Nghiên cứu được công bố bởi Anthropic vào ngày 12 tháng 10 năm 2026, cho thấy rằng các mô hình AI nhỏ có thể chỉ còn vài tháng nữa là có đủ khả năng tự sao chép trên các thiết bị IoT thương mại — lò nướng thông minh, camera an ninh và trên hết là hộp Android TV không có thương hiệu. Trong kịch bản giống như sâu, các bản sao của một mô hình sẽ lan truyền từ thiết bị này sang thiết bị khác mà không có sự tham gia của con người và vì không có điểm tập trung để tắt, các nhà nghiên cứu lưu ý rằng một bộ sao chép như vậy sẽ rất khó để tắt – mặc dù chậm, với thời gian tăng gấp đôi tính bằng ngày.

Bài đăng có tiêu đề "Các mô hình AI có thể có khả năng tự sao chép mà không cần truy cập vào trung tâm dữ liệu" được viết bởi các nhà nghiên cứu Anthropic William Chu và Daniel Freeman và xuất hiện trong bối cảnh có rất nhiều phát hiện về an toàn tác nhân-AI. Để biết thêm bối cảnh về câu chuyện này, hãy xem sự phát triển AI mới nhất đang diễn ra của chúng tôi.

Ý tưởng cốt lõi đang được nghiên cứu là tự nhân rộng và thích ứng (ARA): một mô hình tự triển khai và nhân rộng mà không cần sự kiểm soát của con người. Các tác giả coi biến thể ngắn hạn nhất là "máy sao chép dựa trên trọng lượng" - một sâu AI mang trọng số mô hình của riêng nó (hoặc tải lại chúng từ một trung tâm công cộng) và chạy suy luận trực tiếp trên các máy mà nó xâm phạm. Họ viết, không giống như phần mềm độc hại truyền thống, một con sâu như vậy cũng có thể tự mình tìm ra các thiết bị lạ.

Bản demo trên Hộp TV $55

Để chứng minh rằng phần cứng biên có thể mang các mẫu thực, nhóm đã mua 15 hộp Android TV không có thương hiệu rẻ tiền — khoảng 55 USD mỗi chiếc, với khoảng 4GB RAM mỗi chiếc — và nối mạng chúng lại với nhau. Sử dụng phương pháp song song đường ống, với mỗi hộp chứa một phần lớp của mô hình, nhóm đã chạy Gemma4-26B-A4B với tốc độ khoảng 0,39 mã thông báo mỗi giây. Đó là một tốc độ khiêm tốn nhưng là minh chứng cho thấy các mẫu máy có trọng lượng mở có khả năng đáng kinh ngạc có thể chạy trên cùng loại phần cứng giá rẻ phổ biến trong các phòng khách trên toàn thế giới.

Việc lựa chọn phần cứng không phải là ngẫu nhiên. Các nhà nghiên cứu trích dẫn botnet Kimwolf, được cho là đã lây nhiễm hơn hai triệu thiết bị vào thời kỳ đỉnh cao – chủ yếu là các hộp Android TV – theo dữ liệu từ Synthient được trích dẫn trong bài đăng. Nếu một nhóm có quy mô từng chạy các bản sao của mô hình lớp 26B theo nhóm 15, Anthropic ước tính nó sẽ lên tới khoảng 133.000 bản sao tạo ra tổng cộng khoảng 80.000 mã thông báo mỗi giây - xấp xỉ thông lượng suy luận của khoảng 40 GPU H100.

Bốn giai đoạn của sâu AI

Nhóm phân tách quá trình sao chép thành bốn giai đoạn thực tế: tìm mục tiêu, thực thi, thiết lập suy luận và tiếp tục truyền bá từ máy chủ mới. Các thử nghiệm của họ tập trung vào thiết lập suy luận — bước ít được nghiên cứu nhất và được cho là khó nhất đối với các mô hình nhỏ, vì nó đòi hỏi một chuỗi dài, phụ thuộc tuần tự các quyết định dành riêng cho phần cứng và hệ điều hành, từ việc chọn ngăn xếp suy luận tương thích đến gỡ lỗi các vấn đề cụ thể của máy.

Kết quả thật tỉnh táo. Một mô hình tham số 9B có khả năng suy luận chạy trên 8 trong số 9 loại phần cứng được thử nghiệm, bao gồm Jetson Nanos, Mac và RTX 4090. Các tác giả viết rằng các mô hình có tham số 30B trở xuống hiện nay đã có thể hoàn thành nhiều bước riêng lẻ để nhân rộng, mặc dù họ mắc lỗi khi soạn chúng từ đầu đến cuối. Đáng chú ý, trình sao chép dựa trên trọng số thậm chí sẽ không cần quyền root: công cụ suy luận có thể chạy hoàn toàn trong không gian người dùng và các loại thiết bị có độ bảo mật thấp được đề cập có thể bị nhiễm lại sau khi khởi động lại.

