La posibilidad de que un gusano de Inteligencia Artificial (IA) se propague de manera autónoma a través de Internet comienza a dejar de ser un escenario exclusivo de la ciencia ficción. Anthropic publicó una investigación en la que advierte sobre una amenaza emergente: modelos de IA capaces de replicarse y propagarse entre dispositivos conectados sin depender de grandes centros de datos.
Según los investigadores, estos sistemas podrían llegar a comprometer numerosos dispositivos del Internet de las Cosas (IoT), desde televisores y cámaras de seguridad hasta electrodomésticos inteligentes y routers. El riesgo se concentra especialmente en aquellos equipos que cuentan con medidas de protección insuficientes o utilizan software desactualizado.
A diferencia de los gusanos informáticos tradicionales, que suelen depender de instrucciones previamente programadas, los agentes impulsados por IA podrían analizar entornos desconocidos, adaptar sus procedimientos y encontrar nuevas formas de ejecutar sus tareas. Esta capacidad de adaptación podría facilitar su propagación entre dispositivos con diferentes características técnicas, aunque los experimentos actuales todavía presentan limitaciones importantes.
En esta entrega de Alerta Digital, analizamos cómo podrían funcionar estos gusanos de IA, los riesgos que representan para los dispositivos inteligentes del hogar y las principales medidas de seguridad para reducir posibles vulnerabilidades.
«Un replicador de este tipo sería difícil de detener, ya que no existe un punto centralizado desde el cual desactivarlo», William Zhou y Daniel Freeman, investigadores de ciberseguridad de Anthropic. Traducción del informe original.
¿Cómo funciona un gusano de IA autorreplicante?
Un gusano informático convencional utiliza código diseñado para propagarse entre sistemas aprovechando determinadas vulnerabilidades. Sin embargo, los investigadores de Anthropic advierten que los modelos de IA actuales están desarrollando capacidades de programación y adaptación que podrían permitirles identificar las características de nuevos dispositivos y modificar sus procedimientos de manera autónoma.
Según el informe, un proceso de autorreplicación podría desarrollarse mediante cuatro etapas: identificación de dispositivos vulnerables, obtención de acceso, instalación de los componentes necesarios para ejecutar el modelo y propagación hacia nuevos equipos.
La primera fase consiste en identificar dispositivos conectados que presenten vulnerabilidades de seguridad. Estos podrían incluir televisores inteligentes, cámaras domésticas o equipos con sistemas operativos desactualizados. Posteriormente, el agente intentaría obtener acceso y determinar si dispone de los recursos necesarios para ejecutar sus componentes.
Una vez establecido el entorno de ejecución, el sistema podría transferir el modelo o parte de sus componentes y continuar buscando otros dispositivos vulnerables. La diferencia fundamental radica en que una IA suficientemente avanzada podría adaptar sus procedimientos a distintas configuraciones de hardware y software, en lugar de depender exclusivamente de instrucciones fijas.
Para evaluar estas capacidades, Anthropic consiguió ejecutar de manera distribuida un modelo de 26.000 millones de parámetros utilizando 15 dispositivos Android TV de bajo costo. Además, un modelo más pequeño logró configurar sistemas de inferencia en ocho de los nueve tipos de hardware examinados.
En otra prueba controlada, el modelo GLM-5.2 consiguió completar una cadena de propagación en una red simulada de dispositivos Android. Sin embargo, los investigadores simplificaron deliberadamente las condiciones de acceso, por lo que el experimento no demuestra que un gusano de IA pueda replicarse con la misma eficacia en Internet.
Otro aspecto relevante es la velocidad de propagación. Anthropic estima que estos sistemas podrían necesitar varios días para duplicar su presencia, dependiendo del hardware utilizado. En sus pruebas, algunas tareas de configuración requirieron entre 28 y 51 horas, mientras que otras configuraciones más exigentes necesitaron períodos superiores.
Aunque esta velocidad resulta relativamente lenta, una propagación sostenida podría representar un riesgo considerable si los sistemas encontraran suficientes dispositivos vulnerables. No obstante, Anthropic reconoce que todavía no ha demostrado la existencia de un replicador completamente autónomo y fuera de control.
Del ciberataque corporativo al riesgo en la infraestructura física
La mayoría de los incidentes de ciberseguridad que reciben atención pública están relacionados con ataques de ransomware contra grandes empresas, filtraciones de información o interrupciones de servicios digitales. Sin embargo, los dispositivos conectados también pueden convertirse en objetivos capaces de provocar consecuencias físicas y económicas.
Un ejemplo reciente ocurrió en Francia, donde un ciberataque comprometió los sistemas de refrigeración de cientos de supermercados. Los atacantes manipularon equipos conectados a Internet, provocando alteraciones de temperatura y pérdidas importantes de productos alimenticios. Aunque este incidente no fue atribuido a un gusano de IA, demuestra que las vulnerabilidades de los dispositivos conectados pueden afectar directamente las actividades cotidianas.
En el escenario planteado por Anthropic, un agente autorreplicante podría utilizar la capacidad de procesamiento, la memoria y el ancho de banda de los equipos comprometidos. Además de reducir su rendimiento, esta actividad podría convertirlos en componentes de una red distribuida utilizada para ejecutar nuevas operaciones maliciosas.
Uno de los hallazgos más relevantes de la investigación es que estas capacidades no dependen exclusivamente de los grandes modelos de IA ejecutados en centros de datos. Los avances en modelos pequeños y optimizados, combinados con la creciente potencia de los dispositivos domésticos, podrían facilitar nuevas formas de ejecución distribuida.
Los investigadores consideran que, si las capacidades de estos sistemas continúan mejorando al ritmo observado, algunos modelos pequeños podrían alcanzar niveles suficientes para completar procesos de autorreplicación hacia finales de 2026. Sin embargo, esta estimación es una proyección basada en tendencias tecnológicas, no una fecha confirmada para la aparición de una amenaza real.
Guía práctica: cómo proteger tus dispositivos inteligentes
Aunque Anthropic no ha identificado un gusano de IA autorreplicante fuera de control, reforzar la seguridad de los dispositivos domésticos permite reducir los riesgos asociados con este tipo de amenazas y con otras formas de malware.
- Actualiza el firmware periódicamente: revisa las aplicaciones y los sitios oficiales de los fabricantes de televisores, cámaras, routers y otros dispositivos inteligentes. Instala las actualizaciones de seguridad disponibles y evita utilizar equipos que hayan dejado de recibir soporte técnico.
- Cambia las credenciales predeterminadas: elimina contraseñas de fábrica como «admin» o «123456» y utiliza claves robustas y diferentes para cada dispositivo. Siempre que sea posible, activa la autenticación de dos factores para impedir accesos no autorizados.
- Crea una red Wi-Fi independiente: conecta los dispositivos IoT a una red de invitados o a un segmento separado de la red principal, siempre que el router permita aislarlos. Esto ayuda a limitar el acceso a computadoras, teléfonos y otros equipos que almacenan información personal si uno de los dispositivos inteligentes resulta comprometido.
- Desactiva las funciones de acceso remoto innecesarias: revisa la configuración del router y deshabilita la administración remota y funciones como Universal Plug and Play (UPnP) cuando no sean indispensables. Reducir los servicios expuestos a Internet limita las oportunidades de acceso para posibles atacantes.
