Nel rapporto del 12 ottobre 2026, l’Anthropic Frontier Red Team descrive test controllati su singole fasi dell’auto-replicazione dell’IA. I risultati riguardano la configurazione di modelli su hardware diverso, una prova su emulatori Android e l’inferenza distribuita; il team non ha dimostrato un worm capace di diffondersi autonomamente su Internet. Il rapporto di Anthropic inquadra quindi un rischio possibile, non un attacco osservato.

Le prove misurano passaggi distinti

Anthropic suddivide il processo in quattro fasi: individuare i dispositivi bersaglio, ottenere la possibilità di eseguire codice, avviare l’inferenza — cioè far funzionare il modello — e proseguire la propagazione da un nuovo dispositivo. I test si sono concentrati soprattutto sulle ultime due fasi e hanno semplificato l’accesso iniziale ai sistemi.

In una prova hardware, Qwen3.5-9B ha configurato un server di inferenza Llama3.1-8B su 8 dei 9 tipi di hardware testati. È un risultato sulla capacità di adattare la configurazione a dispositivi diversi; da solo non descrive una catena completa di compromissione e diffusione.

Che cosa è successo nel test a otto nodi

In un’altra prova, GLM-5.2 ha raggiunto tutti gli otto nodi in quattro tentativi su cinque e sette nodi nel quinto. La rete, isolata, era composta da emulatori Android 15 e aveva una porta Android Debug Bridge (ADB) priva di autenticazione. GLM-5.2 girava su un server di inferenza separato, mentre sui nodi bersaglio era installato Llama3.1-8B.

Il sistema creava una nuova istanza solo dopo verifiche di correttezza e contro gli imbrogli. Poiché l’accesso ai dispositivi era stato reso particolarmente semplice, Anthropic considera il risultato un limite superiore rispetto al successo ottenibile nel mondo reale: quei numeri non descrivono l’attacco a una normale rete protetta.

Quindici TV box hanno eseguito un modello insieme

Anthropic ha distribuito Gemma4-26B-A4B su 15 TV box Android, ciascuno con 4 GB di RAM. Dividendo il modello tra i dispositivi, il sistema ha generato 0,39 token al secondo. La prova mostra che quella configurazione può sostenere l’inferenza distribuita, non che i box siano stati infettati o abbiano propagato il modello.

Le stime di Anthropic considerano dispositivi da 4 GB e quantizzazione a 4 bit: un modello da 9B distribuito su almeno quattro dispositivi, oppure uno da 26B su almeno dieci. Sono configurazioni calcolate, non una descrizione di dispositivi domestici già organizzati in una botnet.

Le istanze successive ereditavano appunti, non un modello riaddestrato

In 20 linee di prova da sei generazioni ciascuna, il successo nella configurazione dell’inferenza per Qwen3.5-9B è passato dal 45% nella prima generazione al 61–84% nelle generazioni successive. Con Memento, ogni nuova istanza riceveva codice, spazio di lavoro e note sulle strategie e sugli errori dei tentativi precedenti. Anthropic precisa che il modello non veniva riaddestrato: migliorava la continuità del lavoro grazie alle informazioni ereditate.

Il rapporto stima inoltre che la configurazione dell’inferenza richiederebbe circa 28–51 ore per Qwen3.5-9B e 71–150 ore per Gemma4-26B-A4B nelle condizioni considerate. Questi tempi riguardano il lavoro di configurazione, non la velocità di diffusione di un worm.

Le difese considerate da Anthropic

Il rapporto indica il monitoraggio dei flussi di rete — per esempio, trasferimenti di grandi quantità di dati e traffico prolungato tra dispositivi —, l’uso di honeypot per raccogliere malware, la quarantena degli accessi da parte degli operatori e le notifiche ai clienti. Cita anche impostazioni di sicurezza più robuste sui dispositivi IoT.

Come precedente, Anthropic richiama uno studio sulla bonifica di Mirai: entro 14 giorni risultava eliminato il 92% delle infezioni con quarantena e notifica ai clienti, contro il 74% senza notifica. Il dato riguarda una botnet convenzionale e non misura l’efficacia di queste misure contro un worm di IA.

Anthropic ha prospettato che modelli più piccoli potrebbero acquisire capacità di auto-replicazione sui dispositivi IoT commerciali nel giro di pochi mesi. La stima si basa su una tendenza generale delle capacità dei modelli, usata come indicatore indiretto, e non su una diffusione osservata in rete.