Anthropic alerta para risco de botnets de IA em dispositivos conectados
Modelos de inteligência artificial relativamente pequenos podem, nos próximos meses, reunir recursos para se copiar entre aparelhos conectados à internet. Televisores com Android, eletrodomésticos inteligentes e outros dispositivos de Internet das Coisas (IoT) são exemplos de equipamentos que poderiam ser incorporados a uma rede maliciosa, segundo uma análise da Anthropic.
A ameaça seria diferente de uma botnet convencional. Em vez de depender de um servidor central para receber instruções, uma rede desse tipo poderia manter parte de suas operações distribuída entre os aparelhos infectados. Assim, derrubar um ponto de comando não necessariamente interromperia todo o sistema: outros dispositivos ainda poderiam executar o modelo e tentar ampliar a rede.
O mecanismo é comparado a um worm – um programa malicioso que se propaga automaticamente de uma máquina para outra. Nesse cenário, o software usaria equipamentos vulneráveis para executar tarefas de IA e, eventualmente, alcançar novos dispositivos. A capacidade de processamento de cada aparelho poderia ser modesta, mas a combinação de muitos deles criaria uma estrutura distribuída.
Experimentos anteriores já mostraram que agentes de IA podem realizar diferentes etapas de uma cadeia de ataque, como identificar sistemas em uma rede, explorar falhas e transferir os parâmetros de um modelo – os chamados *weights* – para outra máquina. Em testes com clusters de placas gráficas, agentes também conseguiram reproduzir componentes de modelos em sistemas de destino.
Os parâmetros poderiam acompanhar o worm durante a propagação ou ser obtidos novamente em um repositório público. Uma vez copiado para o aparelho comprometido, o modelo passaria a integrar a carga maliciosa. Isso permitiria usar o hardware local para executar operações sem depender exclusivamente de grandes centros de processamento.
Modelos maiores, que não caberiam inteiros em um único dispositivo, poderiam ser divididos em partes e distribuídos por vários equipamentos. Cada aparelho executaria uma fração do trabalho, formando uma estrutura coletiva. Embora esse arranjo possa ser mais lento do que um datacenter, a quantidade de dispositivos conectados torna a hipótese relevante para a segurança digital.
A Anthropic descreve três formas possíveis de replicação. Na primeira, chamada de replicação baseada em parâmetros, modelos menores tentariam comprometer novos aparelhos e copiar para eles os dados necessários à execução. Dispositivos IoT são considerados alvos atraentes porque muitos recebem poucas atualizações e oferecem recursos limitados de proteção.
A segunda estratégia envolveria ambientes com maior capacidade computacional, como datacenters. Agentes poderiam tentar iniciar cópias não autorizadas de modelos nesses sistemas. A classificação inclui replicadores de modelos de fronteira e de modelos de pesos abertos, conforme o tipo de tecnologia utilizada.
O terceiro caminho dependeria de credenciais e chaves de API de serviços de inteligência artificial. Com esses acessos, um sistema poderia criar novas instâncias por meio de plataformas legítimas. No início, a atividade poderia parecer uso normal de um cliente, mas padrões incomuns de consumo poderiam levar à detecção, ao bloqueio da conta ou à revogação das credenciais.
Para avaliar o potencial de propagação, foram testados 11 modelos de pesos abertos desenvolvidos por Alibaba, DeepSeek, Google, Meta, Moonshot AI, OpenAI e Zhipu AI, também conhecida como Z.ai. Entre os avaliados, o GLM-5.2 foi o único que conseguiu propagar de forma confiável o Llama 3.1-8B para oito de oito nós usando o emulador Android redroid. O resultado foi obtido em quatro de cinco tentativas.
A demonstração indica progresso na automação de etapas necessárias para replicar componentes de IA, mas não comprova que exista uma botnet autônoma operando em dispositivos reais. A diferença é importante: um teste controlado mostra que certas ações são possíveis em condições específicas, não que um ataque em larga escala já tenha sido realizado.
Outro cenário analisado envolve televisores Android de baixo custo. Uma rede com centenas de milhares desses aparelhos poderia, em tese, somar capacidade suficiente para executar tarefas de inferência de IA. O processamento seria distribuído e provavelmente lento, mas poderia sustentar operações que não dependessem de respostas imediatas.
A preocupação também se estende a ataques contra datacenters e ao uso de fraudes para obter créditos de computação em plataformas de IA. Se essas abordagens fossem combinadas com replicação automatizada, a infraestrutura criminosa poderia crescer sem que seus operadores precisassem controlar manualmente cada máquina.
Na prática, o risco não depende apenas do avanço dos modelos. Também é influenciado pela quantidade de dispositivos desatualizados, pelo uso de senhas fracas e pela falta de monitoramento nas redes domésticas e corporativas. Equipamentos conectados que já não recebem correções de segurança tendem a permanecer expostos por mais tempo.
Para reduzir a possibilidade de comprometimento, fabricantes e administradores precisam manter sistemas atualizados, limitar serviços desnecessários e substituir aparelhos que deixaram de receber suporte. Em redes corporativas, separar dispositivos IoT dos sistemas que armazenam dados sensíveis pode impedir que uma falha em um equipamento de baixo custo abra caminho para toda a infraestrutura.
Provedores de computação e plataformas de IA também podem monitorar picos de consumo, acessos incompatíveis com o perfil de uma conta e tentativas de iniciar instâncias em locais ou horários incomuns. A detecção precoce pode conter o uso indevido de APIs e reduzir a chance de que credenciais roubadas sejam usadas para ampliar uma operação.
Para usuários domésticos, medidas simples ajudam a diminuir a exposição: trocar senhas padrão, usar credenciais diferentes em cada serviço, ativar atualizações automáticas quando disponíveis e desconectar da internet aparelhos que não precisam de acesso remoto. Nenhuma ação isolada elimina o risco, mas a combinação de manutenção, controle de acesso e monitoramento dificulta que dispositivos vulneráveis sejam transformados em parte de uma rede distribuída.