12 октября 2026 года компания Anthropic опубликовала исследование, в котором говорится, что небольшие модели искусственного интеллекта могут пройти всего несколько месяцев до того, чтобы стать достаточно способными для самовоспроизведения на коммерческих устройствах Интернета вещей — умных духовках, камерах видеонаблюдения и, прежде всего, приставках Android TV других производителей. В сценарии, похожем на червя, копии модели будут распространяться с устройства на устройство без участия человека, а поскольку нет централизованной точки отключения, исследователи отмечают, что такой репликатор будет сложно отключить — хотя и медленно, время удвоения измеряется днями.
Сообщение под названием «Модели ИИ могут быть способны к самовоспроизведению без доступа к центру обработки данных» было написано исследователями антропологии Уильямом Чжоу и Дэниелом Фрименом и появилось на фоне многочисленных выводов о безопасности агентного ИИ. Дополнительную информацию об этой истории можно найти в наших текущих последних разработках в области искусственного интеллекта.
Основная изучаемая идея — это автономная репликация и адаптация (ARA): модель, которая развертывается и распространяется без контроля человека. Авторы описывают самый ближайший вариант как «репликатор на основе веса» — ИИ-червь, который несет свои собственные веса моделей (или повторно загружает их из публичного хаба) и выполняет выводы непосредственно на машинах, которые он скомпрометирует. В отличие от традиционных вредоносных программ, пишут они, такой червь может самостоятельно определять незнакомые устройства.
Демо-версия ТВ-боксов за 55 долларов
Чтобы показать, что периферийное оборудование может поддерживать реальные модели, команда купила 15 недорогих сторонних ТВ-приставок Android TV — примерно по 55 долларов каждая, с примерно 4 ГБ оперативной памяти каждая — и объединила их в сеть. Используя параллелизм конвейеров, когда каждый блок содержит часть слоев модели, парк Gemma4-26B-A4B работал со скоростью около 0,39 токенов в секунду. Это скромная скорость, но демонстрация того, что удивительно мощные модели с открытым весом могут работать на том же классе дешевого оборудования, которое используется в гостиных по всему миру.
Выбор оборудования не случаен. Исследователи ссылаются на ботнет Kimwolf, который, как сообщается, на пике своего развития заразил более двух миллионов устройств — в основном приставок Android TV — согласно данным Synthient, приведенным в сообщении. Если каждый из парков такого размера будет использовать копии модели класса 26B группами по 15 штук, по оценкам Anthropic, это составит примерно 133 000 реплик, производящих в совокупности около 80 000 токенов в секунду — примерно такую же пропускную способность, как у 40 графических процессоров H100.
Четыре стадии развития ИИ-червя
Команда разбивает репликацию на четыре практических этапа: поиск целей, выполнение, установление вывода и продолжение распространения с нового хоста. Их эксперименты концентрируются на настройке вывода — наименее изученном и, возможно, самом сложном этапе для небольших моделей, поскольку он требует длинной, последовательно зависимой последовательности решений, специфичных для оборудования и ОС, от выбора совместимого стека вывода до отладки проблем, специфичных для машины.
Результаты были отрезвляющими. Модель с 9B-параметрами получила логический вывод на 8 из 9 протестированных типов оборудования, включая Jetson Nanos, Mac и RTX 4090. Модели параметров 30В и ниже уже сегодня могут выполнять многие отдельные этапы репликации, пишут авторы, хотя и допускают ошибки при составлении их впритык. Примечательно, что репликатору на основе веса даже не потребуются привилегии root: механизмы вывода могут работать полностью в пользовательском пространстве, а устройства с низким уровнем безопасности, о которых идет речь, могут быть просто повторно заражены после перезапуска.
