Исследование Anthropic предупреждает: небольшие модели ИИ вскоре смогут распространяться между повседневными устройствами

Согласно новому исследованию Anthropic, небольшим ИИ-моделям может потребоваться всего несколько месяцев, чтобы начать копировать себя на плохо защищённые потребительские устройства. Генеральный директор Anthropic Дарио Амодеи предупреждает о потенциальном ущербе в сотни миллиардов долларов.

ИИ-модель, которая копирует себя с устройства на устройство, устанавливается и продолжает распространяться. До сих пор такой риск в основном связывали с центрами обработки данных. Но новое исследование учёных Anthropic Уильяма Чжоу и Дэниела Фримена показывает, что это может с таким же успехом работать на дешёвом потребительском оборудовании.

Исследователи хотели выяснить, могут ли небольшие ИИ-модели уже самостоятельно распространяться по плохо защищённым устройствам Интернета вещей, таким как смарт-телевизоры, умные холодильники или роботы-пылесосы. Подобный «ИИ-червь» переносил бы веса своей модели в составе вредоносной нагрузки и запускал инференс непосредственно на скомпрометированном оборудовании. В отличие от традиционного вредоносного ПО, он мог бы самостоятельно исследовать незнакомое оборудование и настраивать себя для работы на нём.

Для атаки достаточно дешёвого оборудования

Чтобы проверить осуществимость такой атаки, исследователи запустили модель Gemma4-26B-A4B, распределённую между 15 готовыми Android TV-приставками. Каждая из них стоит около 55 долларов и имеет 4 гигабайта оперативной памяти, при этом каждая приставка обрабатывает часть слоёв модели. Модель работала медленно, но справилась.

Исследователи разделили процесс репликации на четыре этапа: сканирование сети в поисках уязвимых устройств, получение доступа, настройка ИИ-среды на новом устройстве и дальнейшее распространение с него.

Фактический этап взлома они намеренно исключили. Предыдущие исследования уже показали, что небольшие модели способны справляться с такими атаками. Вместо этого они сосредоточились на самой сложной части цепочки: может ли модель настроить работающую ИИ-среду на устройстве, которого она никогда раньше не видела?

Большинство моделей терпят неудачу, но одна уже справляется

Небольшие модели уже довольно хорошо выполняют отдельные этапы репликации. Модель с 9 миллиардами параметров смогла настроить ИИ-среду с запущенной Llama3.1-8B на 8 из 9 протестированных типов устройств. Но объединить все этапы — от сканирования сети до создания готовой копии на новом устройстве — для большинства моделей пока слишком сложно. Только GLM-5.2 надёжно завершила полную цепочку репликации, заразив все восемь тестовых узлов в четырёх из пяти запусков.

Исследователи также обнаружили, что ИИ-черви могут учиться на своих ошибках. Они протестировали форму искусственной эволюции, при которой каждый экземпляр модели передаёт своим преемникам сведения об успешных и неудачных стратегиях. Для Qwen3.5-9B показатель успешности вырос с 45 процентов в первом поколении до 84 процентов в последующих.

Червь будет медленным, но почти неуязвимым для уничтожения

Полностью автономного ИИ-репликатора пока не существует. Модель должна быть достаточно компактной для работы на потребительских устройствах и достаточно способной для самостоятельной репликации, но ни одна модель пока не соответствует обоим требованиям. Однако если небольшие модели продолжат совершенствоваться нынешними темпами, исследователи считают, что они могут достичь этого к концу 2026 года.

Подобный ИИ-червь будет медленным: установка на новом устройстве займёт от 28 до 150 часов в зависимости от модели. Исследователи сравнивают репликатор с «цифровой слизевиковой плесенью», но именно децентрализованный характер делает его трудным для остановки.

Традиционные ботнеты, такие как Kimwolf, который на пике заразил более двух миллионов устройств (в основном Android TV-приставок), работают только на устройствах определённых типов. ИИ-ботнет мог бы работать на самых разных видах оборудования. В ботнете размером с Kimwolf, по оценке исследователей, общая вычислительная мощность была бы эквивалентна примерно 40 специализированным ИИ-чипам. Но у такой сети не было бы центрального переключателя для её отключения.

Защита возможна, но требует координации. Интернет-провайдеры могли бы изолировать заражённые сети, как это произошло с ботнетом Mirai, где 92 процента заражений были устранены за 14 дней. Производители могли бы сократить число уязвимых устройств, запретив пароли по умолчанию, как это уже сделано законом в Великобритании. Однако исследователи ожидают, что ИИ-ботнеты также смогут самостоятельно адаптироваться к защитным мерам.

Амодеи предупреждает о полном захвате интернета

Генеральный директор Anthropic Дарио Амодеи уже описывал этот сценарий в более ранней публикации. Учитывая темпы развития ИИ, его беспокоит, что такой рой «в течение 6–12 месяцев может оказаться способен захватить весь интернет с помощью постоянного ботнета, потенциально нанеся ущерб в сотни миллиардов долларов».

Амодеи предостерегает от восприятия инцидентов безопасности как единичных случаев. Подобные, хотя и менее серьёзные инциденты происходили по всей отрасли, в том числе в самой Anthropic. По его мнению, каждая ведущая ИИ-компания должна действовать так, будто подобный инцидент произошёл по её вине.

«В качестве прогноза, выходящего за рамки наших экспериментов, мы ожидаем будущего, наполненного агентами, работающими на всех типах оборудования, включая устройства, не находящиеся под контролем человека», — пишут исследователи. Медленные репликаторы станут ранним признаком появления более агрессивных и быстрых вариантов. Cloudflare уже сообщила, что интернетом теперь пользуется больше ботов, чем людей.

Новости ИИ без хайпа — отобраны людьми

Подпишитесь на THE DECODER, чтобы читать материалы без рекламы, получать еженедельную рассылку об ИИ, эксклюзивный обзор передовых разработок «AI Radar» шесть раз в год, полный доступ к архиву и возможность оставлять комментарии.