Anthropic ejecutó IA en TV boxes de 55 dólares. La lección está en los dispositivos que su empresa ya tiene

Quince TV boxes Android de marca genérica, de unos 55 dólares cada uno, con 4 GB de memoria. Conectados entre sí, ejecutaron un modelo abierto de 26.000 millones de parámetros a unos 0,39 tokens por segundo. Lento, pero funcionando.

Ese montaje está en el centro de una investigación que el Frontier Red Team de Anthropic publicó el 12 de octubre. William Zhou y Daniel Freeman se preguntaron si modelos de IA pequeños podrían hacer algo que hasta ahora exigía un centro de datos: encontrar un dispositivo, copiarse en él, poner en marcha la inferencia en un hardware desconocido y repetir. Su advertencia es que “los modelos de IA pequeños pueden estar a meses de ser lo bastante capaces para autorreplicarse” en dispositivos conectados a internet.

Lo que se demostró y lo que se proyecta

Los resultados llegan en capas de certeza, y es fácil mezclarlas.

Hasta dónde llega la evidencia

Demostrado en laboratorioProyectado o sin probar

1. Inferencia en hardware nuevoUn modelo de 9B lo logró en 8 de 9 tipos de hardware
2. Pasos aisladosLos modelos de hasta 30B completan muchos, pero fallan al encadenarlos
3. De extremo a extremo, simplificadoGLM-5.2 llegó a 8 de 8 nodos en 4 de 5 pruebas
4. Modelos pequeños de extremo a extremoProyectado para finales de 2026 según la tendencia
5. Intrusión en el mundo realSin probar; la explotación se mantuvo trivial

Varios detalles importan para leerlo bien. El paso de explotación fue trivial a propósito: dispositivos con puertos de Android Debug Bridge sin autenticar. La replicación fue lenta, con un tiempo de duplicación de días. Dar a los modelos pequeños acceso a un modelo mucho más potente como asesor no mejoró de forma significativa su éxito en la configuración. Y la proyección a finales de 2026 se basa en un ajuste de tendencia de un índice general de capacidad, que los propios autores califican de aproximación burda.

El resultado de adaptación es el que conviene recordar. Cuando cada generación de un replicador Qwen3.5-9B heredaba notas de la anterior, el éxito en la configuración pasó del 45% en la primera generación a entre el 61% y el 84% en las siguientes. “A diferencia del malware sin IA, también podría entender por sí solo dispositivos desconocidos.”

Por qué es un problema de las empresas, no solo de internet

El texto plantea el riesgo a escala de internet: botnets de millones de dispositivos de consumo. Su estimación de cómputo es modesta, unos 40 equivalentes de H100 en una botnet de dos millones de televisores, “una cantidad ínfima de cómputo en términos absolutos”. La pregunta más inmediata para las empresas está más cerca.

Las redes corporativas están llenas de dispositivos parecidos al banco de pruebas: equipos de salas de reuniones, reproductores de cartelería digital, pantallas inteligentes, cámaras con aceleradores integrados, placas de desarrollo en plantas y laboratorios. Muchos funcionan con Android o Linux embebido, muchos los instalaron los equipos de instalaciones u operaciones y no los de TI, y muchos nunca han pasado una revisión de seguridad. El texto estima que solo los dispositivos edge de NVIDIA suman entre 9.000 y 35.000 equivalentes de H100, con una parte accesible y vulnerable probablemente un orden de magnitud menor o más. Parte de eso está dentro de empresas.

Un replicador, señalan los autores, “sería difícil de apagar, porque no hay un punto central que desconectar”. Es una forma de incidente distinta de la que suponen la mayoría de los planes de respuesta, que es un servidor comprometido o un agente con dueño que se comporta mal. Defendimos en detener un agente es la parte fácil de un incidente que el plan tiene que existir antes de la puesta en producción. Para código que nadie desplegó, el plan es la red.

Las defensas son las de siempre

Nada del texto exige nuevos productos de seguridad para IA. Apunta a controles que la mayoría de los equipos de seguridad conoce y que muchos aún no han terminado de aplicar en el edge:

• Inventaríe los dispositivos capaces de ejecutar IA. Sepa qué dispositivos de su red tienen aceleradores o memoria suficiente para ejecutar un modelo, quién es su responsable y qué ejecutan.
• Elimine las configuraciones débiles de fábrica. Las contraseñas por defecto y los puertos de depuración abiertos fueron la vía de entrada. Los autores citan la prohibición de contraseñas por defecto en IoT del Reino Unido como el tipo de mínimo que reduce el número de objetivos. En la Unión Europea, el Reglamento de Ciberresiliencia (Reglamento (UE) 2024/2847) exigirá que los productos con elementos digitales vendidos en la UE, incluidos los dispositivos conectados, sean seguros por defecto, con sus obligaciones principales aplicables desde el 11 de diciembre de 2027; para un comprador en España, eso ya da una referencia que pedir a los proveedores.
• Segmente y observe el tráfico de los dispositivos. Los autores señalan un equilibrio que favorece a quien defiende: una replicación más rápida genera más tráfico. Las transferencias de varios gigabytes a equipos nuevos y los flujos inusuales entre dispositivos son visibles para quien mire.
• Aísle y notifique. En la limpieza de Mirai que citan los autores, la cuarentena con notificación eliminó el 92% de las infecciones en 14 días, frente al 74% sin notificación.

Hay además una cuestión de compras. Los dispositivos con aceleradores de IA integrados llegan a través de los presupuestos de instalaciones y operaciones, a menudo sin revisión de seguridad. Añadir “¿puede este dispositivo ejecutar un modelo y cómo está protegido?” a la lista de comprobación de compras no cuesta nada ahora.

La investigación es una advertencia sobre una capacidad que todavía no existe del todo. Los dispositivos débiles de los que depende sí existen. El consejo final de los autores vale tanto para las redes corporativas como para internet: endurecer los sistemas para que a los replicadores les cueste propagarse, y prepararse para un mundo en el que puedan persistir.