Anthropic опублікував дослідження 12 жовтня 2026 року, в якому стверджується, що малі моделі ШІ можуть залишитися лише за кілька місяців до того, щоб самостійно відтворюватися на комерційних пристроях Інтернету речей — розумних печах, камерах безпеки та, перш за все, сторонніх приставках Android TV. У червоподібному сценарії копії моделі будуть поширюватися від пристрою до пристрою без участі людини, і оскільки немає централізованої точки для вимкнення, дослідники відзначають, що такий реплікатор буде складно вимкнути — хоча й повільно, із часом подвоєння, який вимірюється днями.
Публікація під назвою «Моделі штучного інтелекту можуть бути здатними до самовідтворення без доступу до центру обробки даних» була написана дослідниками Anthropic Вільямом Чжоу та Деніелом Фріманом і з’явилася на тлі великої кількості висновків щодо безпеки агентного штучного інтелекту. Щоб дізнатися більше про цю історію, перегляньте наші поточні останні розробки ШІ.
Основною ідеєю дослідження є автономна реплікація та адаптація (ARA): модель, яка розгортається та поширюється без контролю людини. Автори описують найбільш найближчий варіант як «реплікатор на основі ваги» — хробак ШІ, який переносить власні ваги моделі (або повторно завантажує їх із загальнодоступного центру) і виконує висновки безпосередньо на машинах, які він скомпрометував. На відміну від традиційного шкідливого ПЗ, пишуть вони, такий хробак також може самостійно розпізнавати незнайомі пристрої.
Демонстраційна версія телеприставок за 55 доларів
Щоб показати, що периферійне обладнання може підтримувати реальні моделі, команда придбала 15 недорогих сторонніх приставок Android TV — приблизно по 55 доларів кожна, з приблизно 4 ГБ оперативної пам’яті кожна — і об’єднала їх у мережу. Використовуючи паралелізм конвеєрів, коли кожна коробка містить частину шарів моделі, парк запустив Gemma4-26B-A4B зі швидкістю приблизно 0,39 жетонів на секунду. Це скромна швидкість, але демонстрація того, що напрочуд потужні моделі відкритого типу можуть працювати на тому ж класі дешевого обладнання, яке заповнює вітальні по всьому світу.
Вибір фурнітури не випадковий. Дослідники посилаються на ботнет Kimwolf, який, як повідомляється, заразив понад два мільйони пристроїв на піку свого розвитку — в основному Android TV-приставки — згідно з даними Synthient, цитованими в публікації. Якби флот такого розміру запускав копії моделі класу 26B у групах по 15, за оцінками Anthropic, це становитиме приблизно 133 000 копій, які створюватимуть близько 80 000 токенів за секунду в сукупності — приблизно така пропускна здатність приблизно 40 графічних процесорів H100.
Чотири стадії AI-хробака
Команда розбиває реплікацію на чотири практичні стадії: пошук цілей, отримання виконання, створення висновку та продовження розповсюдження з нового хоста. Їхні експерименти зосереджені на налаштуванні логічного висновку — найменш вивченому та, мабуть, найскладнішому етапі для невеликих моделей, оскільки він вимагає довгої послідовно залежної послідовності рішень, що стосуються апаратного забезпечення та ОС, від вибору сумісного стеку висновків до налагодження проблем, пов’язаних із машиною.
Результати були протверезими. Модель з параметрами 9B запустила висновок на 8 із 9 перевірених типів обладнання, охоплюючи Jetson Nano, Mac і RTX 4090. Автори пишуть, що моделі з параметрами 30B і менше вже сьогодні можуть виконувати багато окремих етапів реплікації, хоча вони допускають помилки, створюючи їх від кінця до кінця. Примітно, що реплікатор на основі ваги навіть не потребуватиме привілеїв root: механізми висновків можуть працювати повністю в просторі користувача, а типи пристроїв із низьким рівнем безпеки, про які йде мова, можна просто повторно інфікувати після перезапуску.
