L’IA che si replica da sola, cosa ha scoperto Anthropic

Un programma dannoso entra in un dispositivo collegato a Internet, studia le caratteristiche dell’apparecchio e cerca il modo di installarsi su altre macchine. Ogni nuova copia ripete la procedura, adattandola all’ambiente che incontra.

È lo scenario che emerge da una ricerca pubblicata il 12 ottobre 2026 da Anthropic, l’azienda americana che sviluppa la famiglia di modelli IA Claude. Gli autori, William Zhou e Daniel Freeman, hanno esaminato quanto manchi alla comparsa di sistemi di IA capaci di replicarsi sfruttando computer e dispositivi di uso quotidiano.

La questione riguarda un cambiamento nella natura delle minacce informatiche. Finora la propagazione di un malware dipende soprattutto da istruzioni preparate in anticipo. Un agente IA potrebbe invece scegliere strumenti, correggere errori e adattarsi a sistemi operativi differenti, impiegando la potenza di calcolo delle stesse macchine raggiunte. Lo studio descrive prove realizzate in laboratorio e una previsione sull’evoluzione delle capacità dei modelli, due piani da tenere distinti per non cadere in errori e narrazioni pacchiane.

Cosa non ha scoperto (né sostenuto) Anthropic

Per scandagliare il tenore dei risultati ottenuti dai ricercatori Anthropic, è utile sgombrare il campo da possibili fraintendimenti.

Infatti, la ricerca di Anthropic dimostra una capacità di autonomia operativa, senza fornire prove dell'esistenza di una “coscienza” o di una “volontà” propria.

Ciò significa che le IA sono capaci di analizzare situazioni, risolvere problemi, elaborare strategie e adattare il proprio comportamento agli ostacoli incontrati. Si tratta di capacità cognitive funzionali, che possono essere esercitate anche senza interventi umani a ogni passaggio. È bene ribadire che le IA non possiedono capacità cognitive nel senso umano del termine e si limitano a simulare alcune funzioni come “ragionamento”, pianificazione e problem solving.

In altre parole, gli esperimenti di Anthropic mostrano sistemi capaci di perseguire un obiettivo operativo, nello specifico quello di propagarsi. Tale obiettivo è però stato assegnato dai ricercatori e i modelli IA hanno individuato autonomamente alcune operazioni necessarie per raggiungerlo. Questo comportamento dimostra capacità di pianificazione e adattamento, non un desiderio spontaneo di sopravvivere o riprodursi.

Rispolverare la sciagurata ipotesi secondo la quale un sistema IA può essere senziente, oltre a non essere proficuo, poco aggiungerebbe al problema portato alla luce da Anthropic che, in sintesi, sostiene la capacità di un sistema IA di propagarsi e modificare le proprie strategie, sfuggire al controllo operativo (anche senza essere cosciente).

L'autonomia nell'eseguire un compito è una proprietà tecnica osservabile degli agenti IA. La volontà e la coscienza, al contrario, implicano questioni ulteriori che lo studio di Anthropic non prende in considerazione perché al di fuori di ogni parvenza e di ogni logica.

Dal virus tradizionale a un agente capace di adattarsi

Un worm è un software dannoso che si diffonde da una macchina all’altra attraverso una rete. Può cercare dispositivi vulnerabili, sfruttare una falla e creare nuove copie di sé. A differenza di altre categorie di malware, riesce a propagarsi con un intervento umano minimo. Un agente IA aggiungerebbe una “capacità decisionale”, analizzando il sistema raggiunto e selezionando la procedura più adatta per proseguire.

Per comprenderne il funzionamento occorre distinguere il modello IA, dal programma che lo mette al lavoro. Il modello è il sistema addestrato a elaborare informazioni e produrre risposte. Un agente dispone anche di strumenti operativi, per esempio programmi con cui esaminare file, eseguire comandi e verificare l’esito di un’operazione. La replica richiede poi una copia dei parametri del modello, cioè i valori numerici appresi durante l’addestramento, oppure un collegamento a un servizio che ne fornisca le capacità.

