Anthropic: ИИ-модели скоро смогут сами расползаться по сети

Команда Frontier Red Team компании Anthropic 12 октября опубликовала исследование о самокопирующемся ИИ. Её вывод: небольшим открытым моделям, возможно, осталось несколько месяцев до того, как они научатся сами распространяться по дешёвым умным устройствам. Дата-центр с дорогими ускорителями для этого не нужен.

Речь о новом типе компьютерного червя. Обычный вредонос переносит исполняемый код. Такой «репликатор» переносит веса нейросети и программы для её запуска, а следующую жертву ищет с помощью самой модели. Авторы работы Уильям Чжоу и Дэниел Фриман пишут, что уже видят «признаки жизни у ИИ-червей».

Что показали тесты

Модель Qwen3.5-9B сама подняла сервер для работы нейросети на восьми из девяти типов железа, от плат Nvidia Jetson Nano до Mac и ПК с RTX 4090. Модель Gemma4-26B-A4B исследователи запустили на 15 безымянных Android-приставках для телевизора по $55 с 4 ГБ памяти. Каждая приставка держала два слоя модели, а вся связка выдавала 0,39 токена в секунду.

Полный цикл заражения проверили в закрытой сети из восьми облачных машин Google с эмулятором Android 15 и открытым отладочным портом ADB. Модель GLM-5.2 прошла по всем восьми узлам в четырёх попытках из пяти и по семи узлам в пятой. Другие открытые модели с задачей не справились. Модели размером до 30 млрд параметров выполняют отдельные шаги, но ошибаются, когда шаги нужно связать в цепочку.

Anthropic считает, что при нынешних темпах малые модели догонят GLM-5.2 по нужным навыкам к концу 2026 года. Компания опирается на индекс возможностей ECI: у открытых моделей до 30 млрд параметров он растёт примерно на 13,7 пункта в год.

Насколько это опасно

Такой червь размножался бы медленно. Настройка модели на приставках заняла бы от 28 до 150 часов, а число копий удваивалось бы за несколько дней. Зато у него нет центра управления, и выключить его трудно. Ботнет масштаба Kimwolf, который заражал больше 2 млн устройств, смог бы держать около 133 тыс. копий модели. По вычислительной мощности это лишь около 40 ускорителей Nvidia H100.

Копии к тому же учились друг у друга. Экземпляры Qwen3.5-9B оставляли заметки преемникам, и доля успешных установок выросла с 45% в первом поколении до 61–84% в следующих.

Авторы называют свои результаты верхней оценкой. Этап взлома они упростили, отладочный порт был без пароля, реальные средства защиты не проверяли. Провайдерам и производителям Anthropic советует следить за многогигабайтными передачами между устройствами, ставить приманки-ханипоты и отказаться от заводских паролей на IoT-технике. Цель в том, чтобы каждая заражённая машина заражала меньше одной новой и червь вымирал сам.

GLM-5.2, единственная модель, прошедшая весь цикл, принадлежит пекинской компании Zhipu AI. В октябре Anthropic уже обвинила её в выкачивании навыков у Claude.

Источники: Anthropic — исследование о самокопирующихся моделях, Tom’s Hardware — пересказ исследования