La possibilità che un sistema di intelligenza artificiale si replichi autonomamente, trasferendosi da un dispositivo all’altro senza intervento umano, potrebbe diventare concreta entro pochi mesi. A indicarlo è una ricerca pubblicata da Anthropic il 12 ottobre 2026, nella quale William Zhou e Daniel Freeman, del Frontier Red Team dell’azienda, hanno esaminato le capacità dei modelli AI di propagarsi attraverso reti di dispositivi con risorse di calcolo limitate.
Gli esperimenti mostrano che modelli relativamente piccoli sono già in grado di completare numerose operazioni necessarie alla propria replicazione, dall’identificazione dell’ambiente hardware all’installazione dei componenti software per eseguire l’inferenza. I sistemi più avanzati riescono inoltre a concatenare queste operazioni in un processo autonomo, almeno nelle condizioni sperimentali predisposte dai ricercatori.
Un worm informatico potrebbe utilizzare un modello AI per adattarsi ai dispositivi incontrati, installare nuove istanze di sé stesso e proseguire la propagazione, sfruttando risorse di calcolo distribuite anziché dipendere da un’infrastruttura centralizzata.
Dai worm tradizionali ai sistemi AI capaci di adattarsi
Le capacità di un worm informatico, di un programma malevolo cioè che si diffonde autonomamente tra sistemi collegati in rete, dipendono generalmente da procedure sviluppate in anticipo, che identificano determinate vulnerabilità e consentono di sfruttarle per raggiungere altri dispositivi.
L’introduzione di un modello AI modifica questa dinamica, perché le operazioni necessarie alla propagazione possono essere pianificate e adattate alle caratteristiche del sistema da compromettere. Un agente potrebbe individuare l’architettura hardware, scegliere gli strumenti software compatibili, risolvere problemi di configurazione e predisporre l’ambiente necessario per eseguire una nuova istanza del modello.
Anthropic definisce questa capacità autonomous replication and adaptation (ARA), ossia replicazione e adattamento autonomi.
Un worm convenzionale è normalmente progettato per specifiche piattaforme o vulnerabilità; un agente AI sufficientemente competente può invece affrontare configurazioni sconosciute e individuare autonomamente le procedure necessarie per funzionare.
I ricercatori hanno suddiviso il processo in quattro fasi: individuazione dei dispositivi raggiungibili, acquisizione della possibilità di eseguire codice, configurazione dell’inferenza e propagazione verso altri sistemi. La configurazione dell’inferenza richiede numerose decisioni tecniche consecutive, la cui riuscita dipende dalle caratteristiche del dispositivo.
L’autoreplicazione può assumere forme differenti. Anthropic distingue i worm che trasferiscono i pesi del modello sui dispositivi compromessi, quelli che prendono di mira i data center e i sistemi che si propagano attraverso il furto di credenziali per accedere alle API dei servizi AI.
Nel primo caso, definito weight-based replication, i pesi del modello diventano parte del codice malevolo distribuito oppure vengono scaricati da repository pubblici. Nel secondo, un modello più grande può sfruttare infrastrutture dotate di acceleratori potenti, mentre nel terzo l’agente utilizza risorse di inferenza fornite da operatori esterni, potenzialmente attraverso account sottratti alle vittime.
Queste modalità possono anche coesistere. Una rete malevola potrebbe comprendere modelli differenti, distribuiti su hardware eterogeneo, con agenti più potenti incaricati di definire le strategie e altri più piccoli dedicati alle operazioni esecutive.
I piccoli modelli AI sanno già configurare l’inferenza su hardware differenti
Uno degli ostacoli principali all’autoreplicazione è la capacità di eseguire un modello AI su dispositivi sconosciuti, con sistemi operativi, processori, memoria e librerie software differenti.
Anthropic ha verificato questa competenza chiedendo a diversi modelli open-weight di configurare l’esecuzione di Llama 3.1 8B su nove tipologie di hardware, comprendenti acceleratori NVIDIA Jetson, computer Mac e sistemi dotati di GPU RTX 4090.
Qwen3.5-9B, un modello da 9 miliardi di parametri, è riuscito a configurare correttamente l’inferenza su otto delle nove piattaforme esaminate. Modelli più avanzati, come GLM-5.2, hanno mostrato una maggiore affidabilità e la capacità di ottenere prestazioni superiori dai sistemi disponibili.
La complessità deriva dalla necessità di scegliere un motore di inferenza compatibile, installare le versioni corrette delle librerie, gestire le dipendenze software e risolvere eventuali problemi di esecuzione. Sono attività che richiedono numerosi passaggi consecutivi e nelle quali un errore iniziale può compromettere l’intera procedura.
