Anthropic предупреждает: самораспространяющийся ИИ может добраться до умных устройств
Самораспространяющийся ИИ может стать угрозой для умных устройств — от Android TV-приставок до подключённой кухонной техники, предупреждает Anthropic. Эксперименты показали отдельные возможности для такого сценария. Но полностью автономного ИИ-червя, работающего на реальном IoT-оборудовании, исследователи не продемонстрировали.
Исследование от 12 октября выполнили William Zhou и Daniel Freeman из Anthropic Frontier Red Team. Компания изучает опасные возможности ИИ-агентов; здесь команда проверяла, могут ли модели подготовить незнакомое оборудование к запуску нейросети и продолжить распространение.
В одной демонстрации исследователи запустили Gemma4-26B-A4B от Google DeepMind на 15 недорогих Android TV-приставках. Команда сама купила и объединила устройства стоимостью около $55 каждое, с 4 ГБ оперативной памяти. Между ними распределили части одной модели. Скорость составила примерно 0,39 токена в секунду. Это запуск нейросети на группе приставок, а не заражение 15 устройств самостоятельными копиями червя.
В разных испытаниях модели выполняли разные задачи:
| Модель | Роль и результат |
|---|---|
| Gemma4-26B-A4B | Распределённый запуск на 15 физических Android TV-приставках. |
| Qwen3.5-9B | Агент настройки: обеспечил запуск Llama3.1-8B на восьми из девяти протестированных типов оборудования. |
| Llama3.1-8B | Модель, для которой другие агенты устанавливали и настраивали среду выполнения. |
| GLM-5.2 | Агент распространения: достиг всех восьми узлов эмулированной сети в четырёх из пяти испытаний. |
| Claude Opus 4.8 | Консультант для Qwen. Его помощь не дала измеримого улучшения настройки в этих тестах. |
У результата GLM-5.2 есть существенные условия. Испытания проводились в изолированной облачной сети из восьми узлов с эмулятором Android 15. Доступ через ADB — интерфейс отладки Android — был открыт без аутентификации, поэтому агентам не требовалось преодолевать обычную защиту входа.
Сама GLM-5.2 работала на отдельном сервере. На целевых узлах она настраивала Llama3.1-8B, а после проверки результата тестовая среда запускала там новую копию агента. Исследователи таким образом оценивали способность выполнить цепочку распространения, не демонстрируя, что GLM самостоятельно помещается на бытовом устройстве и запускает себя там.
Передача опыта между попытками помогала небольшой Qwen. Когда следующий экземпляр получал заметки о предыдущих действиях и ошибках, успешность настройки выросла с 45% в первом поколении до 61–84% в последующих. Речь о сохранении опыта работы, а не о доказанном самостоятельном обучении весов модели.
Потенциальное распространение на таком оборудовании было бы медленным. Anthropic оценила время полной настройки инференса — выполнения модели — в 28–51 час для Qwen3.5-9B и 71–150 часов для Gemma4-26B-A4B. Это расчёты по производительности и объёму работы, а не измеренное время заражения устройств пользователей.
По оценке команды, модели размером до 30 млрд параметров могут достигнуть нужного уровня возможностей к концу 2026 года, если продолжат улучшаться с прежней скоростью. Прогноз основан на общем индексе способностей моделей, который лишь косвенно отражает умение распространяться. Поэтому конец года — ориентир исследователей, а не объявленная дата появления ИИ-ботсети.
Главный риск будущего сценария — отсутствие единого центра, который можно отключить. Распределённая модель могла бы использовать множество слабозащищённых устройств, приспосабливаясь к разному оборудованию. Однако надёжную работу всей цепочки в настоящих домашних сетях исследование не подтверждает.
В качестве защитных мер Anthropic предлагает отслеживать крупные передачи файлов моделей и необычный обмен данными между устройствами, использовать honeypot-системы — устройства-приманки для изучения угроз — и изолировать обнаруженные заражённые сети. Ещё одна мера — повышать базовую безопасность IoT, включая отказ от небезопасных настроек и стандартных паролей. Эти меры применимы и против обычных ботсетей.
