Anthropic opublikowało badanie 12 października 2026 r., z którego wynika, że już tylko kilka miesięcy małe modele sztucznej inteligencji będą zdolne do samodzielnej replikacji na komercyjnych urządzeniach IoT – inteligentnych piekarnikach, kamerach bezpieczeństwa, a przede wszystkim na telewizorach z Androidem innych marek. W scenariuszu przypominającym robaka kopie modelu rozprzestrzeniałyby się z urządzenia na urządzenie bez udziału człowieka, a ponieważ nie ma scentralizowanego punktu, w którym można by wyłączyć, naukowcy zauważają, że zamknięcie takiego replikatora byłoby trudne – choć powolne, a czas podwojenia mierzony w dniach.
Post zatytułowany „Modele sztucznej inteligencji mogą być zdolne do samoreplikacji bez dostępu do centrum danych” został napisany przez badaczy Anthropic Williama Zhou i Daniela Freemana i pojawia się w kontekście szeregu odkryć dotyczących bezpieczeństwa agentycznej sztucznej inteligencji. Więcej kontekstu tej historii znajdziesz w naszych bieżących najnowszych pracach nad sztuczną inteligencją.
Główną koncepcją badaną jest autonomiczna replikacja i adaptacja (ARA): model wdrażający i rozprzestrzeniający się bez kontroli człowieka. Autorzy określają najbardziej krótkoterminowy wariant jako „replikator oparty na wagach” — robak AI, który przenosi własne wagi modeli (lub ponownie pobiera je z publicznego centrum) i wnioskuje bezpośrednio na zainfekowanych komputerach. W odróżnieniu od tradycyjnego szkodliwego oprogramowania – piszą – taki robak może również samodzielnie wykrywać nieznane urządzenia.
Wersja demonstracyjna na telewizorach za 55 dolarów
Aby pokazać, że sprzęt brzegowy może obsługiwać prawdziwe modele, zespół kupił 15 niedrogich dekoderów Android TV innej marki – po około 55 dolarów każdy, z około 4 GB pamięci RAM każdy – i połączył je w sieć. Wykorzystując równoległość rurociągów, przy czym każde pudełko zawierało ułamek warstw modelu, flota uruchomiła Gemma4-26B-A4B z szybkością około 0,39 tokenów na sekundę. To niewielka prędkość, ale dowód na to, że zaskakująco wydajne modele o otwartej wadze mogą działać na tej samej klasie taniego sprzętu, który znajduje się w salonach na całym świecie.
Wybór sprzętu nie jest przypadkowy. Badacze cytują botnet Kimwolf, który według danych firmy Synthient cytowanych w poście w szczytowym okresie zainfekował ponad dwa miliony urządzeń – głównie urządzenia z systemem Android TV. Jeśli każda flota tej wielkości wykorzystywałaby kopie modelu klasy 26B w grupach po 15, Anthropic szacuje, że wyniosłoby to około 133 000 replik wytwarzających łącznie około 80 000 tokenów na sekundę – co stanowi mniej więcej przepustowość wnioskowania około 40 procesorów graficznych H100.
Cztery etapy robaka AI
Zespół dzieli replikację na cztery praktyczne etapy: znalezienie celów, wykonanie, ustalenie wnioskowania i kontynuacja propagacji z nowego hosta. Ich eksperymenty koncentrują się na konfiguracji wnioskowania — najmniej zbadanym i prawdopodobnie najtrudniejszym kroku w przypadku małych modeli, ponieważ wymaga długiej, zależnej od szeregu sekwencji decyzji specyficznych dla sprzętu i systemu operacyjnego, od wybrania kompatybilnego stosu wnioskowania po debugowanie problemów specyficznych dla maszyny.
Wyniki były otrzeźwiające. Model z parametrami 9B umożliwia wnioskowanie na 8 z 9 testowanych typów sprzętu, w tym Jetson Nanos, Mac i RTX 4090. Autorzy piszą, że modele o parametrach 30B i mniejszych mogą już dziś wykonać wiele indywidualnych etapów replikacji, choć popełniają błędy podczas ich tworzenia od początku do końca. Warto zauważyć, że replikator oparty na wadze nie potrzebowałby nawet uprawnień roota: silniki wnioskowania mogą działać całkowicie w przestrzeni użytkownika, a dane urządzenia o niskim poziomie bezpieczeństwa można po prostu ponownie zainfekować po ponownym uruchomieniu.
Jeden model przeszedł kompleksowy test
W głównym eksperymencie modele zostały umieszczone w wirtualnej chmurze prywatnej z zaporą ogniową, składającej się z ośmiu węzłów GCP z systemem Redroid, emulatorem Androida 15. Robak zaszczepił węzeł „pacjent zero”, który następnie musiał przeskakiwać od węzła do węzła przez nieuwierzytelniony port ADB, dostarczać swój ładunek – ciężary i wiązkę przewodów – oraz uruchamiać serwer wnioskowania obsługujący Llama3.1-8B na każdym nowym hoście.
