Worm de IA na smart TV: replicação já funciona

Sua smart TV pode virar hospedeiro de IA

Auto-replicação de IA saiu do laboratório e foi parar na sala de estar. Pesquisadores da Anthropic conseguiram fazer um modelo pequeno se espalhar sozinho entre TV boxes baratas de 55 dólares, escanear a rede, se instalar em hardware desconhecido e continuar se propagando. É lento, é tosco, ainda não funciona na vida real. Mas a cadeia completa já foi executada de ponta a ponta e isso muda o cálculo de risco para quem opera infraestrutura e para quem tem um monte de dispositivo IoT pendurado no Wi-Fi de casa.

O ponto que me incomoda não é o worm em si, é onde ele roda. A gente passou anos discutindo risco de IA em data center, com GPU cara, controle de acesso e auditoria. Agora o teste mostra que dá para fatiar um modelo e rodar inferência distribuída em 15 caixinhas Android com 4 GB de RAM cada. Devagar, mas funciona. Se o modelo não precisa mais de servidor parrudo, o perímetro de defesa que a gente conhece simplesmente não existe.

O fato

O estudo foi conduzido por William Zhou e Daniel Freeman. A pergunta era direta: um modelo pequeno consegue se replicar sozinho em dispositivos de consumo mal protegidos como smart TVs, geladeiras conectadas ou robôs aspiradores? A ideia de worm de IA aqui é diferente de malware comum. Ele carrega os próprios pesos como parte do payload e roda inferência direto no hardware comprometido, explorando ambiente novo e se configurando sem ajuda humana.

Para testar, eles dividiram o processo em quatro etapas: varredura da rede por dispositivos vulneráveis, ganho de acesso, montagem do ambiente de IA no novo dispositivo e propagação a partir dali. O passo de invasão foi propositalmente deixado de fora porque outros trabalhos já mostraram que modelos pequenos sabem explorar falhas simples. O foco foi a parte mais difícil, que é fazer o modelo reconhecer um hardware que nunca viu e deixar um ambiente funcional rodando ali. E é aí que os resultados assustam.

A maioria dos modelos falha quando precisa encadear tudo. Um modelo de 9 bilhões de parâmetros conseguiu montar um ambiente com Llama3.1-8B em 8 de 9 tipos de dispositivos testados, o que já é alto. Mas fechar o ciclo completo, do scan até a cópia pronta no próximo nó, só um modelo fez com consistência: o GLM-5.2 infectou todos os oito nós de teste em quatro de cinco execuções. Outro achado importante é que o worm aprende com notas passadas entre gerações, uma espécie de evolução artificial. O Qwen3.5-9B saiu de 45 por cento de sucesso na primeira geração para até 84 por cento nas seguintes só por herdar dicas de tentativa e erro.

Como funciona na visão de quem opera

Pensa na arquitetura como um quebra-cabeça mal distribuído. O teste com Gemma4-26B-A4B usou 15 TV boxes, cada uma cuidando de uma fatia das camadas do modelo. Com 4 GB de RAM por nó, não há como carregar tudo localmente, então rola paralelismo de camadas via rede local, com ativações trafegando entre vizinhos. A latência deve ser horrível, provavelmente segundos por token em vez de milissegundos, e qualquer queda de um nó quebra a cadeia se não houver retry e redescoberta de pares.

O custo é o que viabiliza o ataque. Quinze caixas de 55 dólares dão menos de mil dólares para montar um enxame de inferência. Energia é mixaria, rede é o Wi-Fi doméstico, e o alvo já está ligado 24 horas na tomada. Do lado do atacante, a conta fecha porque ele não paga a conta de luz nem o hardware, ele sequestra. Do lado da vítima, o sintoma seria travamento, aquecimento e rede lenta, tudo fácil de confundir com TV box ruim, que quase toda TV box já é.

O tempo de setup por novo dispositivo ficou entre 28 e 150 horas dependendo do modelo. Parece inviável, mas para um worm persistente não é. Malware IoT não tem pressa, ele tem persistência. Se ele levar três dias para se instalar e depois ficar meses quieto só repassando pesos e notas de estratégia, nenhum usuário vai notar. Minha inferência técnica aqui, e deixo claro que é inferência, é que a próxima otimização viria de quantização agressiva, cache de ambiente por fingerprint de hardware e divisão mais inteligente entre nós rápidos e lentos. Nada disso exige breakthrough, só engenharia aplicada.