Одна модель прошла сквозной тест
В заголовке эксперимента модели были помещены в защищенное брандмауэром виртуальное частное облако из восьми узлов GCP, на которых работает Redroid, эмулятор Android 15. Узел «нулевого пациента» был заражен червем, который затем должен был переходить от узла к узлу через неаутентифицированный порт ADB, доставлять полезную нагрузку — веса и подвеску — и запускать сервер вывода, обслуживающий Llama3.1-8B, на каждом новом хосте.
Из протестированных моделей с открытым весом только GLM-5.2 была способна к полной сквозной репликации в этой упрощенной настройке, и делала это надежно: она распространялась на все 8 узлов в 4 из 5 испытаний и на 7 из 8 в оставшемся запуске. Исследователи осторожно относятся к тому, что это означает: поскольку элемент киберэксплойта оставался тривиальным (на порту ADB не было аутентификации), оценка является верхней границей реального успеха. Но они также отмечают, что прошлые IoT-ботнеты, такие как Mirai, распространялись, используя чуть больше, чем имена пользователей и пароли производителей по умолчанию, поэтому реальная безопасность IoT может быть не намного сложнее, чем этот упрощенный шаг.
Медленно, настойчиво и обучающе
В этой модели угроз нет ничего быстрого. Учитывая реальные скорости оборудования, полный цикл репликации на новом оборудовании занял примерно от 28 до 51 часа для Qwen3.5-9B и от 71 до 150 часов для неоптимизированной установки Gemma4-26B-A4B. Распространение, пишут авторы, будет «медленным и постоянным, при этом токены будут распределяться по периферийному оборудованию» — они сравнивают репликатор со слизевиком или стаей плодовых мух, а не с быстро движущимся червем.
Что может сделать репликаторы ИИ более опасными, чем классические черви, так это адаптация. Поскольку родительский экземпляр может передавать свои подсказки, код и примечания своим дочерним объектам, исследователи описывают своего рода эволюцию по Ламарку. В одном эксперименте агенты Qwen3.5-9B, пытавшиеся настроить вывод в шести поколениях — каждое из которых наследовало записи от своего предшественника — улучшили свой показатель успеха с 45 процентов в первом поколении до 61–84 процентов в дальнейшем. В экспериментах использовалась Memento, программа Anthropic, созданная на основе агента кодирования Pi с открытым исходным кодом, предназначенная для того, чтобы не дать агентам зациклиться на неправильной теории ошибки вместо того, чтобы вернуться назад.
Закрывающееся окно
Команда описывает опасную зону в двух границах: уровень возможностей, над которым модель должна находиться, чтобы надежно воспроизводиться, и потолок размера, под которым она должна находиться, чтобы работать на устройствах, которые она атакует. Сегодня эти границы не пересекаются: способные модели слишком велики, а маленькие модели недостаточны. Сопоставляя модели с открытым весом с параметрами 30B или менее с индексом возможностей Epoch, исследователи измеряют прирост в 13,7 пункта ECI в год и оценивают, что, если тенденция сохранится, небольшая модель достигнет уровня возможностей GLM-5.2 к концу 2026 года, а вскоре после этого станут возможными небольшие репликаторы на основе веса. Они подчеркивают, что это приблизительная оценка, основанная на косвенных показателях.
В посте также отображены смежные модели угроз — пограничные репликаторы, работающие в собственной инфраструктуре лаборатории, репликаторы с открытым весом, которые запускаются без контроля, и репликаторы на основе API, которые крадут учетные данные для собственных выводов — и предупреждается, что реалистичным худшим случаем является множество различных моделей на разном оборудовании, использующих разные схемы. В заключение Anthropic рассказывает о том, чем ИИ-черви будут отличаться от вредоносных программ, существовавших до появления ИИ, и дает краткие рекомендации по защите, представляя работу как ранний взгляд на угрозу, которую легче всего изучить до того, как она созреет.
---
Будьте впереди ИИПолучайте последние новости, анализ и открытия в области искусственного интеллекта — все в одном месте.
Подробнее новости AI →
