Un’AI potrebbe presto copiarsi da sola su TV box e forni smart, avverte Anthropic (e la difesa è noiosa, ma funziona).

Il gruppo di Anthropic che di mestiere prova a far fare ai modelli di AI le cose peggiori, prima che ci pensi qualcun altro, ha messo insieme quindici TV box Android di marche poco note, di quelli che si trovano online a circa 55 dollari l’uno e si attaccano dietro al televisore per guardare lo streaming. Li ha collegati tra loro e ci ha fatto girare sopra, diviso in pezzi, Gemma, un modello di intelligenza artificiale di Google. Andava lentissimo, circa 0,39 token al secondo: un frammento di parola ogni due secondi e mezzo. Però andava.

Lunedì 12 ottobre Anthropic ha pubblicato questo e altri esperimenti in un rapporto con una conclusione poco rassicurante. I modelli piccoli potrebbero essere a pochi mesi dal riuscire a copiarsi da soli sugli oggetti connessi, come i forni smart e i TV box economici, senza nessuno che li guidi e senza bisogno di un data center. Un programma così, scrivono, sarebbe difficile da fermare, perché non c’è un punto centrale da spegnere.

La prima cosa a cui ho pensato è la scatoletta nera che in tante case sta dietro al televisore, attaccata il giorno in cui è arrivata e mai più guardata. Se in casa o in ufficio hai un TV box, una telecamera, un robot aspirapolvere o un forno che si comanda dal telefono, questa storia ti riguarda. Cosa hanno visto davvero è meno di quello che fanno pensare certi titoli, ma abbastanza da non far finta di niente. E per rendere un dispositivo un pessimo posto dove trasferirsi bastano poche cose, parecchio noiose.

Quindici scatolette e un modello che arranca

Il rapporto è firmato da William Zhou e Daniel Freeman, del Frontier Red Team di Anthropic. La domanda da cui partono si dice in una riga: un’AI può fare da sola tutto quello che serve per riprodursi? Cioè trovare un altro dispositivo, entrarci, rimettersi in funzione lì dentro e ripartire da capo, senza che nessuno le dia una mano.

I quindici TV box servivano a rispondere a un pezzo della domanda: se apparecchi così economici, messi insieme, riescono a far girare un modello vero. La risposta è sì, piano. E un modello troppo grande per un solo dispositivo si può spezzare su più macchine che parlano tra loro.

La catena completa i ricercatori l’hanno provata in una rete chiusa di otto dispositivi Android simulati nel cloud, ciascuno con una porta lasciata aperta di proposito: l’accesso di debug, quello che usano gli sviluppatori, senza password. Tra i modelli aperti messi alla prova uno solo, GLM-5.2, è riuscito a fare tutto il giro. In quattro prove su cinque ha raggiunto tutti e otto i dispositivi, nella quinta sette. Gli altri hanno fallito, con la stessa regolarità.

Il dettaglio che mi ha colpito di più però è un altro. In una prova ogni copia di un modello piccolo, Qwen3.5-9B, lasciava degli appunti su cosa aveva tentato, e la copia successiva li ereditava. Nella prima generazione il modello riusciva a rimettersi in funzione nel nuovo dispositivo il 45% delle volte, in quelle dopo tra il 61 e l’84%. Imparava dagli appunti di chi era passato prima.

Bravi o piccoli, per ora non tutte e due

Prima di staccare la spina a mezza casa, c’è il pezzo che molti titoli hanno saltato. Un replicatore completo e fuori controllo, scrive Anthropic, ancora non c’è. I modelli abbastanza bravi da fare tutta la catena sono troppo grandi per stare su un TV box, e quelli abbastanza piccoli da starci non sono ancora abbastanza bravi. Al Jazeera l’ha riassunta così: nessun modello attuale si è dimostrato insieme abbastanza potente e abbastanza piccolo da copiarsi in modo affidabile sul TV box usato nei test.

I modelli da 30 miliardi di parametri in giù, per esempio, sanno già fare molti dei singoli passaggi, ma sbagliano quando devono metterli in fila dall’inizio alla fine. E nei test il passaggio più difficile nella vita reale, cioè entrare in un dispositivo protetto, era stato reso facilissimo apposta. Gli autori lo scrivono chiaro: i loro risultati sono un tetto massimo, e fuori dal laboratorio per l’AI sarebbe più difficile.

Il problema è la direzione. Se i modelli piccoli continueranno a migliorare al ritmo di sempre, secondo il rapporto arriveranno al livello di GLM-5.2 entro la fine di quest’anno. È una stima grezza, e sono loro stessi a dirlo, perché si basa su un indice generale delle capacità dei modelli. Ma la fine dell’anno è tra undici settimane. Roman Yampolskiy, che studia AI e sicurezza informatica all’Università di Louisville, ad Al Jazeera l’ha detta meglio di me: «Oggi questa non è una minaccia esistenziale. Ma la traiettoria è preoccupante».

