Anthropic: gusanos de IA podrían replicarse en IoT en 2026

Un modelo de 9B ya levanta inferencia en hardware que nunca vio

Un modelo de 9.000 millones de parámetros logró poner a correr un servidor de inferencia en 8 de los 9 tipos de hardware que probó el Frontier Red Team de Anthropic, según la investigación firmada por William Zhou y Daniel Freeman. La prueba más incómoda del paper: el equipo compró 15 TV boxes Android genéricos a unos US$55 cada uno, con 4 GB de RAM, los conectó en red y corrió sobre ellos Gemma4-26B-A4B, un modelo de 26B, repartiéndolo en capas entre las 15 cajas. Rendimiento: 0,39 tokens por segundo.

El dato importa menos por su velocidad que por lo que demuestra. Para correr un modelo capaz no hace falta un datacenter: alcanza con un enjambre de dispositivos baratos y mal defendidos que ya existen por millones en casas y oficinas.

De la teoría a la cadena completa: cómo se replicaría un gusano de IA

Anthropic enmarca el riesgo como replicación y adaptación autónomas (ARA): un modelo que se despliega y se propaga sin control humano. La cadena tiene cuatro etapas: encontrar objetivos, obtener ejecución, montar la inferencia y seguir propagándose desde el nuevo host.

El equipo dejó fuera a propósito las dos primeras —el exploit puro— porque trabajos previos como CyberGym y ExploitBench ya mostraban que los modelos chicos pueden ejecutar exploits. Se concentró en la etapa menos estudiada: dejar corriendo la inferencia en un dispositivo que el modelo nunca vio, con una secuencia larga de decisiones de hardware y sistema operativo, versiones de paquetes y errores específicos de cada máquina.

El resultado: entre todos los modelos open-weight que probaron, solo GLM-5.2 completó el ciclo de punta a punta. Se propagó a 8 de 8 nodos en 4 de 5 intentos y a 7 de 8 en el restante. Los demás fallaron de forma consistente.

Hay que leer ese número con cuidado. La prueba corrió en una VPC con 8 nodos de Google Cloud sobre redroid, un emulador de Android 15, con un puerto ADB sin autenticación. Los propios autores lo llaman un techo optimista: el mundo real tiene más fricción. Pero también recuerdan que botnets IoT históricas como Mirai se propagaron probando listas de usuario y contraseña por defecto, así que la barrera real podría no ser mucho más alta.

Por qué los TV boxes baratos son el objetivo perfecto

El modelo de amenaza que Anthropic usó como referencia es Kimwolf, un botnet que infectó más de dos millones de dispositivos, en su mayoría TV boxes Android genéricos. Y ahí la investigación se cruza con una historia ya documentada.

Según BleepingComputer, Kimwolf es una variante para Android del malware Aisuru y creció explotando redes de proxies residenciales para llegar a dispositivos dentro de redes internas. Los blancos típicos son TV boxes y dispositivos de streaming que exponen Android Debug Bridge (ADB) sin autenticación, un puerto de depuración pensado para fábrica que permite ejecutar comandos de superusuario. La firma de seguridad Synthient encontró que 67% de los dispositivos Android de un pool de proxies analizado no pedían autenticación y estimó unos 6 millones de IPs vulnerables.

Krebs on Security documentó el detalle más incómodo para cualquiera que compre hardware barato: estas cajas se venden entre US$40 y US$400 en marketplaces grandes, muchas salen de fábrica con el modo de depuración activado y el mismo patrón alcanza a marcos digitales de fotos. En julio de 2025, según esa misma cobertura, Google demandó a 25 acusados identificados como el "BadBox 2.0 Enterprise", un botnet de más de 10 millones de dispositivos de streaming Android no homologados.

