La notizia, letta alla fonte
«I modelli AI si autoreplicano sui dispositivi IoT», ha titolato Punto Informatico.1 Il titolo è più netto della ricerca da cui nasce. Il 12 ottobre il Frontier Red Team di Anthropic, il gruppo che misura i rischi dei modelli prima che diventino problemi reali, ha pubblicato una serie di esperimenti con una conclusione più precisa: ai modelli piccoli potrebbero mancare pochi mesi per riuscire a copiarsi da soli su forni intelligenti e TV box senza marca.2
Nel mio lavoro la differenza tra «succede» e «potrebbe succedere presto» decide se un'azienda reagisce o si prepara. Qui conviene prepararsi, e per farlo bene bisogna guardare che cosa hanno misurato davvero.
Hanno comprato 15 TV box Android da circa 55 dollari l'uno, li hanno collegati in rete e ci hanno fatto girare insieme Gemma4-26B-A4B, un modello da 26 miliardi di parametri diviso a pezzi tra i dispositivi. Va lento, 0,39 token al secondo, ma funziona. Poi hanno chiesto a vari modelli aperti di installare un motore di AI su hardware che non conoscevano: un modello da 9 miliardi di parametri ci è riuscito su 8 tipi di dispositivo su 9. Infine hanno costruito una piccola rete di prova con 8 nodi Android: solo GLM-5.2, un modello più grande, ha completato da solo l'intero ciclo, cioè trovare il dispositivo, copiarsi, avviarsi e ripartire, in 4 prove su 5 su tutti gli 8 nodi.
C'è un limite che gli autori dichiarano: nella rete di prova la parte di attacco informatico era volutamente facile, perché i dispositivi accettavano connessioni senza password. Per questo il risultato è un limite superiore. Ma aggiungono un dettaglio che rende il limite meno rassicurante: molti dispositivi veri sono altrettanto aperti. Tracciando la crescita dei modelli piccoli, stimano che raggiungeranno il livello di GLM-5.2 entro la fine del 2026.
Perché proprio i dispositivi di casa
Un worm è un programma che si copia da un computer all'altro senza che nessuno lo lanci. Finora un worm con l'AI sembrava aver bisogno dei processori costosi dei data center. L'esperimento di Anthropic mostra che bastano tanti dispositivi economici e poco protetti messi insieme: frigoriferi, forni, robot aspirapolvere, telecamere, TV box. Alcuni hanno già un piccolo chip per l'AI a bordo.
Con un worm tradizionale è già successo. A gennaio Synthient ha contato oltre 2 milioni di dispositivi infettati dalla botnet Kimwolf, per due terzi TV box Android venduti online da rivenditori terzi. Molti uscivano dalla fabbrica con una porta di debug aperta che accetta connessioni senza autenticazione, e alcuni arrivavano già infetti.3 Dieci anni fa Mirai aveva fatto lo stesso con telecamere e videoregistratori protetti da password di fabbrica, una sessantina di combinazioni in tutto, e il 21 ottobre 2016 aveva reso irraggiungibili per ore siti come Twitter, Netflix e Reddit attaccando il servizio Dyn.4
Questi oggetti li conosco bene: sono la stessa fast tech di cui ho scritto, comprata in fretta, pagata poco e mai aggiornata. Un TV box da 50 euro senza marca e senza aggiornamenti costa poco a chi lo compra, ma il suo costo di sicurezza lo paghiamo tutti.
Nessuna invenzione resta ciò per cui è nata.
Sesta legge dell'innovazione, da Un perché alla volta
Un TV box nasce per guardare film. Messo in rete con altri quattordici, diventa un pezzo di computer capace di ospitare un'intelligenza artificiale.
