Anthropic alerta para worms de IA capazes de se replicar em aparelhos IoT

Pesquisadores da Anthropic revelaram um novo vetor de ameaça cibernética no qual pequenos modelos de inteligência artificial podem atuar como agentes infecciosos capazes de se autorreplicar através de dispositivos da Internet das Coisas (IoT). Diferente de malwares clássicos do ecossistema conectado, como o histórico verme Mirai — conhecido por disseminar cargas úteis estáticas voltadas a ataques distribuídos de negação de serviço (DDoS) —, esses novos agentes baseados em IA conseguem criar e adaptar exploits e payloads de forma dinâmica para cada alvo específico que encontram pela frente.

De acordo com o estudo divulgado pela Anthropic, essa nova categoria de ameaça recebeu a denominação técnica de "small weight-based replicators" (replicadores baseados em pesos reduzidos). Nesses cenários, os pesos matemáticos que compõem o modelo de inteligência artificial deixam de ser meros arquivos estáticos em servidores de nuvem e passam a atuar diretamente como a carga útil maliciosa principal, permitindo que a inteligência do invasor se desloque de um nó infectado para o próximo.

“Tal ‘verme de IA’ poderia carregar os pesos de seu modelo com ele enquanto se reproduz (ou baixá-los novamente de um hub público), e então executar a inferência diretamente no hardware comprometido. Efetivamente, os pesos se tornariam parte do payload do malware.”

A arquitetura investigada pela Anthropic utiliza pequenos modelos operando agentes autônomos equipados com utilitários de exploração padrão, incluindo o estabelecimento de reverse shells em máquinas vulneráveis. O objetivo da pesquisa foi responder se modelos enxutos teriam capacidade computacional e lógica para conduzir uma cadeia infecciosa completa sem supervisão humana, convertendo dispositivos periféricos e de baixa potência em nós ativos de processamento de IA.

O ciclo da infecção autônoma

O fluxo de ataque documentado pela Anthropic estrutura-se rigorosamente em quatro etapas sucessivas: localização de alvos vulneráveis na rede (1), obtenção de execução remota de código (2), estabelecimento do ambiente de inferência local (3) e propagação do agente para novos hospedeiros (4). Toda essa dinâmica se apoia na flexibilidade algorítmica do modelo para contornar defesas que tradicionalmente barram ferramentas estáticas como o Mirai.

Uma das distinções centrais apontadas pela Anthropic é a capacidade desses agentes de aprenderem durante a própria operação ofensiva. Diferente de um script convencional que repete instruções fixas, o replicador baseado em IA que falha ao tentar invadir uma arquitetura de hardware ou sistema operacional específico pode gerar registros analíticos, notas técnicas, códigos alternativos e novos prompts de comando. Essas informações são arquivadas para que as próximas gerações do malware não desperdicem recursos tentando explorar as mesmas vulnerabilidades ineficazes no mesmo alvo.

Para viabilizar a propagação, a equipe da Anthropic observou que o agente precisa gerenciar ativamente as ferramentas de exploração clássicas, como as reverse shells, adaptando sintaxes de terminal e parâmetros de comando conforme as respostas imediatas recebidas da máquina visada. Esse nível de maleabilidade tática aproxima o comportamento do software malicioso daquele desempenhado por um atacante humano experiente atuando em tempo real.

A distribuição dos artefatos também foi modelada em duas vertentes operacionais: carregar os próprios pesos brutos da IA compactados durante a travessia de rede ou instruir a máquina recém-invadida a realizar o download desses arquivos a partir de um repositório público de acesso aberto. Em ambos os casos, a Anthropic ressalta que o arquivo de pesos passa a cumprir a função central do payload malicioso, transformando o vetor de ataque em uma infraestrutura computacional descentralizada.

O desafio da inferência dinâmica

Entre as quatro fases catalogadas na cadeia infecciosa, a Anthropic identificou o estabelecimento da inferência dinâmica como o estágio menos estudado e tecnicamente mais complexo de todo o ciclo de replicação. Enquanto obter execução de código inicial é uma tarefa recorrente na cibersegurança, transformar um dispositivo doméstico heterogêneo em um servidor funcional de inferência impõe barreiras de compatibilidade severas.

“Essas etapas são serialmente dependentes, e as falhas são difíceis de serem recuperadas.”

Essa dependência em série citada pela Anthropic significa que o agente de IA precisa tomar uma sequência extensa de decisões lógicas baseadas no hardware específico e nas bibliotecas de software instaladas em cada alvo. O modelo invasor deve identificar a arquitetura da CPU, inspecionar a memória disponível, selecionar um motor de inferência compatível, instalar manualmente todas as dependências ausentes e depurar erros de sistema operacional em tempo de execução sem corromper o processo.

Se qualquer comando intermediário falhar durante a configuração dessas dependências de sistema, o processo de inferência não se concretiza, quebrando a cadeia de autorreplicação do agente. Conforme o relatório da Anthropic, pequenos modelos de linguagem começam a demonstrar competência preliminar para resolver vários desses obstáculos de compilação e depuração sozinhos, mas a margem de erro ainda inviabiliza uma automação perfeita e contínua.

A complexidade desse processo expõe por que os defensores de segurança enfrentam um cenário assimétrico: enquanto vermes clássicos como o Mirai dependem de binários pré-compilados e fáceis de catalogar por assinaturas digitais, um agente que realiza configurações dinâmicas de inferência modifica seus próprios passos e arquivos conforme a máquina alvo, gerando artefatos inéditos a cada instalação bem-sucedida.

Testes em hardware e limitações

Para mensurar a viabilidade prática da ameaça, a Anthropic realizou experimentos empíricos instalando agentes de IA em um arranjo composto por 15 Android TV boxes interconectadas. O ambiente simulou com precisão um parque típico de equipamentos conectados de baixo custo amplamente encontrados em residências e pequenos escritórios ao redor do mundo.

