Uno studio di Anthropic interroga il significato del controllo sui sistemi di intelligenza artificiale distribuiti: tra capacità dimostrate, scenari di rischio e responsabilità di chi li progetta.
L’interruttore e ciò che non governa
Siamo abituati a considerare lo spegnimento come la prova più semplice del nostro controllo su una macchina. Se qualcosa non funziona, interrompiamo l’alimentazione, chiudiamo il programma oppure disconnettiamo l’apparecchio. È un gesto ordinario, tanto radicato nella nostra esperienza da diventare una metafora: avere il controllo significa poter fermare ciò che abbiamo avviato. Ma questa equivalenza comincia a perdere precisione quando il programma non risiede più in un solo dispositivo, quando può utilizzare risorse diverse e quando una sua copia continua a funzionare altrove anche dopo l’arresto dell’istanza originale.
Il 12 ottobre 2026 William Zhou e Daniel Freeman, del Frontier Red Team di Anthropic, hanno pubblicato una ricerca intitolata AI models may be capable of self-replicating without access to a datacenter. L’indagine non annuncia la comparsa di un’intelligenza artificiale capace di conquistare autonomamente la rete. Studia invece quanto siamo vicini a una condizione più circoscritta e tecnicamente verificabile: l’esecuzione e la propagazione di modelli relativamente piccoli su apparecchi connessi, anche senza ricorrere ai grandi centri di calcolo tradizionalmente associati all’IA.
La differenza è sostanziale. Scambiare uno scenario di rischio per un evento già accaduto significa compromettere proprio quella capacità di valutazione che l’indagine dovrebbe rafforzare.
Che cosa è stato effettivamente dimostrato
I ricercatori hanno separato il problema in alcune operazioni: individuare dispositivi, ottenere la possibilità di eseguire codice, predisporre un ambiente capace di far funzionare un modello e continuare la propagazione. Il lavoro si concentra soprattutto su una parte spesso sottovalutata, cioè la capacità di configurare l’inferenza su hardware differenti. Installare e far funzionare un modello su una macchina sconosciuta richiede infatti scelte relative al sistema operativo, alla memoria, alle librerie e alle incompatibilità tecniche. Sono operazioni nelle quali anche gli agenti più competenti possono fallire.
In una delle prove un modello da circa nove miliardi di parametri è riuscito ad avviare l’inferenza su otto delle nove tipologie di hardware considerate. In un’altra dimostrazione, i ricercatori hanno distribuito l’esecuzione di Gemma4-26B-A4B su quindici economici TV box Android. Il risultato è importante perché mostra che una capacità di calcolo modesta, se aggregata, può comunque ospitare un modello; non significa però che quindici dispositivi domestici siano stati violati o colonizzati da un agente autonomo.
Per esaminare la sequenza completa, Anthropic ha poi predisposto una rete sperimentale isolata di nodi Android emulati, nella quale l’accesso ai dispositivi era volutamente semplificato. In quelle condizioni il modello GLM-5.2 ha completato la propagazione prevista dalla prova con elevata affidabilità. Ma il modello utilizzato per dirigere le operazioni girava su un server separato: l’esperimento verificava la capacità di orchestrare la replica di un modello più piccolo, non la dimostrazione che quel piccolo modello sapesse già replicare autonomamente se stesso nel mondo reale.
Questi limiti non rendono l’esperimento irrilevante. Ne definiscono correttamente il significato. Una prova di fattibilità su alcuni componenti del processo non coincide con la dimostrazione di un sistema completo, stabile e capace di propagarsi indiscriminatamente attraverso Internet.
La difficoltà non è soltanto spegnere
Uno dei punti più interessanti della ricerca riguarda la differenza tra arrestare un’istanza e neutralizzare un fenomeno distribuito. Un servizio ospitato su un solo server può essere sospeso intervenendo sulla sua infrastruttura. Un programma copiato su numerosi dispositivi, invece, non possiede necessariamente un interruttore centrale. Spegnere un nodo non elimina gli altri, e disattivare un account non basta se la sua funzione è stata riprodotta attraverso altri mezzi.
Naturalmente questo non è un problema nato con l’intelligenza artificiale. I worm informatici e le botnet esistono da decenni. Sarebbe scorretto presentare la capacità di diffondersi tra dispositivi come una proprietà inedita dei modelli linguistici. La novità ipotizzata da Anthropic riguarda piuttosto l’adattabilità: mentre molti programmi malevoli tradizionali utilizzano procedure predisposte per specifici bersagli, un agente sufficientemente capace potrebbe affrontare ambienti diversi, scegliere strumenti compatibili e correggere parte degli errori incontrati.
C’è anche un costo operativo che ridimensiona le rappresentazioni più sensazionalistiche. Nelle configurazioni provate, l’inferenza distribuita sui dispositivi economici era estremamente lenta. Gli autori descrivono uno scenario di propagazione misurabile in giorni, non la corsa istantanea di una macchina onnipotente. È una stima dipendente dalle ipotesi sperimentali, non una previsione affidabile della velocità di un’eventuale epidemia digitale futura.
Autonomia non significa volontà
Qui il linguaggio assume un ruolo decisivo. Un software che individua una risorsa, tenta di usarla, copia componenti e prosegue una procedura può operare con un certo grado di autonomia. Questo, però, non autorizza a dedurne una volontà, un desiderio di sopravvivenza o una forma di coscienza. L’autonomia descrive il margine operativo lasciato a un sistema rispetto agli interventi umani necessari per ogni passaggio; la volontà è una nozione diversa, che non emerge dai risultati sperimentali.