Worm e intelligenza artificiale, in quarant'anni
- 1988Il worm di Morris, il primo a diffondersi su internet, rallenta o blocca migliaia di computer.5
- 2016Mirai usa le password di fabbrica di telecamere e videoregistratori per attaccare Dyn.4
- Mar 2024Ricercatori di Cornell Tech mostrano Morris II, un worm che si propaga tra assistenti di posta basati sull'AI.6
- Dic 2024All'Università Fudan due modelli aperti creano una copia funzionante di sé nel 50% e nel 90% delle prove.7
- Gen 2026Kimwolf ha infettato oltre 2 milioni di dispositivi, soprattutto TV box Android.3
- Ott 2026Anthropic stima che a un modello piccolo potrebbero bastare pochi mesi per replicarsi da solo sui dispositivi IoT.2
Un worm lento, che però impara
Un worm del genere sarebbe lento. Sui TV box del test, avviare il modello su un nuovo dispositivo richiede da 28 a 51 ore per un modello da 9 miliardi di parametri e da 71 a 150 ore per quello da 26. Gli autori lo paragonano a una muffa, che si espande in giorni e non in secondi. Hanno fatto anche un conto: una flotta grande come Kimwolf potrebbe ospitare circa 133.000 copie del modello, che insieme varrebbero la potenza di una quarantina di processori da data center. È poco, ma è distribuito ovunque e non ha un interruttore centrale da spegnere.
La parte che mi colpisce di più è un'altra: il worm impara. In un esperimento ogni copia lasciava alla successiva una nota su che cosa aveva provato e dove aveva sbagliato. Dopo sei generazioni il tasso di successo nell'avviare il modello era salito dal 45% della prima a valori tra il 61% e l'84%. Un worm tradizionale fa sempre le stesse mosse. Questo può adattarsi a dispositivi che non ha mai visto.
Imparare dagli errori delle copie precedenti
C'è anche un risultato che va nella direzione opposta. Dare a un modello piccolo l'aiuto di un modello molto più potente non lo ha migliorato: i modelli piccoli non sanno quali domande fare. Secondo gli autori uno scenario più probabile è il contrario, un modello grande che coordina tanti modelli piccoli come esecutori.
Il vantaggio è ancora di chi difende
Per ora chi difende parte avvantaggiato, e la ricerca lo dice con chiarezza. Un worm che copia modelli da diversi gigabyte lascia tracce evidenti nel traffico di rete, visibili ai provider internet. Più si diffonde in fretta, più si fa notare. Una volta scoperto, i dispositivi esca, gli honeypot, permettono di catturarlo e studiarlo.
Contro Mirai ha funzionato soprattutto un'azione dei provider: mettere in quarantena le connessioni infette e avvisare i clienti con le istruzioni per ripulire i dispositivi. Con quarantena e avviso, il 92% dei dispositivi è stato ripulito entro 14 giorni.2
Dispositivi ripuliti entro 14 giorni dopo un'infezione Mirai
Poi ci sono le regole. Dal 29 aprile 2024 nel Regno Unito non si possono vendere dispositivi connessi con password predefinite uguali per tutti.8 In Europa il Cyber Resilience Act chiede ai produttori, dall'11 settembre 2026, di segnalare entro 24 ore le vulnerabilità sfruttate nei loro prodotti, e dall'11 dicembre 2027 renderà obbligatori requisiti di sicurezza per tutto ciò che si collega alla rete.9
Le regole servono, ma il punto debole resta lo stesso di Kimwolf: i dispositivi venduti online da rivenditori senza volto, che nessuna regola raggiunge davvero. Per questo penso che la responsabilità debba arrivare fino a chi li mette in vendita, marketplace compresi.
Che cosa farei adesso
Non vedo motivi per allarmarsi, perché oggi questo worm non esiste. Ma i tempi indicati da Anthropic sono brevi, e i dispositivi vulnerabili sono già nelle nostre case. Le azioni che consiglio sono quattro, tutte semplici, e conviene farle prima che servano.
- A casaNiente box senza marcaUn TV box senza aggiornamenti è il bersaglio ideale. Meglio un prodotto con assistenza e aggiornamenti dichiarati.
- In reteSeparare gli oggettiTelevisori, telecamere ed elettrodomestici su una rete Wi-Fi per ospiti, lontani da computer e telefoni.
- In aziendaInventario e trafficoSapere quali dispositivi sono collegati e accorgersi quando uno scarica gigabyte che non dovrebbe.
- Chi vendeRispondere della sicurezzaPassword vere, aggiornamenti per anni, un canale per segnalare le vulnerabilità. Il Cyber Resilience Act va in questa direzione.
Per vent'anni abbiamo trattato la sicurezza degli oggetti connessi come un problema di qualcun altro, perché un attaccante umano non aveva tempo per occuparsi di milioni di dispositivi piccoli. Un programma che lavora da solo, giorno e notte, quel tempo ce l'ha. Il momento di sistemare le basi è adesso, finché i modelli piccoli sono ancora sotto la soglia misurata da Anthropic.