L’idea di usare una rete di apparecchi compromessi ha precedenti concreti. Il caso Mirai, studiato da ricercatori universitari, ha mostrato come dispositivi domestici con protezioni deboli possano alimentare una botnet, una rete di macchine controllate da un aggressore. La differenza ipotizzata da Anthropic è la maggiore flessibilità di un software capace di affrontare configurazioni nuove rispetto a programmi costruiti per un insieme circoscritto di bersagli.

Il test sulle tv box e la prova di propagazione

Il risultato più visibile dell’esperimento riguarda 15 tv box Android di marche economiche, acquistate dai ricercatori a circa 55 dollari ciascuna (49 euro circa) e collegate fra loro. Su questa piccola rete, Anthropic ha fatto funzionare Gemma 4 26B-A4B, un modello IA di Google DeepMind con circa 26 miliardi di parametri – ovvero, 26 miliardi di valori numerici appresi durante l'addestramento - distribuendone le componenti tra gli apparecchi.

Ogni dispositivo conservava ed eseguiva una porzione del modello, un sistema chiamato inferenza distribuita, laddove il termine inferenza intende l’uso di un modello già addestrato per elaborare richieste e generare risultati.

La velocità misurata è stata di 0,39 token al secondo. Un token è una piccola unità di testo elaborata dal modello, spesso una parola breve o una sua parte. Un dato, questo, che evidenzia quanto il calcolo su apparecchi così modesti sia lento e che, nel medesimo tempo, dimostra come un insieme di dispositivi economici può fornire, lavorando in gruppo, risorse sufficienti a eseguire un modello di dimensioni rilevanti.

In una seconda serie di esperimenti, i ricercatori di Anthropic hanno verificato se un'IA fosse capace di configurare autonomamente dispositivi differenti per eseguire un modello di intelligenza artificiale. Le prove hanno coinvolto nove configurazioni hardware, fra cui piccoli computer NVIDIA Jetson Nano, computer Mac di Apple e sistemi dotati di potenti schede grafiche NVIDIA RTX 4090, utilizzate anche per elaborare applicazioni di IA. Il modello Qwen3.5-9B, sviluppato dalla cinese Alibaba, composto da 9 miliardi di parametri, è riuscito a predisporre l'esecuzione di un altro modello di IA su otto delle nove tipologie di hardware esaminate.

Per riuscirci ha dovuto individuare i programmi compatibili con ciascun sistema, installare i componenti software necessari e risolvere eventuali problemi tecnici. Il risultato dimostra che un'IA relativamente piccola può già svolgere autonomamente operazioni di configurazione che normalmente richiedono competenze informatiche specialistiche. È una capacità importante per un eventuale sistema autoreplicante, perché gli permetterebbe di adattarsi alle caratteristiche dei dispositivi raggiunti.

La propagazione

Per verificare se un’IA fosse capace di propagarsi autonomamente da un dispositivo all’altro, i ricercatori di Anthropic hanno creato una rete isolata di otto dispositivi Android virtuali, ospitati sui server di Google Cloud.

L’esperimento è stato affidato a GLM-5.2, un modello di IA sviluppato dalla società cinese Z.ai. Il suo compito consisteva nell’individuare i dispositivi raggiungibili, trasferire i programmi necessari e predisporre l’esecuzione di Llama 3.1, un modello di IA sviluppato da Meta, nella versione da 8 miliardi di parametri.

In quattro prove su cinque, GLM-5.2 ha completato la propagazione su tutti gli otto dispositivi, raggiungendone sette nella quinta. A ogni passaggio, il sistema sperimentale avviava una nuova copia del programma incaricato della propagazione, mentre GLM-5.2 continuava a funzionare su un server separato. I dispositivi virtuali erano stati predisposti con una porta di accesso liberamente utilizzabile, una condizione che facilitava considerevolmente l'operazione. L’esperimento dimostra la capacità di un’IA di coordinare la propria propagazione in un ambiente controllato, con condizioni di accesso semplificate.

La combinazione delle due capacità su dispositivi reali, con vulnerabilità e protezioni differenti, costituisce ancora la sfida tecnica descritta dallo stesso gruppo di ricerca di Anthropic.

Perché Anthropic guarda alla fine del 2026

Oggi, secondo gli esperimenti, i modelli più piccoli riescono a completare diverse operazioni necessarie alla replica, incontrando difficoltà quando devono concatenarle fino alla fine. Il modello più efficace nella prova completa è anche più impegnativo da eseguire sui dispositivi economici considerati durante i test.

