona. O resumo dos experimentos pode ser organizado em quatro pontos:

• montar a inferência em hardware desconhecido, a etapa menos estudada e provavelmente a mais difícil, foi o foco do teste;
• o modelo Qwen3.5-9B conseguiu configurar servidores de inferência em oito dos nove tipos de equipamento, de placas Jetson Nano a PCs com RTX 4090;
• num ambiente simulado com oito máquinas Android, apenas o modelo GLM-5.2 completou a replicação de ponta a ponta de forma confiável, espalhando-se por 8 de 8 nós em quatro de cinco tentativas;
• com notas herdadas entre gerações, a taxa de sucesso do Qwen3.5-9B subiu de 45% na primeira geração para entre 61% e 84% nas seguintes.

Esse último ponto é o que mais preocupa os autores, porque indica que cada cópia pode deixar anotações do que funcionou e do que falhou para a próxima, algo que um malware comum não faz. Por outro lado, dar acesso a um modelo de ponta como consultor não ajudou o modelo pequeno de forma mensurável nos testes.

As ressalvas que a própria reportagem aponta

A Ars Technica registra limites importantes. Nenhum dos modelos leves testados fez a replicação completa, que envolve achar novos aparelhos, explorar uma falha para entrar, instalar a carga, configurar um servidor de inferência e repetir o processo. Os aparelhos Android do experimento tinham a porta de depuração (ADB) aberta e sem senha, algo que nunca deveria existir em produto de uso final. E, no ensaio em rede simulada, o trabalho de orquestração foi feito pelo GLM-5.2 enquanto os alvos rodavam um modelo Llama menor, ou seja, não foram os modelos pequenos agindo sozinhos.

O pesquisador Xiaohan Fu, ouvido pela publicação, disse que o estudo não prova que modelos pequenos escolheriam se replicar por conta própria, e pediu que prompts e configurações exatas fossem divulgados para evitar a confusão entre a capacidade demonstrada e uma ameaça autônoma real. A Anthropic, por sua vez, estima que, se os modelos pequenos melhorarem no ritmo histórico, igualarão o nível do GLM-5.2 até o fim de 2026, e que replicadores baseados em pesos pequenos podem ser possíveis logo depois.

Contexto: botnets de aparelhos baratos já são realidade

A pesquisa usa como referência a botnet Kimwolf, que segundo dados citados pela Anthropic chegou a infectar mais de 2 milhões de dispositivos, principalmente TV box com Android. Fazendo a conta, uma frota desse tamanho com grupos de 15 caixas daria algo como 133 mil cópias do modelo, o equivalente a cerca de 40 placas H100 de capacidade de inferência. É pouco poder de fogo em termos absolutos, e por isso a empresa compara o fenômeno a um fungo, um "mofo de lodo digital", que se espalha devagar, mas persiste.

O histórico de worms de IoT, como a Mirai, mostra que a invasão costuma ser banal, muitas vezes apenas testando senhas de fábrica. Esse é o ponto que liga a pesquisa ao nosso dia a dia: a barreira de entrada em muitos aparelhos baratos é baixíssima, e um agente de IA tem paciência de sobra para tentar. Já escrevemos sobre outros episódios em que agentes ultrapassaram limites, como os quatro incidentes de agentes da OpenAI, e sobre o relatório de ameaças da própria Anthropic de setembro.

Por que isso importa para você

No Brasil, TV box genérica é item popular, vendida a preço baixo em marketplaces, e muita gente a instala em casa ou no balcão da loja sem trocar a senha ou atualizar nada. O mesmo vale para câmeras de segurança, roteadores antigos, tomadas inteligentes e até aparelhos que o pequeno comerciante usa para monitorar o estoque. Se um dia houver worms de IA reais, o primeiro alvo tende a ser justamente esse tipo de equipamento esquecido, e o dono dificilmente perceberá, porque o aparelho continuará funcionando, só um pouco mais lento.

Para quem empreende, o risco prático não é o "robô que foge", e sim a rede da empresa. Um aparelho comprometido dentro do Wi-Fi do escritório pode servir de ponte para o computador onde ficam planilhas de clientes, notas fiscais e acesso ao banco. Como tratamos no guia de LGPD para pequenos negócios, quem guarda dados de clientes responde por eles, inclusive quando o vazamento nasce de um equipamento barato mal configurado.

Como se proteger sem virar especialista

As recomendações de defesa que a pesquisa deixa implícitas são as mesmas da segurança doméstica de sempre, só que agora com mais urgência. Na prática, vale organizar uma checagem rápida de uma tarde:

1. faça uma lista de tudo o que está conectado ao Wi-Fi da casa ou da loja (o aplicativo do roteador costuma mostrar);
2. descarte ou isole o que for antigo, sem atualização do fabricante ou de marca duvidosa;
3. troque senhas padrão e ative a rede separada para aparelhos que não precisam falar com seus computadores;
4. prefira equipamentos de fabricantes que publicam correções de segurança, como mostramos no comparativo de roteadores Wi-Fi 6 e no de câmeras de segurança Wi-Fi;
5. antes de contratar qualquer ferramenta ou aparelho ligado à rede, use o checklist para escolher uma ferramenta de IA com segurança.

Também vale desconfiar de promessas de "TV box liberada" com canais pagos de graça: esse tipo de aparelho pirata é justamente o tipo de equipamento sem atualização que as botnets procuram, e foi o alvo dominante da Kimwolf.

O que observar daqui para frente

Três pontos merecem acompanhamento. O primeiro é se outros laboratórios e pesquisadores independentes reproduzem o experimento, já que a crítica de transparência levantada na reportagem pede configurações abertas para que se separe capacidade de ameaça real. O segundo é a evolução dos modelos de até 30 bilhões de parâmetros, cuja curva de melhoria define o prazo da Anthropic de "fim do ano". O terceiro é a resposta da indústria de IoT: se fabricantes e varejistas passarem a exigir senha única por aparelho e atualização automática, a superfície de ataque diminui bastante.

Para o leitor brasileiro, a mensagem é de prevenção, não de pânico. A pesquisa descreve uma capacidade que ainda não existe de ponta a ponta, mas aponta que o custo de atacar aparelhos baratos vai cair. Revisar a rede agora custa uma tarde; investigar um vazamento de dados de clientes depois custa muito mais, tanto em dinheiro quanto em confiança.