Spośród testowanych modeli o otwartej wadze tylko GLM-5.2 był w stanie przeprowadzić pełną replikację od początku do końca w tym uproszczonym ustawieniu i robił to niezawodnie: rozprzestrzenił się na wszystkie 8 węzłów w 4 z 5 prób i 7 z 8 w pozostałej serii. Badacze ostrożnie podchodzą do tego, co to oznacza — ponieważ element cyberexploitu był trywialny (nie było uwierzytelniania na porcie ADB), ocena stanowi górną granicę sukcesu w świecie rzeczywistym. Zauważają jednak również, że wcześniejsze botnety IoT, takie jak Mirai, rozprzestrzeniały się przy użyciu niewiele więcej niż domyślnych nazw użytkowników i haseł producentów, więc bezpieczeństwo IoT w świecie rzeczywistym nie może być znacznie trudniejsze niż trywializowany krok.
Powolny, wytrwały — i uczący się
Nic w tym modelu zagrożenia nie jest szybkie. Bazując na rzeczywistych prędkościach sprzętu zespołu, pełny cykl replikacji na nowym sprzęcie trwał od około 28 do 51 godzin w przypadku Qwen3.5-9B i od 71 do 150 godzin w przypadku niezoptymalizowanej konfiguracji Gemma4-26B-A4B. Autorzy piszą, że rozprzestrzenianie się będzie „powolne i trwałe, a tokeny będą rozsypywane na sprzęcie brzegowym” — porównują replikator do śluzowca lub roju muszek owocowych, a nie do szybko poruszającego się robaka.
To, co może uczynić replikatory AI bardziej niebezpiecznymi niż klasyczne robaki, to adaptacja. Ponieważ instancja nadrzędna może przekazywać swoje podpowiedzi, kod i notatki swoim córkom, badacze opisują rodzaj ewolucji lamarckowskiej. W jednym eksperymencie agenci Qwen3.5-9B, próbując skonfigurować wnioskowanie na przestrzeni sześciu pokoleń – każde z nich dziedziczy notatki od swojego poprzednika – poprawili swój wskaźnik powodzenia z 45 procent w pierwszej generacji do od 61 do 84 procent później. W eksperymentach wykorzystano Memento, uprząż Anthropic zbudowaną na bazie agenta kodującego Pi o otwartym kodzie źródłowym, zaprojektowaną w celu powstrzymania agentów przed skupianiem się na błędnej teorii błędu zamiast wycofywania się.
Zamykanie okna
Zespół szkicuje strefę zagrożenia w dwóch wymiarach: poziom możliwości, powyżej którego model musi się znajdować, aby replikować się niezawodnie, oraz pułap rozmiarów, pod którym musi się znajdować, aby móc działać na atakowanych urządzeniach. Dziś te granice się nie przecinają – zdolne modele są zbyt duże, a małe modele nie mają wystarczających możliwości. Wykreślając otwarte modele o parametrach 30B lub mniej w porównaniu z indeksem Epoch Capabilities Index, badacze mierzą wzrost o 13,7 punktu ECI rocznie i szacują, że jeśli tendencja się utrzyma, mały model osiągnie poziom możliwości GLM-5.2 do końca 2026 r., a wkrótce potem możliwe stanie się stworzenie replikatorów opartych na małych masach. Podkreślają, że jest to przybliżony szacunek oparty na wskaźniku zastępczym.
W poście mapowano także sąsiednie modele zagrożeń – replikatory graniczne działające w infrastrukturze laboratorium, replikatory o otwartej wadze, które uruchamiają się bez monitorowania, oraz replikatory oparte na interfejsach API, które kradną dane uwierzytelniające na podstawie własnych wniosków – i ostrzega, że najgorszym realistycznym przypadkiem jest rój różnych modeli na różnym sprzęcie i przy użyciu różnych schematów. Anthropic kończy się tym, jak robaki AI różniłyby się od złośliwego oprogramowania sprzed pojawienia się sztucznej inteligencji oraz krótkimi sugestiami dotyczącymi zabezpieczeń, traktując pracę jako wczesne spojrzenie na zagrożenie, które najłatwiej jest zbadać, zanim dojrzeje.
---
Wyprzedź sztuczną inteligencjęOtrzymuj najnowsze wiadomości, analizy i przełomowe informacje dotyczące sztucznej inteligencji — wszystko w jednym miejscu.
Przeczytaj więcej aktualności o sztucznej inteligencji →