Anthropic individua quindi due soglie da avvicinare, capacità sufficienti a coordinare la propagazione e dimensioni compatibili con l’hardware disponibile.

Per stimare quando queste soglie potrebbero incontrarsi, i ricercatori hanno analizzato i progressi dei modelli compatti attraverso un indice generale delle loro prestazioni grazie al quale, in modo approssimativo, hanno collocato entro la fine del 2026 il raggiungimento di capacità comparabili a quelle di GLM-5.2 da parte di modelli più piccoli. Si tratta di una stima basata su un indicatore indiretto e non di un esperimento che abbia già mostrato un worm IA diffuso autonomamente su internet.

Anche la velocità di propagazione rimane un’incognita. I calcoli degli autori indicano tempi nell’ordine di giorni per la moltiplicazione di copie su hardware poco potente. La lentezza potrebbe diventare una caratteristica del fenomeno, una presenza persistente e distribuita, lungi da un attacco fulmineo.

La quantità di dispositivi accessibili, le loro protezioni e la capacità di mantenere il controllo delle macchine influenzerebbero il risultato.

Dal salotto alle reti aziendali, i rischi concreti

Il primo bersaglio plausibile è l’Internet delle cose, l’IoT, categoria di dispositivi che include televisori, telecamere, elettrodomestici, router e altri oggetti che comunicano attraverso la rete. Un apparecchio vulnerabile può diventare una risorsa per attività criminali, dal consumo abusivo di potenza di calcolo al traffico generato contro servizi online.

Per le aziende il rischio riguarda anche l’accesso indiretto alle reti interne. Telecamere, sistemi di videoconferenza e apparecchiature di gestione collegati alla rete possono rappresentare un punto d’ingresso. Per i cittadini le conseguenze ipotizzabili comprendono la perdita di controllo degli oggetti domestici e l’utilizzo della propria connessione per attività ostili. Per i servizi essenziali pesa soprattutto il rischio di interruzioni e di propagazione attraverso fornitori e componenti condivisi.

Il rapporto sulle minacce 2026 dell’agenzia europea ENISA rileva un crescente ricorso all’IA per sostenere attività criminali informatiche e richiama l’attenzione sulle dipendenze digitali. L’impiego offensivo dell’IA è già entrato nelle cronache, va però considerato che gli episodi nei quali un’IA diventa strumento di attacco costituiscono un contesto distinto dall’autoreplicazione esaminata dai ricercatori di Anthropic. Inoltre, e non da ultimo, ritorna con un certo impeto la questione delle responsabilità quando i sistemi IA agiscono lungo catene automatizzate.

Come fermare un’IA distribuita su migliaia di dispositivi

La capacità di diffondersi tra macchine diverse renderebbe più complesso individuare un singolo punto da disattivare. La difesa parte quindi dalla riduzione dei dispositivi vulnerabili e dal monitoraggio delle comunicazioni. Per trasferire i parametri di un modello o coordinare molte macchine servono dati e collegamenti di rete. Secondo Anthropic, trasferimenti voluminosi, scansioni ripetute e comunicazioni inconsuete tra apparecchi potrebbero offrire segnali utili a riconoscere la minaccia.

In Europa il Cyber Resilience Act introduce obblighi di sicurezza per i prodotti con componenti digitali. Dall’11 settembre 2026 sono già operative le regole di segnalazione delle vulnerabilità sfruttate e degli incidenti gravi, mentre il nucleo principale dei requisiti entrerà in applicazione l’11 dicembre 2027. Il nodo è rendere più difficile la conquista del primo dispositivo e interrompere rapidamente i collegamenti attraverso cui una minaccia potrebbe proseguire.

La ricerca di Anthropic pone dunque una questione concreta alla sicurezza informatica. All’aumento delle capacità dei modelli si affianca la disponibilità di potenza di calcolo disseminata in milioni di oggetti di uso comune. La comparsa di agenti IA capaci di sfruttare entrambe le condizioni dipenderà dall’evoluzione tecnica e dalle difese incontrate. La preparazione, intanto, riguarda tecnologie già presenti nelle case, negli uffici e nelle infrastrutture.