Per affrontare queste difficoltà, i ricercatori hanno sviluppato Memento, un sistema di orchestrazione basato sull’agente di programmazione open source Pi, progettato per migliorare l’affidabilità delle attività di lunga durata.
Memento interrompe periodicamente l’esecuzione dell’agente e avvia una nuova istanza, alla quale trasferisce l’ambiente di lavoro, il codice prodotto e brevi annotazioni sulle strategie tentate, sugli errori incontrati e sui risultati ottenuti. Il nuovo agente può così modificare approccio anziché continuare a ripetere una soluzione inefficace.
Il meccanismo riduce la tendenza degli agenti AI a insistere su ipotesi sbagliate durante il debugging, consumando tempo e risorse computazionali.
L’esecuzione del modello non richiede necessariamente privilegi amministrativi o di root, perché il motore di inferenza può essere configurato interamente nello spazio utente. I privilegi elevati possono essere utili per mantenere la persistenza dopo un riavvio, ma non costituiscono una condizione indispensabile per avviare il modello ed eseguire nuove operazioni.
Un modello AI distribuito su 15 dispositivi Android TV
Anthropic ha eseguito il modello Gemma4-26B-A4B su 15 economici dispositivi Android TV, acquistati per circa 55 dollari ciascuno e collegati in rete.
Ogni dispositivo dispone di 4 GB di RAM, una quantità insufficiente per ospitare autonomamente l’intero modello. La distribuzione del carico computazionale consente però di ripartire i livelli della rete neurale tra più macchine.
Attraverso una tecnica di pipeline parallelism, ciascun dispositivo conserva ed esegue una parte del modello, collaborando con gli altri per completare l’inferenza.
La configurazione sperimentale ha raggiunto una velocità di circa 0,39 token al secondo. Una prestazione estremamente modesta rispetto ai sistemi AI ospitati nei data center, ma sufficiente a dimostrare che un modello relativamente complesso può funzionare anche su una rete di dispositivi economici.
Utilizzando pesi quantizzati a 4 bit e dispositivi con 4 GB di RAM, un modello da 9 miliardi di parametri può essere distribuito su almeno quattro macchine, mentre uno da 26 miliardi richiede almeno dieci dispositivi.
Il parallelismo di pipeline consente inoltre di sostituire un nodo guasto e ricostruire lo stato necessario all’inferenza, evitando di dover abbandonare definitivamente l’intera configurazione distribuita.
Televisori, decoder, videocamere, elettrodomestici intelligenti e altri dispositivi IoT possono quindi offrire risorse computazionali utilizzabili per eseguire porzioni di un modello AI, soprattutto quando sono presenti acceleratori dedicati all’inferenza locale.
La replicazione autonoma funziona già negli ambienti sperimentali
Anthropic ha predisposto una rete isolata di otto nodi Google Cloud che eseguivano un ambiente Android 15 emulato attraverso redroid.
Il sistema iniziale doveva individuare gli altri dispositivi, trasferire il software necessario, configurare un server di inferenza e ripetere la procedura sui nodi successivi.
Tra i modelli open-weight esaminati, GLM-5.2 è riuscito a completare l’intera sequenza di replicazione, raggiungendo tutti gli otto nodi in quattro prove su cinque e sette nodi nella quinta.
GLM-5.2 svolgeva le operazioni agentiche necessarie alla propagazione, mentre sui dispositivi veniva configurato il modello più piccolo Llama 3.1 8B. L’inferenza dell’agente principale avveniva su un’infrastruttura separata, poiché i nodi sperimentali non disponevano delle risorse necessarie per eseguirlo direttamente.
Il test dimostra quindi la capacità di orchestrare autonomamente la replicazione di un modello AI, senza ancora dimostrare che un singolo modello sufficientemente piccolo possa eseguire l’intero processo utilizzando esclusivamente le risorse dei dispositivi compromessi.
Le porte Android Debug Bridge utilizzate per raggiungere i nodi non richiedevano autenticazione. Gli esperimenti misuravano quindi soprattutto le capacità di orchestrazione e configurazione, anziché l’efficacia di una campagna di compromissione contro dispositivi protetti.
Anthropic ha esaminato anche la propagazione in una rete di 17 nodi Android emulati, organizzati in due gruppi collegati attraverso un nodo intermedio, per verificare il comportamento degli agenti in una topologia che richiede di attraversare un punto di collegamento per raggiungere ulteriori dispositivi.
