Un worm di IA ha raggiunto tutte e otto le macchine in un test isolato. La tua sicurezza è pronta a ciò che significa?

Che cosa hanno fatto gli esperimenti

• Hanno fatto girare il modello Gemma4-26B-A4B di Google suddiviso su 15 TV box Android di marca generica (circa 55 dollari l’uno, 4 GB di memoria) a 0,39 token al secondo.
• Hanno verificato se modelli open-weight riuscissero a far funzionare un modello su hardware sconosciuto. Un modello da 9B ci è riuscito su 8 tipi di hardware su 9. Il post cita Qwen3.5-9B tra i modelli piccoli che ci sono riusciti su hardware "from Jetson Nanos to Mac PCs and RTX 4090s" [«dai Jetson Nano ai PC Mac e alle RTX 4090»].
• Hanno condotto un test end-to-end "simplified" [«semplificato»]. Un worm è passato attraverso otto macchine Android emulate in una rete cloud isolata, tramite una porta che non richiedeva password, e ha dovuto installare un modello separato da 8B (Llama3.1-8B), non sé stesso. Solo GLM-5.2 ha completato il compito, raggiungendo tutte e otto le macchine in quattro prove su cinque e sette nella quinta. Il modello del worm girava su un server esterno perché le macchine di test erano troppo piccole per ospitarlo.
• GLM-5.2 non è un modello piccolo. Z.ai (già Zhipu AI) lo ha rilasciato come open-weight con licenza MIT nel giugno 2026, indicandolo con 744 miliardi di parametri 23. L’argomento di Anthropic è che un futuro modello piccolo con le capacità di GLM-5.2 potrebbe fare lo stesso.

Anthropic dichiara i propri limiti

La fase di hacking è stata mantenuta "trivial" [«banale»], il che rende il risultato "an upper bound on real-world success" [«un limite superiore del successo nel mondo reale»], anche se il post osserva che botnet passate come Mirai si sono diffuse usando password predefinite. Anthropic si aspetta che un replicatore su TV box sia lento ("over 1-2 days per 9B replication" [«oltre 1-2 giorni per ogni replica da 9B»]) e che lasci schemi di traffico individuabili dai fornitori di accesso a internet. Indica come difese la quarantena da parte dei provider e prodotti sicuri per impostazione predefinita, e afferma: "We don't yet have a full rogue replicator" [«Non abbiamo ancora un replicatore fuori controllo completo»] 1.

Lavori precedenti

Il concetto di "Autonomous replication and adaptation" [«replicazione e adattamento autonomi»] è stato definito dal team di valutazione dell’Alignment Research Center, oggi METR. Nel 2023 ha rilevato che gli agenti riuscivano a completare solo il più facile di 12 compiti di questo tipo 4. (Segnalazione di conflitto: METR è ora integrato in Anthropic ed è coautore della fonte 5.) Nel dicembre 2024 ricercatori della Fudan University hanno riferito che agenti basati su Llama3.1-70B e Qwen2.5-72B hanno creato una copia funzionante di sé stessi nel 50% e nel 90% di dieci prove quando è stato detto loro di "replicate yourself" [«replicati»] 6. Morris II (marzo 2024) ha mostrato un worm costruito con prompt autoreplicanti che si diffondeva tra assistenti email basati sull’IA 7. Il "prior work" [«lavoro precedente»] che Anthropic cita sugli agenti di IA che agiscono come worm è un paper del giugno 2026, "AI Agents Enable Adaptive Computer Worms," [«Gli agenti di IA rendono possibili worm informatici adattivi»] il cui worm si è diffuso su macchine Linux, Windows e IoT in una rete di test 8.

Reazioni

Michael Bailey (Georgia Tech) ha detto a Scientific American: "We already had self-replicating malware … We had botnets," [«Avevamo già malware autoreplicante… Avevamo le botnet»] e ha messo in guardia dal "fearmongering" [«allarmismo»]. Vyas Sekar (Carnegie Mellon) le ha definite "classical computer security threats" [«minacce classiche alla sicurezza informatica»], ma ha avvertito di una "democratization of being evil" [«democratizzazione del fare del male»] 9. Jonas Guan, coautore del paper di giugno 2026, ha detto al Guardian che un worm di IA non dovrebbe essere in cima alla lista delle paure di nessuno e che la versione di Anthropic si muove molto lentamente. Juan Andres Guerrero-Saade di SentinelOne lo ha definito "nifty stunt hacking" [«un’acrobazia di hacking ben fatta»]. Joshua Saxe, che ha guidato il lavoro di Meta sulla sicurezza dell’IA, ha detto che la comunità della sicurezza non sta prendendo questi rischi "as seriously as they should be" [«con la serietà che meriterebbero»] 10. Anthropic vende modelli di IA, incluso il modello di frontiera usato come "advisor" [«consulente»] in uno dei test (Opus 4.8). I modelli testati come worm erano modelli open-weight di altri sviluppatori. Il post non collega i propri risultati alla Responsible Scaling Policy di Anthropic 111.