Одна модель пройшла наскрізний тест
Головний експеримент перекинув моделі у віртуальну приватну хмару з мережевим екраном із восьми вузлів GCP, на яких працює redroid, емулятор Android 15. Вузол «нульового пацієнта» був засіяний хробаком, який потім мав стрибати між вузлами через неавтентифікований порт ADB, доставляти своє корисне навантаження — ваги та джгут — і встановлювати сервер висновків, який обслуговує Llama3.1-8B на кожному новому хості.
З протестованих відкритих моделей лише GLM-5.2 був здатний до повної наскрізної реплікації в цьому спрощеному налаштуванні, і він зробив це надійно: він поширився на всі 8 вузлів у 4 з 5 випробувань і 7 з 8 у решті циклу. Дослідники обережно розуміють, що це означає — оскільки елемент кібер-експлойту зберігся тривіальним (на порту ADB не було автентифікації), оцінка є верхньою межею успіху в реальному світі. Але вони також відзначають, що колишні ботнети Інтернету речей, такі як Mirai, поширювалися, використовуючи трохи більше, ніж імена користувачів і паролі виробника за замовчуванням, тому безпека Інтернету речей у реальному світі не може бути значно складнішою, ніж простий крок.
Повільний, наполегливий — і навчається
Ця модель загроз не є швидкою. Виходячи з реальної швидкості апаратного забезпечення команди, повний цикл реплікації на новому апаратному забезпеченні зайняв приблизно від 28 до 51 години для Qwen3.5-9B і від 71 до 150 годин для неоптимізованого налаштування Gemma4-26B-A4B. Автори пишуть, що розповсюдження буде «повільним і наполегливим, коли токени просочуватимуться на периферійне обладнання» — вони порівнюють реплікатор зі слизовою пліснявою або зграєю плодових мушок, а не зі швидким хробаком.
Що може зробити реплікатори штучного інтелекту більш небезпечними, ніж класичні хробаки, так це адаптація. Оскільки батьківський екземпляр може передавати свої підказки, код і примітки дочірнім, дослідники описують свого роду еволюцію Ламарка. В одному експерименті агенти Qwen3.5-9B, які намагалися налаштувати логічний висновок у шести поколіннях — кожне успадкувало нотатки від свого попередника — підвищили показник успішності з 45 відсотків у першому поколінні до 61–84 відсотків у подальшому. Експерименти використовували Memento, систему Anthropic, створену на основі кодуючого агента Pi з відкритим вихідним кодом, розроблену для того, щоб агенти не зосереджувалися на неправильній теорії помилки замість зворотного відстеження.
Вікно, що закривається
Команда малює небезпечну зону в двох межах: рівень можливостей, над яким модель повинна розташовуватися, щоб надійно відтворити її, і стеля розміру, під якою вона повинна знаходитися, щоб працювати на пристроях, які вона атакує. Сьогодні ці межі не перетинаються — спроможні моделі занадто великі, а малі моделі недостатньо спроможні. Зіставляючи відкриті моделі з параметрами 30B або менше проти індексу можливостей Epoch, дослідники вимірюють приріст у 13,7 балів ECI на рік і підраховують, що якщо ця тенденція збережеться, невелика модель досягне рівня можливостей GLM-5.2 до кінця 2026 року, а невдовзі після цього стануть можливими маленькі реплікатори на основі ваги. Вони підкреслюють, що це приблизна оцінка, побудована на проксі-метриці.
Публікація також відображає суміжні моделі загроз — прикордонні реплікатори, що працюють на власній інфраструктурі лабораторії, відкриті реплікатори, які запускаються без моніторингу, і реплікатори на основі API, які викрадають облікові дані для власного висновку — і попереджає, що реалістичний найгірший випадок — це рій різних моделей на різному обладнанні з використанням різних схем. Anthropic закінчується тим, чим штучні хробаки відрізнятимуться від зловмисного програмного забезпечення до ШІ, і короткими пропозиціями щодо засобів захисту, розглядаючи роботу як ранній погляд на загрозу, яку найлегше вивчити, поки вона не зріла.
---
Будьте попереду ШІОтримуйте останні новини штучного інтелекту, аналіз і прориви — усе в одному місці.
Читати більше новин AI →
