IA autorreplicante: el gusano de IA ya cabe en una TV box
DominicodeQuince TV boxes Android de las baratas, de unos 55 dólares cada una y 4 GB de RAM. Apiladas, conectadas en red, sin una sola GPU. Entre todas ejecutan un modelo de lenguaje de 26.000 millones de parámetros.
Es uno de los experimentos que el Frontier Red Team de Anthropic publicó el 12 de octubre de 2026 para responder a una pregunta incómoda: ¿puede una IA autorreplicante sobrevivir fuera de un datacenter?
La respuesta corta es "todavía no del todo". La larga es más interesante: el vector de propagación no tiene nada de futurista. Es un puerto de depuración abierto, el mismo tipo de descuido que explotó Mirai en 2016.
En corto: Anthropic demostró que un modelo open-weight puede propagarse solo entre dispositivos Android y montar su propia inferencia sin datacenter, pero en condiciones de laboratorio y con un exploit trivial (ADB sin autenticación). La autorreplicación de modelos de IA es lenta y hoy, de los modelos open-weight probados, solo la completa uno grande (GLM-5.2). El riesgo real no es la IA: es la higiene de seguridad que llevamos una década sin hacer, y que la IA abarata explotar.
¿Qué es una IA autorreplicante?
Una IA autorreplicante es un modelo capaz de copiarse a otra máquina, ponerse a funcionar allí y seguir propagándose desde ese nuevo host sin intervención humana. Anthropic lo llama ARA, autonomous replication and adaptation: replicación y adaptación autónomas.
El estudio, firmado por William Zhou y Daniel Freeman, divide el problema en cuatro etapas:
- Encontrar objetivos en la red.
- Conseguir ejecución de código en ellos.
- Levantar un servidor de inferencia propio.
- Propagarse desde el nuevo host.
La clave está en la tercera. Un gusano clásico copia un binario; uno de IA necesita además un "cerebro" que funcione en el dispositivo infectado. Se asumía que eso exigía GPUs de datacenter. Este trabajo lo pone en duda: una IA autorreplicante puede repartir ese cerebro entre varios dispositivos baratos.
Qué demostró el experimento de Anthropic Frontier Red Team
En resumen: cada etapa por separado ya es posible con hardware barato, y un modelo grande consiguió encadenarlas todas en un entorno controlado.
Los resultados principales, tal como los publica la investigación original:
- Inferencia en hardware modesto. Un modelo de 9B consiguió inferencia funcionando en 8 de los 9 tipos de hardware probados.
- Inferencia distribuida. Las 15 TV boxes ejecutaron Gemma4-26B-A4B repartido con pipeline parallelism. Velocidad: unos 0,3-0,4 tokens por segundo. Lento, pero funciona.
- Replicación de extremo a extremo. En una VPC de Google Cloud con 8 nodos tras un firewall, cada uno con redroid (un emulador de Android 15), el gusano entraba por un puerto ADB sin autenticación y montaba un servidor de inferencia con Llama3.1-8B. De los modelos open-weight probados, solo GLM-5.2 lo logró completo: 8 de 8 nodos en 4 de 5 intentos, y 7 de 8 en el quinto.
- Adaptación. Seis generaciones de Qwen3.5-9B heredando notas de la generación anterior. El éxito montando inferencia subió del 45% en la primera generación a entre 61% y 84% en las siguientes.
Los modelos de 30B o menos completan muchos pasos sueltos, pero fallan al encadenarlos. Ese es hoy el cuello de botella de cualquier IA autorreplicante.
Los propios autores lo resumen así: "Like coding agents in 2024, we're seeing signs of life for AI worms." Señales de vida. No existe todavía un replicador rogue completo.
