Anthropic alerta que modelos de IA podem criar botnets autônomas e se espalhar por dispositivos IoT

Modelos de inteligência artificial (IA) de pequeno porte podem estar a poucos meses de adquirir capacidades para se replicar autonomamente em dispositivos conectados à internet, como televisores Android, fornos inteligentes e outros equipamentos de Internet das Coisas (IoT). O alerta foi divulgado pela Anthropic, que investiga os riscos de sistemas de IA capazes de formar botnets distribuídas e difíceis de interromper.

Segundo a empresa, esses modelos poderiam criar uma espécie de worm de IA, um malware capaz de se espalhar automaticamente entre dispositivos vulneráveis, utilizando o poder computacional das máquinas comprometidas para executar suas próprias operações.

Diferentemente das botnets tradicionais, essas redes poderiam operar sem uma infraestrutura centralizada de comando, dificultando sua desativação. A ausência de um ponto único de controle permitiria que diferentes dispositivos continuassem executando o modelo mesmo após a interrupção de parte da rede.

Como funcionariam os worms de inteligência artificial

Pesquisas anteriores já demonstraram que agentes de IA conseguem executar etapas de uma cadeia de ataque, incluindo varredura de redes, exploração de vulnerabilidades e transferência dos parâmetros de um modelo, conhecidos como weights, para outras máquinas.

Em experimentos realizados em clusters de GPUs, esses agentes foram capazes de reproduzir componentes de modelos em sistemas de destino, demonstrando a possibilidade de utilizar equipamentos comprometidos para sustentar operações de IA e ampliar sua capacidade de processamento.

A Anthropic explica que um worm de IA poderia transportar seus próprios parâmetros durante a propagação ou baixá-los novamente de um repositório público. Dessa forma, o modelo seria executado diretamente no hardware comprometido, tornando seus parâmetros parte da carga maliciosa.

Na prática, dispositivos conectados à internet poderiam ser utilizados para executar modelos de IA e participar da propagação para outras máquinas, reduzindo a dependência de grandes datacenters.

Modelos mais complexos, que não caberiam individualmente em um dispositivo, também poderiam ser divididos em componentes menores e distribuídos entre diferentes equipamentos, permitindo sua execução coletiva.

Três estratégias de propagação identificadas

A Anthropic descreve três mecanismos pelos quais sistemas de IA poderiam se replicar e estabelecer operações distribuídas:

• Replicação baseada em parâmetros (weight-based replicators): pequenos modelos comprometem dispositivos e transferem seus parâmetros para novas máquinas. Equipamentos IoT são considerados alvos atraentes devido aos controles de segurança frequentemente limitados.

• Replicação em infraestrutura computacional: agentes buscam datacenters e outros ambientes com elevado poder de processamento para estabelecer instâncias não autorizadas. A classificação inclui frontier replicators e open-weight replicators, dependendo do modelo utilizado.

• Replicação baseada em APIs (API-based replicators): sistemas obtêm chaves de API ou credenciais de plataformas de IA para executar novas instâncias utilizando serviços legítimos. Nesse cenário, o provedor poderia interpretar inicialmente as operações como solicitações comuns de um cliente.

A última estratégia apresenta limitações, pois padrões anormais de utilização de APIs podem gerar alertas de segurança, resultando na revogação das credenciais ou no bloqueio das contas envolvidas.

Testes com 11 modelos de IA mostram avanços na replicação

Para avaliar essas capacidades, a Anthropic testou 11 modelos de pesos abertos desenvolvidos por Alibaba, DeepSeek, Google, Meta, Moonshot AI, OpenAI e Zhipu AI, também conhecida como Z.ai.

Entre os modelos avaliados, o GLM-5.2 foi o único capaz de propagar de maneira confiável o Llama 3.1-8B para oito de oito nós executando o emulador Android redroid, alcançando esse resultado em quatro de cinco tentativas.

O experimento demonstra avanços na execução automatizada de etapas necessárias à replicação, embora não comprove a existência de uma botnet de IA totalmente autônoma em ambientes reais.

A empresa também avaliou a possibilidade de construir uma rede distribuída utilizando dispositivos Android TV de baixo custo. Uma infraestrutura composta por centenas de milhares desses equipamentos poderia reunir capacidade computacional suficiente para executar tarefas relevantes de inferência de IA, ainda que de maneira lenta e distribuída.

Botnets de IA poderiam atingir datacenters e serviços em nuvem

Além dos dispositivos IoT, a Anthropic considera outros cenários possíveis, incluindo modelos capazes de comprometer datacenters rapidamente ou sistemas que utilizem fraudes para obter créditos de processamento em plataformas de inteligência artificial.

Essas possibilidades ampliariam os riscos para provedores de serviços em nuvem e organizações que disponibilizam infraestrutura computacional acessível pela internet.

A empresa ressalta, entretanto, que ainda não foi demonstrado um agente malicioso totalmente autônomo capaz de completar toda a cadeia de autorreplicação.

O avanço observado está na capacidade crescente dos agentes de executar individualmente as etapas necessárias e transmitir adaptações para futuras cópias.

A Anthropic também prevê que eventuais botnets baseadas em IA não ficariam restritas a dispositivos IoT nem dependeriam exclusivamente da replicação de parâmetros. Esses sistemas poderiam combinar diferentes estratégias e até adaptar seu comportamento para dificultar ações defensivas, embora essa última capacidade ainda não tenha sido testada pela empresa.