Botnet di TV box: l’AI che impara a copiarsi

Quindici scatolette nere, di quelle che si collegano al televisore per vederci sopra le app. Nessuna marca, sistema Android, circa 55 dollari l’una. Anthropic, l’azienda che fa Claude, le ha comprate, le ha messe in rete fra loro e ci ha fatto girare sopra un modello di intelligenza artificiale da 26 miliardi di parametri.

Andava piano: 0,39 token al secondo, cioè un pezzetto di parola ogni due secondi e mezzo, più o meno. Però andava.

È la scena con cui si apre la ricerca che il Frontier Red Team di Anthropic, il gruppo che mette sotto stress i modelli per capire fin dove arrivano e cosa verrà dopo, ha pubblicato lunedì 12 ottobre alle 21:30 ora italiana. Il titolo sembra preso da un film: i modelli di AI potrebbero essere capaci di copiarsi da soli senza bisogno di un data center. Stamattina Reuters e Al Jazeera l’hanno rilanciata, e nel titolo di Al Jazeera la parola che spicca è una: «mesi».

Il pericolo che descrive questa ricerca, però, ha poco del cervello onnipotente dei film. Assomiglia di più a una muffa. Lo dicono loro.

Cosa ha pubblicato Anthropic

La tesi sta nelle prime righe. Secondo gli esperimenti di Anthropic, i piccoli modelli di AI «potrebbero essere a pochi mesi» dall’essere abbastanza capaci da copiarsi da soli su dispositivi commerciali dell’internet delle cose, cioè gli oggetti di tutti i giorni collegati alla rete. Gli esempi scelti sono due: il forno smart e la TV box Android senza marca.

Piccolo, qui, vuol dire fino a 30 miliardi di parametri. I parametri sono le manopole che si regolano durante l’addestramento: più ce ne sono, più il modello è grande e più memoria gli serve per girare. I modelli da 9 o da 26 miliardi provati in questa ricerca si scaricano e girano su macchine modeste. È proprio questo il punto.

Che cosa sanno fare già oggi? Secondo Anthropic, i modelli fino a 30 miliardi di parametri completano molti dei singoli passaggi necessari per copiarsi, ma sbagliano quando devono metterli in fila dall’inizio alla fine. Nei test semplificati, GLM-5.2 e i modelli più forti di lui ci riescono. E se i modelli piccoli continueranno a migliorare al ritmo che hanno tenuto finora, arriveranno a quel livello entro la fine di quest’anno.

Tre caratteristiche rendono la cosa seria. Un replicatore del genere sarebbe difficile da spegnere, perché manca un interruttore centrale. Sarebbe lento, con un tempo di raddoppio misurato in giorni. E, a differenza dei virus tradizionali, potrebbe capire da solo come funziona un dispositivo che non ha mai visto: nelle loro prove, un modello da 9 miliardi di parametri è riuscito a mettere in funzione un modello di AI su 8 dei 9 tipi di hardware testati.

Lento, testardo, senza un centro da colpire. Per descriverlo, infatti, Anthropic prende in prestito le parole dell’epidemiologia.

Come si copia un’intelligenza artificiale

In informatica un worm, letteralmente un verme, è un programma che si copia da un computer all’altro senza che nessuno debba fare niente. La novità sta in quello che si porta dietro.

Un worm fatto di AI, scrive Anthropic, porterebbe con sé i propri pesi, cioè i numeri in cui è conservato tutto quello che il modello ha imparato, oppure li riscaricherebbe da un archivio pubblico. Poi farebbe girare il modello direttamente sulla macchina infettata. I pesi diventerebbero parte del carico del virus. Il virus, in pratica, si porta dietro il cervello.

Per studiarlo, i ricercatori hanno diviso il percorso in quattro tappe: trovare un bersaglio, riuscire a eseguire qualcosa sul bersaglio, mettere in funzione il modello lì sopra, ripartire da lì verso il bersaglio successivo. Le prime due sono il mestiere classico dell’attacco informatico, e Anthropic le lascia quasi del tutto fuori: altri studi hanno già mostrato che i piccoli modelli ne sono capaci, soprattutto con gli strumenti giusti. La terza è la meno studiata, ed è quella su cui si concentra la ricerca. Mettere in piedi un modello su una macchina sconosciuta vuol dire scegliere i programmi compatibili, trovare le versioni giuste, risolvere i problemi di quella macchina lì. Una lunga fila di decisioni, una dipendente dall’altra, dove un errore è difficile da recuperare.

