A Anthropic rodou IA em TV boxes de US$ 55. A lição para empresas está nos dispositivos que você já tem

Quinze TV boxes Android de marca genérica, cerca de US$ 55 cada, com 4 GB de memória. Ligadas em rede, rodaram um modelo aberto de 26 bilhões de parâmetros a cerca de 0,39 token por segundo. Devagar, mas funcionando.

Esse arranjo está no centro de uma pesquisa que o Frontier Red Team da Anthropic publicou em 12 de outubro. William Zhou e Daniel Freeman perguntaram se modelos de IA pequenos conseguiriam fazer algo que até hoje exigia um data center: achar um dispositivo, se copiar para ele, colocar a inferência para rodar num hardware desconhecido e repetir. O alerta deles é que “modelos de IA pequenos podem estar a meses de ter capacidade suficiente para se autorreplicar” em dispositivos conectados à internet.

O que foi demonstrado e o que é projeção

Os resultados vêm em camadas de certeza, e é fácil misturá-las.

Até onde vai a evidência

Demonstrado em laboratórioProjetado ou não testado

1. Inferência em hardware novoUm modelo de 9B conseguiu em 8 de 9 tipos de hardware
2. Etapas isoladasModelos de até 30B completam muitas, mas falham ao encadeá-las
3. De ponta a ponta, simplificadoO GLM-5.2 chegou a 8 de 8 nós em 4 de 5 testes
4. Modelos pequenos de ponta a pontaProjetado para o fim de 2026 pela tendência
5. Invasão no mundo realNão testada; a exploração foi mantida trivial

Vários detalhes importam para a leitura correta. A etapa de exploração foi trivial de propósito: dispositivos com portas do Android Debug Bridge sem autenticação. A replicação foi lenta, com tempo de duplicação de dias. Dar aos modelos pequenos acesso a um modelo muito mais forte como conselheiro não melhorou de forma significativa o sucesso deles na configuração. E a projeção para o fim de 2026 se apoia num ajuste de tendência de um índice geral de capacidade, que os próprios autores chamam de aproximação grosseira.

O resultado de adaptação é o que vale guardar. Quando cada geração de um replicador Qwen3.5-9B herdava anotações da anterior, o sucesso na configuração subiu de 45% na primeira geração para entre 61% e 84% nas seguintes. “Diferentemente de um malware sem IA, ele também conseguiria entender sozinho dispositivos desconhecidos.”

Por que isso é problema das empresas, não só da internet

O texto enquadra o risco na escala da internet: botnets de milhões de dispositivos de consumo. A estimativa de computação é modesta, cerca de 40 equivalentes de H100 numa botnet de dois milhões de TVs, “uma quantidade minúscula de computação em termos absolutos”. A pergunta mais imediata para as empresas está mais perto de casa.

Redes corporativas estão cheias de dispositivos parecidos com o ambiente de teste: boxes de salas de reunião, players de sinalização digital, telas inteligentes, câmeras com aceleradores embarcados, placas de desenvolvimento no chão de fábrica e em laboratórios. Muitos rodam Android ou Linux embarcado, muitos foram instalados por facilities ou operações, e não por TI, e muitos nunca passaram por revisão de segurança. O texto estima que só os dispositivos edge da NVIDIA somam entre 9 mil e 35 mil equivalentes de H100 em computação, com a parte alcançável e vulnerável provavelmente uma ordem de grandeza menor ou mais. Parte disso está dentro de empresas.

Um replicador, observam os autores, “seria difícil de desligar, já que não há um ponto central para desligar”. É um formato de incidente diferente do que a maioria dos planos de resposta pressupõe, que é um servidor comprometido ou um agente com dono que se comporta mal. Defendemos em parar um agente é a parte fácil de um incidente que o plano precisa existir antes do go-live. Para código que ninguém colocou em produção, o plano é a rede.

As defesas são antigas

Nada no texto exige novos produtos de segurança para IA. Ele aponta para controles que a maioria dos times de segurança conhece e que muitos ainda não terminaram de aplicar no edge:

• Inventarie dispositivos capazes de rodar IA. Saiba quais dispositivos da sua rede têm aceleradores ou memória suficiente para rodar um modelo, quem é o dono e o que rodam.
• Elimine padrões fracos. Senhas de fábrica e portas de depuração abertas foram a porta de entrada. Os autores citam a proibição de senhas padrão em IoT no Reino Unido como o tipo de exigência mínima que reduz o universo de alvos.
• Segmente e observe o tráfego dos dispositivos. Os autores apontam uma troca que favorece quem defende: replicação mais rápida significa mais tráfego. Transferências de vários gigabytes para hosts novos e fluxos incomuns entre dispositivos ficam visíveis para quem estiver olhando.
• Coloque em quarentena e avise. Na limpeza do Mirai citada pelos autores, quarentena com notificação eliminou 92% das infecções em 14 dias, contra 74% sem notificação.

Há também uma questão de compras. Dispositivos com aceleradores de IA embarcados estão chegando pelos orçamentos de facilities e de operações, muitas vezes fora da revisão de segurança. Incluir “este dispositivo consegue rodar um modelo, e como ele é protegido?” no checklist de compras não custa nada agora.

A pesquisa é um alerta sobre uma capacidade que ainda não existe por completo. Os dispositivos frágeis de que ela depende já existem. O conselho final dos autores vale para redes corporativas tanto quanto para a internet: endurecer os sistemas para que replicadores tenham dificuldade de se espalhar, e se preparar para um mundo em que eles possam persistir.