Os testes com o modelo Gemma4-26B-A4B, distribuído de forma particionada entre as 15 Android TV boxes, registraram uma velocidade de processamento extremamente baixa, de apenas 0,39 tokens por segundo. Essa lentidão acentuada demonstra as severas limitações físicas de barramento, memória e processamento que o hardware de consumo impõe a modelos de inteligência artificial não nativos desses dispositivos.

Essa taxa reduzida de geração de tokens resultou em tempos operacionais inviáveis para ataques em tempo real: o tempo necessário para completar a configuração integral da inferência variou de 71 a 150 horas no caso do modelo Gemma4-26B-A4B não otimizado. Para o modelo menor Qwen3.5-9B, o mesmo procedimento de setup exigiu entre 29 e 51 horas de processamento contínuo sobre o hardware comprometido.

Em razão desses gargalos de tempo e estabilidade, a Anthropic enfatizou que nenhum dos modelos leves testados atualmente possui a capacidade de sustentar uma replicação autônoma de ponta a ponta (end-to-end). Nenhum deles conseguiu realizar de forma totalmente independente o ciclo de escanear novos dispositivos, executar o exploit inicial, transferir o payload, configurar o motor de inferência local e disparar uma nova rodada de ataques.

Por outro lado, o estudo da Anthropic observou uma exceção relevante no topo da escala computacional: o modelo de grande porte GLM-5.2 aparenta possuir a robustez lógica necessária para conduzir essas etapas de configuração e replicação com confiabilidade técnica, sugerindo que o gargalo atual reside primariamente na miniaturização da capacidade de raciocínio dos modelos leves.

A evolução tática frente ao Mirai

A comparação direta traçada pelos pesquisadores entre esses novos replicadores autônomos e o Mirai ajuda a dimensionar a transição de paradigmas na segurança de redes. O Mirai, cujo código-fonte se disseminou após derrubar infraestruturas críticas globais com ataques DDoS, baseava-se em varreduras massivas de portas abertas e listas fixas de senhas padrão de fábrica para infectar dispositivos como roteadores e câmeras de segurança.

No cenário avaliado pela Anthropic, a inteligência embarcada dos pequenos modelos substitui a rigidez mecânica do Mirai por decisões contextualizadas. Ao invés de disparar pacotes idênticos para uma sub-rede inteira, o agente de IA pode ler as respostas do sistema operacional remoto, reconhecer patches instalados e escolher dinamicamente qual vulnerabilidade oferece maior probabilidade de concessão de uma reverse shell funcional.

Além da seleção dinâmica de exploits, a carga útil deixa de ter um propósito único como o envio de tráfego volumétrico DDoS. Uma vez estabelecido o ambiente de inferência, o hardware infectado torna-se um agente cognitivo capaz de inspecionar bancos de dados locais, buscar credenciais armazenadas em texto plano e formular payloads personalizados para servidores internos que jamais seriam alcançados pelas rotinas simplificadas do Mirai.

Essa capacidade adaptativa altera substancialmente o trabalho dos times de resposta a incidentes. Com ferramentas tradicionais, analistas de segurança contêm epidemias de malwares de IoT bloqueando endereços IP de comando e controle ou criando regras estáticas no nível de firewall; contudo, a lógica da Anthropic mostra que agentes capazes de aprender no trabalho e trocar anotações técnicas reduzem a previsibilidade dessas medidas defensivas.

Riscos no ecossistema de aparelhos conectados

As descobertas trazidas pela Anthropic sobre a viabilidade de hospedar inferência em 15 Android TV boxes possuem implicações diretas para a arquitetura de segurança digital brasileira. O Brasil possui um dos maiores mercados informais do mundo de aparelhos receptores de televisão e reprodutores de mídia comumente chamados de TV boxes ou aparelhos de streaming alternativo, que operam versões modificadas do Android e raramente recebem atualizações de firmware.

Esses equipamentos residenciais, frequentemente desprovidos de assinaturas de integridade e com credenciais administrativas fáceis de contornar, formam exatamente a classe de alvos de baixo custo analisada nos ensaios da Anthropic. Caso agentes autônomos semelhantes aos baseados no Qwen3.5-9B consigam simplificar seus tempos de instalação — hoje situados na faixa de 29 a 51 horas —, milhares de aparelhos de streaming domésticos poderiam se tornar potenciais hospedeiros de inferência maliciosa.

Outro ponto crítico para a infraestrutura de redes no Brasil é que esses dispositivos permanecem conectados ininterruptamente às redes de banda larga de fibra óptica residenciais. Essa conectividade persistente compensaria parcialmente a taxa de execução lenta de 0,39 tokens por segundo observada no Gemma4-26B-A4B, fornecendo janelas de tempo de dezenas de horas para que invasores configurem nós sem que o usuário final perceba degradações drásticas imediatas.

A mitigação dessas ameaças emergentes exigirá que operadoras de telecomunicações e administradores de sistemas locais passem a monitorar não apenas o envio de tráfego anômalo característico de ataques de negação de serviço, mas também fluxos de dados compatíveis com downloads de pesos de modelos em repositórios abertos e a atividade contínua de reverse shells atreladas a processos que demandem ciclos intensivos de CPU e memória em dispositivos periféricos.

Embora a constatação da Anthropic de que nenhum modelo leve atual realiza o ciclo completo traga um alívio momentâneo para a segurança da IoT, o sucesso operacional demonstrado pelo modelo GLM-5.2 serve como sinalização clara de que a capacidade autônoma de replicação cibernética avança mais rápido que a capacidade de endurecimento desses dispositivos de borda.