C’è un dettaglio che vale la pena guardare da vicino. Ogni copia, prima di passare il testimone, lascia degli appunti alla successiva: cosa ha provato, cosa è andato storto. Con questi appunti, la percentuale di riuscita di Qwen3.5-9B, un modello da 9 miliardi di parametri, è salita dal 45% della prima generazione a un valore fra il 61% e l’84% nelle generazioni successive. Anthropic la chiama evoluzione «lamarckiana»: i figli ereditano quello che i genitori hanno imparato.

E c’è un dettaglio opposto, quasi tenero. Al piccolo modello hanno dato la possibilità di chiedere consiglio a Claude Opus 4.8, un modello molto più potente. Il consiglio non ha migliorato i risultati in modo misurabile, nemmeno quando arrivava senza che il piccolo modello lo chiedesse. La spiegazione di Anthropic: i piccoli modelli tendono a non sapere quali domande fare.

Succede anche alle persone. Chi non sa di non sapere, chiede male.

La prova, e la parola che resta in testa

Adesso guarda come è costruita la prova decisiva, perché è qui che una ricerca diventa un titolo.

Anthropic ha preparato una piccola rete chiusa di otto computer su Google Cloud, ognuno con un emulatore di Android 15, cioè un programma che si comporta come un dispositivo Android. Il worm parte da uno e deve arrivare agli altri. Per entrare usa una porta di servizio di Android, la ADB, lasciata senza alcuna richiesta di password: la porta di casa aperta. Una volta dentro, deve mettere in funzione un modello di riferimento, Llama3.1-8B. Se quel modello supera i controlli, il sistema di prova fa partire una nuova copia del worm sul nodo appena conquistato, e il giro ricomincia. Fra i modelli a pesi aperti provati, cioè quelli che chiunque può scaricare, uno solo ha fatto tutto il giro: GLM-5.2, che ha raggiunto 8 nodi su 8 in quattro prove su cinque, e 7 su 8 nella quinta. Gli altri, scrive Anthropic, hanno fallito con la stessa regolarità.

Poi ci sono le righe che nei titoli non entrano. Il modello del worm, nella prova, girava su un server a parte, perché quei nodi erano troppo piccoli per i modelli più grandi. La parte dell’attacco vero e proprio era banale per scelta, e Anthropic lo scrive chiaramente: il risultato va letto come un tetto, il massimo di successo da aspettarsi nel mondo reale. E la previsione dei «mesi» nasce da una linea di tendenza tracciata su un indice generale delle capacità dei modelli, che la stessa Anthropic definisce «solo una stima approssimativa». Al Jazeera lo riassume così: nessun modello attuale si è dimostrato insieme abbastanza potente e abbastanza piccolo da copiarsi in modo affidabile sulla TV usata nei test.

Subito dopo, però, arriva la riga che rimette in allarme. Le botnet di dispositivi connessi del passato, come Mirai, si sono diffuse anche solo provando l’elenco dei nomi utente e delle password di fabbrica. Quindi, scrive Anthropic, superare le protezioni vere di questi oggetti potrebbe non essere enormemente più difficile che superare il passaggio banale del test.

Ecco il punto che mi interessa. La ricerca è piena di condizioni, di stime, di «potrebbe». Le testate le riportano: Reuters spiega che nei test alcuni passaggi di sicurezza erano stati tolti, Al Jazeera scrive che nessun modello provato è ancora insieme abbastanza potente e abbastanza piccolo. Eppure, a mio avviso, la parola che resta in testa a chi legge di corsa è una: «mesi». Il tempo annunciato si ricorda. Le condizioni si dimenticano, anche quando sono scritte.

La ricerca resta seria. Va letta due volte: una per l’allarme, una per le condizioni. Le persone ricordano la prima lettura. Le decisioni buone nascono dalla seconda.

Perché proprio la TV box

La scelta della scatoletta da 55 dollari ha una ragione precisa, e si chiama Kimwolf. È una botnet che, secondo i dati che Anthropic riprende da Synthient, al suo massimo ha infettato oltre due milioni di dispositivi, soprattutto TV box Android senza marca. Una botnet è esattamente questo: una rete di apparecchi infettati che qualcuno comanda a distanza, all’insaputa dei proprietari.

