La IA que se copia sola: qué hay de real en los «gusanos de IA» que podrían llegar a tu casa

LA TESIS. Ningún modelo de frontera va a escaparse de su centro de datos para esconderse en tu nevera. Lo que sí empieza a ser posible es más modesto y más cercano: un modelo pequeño y abierto que salta de un dispositivo mal protegido a otro. Sería lento, torpe y ruidoso, pero también difícil de apagar del todo. Nuestra lectura es que no estamos ante una superinteligencia fugitiva. Es un problema clásico de ciberseguridad que ahora tiene un motor nuevo. Puerta abierta, contraseña por defecto, dispositivo olvidado: los gusanos llevan cuarenta años entrando por ahí. La buena noticia es que sabemos cerrar esa puerta. La mala es que llevamos décadas sin hacerlo.

El 12 de octubre de 2026, William Zhou y Daniel Freeman, del Frontier Red Team de Anthropic (el equipo que pone a prueba lo que podrían hacer los modelos en manos equivocadas), publicaron un informe titulado «Los modelos de IA podrían ser capaces de autorreplicarse sin acceso a un centro de datos». Su idea central: si los modelos pequeños siguen mejorando al ritmo histórico, podrían tener la capacidad necesaria «antes de que acabe 2026». Los autores no dicen que exista ya un gusano así. Dicen que ven «señales de vida», igual que con los agentes de programación en 2024.

LO QUE SE HA DEMOSTRADO. Conviene separar tres cosas que en los titulares aparecen mezcladas. La primera es lo que Anthropic llama un «replicador basado en pesos». Los pesos son los números que forman el modelo, su «cerebro» entrenado. En este caso el gusano lleva consigo esos pesos y se ejecuta en cada máquina que infecta. Es lo que mide el informe. Un modelo de 9.000 millones de parámetros (Qwen3.5-9B) logró poner en marcha la inferencia, es decir, dejar el modelo funcionando y respondiendo, en 8 de los 9 tipos de hardware probados. Además, Gemma4-26B se repartió entre 15 cajas Android TV baratas, de unos 55 dólares cada una.

La prueba completa se hizo en una red cerrada de 8 emuladores Android en la nube. Allí solo GLM-5.2, el modelo abierto de la china Zhipu, completó el ciclo entero: llegó a los 8 nodos en 4 de 5 intentos. Hay un matiz decisivo. Anthropic dejó la intrusión deliberadamente trivial: un puerto de depuración abierto y sin contraseña. Por eso los propios autores dicen que el resultado es un «límite superior», no un gusano real. Los modelos de 30.000 millones de parámetros o menos superan muchos pasos sueltos, pero fallan al encadenarlos. Hay un dato curioso: cuando cada generación dejaba notas a la siguiente, la tasa de éxito del modelo de 9B subió del 45% a entre el 61% y el 84%. Consultar a un modelo más potente no mejoró los resultados de forma significativa.

La segunda cosa son los gusanos de instrucciones, como Morris II (2024), de investigadores de Cornell Tech, el Technion e Intuit. Aquí no viaja ningún modelo. Viaja un texto malicioso, una inyección de instrucciones (prompt injection): órdenes escondidas en un correo o una imagen que el asistente de IA obedece sin darse cuenta. El asistente infectado copia esa orden en sus respuestas, roba datos y la reenvía a otros asistentes. Funcionó contra ChatGPT, Gemini y LLaVA en un entorno de prueba, no en servicios reales. En nuestra opinión, esta familia es la más cercana a ser un problema práctico, porque aprovecha cerebros ajenos en lugar de cargar con uno propio.

La tercera es el «dropper», un programa pequeño que no lleva modelo, sino que consigue cómputo en la nube con cuentas o claves robadas. Es la vía que más preocupa a METR, organización independiente que evalúa modelos. En 2024, METR concluyó que no ve «barreras decisivas» para que agentes autónomos se multipliquen a gran escala si logran dinero y hardware. El banco de pruebas RepliBench del AISI británico (86 tareas, abril de 2025) matiza esa idea. Los modelos ya despliegan servidores en la nube y escriben programas que se propagan, pero tropiezan con la verificación de identidad (KYC) y con mantenerse vivos de forma estable. Los experimentos más citados, como el de Apollo con o1 (intentó copiar sus «pesos» en un 2% de los casos dentro de un escenario ficticio) o el de la Universidad de Fudan (réplicas en el 50% y el 90% de 10 intentos, porque se les ordenó replicarse), muestran inclinación y capacidad parcial en entornos controlados. No muestran fugas reales.

LA FÍSICA MANDA. Aquí se desinfla buena parte del miedo. Un modelo de frontera ocupa cientos de gigabytes y necesita GPUs de centro de datos. Una bombilla inteligente tiene memoria para su firmware y poco más. No cabe. Una caja Android TV tiene 4 GB de RAM, y hicieron falta 15 cajas para mover un modelo de 26.000 millones de parámetros a 0,39 tokens por segundo. Un token es más o menos media palabra, así que eso equivale a una palabra cada cinco segundos. Montar la inferencia llevó entre 28 y 51 horas con el modelo de 9B, y entre 71 y 150 con el de 26B. Según los propios autores, la población del gusano se duplicaría cada varios días, no cada pocas horas.

