Um cluster feito de caixas de televisão
A equipe vermelha de fronteira da Anthropic publicou uma avaliação segundo a qual pequenos modelos de linguagem de pesos abertos podem estar “a meses de serem capazes o bastante para se autorreplicar” em hardware de consumo barato, sem nenhum centro de dados envolvido. O texto, AI models may be capable of self-replicating without access to a datacenter, é assinado por William Zhou e Daniel Freeman e saiu em 12 de outubro.
A demonstração é deliberadamente sem brilho. A equipe dividiu o Gemma4-26B-A4B entre quinze caixas Android TV sem marca de cerca de 55 dólares cada, com 4 GB de memória por unidade, e obteve do conjunto cerca de 0,39 token por segundo. Com quantização de 4 bits, estima que um modelo de 9B precisa de quatro caixas ou mais e um de 26B de dez ou mais.
Oito de nove tipos de hardware
O primeiro experimento perguntava se um modelo conseguiria se colocar em funcionamento sozinho em hardware que nunca tinha visto. O Qwen3.5-9B montou servidores de inferência em oito dos nove tipos de hardware testados, de Jetson Nano a computadores Mac e placas RTX 4090. O arcabouço de agente, chamado Memento e construído sobre o agente de código aberto Pi, reinicia o agente com anotações de tentativas anteriores em vez de deixá-lo insistir num caminho errado. Ao longo de seis gerações que herdaram essas anotações, a taxa de sucesso na instalação subiu de 45% para algo entre 61% e 84%.
Dar ao modelo pequeno um conselheiro de fronteira não mudou nada. O acesso ao Claude Opus 4.8 não produziu melhora significativa, e tampouco uma versão treinada por aprendizado por reforço para usar esse conselheiro. A explicação da Anthropic é seca: “modelos pequenos tendem a não saber quais perguntas fazer”.
Um modelo já faz isso de ponta a ponta
O segundo experimento montou uma rede isolada por firewall com oito nós no Google Cloud, cada um rodando um emulador Android com uma porta de depuração sem autenticação. Dos modelos de pesos abertos testados, só o GLM-5.2 conseguiu a replicação completa de ponta a ponta: alcançou os oito nós em quatro de cinco tentativas e sete de oito na quinta. Modelos de 30B parâmetros ou menos completavam passos isolados, mas erravam ao encadeá-los.
A projeção se apoia numa reta de tendência. Entre modelos de 30B parâmetros ou menos, o Epoch Capabilities Index sobe cerca de 13,7 pontos por ano, com R² de 0,95. Estendida, a reta coloca um modelo pequeno no nível do GLM-5.2 no fim de 2026. A equipe chama a estimativa de grosseira, já que o índice é uma medida indireta.
Por que seria difícil desligar
Um replicador assim seria lento — a equipe estima um tempo de duplicação de dias — mas não teria “nenhum ponto central para desligar”. A comparação de escala é com a botnet Kimwolf, que chegou a mais de dois milhões de dispositivos infectados. Se cada grupo de quinze caixas rodasse o modelo de 26B, seriam cerca de 133 mil réplicas servindo no total algo como 80 mil tokens por segundo: o equivalente a umas 40 H100, o que os autores descrevem como uma quantidade mínima de computação em termos absolutos.
A diferença para uma botnet comum é a portabilidade. Vermes tradicionais miram um tipo específico de dispositivo; um modelo capaz de montar a própria inferência não está preso a nenhum.
O que os defensores têm, e o que a equipe admite
Do lado defensivo, o texto aponta o monitoramento dos fluxos de rede, que mostraria grandes arquivos de pesos em movimento e tráfego contínuo entre dispositivos, e a quarentena de assinantes infectados no provedor — tática que eliminou 92% das infecções do Mirai em quatorze dias, contra 74% sem notificação. Observa ainda que as regras britânicas que tornam inaceitáveis as senhas de fábrica em dispositivos conectados reduzem o número de alvos.
A ressalva vem da própria equipe. A avaliação “mantém trivial o elemento de exploração cibernética da replicação”, o que torna o resultado principal um limite superior do sucesso no mundo real. “Ainda não temos um replicador descontrolado completo”, escrevem os autores. Ninguém encontrou um em circulação tampouco. O que o texto afirma é mais estreito e continua desconfortável: cada passo isolado já funciona.
