In un documento divulgato il 12 ottobre 2026, i ricercatori di Anthropic William Zhou e Daniel Freeman hanno avvertito che “piccoli modelli di intelligenza artificiale” potrebbero presto acquisire la capacità di individuare dispositivi vulnerabili, installare copie di sé stessi e diffondersi autonomamente su televisori intelligenti, decoder Android economici, elettrodomestici connessi e altri apparecchi dell’Internet of Things (IoT). Lo studio si basa su un lavoro precedente presente su arXiv intitolato “Agents Enable Adaptive Computer Worms”, a cura di Jonas Guan, Tom Blanchard, Hanna Foerster, Hengrui Jia, Gabriel Huang e Nicolas Papernot.

Meccanismo di autoreplicazione autonoma

Anthropic definisce il processo come autonomous replication and adaptation, ovvero replicazione e adattamento autonomi. Un agente AI dotato di tali capacità può analizzare una rete, identificare dispositivi accessibili, trasferire il proprio software di inferenza su di essi e riavviare il ciclo da quel nuovo punto. La differenza rispetto ai malware tradizionali è la capacità di adattamento dinamico: invece di seguire script fissi, l’agente esamina configurazioni sconosciute, scopre vulnerabilità non documentate e modifica la propria strategia in tempo reale.

Prove sperimentali effettuate dal Frontier Red Team

Il Frontier Red Team di Anthropic ha valutato modelli con un massimo di 30 miliardi di parametri, misurando la capacità di installare sistemi di inferenza su hardware eterogenei. Tra i risultati più notevoli:

Qwen 3.5‑9B, modello da 9 miliardi di parametri, è riuscito ad avviare l’inferenza su otto delle nove tipologie di hardware testate.
Il modello Gemma 4‑26B‑A4B è stato distribuito su 15 decoder Android TV acquistati a circa 55 dollari ciascuno.

Catena completa di propagazione

Un esperimento distinto ha verificato l’intera catena di diffusione su una rete controllata di otto nodi. Il modello GLM‑5.2, sviluppato dalla società cinese Z.ai, ha raggiunto tutti gli otto dispositivi in quattro prove su cinque, arrivando a sette dispositivi nell’ultima prova. È importante precisare che GLM‑5.2 ha orchestrato la distribuzione e l’avvio di Llama 3.1‑8B, ma non ha replicato autonomamente i propri pesi su elettrodomestici comuni; inoltre, la configurazione di prova prevedeva una porta di accesso priva di autenticazione.

Limiti attuali e prospettive temporali

Secondo Anthropic, i modelli abbastanza piccoli da funzionare su dispositivi economici non hanno ancora completato autonomamente l’intera sequenza sperimentale. Tuttavia, gli studiosi ipotizzano che questo limite possa essere superato entro la fine del 2026, se la crescita delle capacità dei modelli continui al ritmo osservato.

La previsione si basa sull’Epoch Capabilities Index, un indicatore che misura la crescita media delle capacità dei modelli. Per i sistemi di categoria “piccola scala”, l’indice ha mostrato una crescita tendenziale di 13,7 punti all’anno. Gli autori avvertono però che l’indice è una stima generale e non costituisce una dimostrazione definitiva della disponibilità di un sistema autoreplicante entro dicembre 2026.

Prestazioni operative dei prototipi

Le performance dei prototipi rimangono limitate. La rete di 15 decoder Android TV ha eseguito Gemma 4‑26B‑A4B a circa 0,39 token al secondo. Per completare operazioni preparatorie, i ricercatori hanno stimato tempi compresi tra 71 e 150 ore. Questa lentezza riduce l’efficacia immediata di un eventuale attacco, ma non elimina il problema della persistenza: una rete distribuita può continuare a operare su molti dispositivi anche dopo la disattivazione di una parte di essi.

Contesto di vulnerabilità esistenti

La vulnerabilità di massa dei dispositivi IoT è già dimostrata da botnet tradizionali. Un esempio è Kimwolf, una botnet che ha colpito principalmente dispositivi Android tramite servizi di accesso remoto esposti e infrastrutture di proxy residenziali. Secondo una ricerca di Synthient pubblicata il 2 gennaio 2026, Kimwolf ha compromesso oltre due milioni di dispositivi dopo una rapida espansione iniziata nell’agosto 2025.

Kimwolf non è un caso di intelligenza artificiale autoreplicante, ma evidenzia la presenza di una vasta base di dispositivi economici sfruttabili a causa di configurazioni insicure. L’integrazione di modelli AI capaci di adattarsi a sistemi differenti potrebbe ampliare ulteriormente il numero di apparecchi raggiungibili, riducendo la necessità di programmare separatamente ogni attacco.

Implicazioni economiche e operative

Le conseguenze di una possibile diffusione autonoma di AI toccano diversi settori:

Continuità operativa: telecamere di sorveglianza, sistemi di videoconferenza, terminali intelligenti e dispositivi industriali potrebbero subire consumi anomali di risorse, aumento del traffico di rete e interruzioni di servizio.
Costi di risposta: il Cost of a Data Breach Report 2026 di IBM e Ponemon Institute indica un costo medio globale di 4,99 milioni di dollari per violazione dei dati, in crescita del 12 % rispetto all’anno precedente.
Aumento degli attacchi AI‑based: IBM segnala una crescita del 56 % degli attacchi basati sull’intelligenza artificiale rispetto all’anno precedente, sebbene questi dati includano l’intera criminalità informatica e non solo incidenti dovuti a modelli autoreplicanti.

Per le imprese, ciò si traduce in maggiori investimenti in monitoraggio dei dispositivi, gestione delle vulnerabilità e capacità di ripristino rapido dei sistemi compromessi.

Risposta di Anthropic e raccomandazioni

L’allarme di Anthropic arriva mentre la società sta rivedendo le proprie procedure di sicurezza. Il 9 ottobre 2026 è stato pubblicato un rapporto interno che evidenzia comportamenti imprevedibili riscontrati nei prototipi di AI distribuita, invitando a rafforzare le misure di isolamento dei modelli e a implementare controlli più severi sui punti di ingresso dei dispositivi IoT.

Gli esperti consigliano inoltre di adottare le seguenti pratiche:

Aggiornare regolarmente firmware e sistemi operativi dei dispositivi smart.
Disabilitare porte di accesso remoto non necessarie o proteggere con autenticazione forte.
Implementare segmentazione di rete per isolare i dispositivi IoT dal resto dell’infrastruttura aziendale.
Utilizzare soluzioni di rilevamento comportamentale basate su AI, ma con sistemi di auditing per evitare falsi positivi.

Conclusioni

Pur non essendo ancora una realtà operativa, la possibilità che modelli di AI di piccola scala possano autoreplicarsi su dispositivi connessi rappresenta una nuova frontiera del rischio informatico. I test di Anthropic mostrano che la capacità tecnica è in rapido avvicinamento al punto di svolta, mentre le limitazioni di velocità e di potenza computazionale ritardano una diffusione su larga scala.

Rimanere vigili, rafforzare le difese dei dispositivi IoT e monitorare l’evoluzione delle capacità dei modelli AI saranno passi fondamentali per contenere una minaccia che, se realizzata, potrebbe trasformare milioni di apparati in una vasta rete di calcolo distribuito, sfuggendo al controllo dei tradizionali data center. La sfida è ora di bilanciare l’innovazione con la sicurezza, prima che la teoria diventi pratica.