Perché Anthropic considera il 2026 un possibile punto di svolta
Per ottenere un worm AI completamente autonomo devono convergere due condizioni: capacità sufficienti per completare senza assistenza umana tutte le operazioni di replicazione e dimensioni del modello compatibili con le risorse computazionali disponibili sui dispositivi.
Attualmente queste condizioni risultano soddisfatte da modelli differenti. I modelli più piccoli possono essere eseguiti su hardware economico, mentre quelli più capaci riescono a gestire l’intera sequenza di propagazione.
Analizzando l’evoluzione delle prestazioni dei modelli open-weight fino a 30 miliardi di parametri, Anthropic stima che entro la fine del 2026 un modello sufficientemente compatto potrebbe raggiungere il livello di capacità necessario per replicarsi autonomamente.
La previsione si basa sull’andamento dell’Epoch Capabilities Index, un indicatore generale delle capacità dei modelli che non misura direttamente l’autoreplicazione. L’analisi individua un miglioramento medio di 13,7 punti ECI all’anno nei migliori modelli della categoria, con un adattamento statistico caratterizzato da un coefficiente R² pari a 0,95.
La progressiva riduzione delle dimensioni necessarie per ottenere determinate prestazioni potrebbe quindi rendere accessibili a dispositivi economici funzioni agentiche oggi riservate a sistemi più potenti.
Una botnet AI potrebbe diffondersi lentamente, ma essere difficile da eliminare
Le limitate prestazioni dell’hardware IoT comportano tempi di elaborazione molto lunghi. Nelle configurazioni esaminate da Anthropic, Qwen3.5-9B richiederebbe da 28 a 51 ore per completare la configurazione dell’inferenza, mentre per Gemma4-26B-A4B il tempo stimato salirebbe a 71-150 ore.
La diffusione sarebbe quindi relativamente lenta, ma potenzialmente persistente. Una rete di dispositivi compromessi potrebbe continuare a eseguire operazioni per giorni o settimane, ampliando progressivamente la propria capacità computazionale.
Anthropic considera il precedente di Kimwolf, una botnet che ha compromesso oltre due milioni di dispositivi, prevalentemente Android TV.
Applicando a una rete di dimensioni equivalenti l’architettura sperimentata dai ricercatori, sarebbe teoricamente possibile eseguire circa 133.000 istanze distribuite di Gemma4-26B-A4B.
La capacità complessiva di inferenza rimarrebbe comunque relativamente modesta: secondo le stime dello studio, corrisponderebbe a quella di circa 40 acceleratori NVIDIA H100, nelle condizioni di confronto considerate.
La distribuzione geografica, l’eterogeneità dei dispositivi e l’assenza di un unico punto di controllo potrebbero complicare le operazioni di bonifica. Una rete di questo tipo potrebbe sopravvivere alla rimozione di numerose infezioni, continuando a propagarsi attraverso i nodi rimasti attivi.
Gli acceleratori edge aumentano le risorse disponibili
Gli acceleratori AI integrati nei dispositivi IoT possono eseguire modelli molto più rapidamente rispetto ai processori utilizzati negli Android TV economici.
Un NVIDIA Jetson AGX Orin con 64 GB di memoria può eseguire Qwen3-30B-A3B a 76,7 token al secondo, mentre un AGX Thor raggiunge 226 token al secondo.
Questi processori sono utilizzati in apparecchiature differenti, tra cui videocamere intelligenti, sistemi di videoconferenza, robot, droni e veicoli.
Anthropic stima che siano stati distribuiti circa 9,5 milioni di dispositivi appartenenti a una novantina di linee di prodotto IoT basate su chip NVIDIA. La capacità computazionale complessiva viene valutata, con un’approssimazione significativa, tra 9.000 e 35.000 acceleratori H100 equivalenti.
La potenza di calcolo effettivamente raggiungibile attraverso la rete sarebbe probabilmente inferiore di almeno un ordine di grandezza, mentre quella accessibile mediante vulnerabilità sfruttabili sarebbe ancora più limitata.
La maggior parte di questi dispositivi comunica attraverso connessioni in uscita verso servizi cloud di gestione e non espone direttamente interfacce raggiungibili da Internet. A differenza degli apparati IoT più economici, non risultano precedenti di compromissioni di massa paragonabili alle grandi botnet Android.
L’analisi comprende anche dispositivi utilizzati nelle piccole imprese e negli ambienti industriali, come NAS, mini-PC e schede basate su system-on-chip Rockchip. Le differenze nella configurazione e nelle protezioni rendono però difficile stimare quale frazione di queste risorse possa essere effettivamente sfruttata.
