A maggio 2017 WannaCry infettò centinaia di migliaia di computer in pochi giorni. Era un worm, un programma capace di copiarsi da una macchina all'altra senza che nessuno aprisse un allegato. Sfruttava una vulnerabilità di Windows e, una volta dentro, cifrava i file chiedendo un riscatto. Funzionava però solo dove i suoi autori avevano previsto: su un sistema diverso si fermava, non poteva certo propagarsi in un TV box con Android.
L'esperimento di Anthropic
E se invece un worm sapesse adattarsi alla macchina che infetta? Su questa domanda ha lavorato il Frontier Red Team di Anthropic, il gruppo che studia i rischi dei modelli più avanzati. Il programma ipotizzato porta con sé un modello IA e, arrivato su un dispositivo sconosciuto, capisce da solo come farlo funzionare prima di ripartire verso il successivo. Gli esperimenti si sono svolti in laboratorio, su reti isolate. In una prova i ricercatori hanno distribuito Gemma4-26B quantizzato a 4 bit su 15 TV box Android da circa 55 dollari l'uno. Ogni box ospitava due strati del modello e l'insieme generava 0,39 token al secondo, una ventina al minuto. Lentissimo, ma funzionante.
Il test principale ha riguardato la catena completa, in cui un modello poteva essere propagato su una macchina diversa da quella iniziale. Anthropic ha creato 8 macchine virtuali in cloud con Android 15, lasciando aperta e senza password una porta di debug. Partendo da una sola macchina, il modello doveva trovare le altre, entrarci e avviare su ciascuna Llama3.1-8B, il vecchio modello di Meta da 8 miliardi di parametri. Solo a quel punto da quel nodo partiva una nuova copia dell'agente. Tra i modelli testati ci è riuscito soltanto il cinese a pesi aperti GLM-5.2, che ha raggiunto tutti gli otto nodi in quattro prove su cinque e sette nella quinta. Gemma4, Qwen3.5-9B e Qwen3-Coder-Next non ne hanno contagiato nessuno.
La minaccia entro il 2026
Attenzione a un particolare che può sfuggire: GLM-5.2 non ha copiato se stesso sui nodi. Con 744 miliardi di parametri non ci sarebbe stato, e infatti girava su un server esterno. Ha solo installato e avviato il modello Llama, molto più piccolo. L'esperimento ha dimostrato che esiste la competenza necessaria a diffondersi, non che un modello si sia autoreplicato. Tuttavia, secondo Anthropic, un modello da 8 miliardi di parametri capace quanto GLM-5.2 potrebbe diffondere sé stesso nello stesso modo. E non saremmo così distanti: seguendo il ritmo di crescita degli ultimi anni, i modelli aperti sotto i 30 miliardi di parametri arriveranno a quel livello entro la fine del 2026.
Un worm del genere sarebbe lento, perché sui TV box ogni installazione richiederebbe da poco più di un giorno a sei giorni. Sarebbe però difficile da fermare, dato che non avrebbe un data center da spegnere. Ogni copia sarebbe autonoma e non basterebbe spegnere l'ultima macchina infettata, perché tutte le altre sarebbero ancora in attività. Tra le difese indicate ci sono il monitoraggio del traffico da parte dei provider, perché trasferire modelli da diversi gigabyte lascia tracce, e dispositivi esca chiamati honeypot. Anthropic ha anche suggerito il confinamento curativo, con il provider che limita la connessione dei clienti infetti e reindirizza il browser verso le istruzioni per ripulire il dispositivo. Servirebbe però il coordinamento di tutti i provider coinvolti. Soluzioni più robuste arrivano dal Regno Unito, dove i dispositivi smart con password predefinite non sono più conformi, e dall'UE con il Cyber Resilience Act: dal dicembre 2027 sarà obbligatoria una configurazione sicura per impostazione predefinita.