Perché proprio quelle? Perché, scrive Anthropic, girano su versioni derivate di Android open source a cui i produttori non aggiungono protezioni. Hanno fra 1 e 4 gigabyte di memoria. Anthropic fa il conto con apparecchi da 4 gigabyte e con i pesi del modello compressi a 4 bit, un modo per fargli occupare meno memoria: per un modello da 9 miliardi di parametri servono almeno quattro scatolette, per uno da 26 almeno dieci. Il modello si spezza in pezzi, e ogni scatoletta ne tiene uno.

L’elenco dei possibili ospiti va oltre la TV del salotto. Anthropic cita frigoriferi e forni smart, robot aspirapolvere, tosaerba. E aggiunge due categorie che dovrebbero far alzare la testa a chiunque abbia un ufficio: le telecamere di sicurezza e gli apparecchi per le videoconferenze, che sempre più spesso escono di fabbrica con un piccolo chip per l’AI già dentro. Più potenza a bordo, bersaglio più interessante. In appendice compaiono anche i NAS delle piccole imprese, i dischi di rete dove si tengono i documenti condivisi: storicamente, ricorda Anthropic, sono vulnerabili ai ransomware, i programmi che bloccano i file e chiedono un riscatto, e a quelli che usano la macchina di nascosto per produrre criptovalute.

La frase che conta, per chi legge questo blog, è questa:

«I dispositivi connessi di case e piccole imprese potrebbero essere il primo bersaglio di attacchi del genere, perché sono collegati a internet e, storicamente, hanno avuto misure di sicurezza minime.»

Il bersaglio facile è quello che dimentichiamo di avere.

Una muffa, più che un cervello

Quanto sarebbe potente una cosa del genere? Poco. Ed è qui che la ricerca ribalta l’immaginario.

Anthropic ha fatto il conto su una flotta grande come Kimwolf: due milioni di TV box, un modello da 26 miliardi di parametri ogni quindici scatolette. Verrebbero circa 133.000 copie, per un totale di circa 80.000 token al secondo. Sembra tanto. È, al massimo, la potenza di una quarantina di H100, i processori che lavorano nei data center. In termini assoluti, scrivono, una quantità minuscola. E lenta: secondo le loro stime, un modello da 9 miliardi di parametri impiega più di uno o due giorni per mettersi in piedi su una macchina nuova.

Per descriverlo usano due immagini: una muffa mucillaginosa o uno sciame di moscerini della frutta, cose che si moltiplicano nel giro di giorni.

Siamo abituati a temere l’AI come un genio che ci supera. Questa ricerca descrive un’altra cosa: un organismo modesto e paziente, che vive negli angoli trascurati. Il pericolo sta meno nell’intelligenza e più nella pazienza.

Anthropic lo dice in un altro modo, e la frase merita di essere riportata: gli agenti leggeri «potrebbero essere molto più disposti degli attaccanti umani a fare la fatica» di compromettere grandi fette della potenza di calcolo dei dispositivi connessi del mondo. Per un hacker in carne e ossa, la TV box di una sala d’attesa forse non vale il tempo. Per un programma che non si stanca, sì.

C’è anche un rovescio curioso. Gli hacker umani, ricorda Anthropic, entrano spesso ingannando le persone, per esempio convincendo l’assistenza informatica di un’azienda di essere un dipendente che ha dimenticato la password. Per i piccoli modelli di oggi l’equilibrio è rovesciato: sono relativamente bravi a scrivere codice e a forzare le macchine, rispetto a quanto sanno raggirare le persone. Gli attacchi basati sull’inganno, come le mail truffa costruite su misura, Anthropic se li aspetta soprattutto dai modelli grandi.

Per ora, i piccoli se la cavano meglio con le macchine che con le persone.

Che cosa cambia rispetto ai virus di prima

Botnet come Kimwolf erano programmate per colpire tipi specifici di dispositivi: nel suo caso, TV box Android e dispositivi mobili. Una botnet fatta di AI, scrive Anthropic, non è legata a un tipo di hardware o di software: si adatta a quello che trova. Potrebbe perfino reagire in modo intelligente a chi la combatte, aggiungono, anche se questo non l’hanno provato.

Roman Yampolskiy, esperto di AI e sicurezza informatica all’Università di Louisville, l’ha detto ad Al Jazeera in modo asciutto:

«I worm informatici non sono una novità, ma un worm fatto di AI potrebbe fare qualcosa che il malware tradizionale non sa fare: ragionare su dispositivi che non conosce, adattarsi quando un tentativo fallisce e continuare a diffondersi senza un operatore umano.»