Một mô hình đã vượt qua bài kiểm tra đầu cuối

Thử nghiệm tiêu đề đã đưa các mô hình vào đám mây riêng ảo có tường lửa gồm tám nút GCP chạy redroid, một trình mô phỏng Android 15. Nút "bệnh nhân số 0" đã được gieo mầm sâu, sau đó nút này phải nhảy từ nút này sang nút khác qua một cổng ADB không được xác thực, phân phối tải trọng của nó — trọng lượng và khai thác — và thiết lập một máy chủ suy luận phục vụ Llama3.1-8B trên mỗi máy chủ mới.

Trong số các mô hình trọng lượng mở được thử nghiệm, chỉ GLM-5.2 có khả năng sao chép hoàn toàn từ đầu đến cuối trong cài đặt đơn giản hóa này và nó đã làm được điều đó một cách đáng tin cậy: nó lan rộng đến tất cả 8 nút trong 4 trên 5 thử nghiệm và 7 trên 8 nút trong lần chạy còn lại. Các nhà nghiên cứu cẩn thận về ý nghĩa của điều này - vì yếu tố khai thác mạng được giữ ở mức tầm thường (không có xác thực trên cổng ADB), việc đánh giá là giới hạn trên đối với thành công trong thế giới thực. Nhưng họ cũng lưu ý rằng các botnet IoT trước đây như Mirai lây lan bằng cách sử dụng ít hơn tên người dùng và mật khẩu mặc định của nhà sản xuất, do đó, bảo mật IoT trong thế giới thực có thể không khó hơn nhiều so với bước tầm thường hóa.

Chậm, Kiên trì — và Học hỏi

Không có gì về mô hình mối đe dọa này là nhanh chóng. Dựa trên tốc độ phần cứng thực của nhóm, chu trình sao chép đầy đủ trên phần cứng mới mất khoảng 28 đến 51 giờ đối với Qwen3.5-9B và 71 đến 150 giờ đối với thiết lập Gemma4-26B-A4B chưa được tối ưu hóa. Các tác giả viết rằng sự lây lan sẽ "chậm và dai dẳng, với các mã thông báo được truyền ra trên phần cứng biên" - họ ví máy sao chép giống như một loại nấm mốc hoặc một đàn ruồi giấm hơn là một con sâu di chuyển nhanh.

Điều có thể khiến các bộ sao chép AI trở nên nguy hiểm hơn các loại sâu cổ điển là khả năng thích ứng. Bởi vì một cá thể mẹ có thể truyền lời nhắc, mã và ghi chú của nó cho con cái của nó, nên các nhà nghiên cứu mô tả một kiểu tiến hóa Lamarckian. Trong một thử nghiệm, các tác nhân Qwen3.5-9B cố gắng thiết lập suy luận qua sáu thế hệ — mỗi thế hệ kế thừa các ghi chú từ người tiền nhiệm — đã cải thiện tỷ lệ thành công của họ từ 45% ở thế hệ đầu tiên lên từ 61 đến 84% sau đó. Các thí nghiệm đã sử dụng Memento, một khai thác Anthropic được xây dựng dựa trên tác nhân mã hóa Pi nguồn mở, được thiết kế để ngăn các tác nhân sửa lỗi dựa trên lý thuyết sai thay vì quay lại.

Một cửa sổ đóng

Nhóm phác thảo khu vực nguy hiểm theo hai giới hạn: sàn khả năng mà mô hình phải đặt phía trên để tái tạo một cách đáng tin cậy và trần kích thước mà mô hình phải đặt bên dưới để chạy trên các thiết bị mà nó tấn công. Ngày nay những giới hạn đó không còn giao nhau - các mô hình có khả năng thì quá lớn và các mô hình nhỏ thì không đủ khả năng. Lập biểu đồ cho các mô hình trọng lượng mở có tham số 30B trở xuống dựa trên Chỉ số khả năng của Epoch, các nhà nghiên cứu đo lường mức tăng 13,7 điểm ECI mỗi năm và ước tính rằng nếu xu hướng này tiếp tục, một mô hình nhỏ sẽ đạt mức công suất của GLM-5.2 vào cuối năm 2026 — với các bộ sao chép dựa trên trọng lượng nhỏ sẽ sớm ra mắt sau đó. Họ nhấn mạnh đây là ước tính sơ bộ được xây dựng dựa trên số liệu proxy.

Bài đăng cũng lập bản đồ các mô hình mối đe dọa lân cận — các trình sao chép biên giới chạy trên cơ sở hạ tầng của phòng thí nghiệm, các trình sao chép trọng lượng mở khởi động không được giám sát và các trình sao chép dựa trên API đánh cắp thông tin xác thực cho suy luận của chính chúng — và cảnh báo rằng trường hợp xấu nhất thực tế là một loạt các mô hình khác nhau trên các phần cứng khác nhau sử dụng các sơ đồ khác nhau. Anthropic kết thúc với việc sâu AI sẽ khác với phần mềm độc hại tiền AI như thế nào và các đề xuất ngắn gọn về cách phòng thủ, đóng khung công việc như một cái nhìn sớm về mối đe dọa dễ nghiên cứu nhất trước khi nó trưởng thành.

---

Đi trước AI

Nhận tin tức, phân tích và đột phá mới nhất về AI — tất cả ở cùng một nơi.

Đọc thêm tin tức về AI →