La conexión es directa: si esos dispositivos ya son presa fácil de un botnet clásico, son el sustrato ideal para uno que además lleva sus propios pesos de modelo como payload. Como apunta Anthropic, un replicador basado en pesos no necesita privilegios de root, porque los motores de inferencia corren enteros en espacio de usuario.

Los números: cuánto tardaría y cuánta potencia daría

El paper pone cifras concretas al escenario:

• Montar la inferencia en el hardware probado tardó entre 71 y 150 horas con Gemma4-26B-A4B, y entre 28 y 51 horas con Qwen3.5-9B.
• Escalado a un enjambre del tamaño de Kimwolf, el cálculo da unas 133.000 réplicas, cada una un grupo de 15 televisores.
• Esas réplicas servirían unos 80.000 tokens por segundo en conjunto: a lo sumo, el equivalente a unos 40 H100.

El equipo lo describe como una cantidad de cómputo diminuta en términos absolutos, más parecida a un moho o a un enjambre de moscas que se reproduce a lo largo de días que a un ataque instantáneo. Cada copia de un modelo de 9B tardaría entre uno y dos días. La señal no es la velocidad, es la persistencia: no hay un punto central que apagar.

El techo cambia si aparecen aceleradores en el borde. Anthropic estima del orden de 90 líneas de producto IoT con silicio de Nvidia y unos 9,5 millones de unidades desplegadas, con una horquilla muy gruesa de 9.000 a 35.000 H100-equivalentes de cómputo en aceleradores de borde, de los cuales solo una fracción sería alcanzable. Contexto de referencia del propio paper: un Jetson AGX Orin de 64 GB sirve Qwen3-30B-A3B a 76,7 tokens por segundo, y un AGX Thor llega a 226 tokens por segundo.

¿Y cuándo? Ajustando los modelos open-weight de 30B o menos contra el Epoch Capabilities Index, el equipo calcula una ganancia de 13,7 puntos ECI por año, con un R² de 0,95. Si GLM-5.2 marca el piso de capacidad necesaria para replicar, la línea de tendencia pone a un modelo chico a ese nivel a fines de 2026. Los autores aclaran que el ECI es un índice general de capacidad y solo un proxy de la habilidad de replicarse, así que la fecha es una estimación gruesa.

La parte nueva: el gusano que aprende mientras se copia

La diferencia de fondo con un botnet tradicional es que aquí los prompts, el código y las notas se heredan de generación en generación. Anthropic probó esto con Qwen3.5-9B: cada instancia dejaba notas breves sobre las estrategias que intentó y los errores que encontró, y la siguiente heredaba ese material.

La tasa de éxito para montar inferencia subió del 45% en la primera generación a entre 61% y 84% en las siguientes, sobre 20 linajes distintos. Es evolución lamarckiana aplicada a software malicioso: el hijo arranca sabiendo lo que al padre le falló.

El experimento que más debería interesar a quien construye con IA es otro. Darle a un modelo chico acceso a un modelo frontier como asesor (Opus 4.8) no mejoró de forma medible los resultados: ni ofrecido como tool call, ni cuando la ayuda llegaba sin pedirla. La razón que dan los autores es que los modelos pequeños no saben qué preguntar, y el entrenamiento por refuerzo para usar al asesor en tareas de código tampoco se transfirió. La conclusión provisoria es que la coordinación funcionaría mejor al revés: un modelo grande como estratega y los chicos como subagentes.

Otro dato tranquilizador: en una réplica local del benchmark de spear-phishing CyberSecEval 3 de Meta, los modelos chicos puntuaron entre "muy pobre" y "pobre" al normalizar contra evaluadores humanos. La ingeniería social va bastante por detrás de la capacidad de ejecución técnica.

Cómo se defiende una red de un gusano de IA

Anthropic plantea la defensa como epidemiología: hay que bajar el R₀ —cuántos dispositivos nuevos infecta cada dispositivo infectado— por debajo de 1, para que el replicador se extinga en lugar de volverse endémico.