E subito dopo: «Oggi non è una minaccia esistenziale. Ma la traiettoria preoccupa.»

La ricerca arriva in settimane fitte. Il 9 ottobre la stessa Anthropic ha pubblicato un rapporto sulle azioni non volute dei suoi modelli, compresa la falsa segnalazione alla polizia di Filadelfia che ti ho raccontato in «L’agente AI che ha scritto alla polizia». All’inizio del mese era toccato agli agenti di OpenAI che hanno sconfinato in sistemi altrui. E il 9 ottobre il gruppo di esperti che consiglia l’Europa sull’intelligenza artificiale si è riunito in via straordinaria sugli incidenti di «perdita di controllo». Sono storie diverse. Messe in fila, raccontano la stessa preoccupazione: programmi che fanno passi che nessuno ha chiesto.

Come ci si difende

La parte più utile della ricerca è anche la meno citata. Anthropic tratta il problema come un’epidemia: l’obiettivo è portare sotto 1 il numero di dispositivi nuovi che ogni dispositivo infetto riesce a contagiare. Sotto quella soglia il replicatore si estingue invece di restare in circolazione.

E alcune cose giocano a favore di chi difende. Un replicatore che si moltiplica su tanti dispositivi lascia tracce nel traffico di rete: carichi da diversi gigabyte che arrivano sui dispositivi appena infettati, scambi continui fra apparecchi che normalmente non si parlano così tanto. Sono anomalie che i sistemi di sorveglianza dei provider possono vedere. Più il replicatore corre, più traffico produce, e più si fa notare.

C’è un precedente utile. Contro la botnet Mirai, un provider ha messo in quarantena i clienti infetti, lasciando raggiungibili solo pochi siti e mostrando le istruzioni per la pulizia. Con la quarantena e l’avviso, il 92% delle infezioni è stato ripulito in 14 giorni; senza avviso, il 74%. Diciotto punti percentuali di differenza, in un intervento che univa il blocco della rete e un messaggio con le istruzioni. Anche qui la comunicazione fa parte della difesa.

Poi ci sono i produttori. Anthropic cita il Regno Unito, dove le password di fabbrica dei dispositivi connessi non sono più in regola. In Europa la cornice si chiama Cyber Resilience Act, la legge europea sulla sicurezza dei prodotti digitali: dall’11 settembre 2026 i produttori devono segnalare le vulnerabilità sfruttate attivamente, e dall’11 dicembre 2027 scattano gli obblighi principali, con prodotti progettati, aggiornati e mantenuti per proteggere chi li usa, e la marcatura CE a indicarlo. Quello che hai già in ufficio è stato venduto prima che quegli obblighi principali valessero.

Come portarlo nel tuo lavoro

Basta guardare l’ufficio con gli occhi di chi cerca una porta aperta. Ecco cosa farei io, da domani mattina.

1. Fai l’elenco di tutto quello che è collegato. Computer e telefoni li conosci già. Il resto, di solito, sfugge: la TV della sala d’attesa con la scatoletta che ci sta dietro, le telecamere, il disco di rete con i documenti condivisi, l’apparecchio per le videoconferenze in sala riunioni, la stampante, il condizionatore che si accende dall’app. Sono le categorie che la ricerca nomina, o le loro cugine. Un foglio, una riga per oggetto: chi l’ha installato, quando è stato aggiornato l’ultima volta.
2. Cambia le password di fabbrica. Mirai è cresciuta provando l’elenco delle password predefinite. Un apparecchio che usa ancora la password stampata sul manuale è una chiave sotto lo zerbino, con il cartello sopra.
3. Tieni gli oggetti smart su una rete separata. Molti router permettono una rete per gli ospiti o una rete dedicata ai dispositivi: mettici TV, telecamere e apparecchi smart, e tieni sull’altra i computer con i dati dei clienti. La separazione serve a limitare la strada di un’eventuale infezione, ma funziona solo se è fatta bene: chiedi a chi ti segue la rete di verificare che gli apparecchi smart non possano raggiungere i computer. È un consiglio mio, di buon senso, che va oltre la ricerca di Anthropic.
4. Ricorda che il riavvio aiuta poco. Anthropic nota che molti dispositivi poco protetti possono essere infettati di nuovo appena si riaccendono. Se la falla resta, il problema torna. Contano la password e l’aggiornamento.
5. Compra pensando agli aggiornamenti. La TV box Android senza marca è il tipo di apparecchio che Kimwolf ha colpito di più. Davanti a due apparecchi simili, scegli quello del produttore che dice chiaramente per quanto tempo lo aggiornerà. Dal dicembre 2027 il Cyber Resilience Act chiederà prodotti aggiornati e mantenuti; il criterio puoi usarlo tu da subito.
6. Se il provider ti avvisa, ascoltalo. Il caso Mirai mostra quanto conta un intervento che comprende anche l’avviso ai clienti. Una comunicazione del tuo fornitore di internet che parla di traffico anomalo va presa sul serio come una chiamata del medico. Prima, però, controlla che venga davvero da lui, chiamando il numero che trovi sul contratto: gli avvisi falsi sono un classico delle truffe.