Anche l’espressione «si autoreplica» merita precisione. La copia di pesi, codice e procedure è un processo tecnico. Non equivale alla riproduzione biologica, né implica un’identità personale che attraversa i dispositivi. I ricercatori utilizzano la metafora di una specie di organismo digitale diffuso per rendere intuitivo il problema, ma una metafora resta tale: può aiutare a comprendere una dinamica e, nello stesso momento, introdurre somiglianze che non esistono.
Il rischio di confondere questi livelli non è soltanto narrativo. Se attribuiamo alle macchine intenzioni che non sono state dimostrate, finiamo per sottrarre attenzione alle decisioni umane che rendono possibile la situazione: progettazione dei sistemi, scelta degli accessi, pubblicazione dei modelli, vulnerabilità lasciate irrisolte, controlli insufficienti e responsabilità degli operatori.
Il controllo è una proprietà dell’ambiente
La parte forse più utile dello studio è quella dedicata alla difesa. La propagazione non è inevitabile. Reti segmentate, dispositivi aggiornati, credenziali sicure, monitoraggio del traffico e isolamento dei sistemi compromessi possono rendere più difficile la diffusione. In un ambiente distribuito il controllo non coincide necessariamente con un comando impartito una volta per tutte: diventa una capacità collettiva di osservare, contenere e interrompere collegamenti.
Gli stessi autori richiamano esperienze precedenti di contrasto alle botnet, mostrando che il coinvolgimento dei fornitori di connettività e degli utenti può ridurre sensibilmente le infezioni. Non è la prova che ogni futuro worm IA sarebbe eliminabile con le stesse misure, ma è un richiamo importante alla continuità delle pratiche di sicurezza informatica. Prima di immaginare un’entità incontrollabile, dobbiamo chiederci quanti dispositivi siano ancora distribuiti con impostazioni deboli, senza aggiornamenti e senza un responsabile facilmente individuabile.
A questo punto anche la responsabilità si distribuisce, ma non si dissolve. Chi produce hardware e software, chi lo configura, chi ne garantisce la manutenzione, chi sviluppa agenti capaci di utilizzare strumenti e chi definisce le condizioni di esecuzione contribuisce in misura diversa a determinare lo spazio delle possibilità. Nessuno di questi ruoli può essere cancellato attribuendo genericamente ogni conseguenza all’«autonomia dell’IA».
Il diritto di fermare
Resta allora una domanda che va oltre il laboratorio. Se deleghiamo operazioni a sistemi capaci di agire su infrastrutture che non vediamo e che non controlliamo direttamente, quali condizioni devono essere soddisfatte perché quella delega rimanga revocabile? Possiamo chiamarla facoltà di arresto, diritto di intervento oppure reversibilità operativa. Il nome conta meno del requisito: chi autorizza un’azione dovrebbe poter disporre di strumenti effettivi, proporzionati e verificabili per interromperla e limitarne gli effetti.
Come abbiamo già osservato nell’analisi su chi controlla chi controlla l’IA, la possibilità di verificare non coincide automaticamente con il potere di intervenire. Il comando «fermati» non è sufficiente se il sistema non può riceverlo, se altre copie ne proseguono l’esecuzione o se l’ambiente tecnico non consente di individuarle. Eppure non sarebbe corretto concludere che abbiamo perduto ogni possibilità di controllo. Dobbiamo piuttosto riconoscere che il controllo, nelle architetture distribuite, non è un gesto individuale ma un insieme di condizioni progettuali, obblighi, competenze e forme di cooperazione.
La ricerca di Anthropic non dimostra che oggi esista un’IA autonoma impossibile da spegnere. Mostra che alcuni elementi necessari a realizzare sistemi autoreplicanti stanno diventando tecnicamente accessibili e che i ricercatori ritengono plausibile un rapido progresso, pur fondando la previsione su ipotesi incerte. È abbastanza per prendere sul serio la prevenzione; non è abbastanza per raccontare come già presente ciò che resta ancora uno scenario.
Forse è questo il punto filosofico più concreto: il potere di costruire qualcosa non coincide con la capacità di governarne tutte le conseguenze. E la responsabilità umana non comincia quando una macchina smette di obbedire. Comincia molto prima, nel momento in cui decidiamo quali capacità concederle, su quali dispositivi lasciarla operare e quali vie di ritorno abbiamo realmente predisposto.
Fonti e limiti dell’indagine
William Zhou e Daniel Freeman, AI models may be capable of self-replicating without access to a datacenter, Anthropic Frontier Red Team, 12 ottobre 2026. La fonte primaria descrive esperimenti di configurazione dell’inferenza su hardware eterogeneo, una dimostrazione di inferenza distribuita su TV box e una prova di propagazione in ambiente controllato con accesso semplificato. Le ipotesi sulla diffusione futura dei replicatori sono proiezioni degli autori, non osservazioni di infezioni reali.
Reuters, 13 ottobre 2026, sintesi giornalistica e contesto della discussione pubblica. Le considerazioni su revocabilità, delega e responsabilità sono interpretazioni editoriali di Inchiostrati, distinte dai risultati sperimentali.