Gusanos de IA, explicados sin pánico

Un programa que se copia solo

El gusano de Morris, de 1988, es el gusano informático (computer worm) clásico. Lo soltó Robert Tappan Morris, estudiante de posgrado de 23 años en la Universidad Cornell, un año antes de que naciera la web. Atacaba una versión concreta de Unix, pero entraba por varias vías.

Según el FBI, la policía federal de Estados Unidos, no destruyó archivos, pero frenó funciones militares y universitarias vitales y retrasó correos durante días. Días después del ataque nació en Pittsburgh el primer equipo de respuesta a emergencias informáticas del país, y Morris fue el primer condenado por la ley estadounidense de fraude informático de 1986.

Dos familias de gusanos con IA dentro

Treinta y seis años después, el nombre vuelve con IA dentro. Una familia ya se ha demostrado en laboratorio; la otra acaba de medirla Anthropic.

Morris II, el gusano que es un texto

Stav Cohen y Ben Nassi, del Technion, el instituto tecnológico de Israel, en Haifa, y Ron Bitton, de Intuit, publicaron Morris II el 5 de marzo de 2024, en homenaje al gusano de 1988.

Lo probaron con asistentes de correo que usaban Gemini Flash 1.5. Es «de cero clics»: nadie pulsa nada. Cada asistente que lee el texto envenenado lo copia en sus respuestas, extrae datos confidenciales y contagia a los siguientes. Sus autores proponen un filtro para frenarlo, Virtual Donkey.

El gusano que lleva su cerebro a cuestas

Es la segunda familia, la que estudia Anthropic, empresa de seguridad e investigación en IA constituida como corporación de beneficio público, cuyo consejo eligen sus accionistas y su Long-Term Benefit Trust. Según su Frontier Red Team, un gusano así «podría llevar consigo los pesos de su modelo», que pasarían a ser «parte de la carga maliciosa».

El ciclo tiene cuatro pasos: encontrar víctimas, ejecutar código en ellas, poner el modelo a funcionar y seguir desde allí. El estudio se centra en el tercero, la inferencia (inference) en una máquina ajena. Según Anthropic, ni siquiera necesita permisos de administrador.

Una tele barata puede alojar un trozo de modelo

Anthropic conectó 15 cajas de Android TV de marca blanca, de unos 55 dólares y 4 GB de memoria, e hizo funcionar en ellas Gemma4-26B-A4B, de la familia de modelos abiertos Gemma de Google DeepMind, a 0,39 tokens por segundo: dos capas del modelo por caja.

Toma como referencia Kimwolf, una botnet que infectó más de dos millones de aparatos, sobre todo teles Android de marca blanca. Según la empresa, también frigoríficos y hornos inteligentes, robots aspiradores y cortacésped podrían alojar un trozo de un modelo de menos de 30.000 millones de parámetros.

GLM-5.2 llegó a 8 de 8, con la puerta abierta

Anthropic montó una red cerrada de 8 máquinas que emulan Android 15 y soltó el gusano en una: debía saltar por un puerto de depuración sin contraseña y poner a funcionar Llama3.1-8B en cada nodo. De los modelos de pesos abiertos (open weights) probados, solo lo logró GLM-5.2, de Zhipu AI (Z.ai), creadora de la familia de modelos ChatGLM. Fallaron los Qwen de Alibaba Cloud, la nube de Alibaba, y Gemma.

Ojo: GLM-5.2 no se copió a sí mismo. Su propio modelo corría en un servidor aparte y, con la entrada sin contraseña, Anthropic ve el resultado como «una cota superior» del éxito real. La prueba mide si un modelo pequeño igual de capaz podría levantarse a sí mismo.

Lento como un moho

Hoy, según Anthropic, la cuenta no sale: los modelos que caben en una tele de 4 GB no tienen la capacidad de GLM-5.2. Con el índice de capacidades de Epoch AI, organización de investigación sin ánimo de lucro financiada con donaciones, Anthropic calcula que los mejores modelos pequeños ganan 13,7 puntos al año: uno podría llegar a ese nivel a finales de 2026. Lo llama «solo una estimación aproximada».

Y sería lento: más de uno o dos días por copia de un modelo de 9.000 millones de parámetros, como «un moho mucilaginoso o un enjambre de moscas de la fruta». Eso sí, aprende: heredando notas de sus predecesores, Qwen3.5-9B pasó del 45 % de éxito en la primera generación a entre el 61 % y el 84 % en las siguientes, según Anthropic.

Cómo se para: menos de un contagio por aparato

Según Anthropic, se combate como una epidemia: lograr que cada aparato infectado contagie, de media, a menos de uno nuevo, lo que los epidemiólogos llaman bajar el R₀ de 1.

Un gusano así deja huella: descargas de modelos de varios gigas y tráfico constante entre aparatos. Contra Mirai, la botnet de 2016, funcionó la cuarentena de un proveedor de internet que aisló y avisó a sus clientes infectados. En el Reino Unido, las contraseñas de fábrica ya no cumplen la normativa.