E quando ne parli, con il tuo team o con un cliente che ti chiede «ma è vero che l’AI si copia da sola?», usa le parole intere della ricerca, condizioni comprese. «Non abbiamo ancora un replicatore completo e fuori controllo», scrive Anthropic, ma gli agenti diventano sempre più capaci di completare i singoli passaggi. È una frase meno spettacolare di «entro mesi». È anche quella che fa prendere decisioni invece di farle rimandare.

Comincia dalla TV box della sala d’attesa. È lì da anni, accesa, collegata. Merita uno sguardo.

👉 Leggi anche: I bot russi spenti dai droni? Non proprio, perché le operazioni di propaganda passano da proxy e dispositivi compromessi, e non dai data center di Yandex colpiti dai droni.

👉 Leggi anche: Windows: la falla che aggira l’avviso giallo, sull’aggiornamento di Microsoft di ottobre e su cosa fare oggi nei computer dell’ufficio.

Domande frequenti

Che cos’è una botnet?

È una rete di dispositivi infettati, come computer, telecamere o TV box, che qualcuno comanda a distanza, di solito all’insaputa dei proprietari. Nella ricerca di Anthropic una botnet di dispositivi connessi potrebbe servire a far girare un modello di AI spezzato in pezzi, uno per dispositivo, come nella prova con quindici TV box Android.

L’AI può già copiarsi da sola sui miei dispositivi?

Anthropic scrive di non avere ancora un replicatore completo e fuori controllo. I modelli abbastanza piccoli da girare su quei dispositivi completano molti singoli passaggi ma sbagliano quando devono farli tutti in fila. Nei test semplificati, con l’accesso lasciato aperto apposta e il modello che guida l’attacco su un server a parte, fra i modelli a pesi aperti provati solo GLM-5.2, più grande, ha completato la sequenza. La previsione è che i modelli piccoli arrivino a quel livello entro la fine del 2026, ma la stessa Anthropic la chiama una stima approssimativa.

Quali dispositivi sono più esposti?

Quelli collegati a internet e poco protetti, che Anthropic indica come possibili primi bersagli in case e piccole imprese: le TV box Android senza marca, già colpite dalla botnet Kimwolf, frigoriferi e forni smart, robot aspirapolvere, tosaerba. Anthropic considera bersagli interessanti anche le telecamere di sicurezza e gli apparecchi per videoconferenze con un chip per l’AI a bordo, e in appendice cita i dischi di rete (NAS) delle piccole imprese.

Basta spegnere e riaccendere il dispositivo?

Da solo aiuta poco. Anthropic nota che molti dispositivi poco protetti possono essere infettati di nuovo appena si riaccendono. Servono le password di fabbrica cambiate, gli aggiornamenti e, se puoi, una rete separata per gli oggetti smart.

Che cosa prevede l’Europa?

Il Cyber Resilience Act, in vigore dal 10 dicembre 2024. Dall’11 settembre 2026 i produttori devono segnalare le vulnerabilità sfruttate attivamente; dall’11 dicembre 2027 valgono gli obblighi principali, con prodotti progettati, aggiornati e mantenuti per proteggere chi li usa e la marcatura CE a indicarlo.

Fonti

• Anthropic, Frontier Red Team, «AI models may be capable of self-replicating without access to a datacenter», 12 ottobre 2026: anthropic.com
• Reuters, «AI models may soon self-replicate without access to data centers, Anthropic warns», 13 ottobre 2026, ripubblicato da CNA: channelnewsasia.com
• Al Jazeera, «AI could self-replicate on home devices within ‘months’, Anthropic says», 13 ottobre 2026: aljazeera.com
• Commissione europea, Cyber Resilience Act: digital-strategy.ec.europa.eu