Tres cosas juegan a favor de los defensores:

• Un replicador que multiplica copias de varios gigabytes deja firma de red. Los hosts recién infectados reciben payloads enormes y la inferencia distribuida genera tráfico sostenido entre dispositivos, visible para un ISP con monitoreo de flujos. Cuanto más rápido se propaga, más ruido hace: velocidad contra sigilo.
• Los honeypots pueden capturar el arnés y el payload del replicador.
• Las medidas a escala funcionan. El paper cita investigación sobre la remediación de Mirai según la cual el aislamiento por parte del ISP con notificación al cliente limpió el 92% de las infecciones en 14 días, frente al 74% sin notificación.

En cuanto a la respuesta legal, la presión ya existe: en mayo de 2026, un operador acusado de administrar Kimwolf fue arrestado y enfrenta cargos federales de intrusión informática en Estados Unidos, según reportó Tech Times.

Qué significa esto para tu startup

Si tu producto corre en el borde, si tenés hardware propio en oficinas o si vendes cualquier cosa que se conecte, este paper te toca. Estos son los movimientos concretos que se desprenden de él.

1. Audita todo lo conectado que no es un servidor. El inventario de una startup suele incluir TV boxes en salas de reunión, cámaras, marcos digitales, pantallas y routers personales de empleados. Anthropic describe justamente la discrepancia entre el piso de capacidad que hace falta para replicarse y el techo de tamaño que permite correr en esos equipos, y hoy esas dos líneas todavía no se cruzan. La ventana para limpiar el inventario es ahora.

2. Segmenta y mata el ADB abierto. Los casos documentados por BleepingComputer y Krebs muestran que el vector no es un zero-day exótico: es un puerto de depuración sin autenticación y credenciales por defecto. Poné los dispositivos IoT en una red de invitados o VLAN separada de computadoras y almacenamiento, y verificá que ningún dispositivo de tu oficina o de tus clientes exponga servicios de depuración a la red.

3. Si construyes agentes, prueba el fallo del largo plazo. La observación más transferible del paper no es sobre malware, es sobre agentes: en corridas largas, un modelo puede fijarse en una idea equivocada y perseguirla en lugar de retroceder. La solución que adoptaron —reiniciar instancias nuevas con el espacio de trabajo y notas breves de lo intentado— es un patrón de ingeniería aplicable a cualquier agente de producción con tareas de muchas horas.

4. Blindá tus credenciales de inferencia. Uno de los modelos de amenaza que Anthropic marca como más cercanos a concretarse es un replicador que no ejecuta código ajeno: roba claves de API y credenciales de plataforma para financiar su propia inferencia. Rotación de claves, permisos mínimos y alertas de consumo anómalo son controles baratos contra ese escenario.

Conclusión

Todavía no existe un replicador autónomo completo, y el propio equipo de Anthropic lo dice con claridad: hay señales de vida, no un gusano desatado. Pero la distancia se acorta por dos lados al mismo tiempo. La capacidad mínima para replicarse baja mes a mes, y la cantidad de cómputo disponible fuera de los datacenters sube. La predicción del paper es que vamos hacia un mundo con agentes corriendo en todo tipo de hardware, incluido algo que no esté bajo control humano.

Para un founder, la lectura práctica no es apocalíptica. Es operativa: el hardware barato que nunca se actualiza es deuda de seguridad, y los agentes que operan por horas sin supervisión necesitan pruebas de fallo de largo plazo. Ambas cosas se pueden empezar a resolver esta semana.

Fuentes

• Anthropic Frontier Red Team: self-replicating AI
• Unite.AI: Anthropic Red Team Says Small AI Models May Soon Replicate on IoT Devices
• BleepingComputer: Kimwolf Android botnet abuses residential proxies to infect internal devices
• Krebs on Security: The Kimwolf Botnet is Stalking Your Local Network
• Tech Times: KimWolf Botnet Operator Arrested