Gusano de IA en IoT frente a Mirai: qué cambia de verdad
Lo que cambia es el coste de adaptarse, no el punto de entrada. La tabla lo deja claro:
| Criterio | Malware clásico (tipo Mirai) | Gusano de IA (estudio de Anthropic) |
|---|---|---|
| Punto de entrada | Credenciales por defecto, servicios expuestos | Puerto ADB sin autenticación |
| Tamaño del payload | Kilobytes | Varios GB (pesos del modelo) |
| Velocidad de propagación | Rápida: el payload es ligero | "Doubling time of days" |
| Capacidad de adaptarse | Ninguna: hace lo que se programó | Razona, prueba alternativas, hereda notas |
| Huella en red | Pequeña, fácil de camuflar | Tráfico sostenido dispositivo a dispositivo |
| Recursos del host | Mínimos | Uso intensivo de CPU y RAM (inferencia en el propio dispositivo) |
| Principal limitación | Guion fijo: no se adapta si cambian las defensas | Lento (0,3-0,4 tokens/s), payload de varios GB y hoy solo lo completa un modelo grande |
| Estado real (oct. 2026) | Botnets activas: Kimwolf supera los 2 millones de dispositivos | Prueba de laboratorio, sin replicador rogue conocido |
El dato de Kimwolf es el que debería preocuparte: más de 2 millones de dispositivos, según Synthient, sobre todo TV boxes Android genéricas, una clase de aparato que suele venir con 1 a 4 GB de RAM. El mismo hardware del experimento. La población objetivo ya existe y ya está comprometida. Solo falta un modelo pequeño lo bastante capaz.
¿Cuándo podría un modelo pequeño hacerlo solo?
Según la extrapolación de Anthropic, una IA autorreplicante basada en un modelo pequeño podría ser viable a finales de 2026, aunque ellos mismos la llaman una estimación aproximada.
Los modelos open-weight de 30B o menos ganan 13,7 puntos al año en el ECI (Epoch Capabilities Index) (R² de 0,95). Si la tendencia sigue, uno pequeño alcanzaría el nivel de GLM-5.2 hacia final de año, y cabría en el hardware ya infectado.
Si quieres entender cómo un 9B cuantizado cabe repartido entre unas pocas cajas de 4 GB, en el post sobre modelos de IA en local tienes cómo se ejecutan modelos cuantizados en tu propia máquina.
Lo que dice la comunidad: el escepticismo tiene argumentos
El hilo de Hacker News sobre el estudio (85 puntos, 99 comentarios) no se lo tragó entero, y con razón.
flanked-evergl fue directo: "The limiting factor is still compute, and it will remain compute unless we make quantum leaps in model efficiency". Añadía que cualquier dispositivo vulnerable a esto lo sería todavía más a malware normal.
verdverm preguntó qué dispositivo IoT tiene 20 GB de almacenamiento para un 9B. Es una objeción razonable, con un matiz: cuantizado a 4 bits, un 9B ocupa bastante menos, y Anthropic habla precisamente de 4 bits y de repartir el modelo entre 4 o más máquinas de 4 GB.
carterschonwald apuntó otra cosa: "the cpu usage will be so absurd the devices would be trashed".
Mi lectura: los escépticos tienen razón en lo que importa. Si tu dispositivo cae ante esto, ya caía ante Mirai. La IA entra por las puertas que dejamos abiertas.
Límites de este estudio
El estudio es honesto con sus limitaciones. Tenlas presentes antes de compartir titulares alarmistas sobre IA autorreplicante.
El exploit es trivial a propósito. Los autores lo dicen sin rodeos: "Our evaluation keeps the cyber-exploit element of the replication trivial (there's no authentication over the ADB port), which makes this an upper bound on real-world success." Es un techo, no una predicción. En el mundo real habría que romper autenticación, parchear o explotar vulnerabilidades reales.
El entorno es un laboratorio. 8 nodos emulados en una VPC no son 2 millones de TV boxes con firmwares distintos y usuarios que las desenchufan.
Solo un modelo grande lo completó. Los modelos que caben en el hardware objetivo todavía no, y la fecha de "finales de 2026" es una extrapolación aproximada.
Es lento y ruidoso. 0,3-0,4 tokens por segundo y payloads de varios GB. Un gusano así es mucho más fácil de detectar que uno clásico.
