Фахівці підрозділу Frontier Red Team компанії Anthropic Вільям Чжоу та Деніел Фрімен стверджують, що для самостійного розмноження штучному інтелекту зовсім не обов'язкові дорогі GPU й дата-центри. На їхню думку, компактні мовні моделі вже найближчими місяцями зможуть навчитися самотужки поширюватися через недорогі пристрої інтернету речей. Головна небезпека такої мережі в тому, що в неї немає центрального вузла, відключивши який можна зупинити все одразу.

Йдеться про явище, яке називають автономною реплікацією та адаптацією (ARA) — коли модель сама себе розгортає і поширює далі, без жодного втручання людини. Раніше вже було відомо, що ШІ-агенти здатні сканувати мережу, використовувати вразливості та переносити ваги моделі на нову машину. Цього разу команда Anthropic вирішила дослідити найменш зрозумілий етап процесу — запуск моделі на незнайомому «залізі». Цей крок складається з цілого ланцюжка залежних рішень: підбору сумісного програмного стека, потрібних версій бібліотек і точного налаштування під конкретний пристрій. Варто зазначити, що права root тут не потрібні, адже інференс цілком може відбуватися в просторі звичайного користувача.

Експеримент з ТВ-приставками

Щоб перевірити гіпотезу, команда придбала 15 безіменних Android TV-боксів приблизно по 55 доларів кожен і розподілила між ними модель Gemma4-26B-A4B за схемою конвеєрного паралелізму — кожен пристрій обробляв окремі шари мережі. Швидкість вийшла мізерною, лише 0,39 токена за секунду, однак модель запрацювала. Подібні бокси зазвичай мають від 1 до 4 ГБ пам'яті і прошивку без будь-якого заводського захисту. Саме такі пристрої свого часу стали основою ботнету Kimwolf, що заразив понад два мільйони одиниць техніки.

Результати тестів

Модель на 9 мільярдів параметрів змогла налаштувати інференс на 8 із 9 видів тестового обладнання — від Jetson Nano до Mac і RTX 4090. У спрощеному експерименті з 8 вузлами, де був відсутній захист на ADB-порту, повний цикл поширення успішно пройшла лише модель GLM-5.2: у чотирьох спробах із п'яти вона охопила всі вузли, а в одній дійшла до 7 з 8. Решта відкритих моделей систематично не справлялися із завданням. Проте якщо замінити складне ручне налаштування готовим скриптом, навіть невеликі моделі виконують інші етапи: модель на 3 мільярди параметрів дісталася приблизно половини вузлів у мережі з 17 пристроїв. Дослідники наголошують, що в експерименті кібератаку штучно спростили, тож отримані цифри — це верхня межа можливого. Водночас нагадують, що й ботнет Mirai поширювався через банальний перебір заводських паролів.

Коли це може стати реальністю

Автори дослідження вводять поняття «бази» — мінімального рівня здібностей моделі, нижче якого реплікація ненадійна, — і «стелі» — максимального розміру моделі, який ще вміщується на пристрій. Наразі ці дві межі ще не перетинаються. Але за індексом Epoch Capabilities Index найкращі відкриті моделі розміром до 30 мільярдів параметрів щороку додають по 13,7 пункту. Якщо орієнтуватися на рівень GLM-5.2, компактна модель із потрібними можливостями може з'явитися вже до кінця 2026 року. Автори визнають, що це груба оцінка, оскільки індекс лише непрямо відображає здатність моделі до самостійної реплікації.

Повільно, але живуче

На реальних TV-боксах повне розгортання інференсу займало від 71 до 150 годин для Gemma4-26B-A4B і від 28 до 51 години для Qwen3.5-9B. У ботнеті масштабу Kimwolf могло б утворитися близько 133 тисяч копій моделі, а їхня сукупна обчислювальна потужність відповідала б приблизно 40 графічним процесорам H100. Це небагато, однак автори порівнюють такий механізм поширення зі слизовою цвіллю — повільний організм, зате надзвичайно живучий.

Здатність навчатися на ходу

Цікаво, що наступні «покоління» моделей можуть успадковувати нотатки попередників. У тесті з Qwen3.5-9B частка вдалих налаштувань зросла з 45% у першому поколінні до 61–84% у наступних. Водночас підказки від потужнішої моделі Opus 4.8 практично не допомогли — менша модель просто не розуміє, що саме варто запитати. Тому дослідники вважають, що координувати процес, найімовірніше, братиме на себе велика модель, яка запускатиме дрібніші як підпорядкованих субагентів. На відміну від Kimwolf, прив'язаного до конкретних пристроїв, гіпотетичний ШІ-ботнет не обмежується жодною окремою платформою.

Як від цього захищатися

  • Мережевий слід: багатогігабайтні моделі й стабільний трафік між пристроями легко помітні для моніторингу провайдерів, а спеціальні приманки (honeypots) допоможуть збирати зразки для аналізу.
  • Карантин: під час боротьби з Mirai сповіщення абонентів та обмеження доступу заражених пристроїв дали змогу очистити 92% інфекцій за 14 днів, тоді як без таких заходів показник становив лише 74%.
  • Регулювання: у Великій Британії заводські паролі на пристроях уже не відповідають чинним вимогам безпеки.

Повноцінного «ШІ-реплікатора», що вийшов з-під контролю, поки не існує, але дослідники бачать перші ознаки життя подібних систем — так само, як це було з кодинговими агентами у 2024 році. Автори очікують, що в майбутньому з'явиться ціла екосистема агентів на найрізноманітнішому обладнанні, частину якої люди не контролюватимуть, і закликають одночасно зміцнювати захист систем та готуватися до співіснування з такими реплікаторами.

Джерело: Highload.tech