Un programma senza interruttore

Perché tanta attenzione per un programma che non arriva a mezza parola al secondo? Perché la sua forza sta altrove. Un’AI che si copia da sola non ha bisogno di un centro: ogni copia lavora per conto suo, e se ne spegni una le altre vanno avanti. Anthropic stima che si diffonderebbe piano, raddoppiando nell’arco di giorni. Un’infezione lenta che nessuno sa dove spegnere, però, resta una brutta notizia.

I posti dove andare non mancano. Il rapporto cita Kimwolf, una rete di dispositivi infettati che ha superato i due milioni di apparecchi, quasi tutti TV box Android di marche minori. Su una flotta grande così, calcolano i ricercatori, starebbero circa 133.000 copie di un modello, capaci tutte insieme di produrre circa 80.000 token al secondo: più o meno la potenza di 40 schede da data center. In assoluto è pochissimo, e lo scrivono anche loro. Il rischio sta in uno sciame di programmi lenti che vivono dove nessuno guarda, dietro la televisione o dentro il forno.

E l’elenco dei posti si allunga. Le telecamere di sicurezza e i sistemi per le videoconferenze, scrive Anthropic, escono sempre più spesso con un piccolo chip per l’AI già dentro: potenza di calcolo in più, che probabilmente li renderà bersagli interessanti anche loro.

Come non essere il dispositivo facile

La parte del rapporto che mi piace di più è anche la più semplice. Un replicatore si spegne da solo se, in media, ogni dispositivo infettato riesce a contagiarne meno di uno. È la logica delle epidemie: per fermarlo bastano abbastanza porte chiuse, anche senza un muro perfetto.

Alcune le devono chiudere produttori e operatori. Nel Regno Unito, ricorda il rapporto, gli oggetti connessi venduti con le password predefinite non sono più in regola. E quando, ai tempi di Mirai, un’altra rete di dispositivi infettati, un operatore internet ha avvisato i clienti colpiti e messo in quarantena i loro apparecchi, il 92% delle infezioni è sparito entro 14 giorni, contro il 74% dove nessuno era stato avvisato.

Il resto tocca a noi. Il rapporto non dà consigli a chi ha un forno smart in cucina, quindi questi sono i miei, e sono di una noia mortale.

Conta quello che hai attaccato alla rete

Apri l’app del router, o chiedi a chi te l’ha installato, e guarda l’elenco dei dispositivi collegati. Spesso salta fuori qualcosa che non ricordavi di avere. Quello che non usi più si scollega, e per un forno o una lavatrice vale la pena chiedersi se la funzione smart ti serve davvero.

Il TV box che non si aggiorna va in pensione

I box economici, spiega Anthropic, girano su versioni di Android a cui i produttori non aggiungono protezioni. Se il tuo è di una marca che non conosci e non riceve aggiornamenti da tempo, lo cambierei con uno che li riceve, o userei le app già dentro il televisore. Nel frattempo controlla che nelle opzioni sviluppatore il debug sia spento, e installa app solo dallo store ufficiale.

Cambia la password di fabbrica

Va fatto il primo giorno, quando l’oggetto è appena uscito dalla scatola e hai ancora voglia di smanettarci. Già che ci sei, lascia accesi gli aggiornamenti automatici: sono la parte che lavora anche quando tu ti dimentichi.

Dagli una rete tutta sua

Molti router permettono di creare una rete per gli ospiti. È il posto giusto per gli oggetti smart, lontano dal computer e dal telefono con cui fai l’home banking.

Chi guida un’azienda ha qualche apparecchio in più da contare, a partire dalle telecamere del magazzino e dal sistema della sala riunioni. La regola è la stessa, con una domanda da fare al fornitore prima di comprare: per quanti anni riceverà aggiornamenti di sicurezza? E se l’operatore ti avvisa che un apparecchio sulla tua linea si comporta in modo strano, conviene ascoltarlo.

Quello che voglio lasciarti

Questa volta l’avviso arriva prima del problema, ed è già qualcosa. Anthropic dice che bisogna rendere difficile la diffusione di questi replicatori e, insieme, prepararsi a un mondo in cui ci saranno e resteranno. Detto da chi costruisce modelli di AI, fa un certo effetto.

Se arriverà davvero, un’AI capace di copiarsi da sola non perderà tempo con le porte blindate. Cercherà quelle socchiuse, e le porte socchiuse di solito sono gli oggetti che abbiamo attaccato alla presa anni fa e dimenticato lì.

Le informazioni vengono dal rapporto pubblicato da Anthropic il 12 ottobre e da quanto hanno riportato ANSA, Al Jazeera e ABC News.

E tu, sapresti dire quanti oggetti di casa tua sono collegati a internet, e quando li hai aggiornati l’ultima volta?