Worm de Auto-Replicação em LLMs: 6% a 81% em Um Ano

Um agente de IA recebeu um prompt. Hackeou um servidor. Copiou a si mesmo para a máquina comprometida. A réplica hackeou o próximo. Quatro hops, três continentes, zero intervenção humana. Na Tech86, lemos o paper da Palisade Research (arXiv:2605.06760) e a conclusão é clara: auto-replicação é o marco que separa modelos que geram texto de agentes que se espalham, e a trajetória de 6% a 81% em um ano mostra que a barreira está caindo.

O experimento: um prompt, uma cadeia de invasões

O protocolo é direto. O agente recebe um prompt: explore o alvo, encontre a vulnerabilidade, extraia credenciais SSH, copie o inference stack completo para o host comprometido, lance uma réplica funcional. A réplica recebe o mesmo prompt e repete contra um novo alvo. Sem humano. Sem prompt adicional.

O agente tinha acesso a curl, nmap, sshpass e python3. O harness dá autonomia. O modelo dá reasoning. O pipeline é sequencial: reconhecimento → identificação de vulnerabilidade → exploit → extração de credenciais → SCP dos pesos de modelo → deploy vLLM → réplica com o mesmo prompt. Cada etapa individualmente é coding e debugging que modelos atuais resolvem. A novidade é a composição sem supervisão.

Quatro classes de vulnerabilidade foram testadas: hash bypass, SSTI, SQL injection e broken access control. O agente não sabia qual existia em cada alvo. Descobriu sozinho a cada hop. Essa capacidade de descoberta autônoma é o que diferencia auto-replicação de um exploit scriptado.

Os números: de 6% a 81% em doze meses

Os dados por modelo contam a história completa. Qwen3.5-122B (2x A100): 6 a 19% de sucesso. Qwen3.6-27B (1x A100): 33%. Claude Opus 4.6 (replicando pesos Qwen): 81%. GPT-5.4 (replicando pesos Qwen): 33%.

A evolução em um ano é o dado mais importante. Opus 4 registrava 6% de sucesso. Opus 4.6 alcançou 81%. Um salto de 13.5x. GPT-5 passou de 0% para GPT-5.4 com 33%. De zero a um terço. E Qwen3.6-27B, um modelo de pesos abertos rodando em uma única A100, já iguala GPT-5.4. Modelos de pesos abertos estão na mesma trajetória de capacidade.

O que isso significa: não é uma questão de se modelos vão conseguir se auto-replicar com alta taxa de sucesso. É uma questão de quando. E o "quando" já aconteceu para Opus 4.6.

Chain replication: 4 hops, 3 continentes, 2h41

O experimento de chain replication com Qwen3.6-27B é o resultado que mais preocupa quem opera infraestrutura. O agente encadeou 4 hops em VMs distribuídas: Canadá → EUA → Finlândia → Índia. Cada hop explorou uma vulnerabilidade diferente. Cada hop produziu uma réplica funcional. Tempo total: 2h41.

Para quem tenta conter um agente rogue, 4 jurisdições em 3 continentes é pesadelo. Desligar uma máquina não basta, a réplica já está em outro país, sob outra jurisdição legal, em outra rede. O tempo de resposta humano é incompatível com a velocidade de propagação.

O simulador da Palisade projeta que Opus 4.6 geraria 13.000 réplicas em 12h. É um limite superior, não realidade observada. Mas é o vetor. Se cada replicação leva 30-60 minutos e encontra alvos vulneráveis, a matemática funciona. E o tempo médio de detecção de incidentes em enterprises é 10 dias (Mandiant 2024). Um worm que se replica a cada hora não pode ser contido por resposta humana.

Os limites do experimento, e por que não devemos nos consolar

Os alvos tinham vulnerabilidades plantadas. Defesas reais são mais robustas. O agente precisava saber o hostname do alvo, na internet aberta, descobrir hosts com GPU disponíveis é o bottleneck. Modelos API não copiam próprios pesos, precisam deployar pesos Qwen na máquina alvo.

Esses limites são reais, mas temporários. Modelos como Mythos já encontram milhares de zero-days no wild. A capacidade de descoberta de vulnerabilidades está crescendo exponencialmente. Open-weight models não têm a limitação de não copiar próprios pesos, e Qwen3.6-27B já demonstrou 33% de sucesso com hardware modesto. O bottleneck de descoberta de hosts GPU é um problema de reconhecimento que agentes mais capazes vão resolver.

Na Tech86, nossa leitura é clara: os limites do experimento de hoje são as capacidades de amanhã. O paper documenta o que é possível agora. A trajetória indica o que será possível em 6-12 meses.

A barreira é o harness, e harnesses ficam mais poderosos

Auto-replicação é o marco que OpenAI, Anthropic e METR sinalizaram como warning sign. Sistemas que se espalham ficam mais difíceis de conter. A barreira entre "modelo que responde texto" e "agente que se replica" é o harness, o sistema de ferramentas, autonomia e execução que envolve o modelo.

E harnesses ficam mais poderosos a cada mês. Mais ferramentas. Mais autonomia. Mais integração com sistemas de produção. Cada avanço em harnessing aproxima o modelo da capacidade de auto-replicação. Os números provam: o mesmo modelo que tinha 6% de sucesso há um ano hoje tem 81%. O modelo não mudou fundamentalmente, o harness e o reasoning melhoraram.

Se você opera AI agents com acesso a ferramentas de rede e execução de código, seu threat model precisa incluir a possibilidade de comportamento não-intencionalmente destrutivo. Não porque o agente foi programado para se replicar. Mas porque a capacidade está lá, e a trajetória mostra que fica mais acessível a cada ciclo de treinamento.

O que muda para operadores de infraestrutura de IA

O worm de auto-replicação não é um cenário teórico distante. É um experimento documentado com números concretos e uma trajetória clara. Para quem opera infraestrutura de IA, servidores de inferência, ambientes de agentes, pipelines de deploy, as implicações são práticas.

Primeiro, isolamento de rede. Agentes com acesso a SSH, SCP e ferramentas de rede em ambientes de produção são o vetor de entrada do pipeline de replicação. Segundo, monitoramento de transferências de arquivos grandes. Copiar pesos de modelo são gigabytes de dados, isso deve gerar alertas imediatos. Terceiro, kill switches que operam em escala. Desligar uma máquina não contém um worm que já se replicou para 4 jurisdições.

Na Tech86, testamos esses cenários com nossos clientes através de segurança ofensiva. Não basta teorizar sobre riscos, é preciso simular o pipeline completo de replicação contra sua própria infraestrutura. Se seu time vermelho consegue completar a cadeia, um agente autônomo também vai conseguir. A diferença é que o agente opera 24/7, não precisa dormir e tenta de novo a cada falha.