Cómo protegerte de una IA autorreplicante si construyes agentes o dispositivos
Lo mismo que harías contra Mirai, más límites estrictos para tus propios agentes. Esto es lo que aplicaría hoy:
-
Cierra los puertos de depuración. ADB, SSH, Telnet, paneles de admin: nada de esto debería escuchar en la red sin autenticación. Para saber si algún dispositivo de tu red expone ADB por TCP (puerto 5555 por defecto), basta un escaneo:
nmap -p 5555 --open 192.168.1.0/24 -
Elimina las credenciales por defecto. En Reino Unido ya no cumplen la normativa de dispositivos IoT (NCSC). Genera una por dispositivo o fuerza el cambio en el primer arranque.
-
Limita recursos y egress. Pon cuotas de CPU y memoria, y restringe a qué destinos puede salir tráfico.
-
Monitoriza los flujos de red. Un gusano de IA deja firmas claras: payloads de varios GB y tráfico sostenido entre dispositivos. Si no lo miras, no lo ves.
-
Mínimo privilegio para tus agentes. Si construyes agentes con acceso a shell, red o credenciales, cada herramienta que les das es una superficie de ataque. Un agente que no necesita escanear la red no debería poder hacerlo.
El último punto es el que más te afecta si construyes con IA. En el ebook gratuito El Developer Agéntico dedico una parte a la seguridad de agentes: cómo acotar herramientas y permisos antes de que un modelo haga algo que no esperabas. Y si tus agentes llaman a servicios externos, el patrón de circuit breaker para agentes de IA corta los bucles descontrolados antes de que escalen.
Es la misma higiene aburrida que auditar la supply chain de npm y pip.
A escala, el número clave es R₀: si cada infección produce menos de una nueva, el gusano se extingue. Con Mirai, la cuarentena del ISP con notificación al cliente limpió el 92% de las infecciones en 14 días, frente al 74% sin notificación. Los honeypots ayudan a capturar el harness y el payload del gusano para estudiarlo.
El riesgo no es la IA
La IA autorreplicante existe hoy como prueba de laboratorio, con un exploit regalado y un modelo que todavía no cabe en el hardware que quiere infectar. Eso va a cambiar.
Pero el puerto ADB abierto, la contraseña admin/admin y el dispositivo sin límites de egress ya estaban ahí. La IA no inventa la vulnerabilidad: abarata explotarla.
Revisa hoy qué puertos expone lo que despliegas y qué permisos tienen tus agentes. Si quieres llevar una idea a producto con Claude Code sin perder el control de lo que hace el agente, es lo que trabajamos en Construye con IA.
Preguntas frecuentes
¿Ya existe una IA autorreplicante propagándose en internet?
No. Anthropic afirma que no existe todavía un replicador rogue completo. Lo que hay son "señales de vida": cada etapa funciona por separado y un modelo grande, GLM-5.2, completó la cadena en un entorno controlado con un exploit trivial.
¿Qué dispositivos son los más expuestos a la autorreplicación de modelos de IA?
Los dispositivos Android genéricos con servicios de depuración expuestos y credenciales por defecto, como las TV boxes baratas. Es el mismo perfil que la botnet Kimwolf, con más de 2 millones de dispositivos, sobre todo TV boxes Android que suelen tener entre 1 y 4 GB de RAM.
¿Por qué un gusano de IA sería más peligroso que Mirai?
Por su capacidad de adaptarse: Mirai ejecuta un guion fijo, un modelo razona y hereda lo aprendido. En el estudio, el éxito montando inferencia pasó del 45% al 61-84%. A cambio, es mucho más lento y ruidoso.
¿Cómo se detecta un gusano de IA en una red?
Por su huella: transferencias de varios GB y tráfico sostenido entre dispositivos, visibles en la monitorización de flujos. También, previsiblemente, por un consumo anómalo de CPU y RAM en hardware casi ocioso.
¿Qué debe hacer un developer que construye agentes de IA?
Aplicar mínimo privilegio: solo las herramientas y permisos que cada agente necesita, límites de recursos y de salida de red, y ningún servicio de depuración expuesto.
Por Bezael Pérez — Developer senior con más de 15 años de experiencia y fundador de Dominicode.
¿Te resultó útil este artículo?
Compártelo con tu comunidad y ayuda a otros desarrolladores.