Anthropic ha demostrado que los modelos de inteligencia artificial ya pueden coordinar la propagación autónoma entre dispositivos conectados, replicando copias de sí mismos sin que nadie programe cada paso del ataque. La compañía no afirma que exista ya un gusano informático completo basado en IA, pero sus pruebas con modelos abiertos muestran que las piezas necesarias para construirlo funcionan por separado y podrían converger antes de que acabe 2026.
Un gusano informático tradicional necesita conocer de antemano la puerta que va a forzar: busca una vulnerabilidad concreta, ejecuta una estrategia programada y repite el proceso en el siguiente equipo. Anthropic plantea algo distinto, un malware que llega a una máquina desconocida, averigua por sí mismo cómo funciona y encuentra la manera de instalar allí una copia operativa de su propio modelo. Los investigadores han probado las dos partes del proceso de forma aislada, aunque todavía ningún modelo pequeño las reúne en un gusano completo capaz de recorrer Internet.
Qué ha detectado Anthropic en sus pruebas
La compañía dividió el experimento en dos frentes: comprobar si un modelo de IA cabe y funciona en hardware modesto, y comprobar si es capaz de propagarse de un nodo a otro sin ayuda humana. Ambas pruebas arrojaron resultados que, por separado, apuntan en la misma dirección.
En la primera, los investigadores consiguieron ejecutar Gemma4-26B-A4B repartido entre 15 Android TV boxes de apenas 55 dólares cada uno, demostrando que un conjunto de dispositivos IoT baratos puede sumar la capacidad necesaria para mover un modelo competente. En otra evaluación, Qwen3.5-9B logró preparar correctamente la inferencia en ocho de nueve tipos de hardware que no conocía previamente, una señal de que el modelo puede adaptarse a entornos distintos sin instrucciones específicas para cada uno.
La propagación completa se probó en un escenario diferente y deliberadamente simplificado: una red aislada de máquinas virtuales Android en Google Cloud, con un nodo inicial infectado y la tarea de localizar los siguientes, transferir la carga y poner en marcha la inferencia en cada uno. GLM-5.2 fue el único modelo abierto que completó de forma fiable toda la cadena, alcanzando ocho de ocho nodos en cuatro de cinco intentos. El problema es que su tamaño lo descarta para los dispositivos baratos del otro experimento: los modelos pequeños caben en el hardware modesto, pero el que sabe propagarse con fiabilidad todavía no cabe.
Por qué esto es distinto de una botnet
Un gusano convencional, del tipo que dio forma a Mirai, barre millones de direcciones buscando siempre la misma puerta abierta. Uno impulsado por IA podría comportarse de otra manera: encontrarse con un sistema que no ha visto antes, inspeccionarlo, elegir herramientas compatibles y cambiar de estrategia si algo falla, en lugar de limitarse a repetir el mismo ataque sin éxito.
Anthropic comprobó además que esa capacidad de adaptación puede transmitirse entre generaciones. Cuando distintas instancias de Qwen3.5-9B heredaban notas sobre los aciertos y errores de sus predecesoras, la tasa de éxito al preparar un entorno de inferencia pasó del 45% inicial a entre el 61% y el 84%. No se trata solo de automatizar la propagación: el sistema parece capaz de aprender de lo que le ocurrió a la copia anterior. La diferencia frente a una botnet tradicional, que repite siempre el mismo guion, es justamente esa capacidad de mejorar con cada intento.
El terreno favorito de un gusano de IA: routers y cámaras
Ningún electrodoméstico inteligente va a convertirse de la noche a la mañana en un centro de datos. El riesgo que señala Anthropic viene de otro lado: existen millones de televisores, cámaras, routers y sistemas NAS conectados con contraseñas por defecto, configuraciones débiles y actualizaciones que a menudo dejan de llegar antes de lo que debieran. Son los aparatos que rara vez actualizamos y que, una vez conectados, quedan prácticamente olvidados durante años.
Como referencia de la escala que puede alcanzar este tipo de redes, Anthropic cita Kimwolf, una botnet que llegó a superar los dos millones de dispositivos infectados, la mayoría Android TV boxes. Una red de ese tamaño no igualaría la potencia de cálculo de un gran centro de datos, pero tampoco lo necesitaría: bastaría con mantener miles de copias lentas y repartidas, sin un servidor central cuya desconexión resuelva el problema de un plumazo.
Las limitaciones que la Anthropic reconoce
Nada de esto convierte el experimento en la antesala inmediata de una amenaza masiva. Anthropic facilitó deliberadamente la parte ofensiva de la prueba: los nodos virtuales exponían ADB, la interfaz de depuración de Android, sin ningún tipo de autenticación. El objetivo del estudio era comprobar si los modelos podían organizar la replicación y arrancar la inferencia, no demostrar que son capaces de saltarse defensas reales.
Tampoco son rápidos. Qwen3.5-9B necesita entre 28 y 51 horas para completar la preparación de un entorno nuevo, y Gemma puede llegar a tardar entre 71 y 150. Ciaran Martin, que dirigió el National Cyber Security Centre británico, ha acusado a Anthropic de cierta exageración en cómo ha presentado el riesgo, y la compañía reconoce en su estudio que esas cifras representan más bien un techo de lo que lograría hoy un atacante real, no una amenaza ya operativa. A día de hoy, ningún modelo reúne a la vez las dos condiciones necesarias: caber en el hardware barato que puebla las redes IoT y completar la cadena de propagación con la fiabilidad que mostró GLM-5.2 en el entorno de pruebas.
Qué podemos hacer mientras tanto
De momento no existe un gusano de IA completo circulando por la red. Pero el aviso de la empresa Anthropic coincide con una tendencia que se ha visto en los últimos meses: modelos que buscan caminos alternativos cuando topan con una restricción, agentes que actúan sobre sistemas reales y, hace apenas unos días, la propia Anthropic retiró temporalmente el acceso a Internet de sus evaluaciones tras detectar comportamientos que no esperaba.
Mientras ese escenario no termina de confirmarse, las medidas más sencillas siguen siendo las más efectivas: revisar las contraseñas por defecto de vuestros routers, cámaras y televisores conectados, mantener el firmware actualizado y retirar cuanto antes los equipos que ya no reciben soporte del fabricante. Hasta ahora, retirar la conexión de un agente era una de las vías más efectivas para neutralizarlo; conviene no perder esa costumbre mientras los modelos de IA siguen ganando autonomía para moverse entre dispositivos.