I modelli possono trasmettere alle copie le soluzioni apprese
Anthropic ha sperimentato un meccanismo attraverso il quale ogni istanza conserva brevi annotazioni sulle procedure utilizzate, sugli errori incontrati e sulle soluzioni individuate. Le informazioni vengono quindi trasferite alle istanze successive, che possono sfruttarle per affrontare problemi analoghi.
Utilizzando Qwen3.5-9B, i ricercatori hanno osservato che la percentuale di successo nella configurazione dell’inferenza aumenta dal 45% della prima generazione a valori compresi tra il 61% e l’84% nelle generazioni successive.
Il miglioramento avviene attraverso la trasmissione di informazioni operative, senza modificare i pesi del modello mediante un nuovo addestramento.
Le copie successive possono quindi beneficiare delle esperienze precedenti, riducendo la necessità di risolvere ripetutamente gli stessi problemi tecnici.
I ricercatori hanno verificato anche se un modello piccolo potesse migliorare le proprie prestazioni chiedendo assistenza a un sistema più avanzato. L’accesso a Claude Opus 4.8 non ha prodotto miglioramenti statisticamente significativi, perché il modello più piccolo incontrava difficoltà nell’individuare le domande appropriate e nell’utilizzare efficacemente i suggerimenti ricevuti.
Rimane plausibile un’architettura nella quale un modello più potente definisca la strategia generale, affidando a numerosi agenti più piccoli le operazioni esecutive.
I piccoli modelli risultano inoltre relativamente più competenti nelle attività di programmazione e attacco informatico che nel social engineering, mentre modelli più grandi potrebbero occuparsi delle attività di phishing e acquisizione delle credenziali.
Come difendersi dai worm AI autoreplicanti
Il trasferimento dei pesi di un modello AI può richiedere diversi gigabyte di dati, mentre l’inferenza distribuita genera comunicazioni persistenti tra dispositivi che normalmente non scambiano quantità così elevate di informazioni.
A questi segnali si aggiungono le attività di scansione della rete e le connessioni necessarie alla propagazione. Il traffico anomalo potrebbe essere individuato attraverso i sistemi di monitoraggio degli operatori Internet, anche quando i singoli dispositivi non dispongono di strumenti di sicurezza avanzati.
Un worm che tenta di replicarsi rapidamente produce più traffico e aumenta la probabilità di essere individuato, mentre una diffusione più discreta richiede tempi maggiori.
Anthropic richiama il precedente della botnet Mirai, per la quale le misure di quarantena adottate da un operatore Internet, accompagnate dalla notifica agli utenti compromessi, hanno consentito di eliminare il 92% delle infezioni entro 14 giorni, rispetto al 74% registrato senza notifica.
Le contromisure mirano a ridurre il numero medio di nuovi dispositivi infettati da ciascun nodo compromesso, indicato con R₀. Quando questo valore scende sotto 1, la propagazione non riesce più a sostenersi e il numero delle infezioni tende a diminuire.
Il contenimento di una rete autoreplicante distribuita richiederebbe tuttavia un coordinamento tra operatori Internet differenti, soprattutto nel caso di infezioni presenti in numerosi Paesi.
Anthropic cita inoltre le norme britanniche che vietano l’utilizzo di password predefinite universali nei prodotti IoT, un requisito che riduce la possibilità di compromettere grandi quantità di apparati attraverso credenziali conosciute.
Per le imprese, la protezione comprende la segmentazione delle reti, il controllo degli accessi, gli aggiornamenti firmware e il monitoraggio dei dispositivi gestiti al di fuori delle tradizionali procedure di amministrazione degli endpoint.
Dall’autoreplicazione sperimentale a una nuova categoria di minacce
I modelli più piccoli riescono già a configurare l’inferenza su hardware eterogeneo, quelli più avanzati possono completare sequenze autonome di propagazione in ambienti sperimentali e la trasmissione delle informazioni operative consente alle istanze successive di migliorare la propria efficacia.
La replicazione autonoma completa su dispositivi IoT non è stata ancora dimostrata, ma le competenze necessarie sono già disponibili separatamente. Secondo la proiezione di Anthropic, la loro convergenza in modelli abbastanza piccoli da funzionare su hardware economico potrebbe avvenire entro la fine del 2026.
Un worm capace di adattarsi autonomamente ad ambienti sconosciuti potrebbe così propagarsi attraverso dispositivi per i quali non dispone di procedure predefinite, utilizzando le competenze generali del modello per configurare l’inferenza e proseguire la diffusione.