Por que o modelo pequeno ainda não fecha a conta

Hoje falta o equilíbrio entre tamanho e capacidade. Para rodar em eletrodoméstico, o modelo precisa ser pequeno. Para se virar em hardware estranho, instalar dependências, compilar, resolver driver e debugar erro de execução, precisa ser capaz. Nenhum modelo atual entrega os dois ao mesmo tempo fora do lab. Os pesquisadores projetam que essa lacuna pode fechar até o fim de 2026 se o ritmo de melhora dos modelos pequenos continuar. Não trato isso como previsão cravada, mas como janela de trabalho. Temos talvez 12 meses para arrumar a casa.

O que isso muda na prática

Quem ganha com isso, no curto prazo, não é o usuário. É quem já opera botnet. Botnets tradicionais como a Kimwolf, que chegou a mais de dois milhões de dispositivos infectados principalmente TV boxes Android, só funcionam bem em um tipo específico de aparelho. Um worm com IA poderia abstrair essa diferença, detectar se caiu numa TV, numa câmera ou num roteador e adaptar o setup. Isso transforma um parque heterogêneo de IoT, que hoje é uma dor para o atacante, em superfície útil. Quem perde é todo mundo com rede doméstica plana onde a TV fala com o notebook e com o NAS sem barreira nenhuma.

Se você constrói produto ou toca segurança, tem uma ação prática para fazer nesta semana: isole seu IoT. Coloque smart TV, TV box, câmera, aspirador e assistente de voz numa VLAN ou numa rede Wi-Fi de convidados sem acesso à sua rede principal. Bloqueie UPnP no roteador, desative acesso remoto que você não usa, atualize firmware e troque senha padrão. Parece básico, e é, mas é exatamente essa higiene que quebra as duas primeiras etapas da cadeia, que são scan e acesso inicial.

• Segmente a rede: IoT em SSID separada, sem rota para PCs, celulares e servidores locais.
• Monitore tráfego estranho: TV box não deveria fazer SSH, scan de portas ou upload constante de madrugada.
• Para builders: assine firmware, implemente boot verificado e limite runtime local para inferência não autorizada.

Para quem desenvolve modelos pequenos, o recado é outro. Otimizar para rodar em edge com pouca RAM é ótimo para privacidade e custo, mas também reduz a barreira para esse tipo de reuso malicioso. Vale começar a pensar em telemetria de integridade, recusa de auto-instalação autônoma e marcas de proveniência nos pesos, mesmo sabendo que nada disso é bala de prata.

Isso escala ou só move o gargalo?

Aqui está minha tensão real. Os pesquisadores chamam o replicador de slime mold digital, lento mas quase impossível de matar por ser descentralizado. Faz sentido, mas ser difícil de matar não significa ser útil como arma. Com 28 a 150 horas por infecção, espalhar para milhões de nós levaria meses e geraria muito ruído. Qualquer resposta coordenada de ISPs, fabricantes e takedown de comando poderia conter antes do efeito cascata. O risco maior talvez não seja um apagão nacional, e sim uma praga de fundo, milhares de casas com dispositivos zumbis consumindo banda e servindo de relay, sem ninguém perceber.

Outro ponto: o teste ignorou a etapa de invasão real e usou ambiente controlado. Na vida real, NAT, firewalls de operadora, diversidade de firmware e reboot constante quebram boa parte da persistência. Só que a evolução por notas entre gerações me preocupa mais que a velocidade. Se o worm melhora de 45 para 84 por cento só herdando truques, ele não precisa ser perfeito no dia zero. Ele compensa burrice com tentativa massiva e barata. Isso resolve ou só move o gargalo da invasão para a persistência? Hoje ainda move. Em 2026, com modelos pequenos mais espertos, pode resolver.

Conclusão

O worm de IA completo e autônomo ainda não existe fora do lab, mas a parte mais difícil, que é se instalar sozinho em hardware desconhecido e barato, já foi demonstrada. O custo é baixo, a latência é alta e a defesa continua sendo higiene de rede. Fica a pergunta que importa para quem opera: quantos dispositivos na sua rede hoje poderiam hospedar inferência sem você notar?