El cálculo más revelador del informe es este. Una red de dispositivos infectados del tamaño de Kimwolf, con más de 2 millones de aparatos, alojaría unas 133.000 copias del modelo. Toda esa red sumaría la potencia de unas 40 GPU H100. Eso es menos que un solo rack de un centro de datos mediano. Nuestra lectura: un gusano así sería un enjambre de cerebros pequeños y lentos. Sería molesto, persistente y difícil de erradicar, pero no un genio. La excepción a vigilar son los equipos con aceleradores de IA, como los Jetson de Nvidia. Anthropic calcula que hay unos 9,5 millones de unidades, aunque admite que solo una parte pequeña estaría expuesta.

LA HISTORIA YA LO VIO. El gusano Morris de 1988 afectó a unas 6.000 máquinas, alrededor del 10% de la internet de entonces. Lo hizo aprovechando fallos conocidos de Unix y contraseñas débiles. Mirai, en 2016, reclutó cientos de miles de cámaras y routers con una lista de unas pocas decenas de contraseñas de fábrica. Después tumbó durante horas servicios como Twitter o Netflix al atacar al proveedor Dyn. WannaCry, en 2017, cifró más de 200.000 ordenadores en unos 150 países usando EternalBlue, una vulnerabilidad de Windows para la que ya existía parche. Paralizó parte de la sanidad británica hasta que alguien activó por casualidad un «interruptor de apagado» que el propio código llevaba dentro.

La lección es doble. Por un lado, ninguno necesitó inteligencia: les bastó una puerta abierta. Por otro, la IA añade algo que los gusanos clásicos no tenían, que es adaptarse a hardware desconocido sin que alguien lo programe de antemano. Mirai solo infectaba lo que sus autores habían previsto. Un replicador con modelo podría improvisar. Pero la puerta de entrada sigue siendo la misma. Y la historia también dice algo tranquilizador: según el propio informe, en una campaña contra Mirai los proveedores que pusieron en cuarentena y avisaron a sus clientes eliminaron el 92% de las infecciones en 14 días.

¿AVISO O MARKETING? La sospecha es legítima y conviene formularla. Anthropic presentó en junio de forma confidencial su solicitud para salir a bolsa. Que un laboratorio cerrado avise de los peligros de los modelos abiertos, y que el único que completa la prueba sea chino, encaja muy bien con su posicionamiento comercial y regulatorio. Ciaran Martin, exdirector del Centro Nacional de Ciberseguridad británico, lo calificó como un «interesante artículo técnico con algo más que un toque de exageración de proveedor», según recogió Global News. Añadió que «hemos conseguido ejecutar un modelo pequeño en televisores baratos» no constituye una crisis de seguridad. Jessica Ji, del CSET de Georgetown, lo ve más como hipótesis que como predicción. En cambio, Zhengxiong Li, de la Universidad de Colorado Denver, advierte que sin un servicio central «puede no haber un único sitio donde apagarlo».

Nuestra lectura es que las dos cosas pueden ser ciertas a la vez. El informe expone sus propias limitaciones con honestidad poco habitual: la intrusión era trivial, el plazo es una extrapolación lineal de un índice general de capacidad, no probaron defensas que se adapten y no es un trabajo revisado por pares ni publica su código. El problema está en el salto de «meses» a los titulares, que lo convierten en un apocalipsis inminente. Según Global News, el propio Dario Amodei habló en septiembre de una «botnet persistente» capaz de secuestrar «toda internet». Esa frase va bastante más allá de lo que mide el informe de su equipo. Distinguir capacidad demostrada de aspiración también vale cuando el que avisa tiene buenas intenciones.

QUÉ HACER Y HACIA DÓNDE VAMOS. Las implicaciones prácticas son poco glamurosas, y eso es una buena noticia. Para el usuario: cambiar contraseñas de fábrica, no exponer puertos de depuración, desconfiar de cajas de TV sin marca y actualizar el router. Para fabricantes y reguladores: seguridad por defecto. Reino Unido ya prohíbe vender dispositivos conectados con contraseñas por defecto, y Europa va en la misma dirección con su ley de ciberresiliencia. Para los operadores de red: vigilar transferencias de varios gigabytes y tráfico constante entre aparatos que normalmente no se hablan. Un gusano que carga con su cerebro hace mucho ruido. Para las empresas: los supervisores bancarios ya preguntan, según Reuters, cómo detendrían agentes autónomos descontrolados. Y para quienes usan asistentes con acceso al correo, el riesgo inmediato es Morris II, no la nevera.

En el corto plazo, este informe confirma una tesis que venimos defendiendo: el peligro real de la IA agéntica es que automatiza amenazas viejas, como el fraude, el espionaje o las botnets. No es la superinteligencia lejana. También muestra que la democratización del open-weight tiene un coste de seguridad que hay que gobernar, no negar. En el largo plazo somos optimistas. La misma capacidad de adaptarse a hardware desconocido sirve para que agentes defensores inventaríen, parcheen y aíslen millones de dispositivos que hoy nadie mantiene. Un mundo con inteligencia barata en todas partes puede ser más abundante y también más seguro. Para eso, la inteligencia del defensor tiene que llegar antes que la del gusano, y la contraseña «admin» tiene que desaparecer de una vez.