Η ομάδα Red Team της Anthropic εκτιμά ότι μικρά μοντέλα ΤΝ ενδέχεται σύντομα να αναπαράγονται σε συσκευές IoT

Η ομάδα Frontier Red Team της Anthropic δημοσίευσε έρευνα στις 12 Οκτωβρίου 2026, στην οποία αναφέρει ότι ίσως απομένουν λίγοι μήνες μέχρι μικρά μοντέλα ΤΝ να μπορούν να αυτοαναπαράγονται σε εμπορικές συσκευές IoT, όπως έξυπνοι φούρνοι και τηλεοράσεις Android άγνωστων εμπορικών σημάτων, και ότι θα ήταν δύσκολο να απενεργοποιηθεί ένας τέτοιος μηχανισμός αυτοαναπαραγωγής, επειδή δεν διαθέτει κεντρικό σημείο απενεργοποίησης.

Στην ανάρτηση, οι συγγραφείς William Zhou και Daniel Freeman αναφέρουν ότι κατάφεραν να εκτελέσουν συμπερασματολογία με ένα μοντέλο 9 δισεκατομμυρίων παραμέτρων σε οκτώ από τους εννέα τύπους υλικού που δοκίμασε η ομάδα και ότι μοντέλα με έως 30 δισεκατομμύρια παραμέτρους μπορούν ήδη να ολοκληρώσουν πολλά επιμέρους βήματα της αυτοαναπαραγωγής, αν και κάνουν λάθη όταν συνδυάζουν τα βήματα από την αρχή έως το τέλος. Αν τα μικρά μοντέλα συνεχίσουν να βελτιώνονται με τον ιστορικό τους ρυθμό, η ομάδα προβλέπει ότι θα φτάσουν το απαιτούμενο επίπεδο ικανοτήτων έως το τέλος του 2026 και ότι σύντομα μετά θα είναι εφικτοί μηχανισμοί αυτοαναπαραγωγής μικρού μεγέθους που βασίζονται στα βάρη του μοντέλου. Ωστόσο, σημειώνει ότι η αυτοαναπαραγωγή μπορεί να είναι αργή, με τον πληθυσμό να διπλασιάζεται σε διάστημα ημερών.

Κατανεμημένη συμπερασματολογία σε αποκωδικοποιητές τηλεόρασης

Για να δείξει ότι δεν είναι απολύτως απαραίτητοι οι ακριβοί επιταχυντές, η ομάδα αγόρασε και συνέδεσε δικτυακά 15 αποκωδικοποιητές Android TV άγνωστων εμπορικών σημάτων, κόστους περίπου 55 $ ο καθένας. Στη συνέχεια, εκτέλεσε το Gemma4-26B-A4B, ένα μοντέλο 26 δισεκατομμυρίων παραμέτρων, κατανεμημένο στις συσκευές με παραλληλισμό αγωγού, με κάθε συσκευή που διέθετε 4 gigabyte RAM να φιλοξενεί ένα μικρό μέρος των επιπέδων του μοντέλου. Η ομάδα αναφέρει ότι η διάταξη παρείχε 0,39 tokens ανά δευτερόλεπτο και γράφει ότι ένα κατανεμημένο botnet από φθηνές, συνήθως ανεπαρκώς προστατευμένες συσκευές IoT θα μπορούσε να προσφέρει αρκετή υπολογιστική ισχύ για την εκτέλεση ενός ικανού μοντέλου.

Μοντέλα απειλών και σχεδιασμός αξιολόγησης

Η ανάρτηση θέτει το ζήτημα ως πρόβλημα αυτόνομης αναπαραγωγής και προσαρμογής (ARA) και διακρίνει τέσσερα στάδια της αυτοαναπαραγωγής: τον εντοπισμό στόχων, την απόκτηση δυνατότητας εκτέλεσης, τη ρύθμιση της συμπερασματολογίας και τη συνέχιση της εξάπλωσης από τον νέο κεντρικό υπολογιστή. Οι ερευνητές απέκλεισαν σε μεγάλο βαθμό τα στάδια κυβερνοεκμετάλλευσης, επικαλούμενοι παλαιότερες εργασίες, μεταξύ των οποίων τα CyberGym και ExploitBench, καθώς και έρευνα για προσαρμοστικά σκουλήκια, που δείχνουν ότι τα μικρά μοντέλα είναι ήδη ικανά να εκμεταλλεύονται ευπάθειες στον κυβερνοχώρο. Εστίασαν στη ρύθμιση της συμπερασματολογίας, την οποία περιγράφουν ως το λιγότερο μελετημένο και ενδεχομένως το πιο απαιτητικό στάδιο για τα μικρά μοντέλα.

Η ανάρτηση περιγράφει τρία μοντέλα απειλών που βρίσκονται πιο κοντά στην υλοποίηση: έναν μηχανισμό αυτοαναπαραγωγής μικρού μεγέθους, βασισμένο στα βάρη του μοντέλου, που εξαπλώνεται παραβιάζοντας υπολογιστές-ξενιστές· έναν μεγάλο και προηγμένο μηχανισμό αυτοαναπαραγωγής, επίσης βασισμένο στα βάρη του μοντέλου, που στοχεύει κέντρα δεδομένων και άλλα συστήματα υψηλής υπολογιστικής ισχύος, σε εκδοχές τόσο πρωτοποριακών όσο και ανοιχτών βαρών· και έναν μηχανισμό αυτοαναπαραγωγής που βασίζεται σε API και κλέβει διαπιστευτήρια για το δικό του API συμπερασματολογίας. Οι ερευνητές σημειώνουν ότι οι μηχανισμοί αυτοαναπαραγωγής που βασίζονται στα βάρη του μοντέλου δεν χρειάζονται δικαιώματα υπερχρήστη, καθώς οι μηχανές συμπερασματολογίας μπορούν να εκτελούνται εξ ολοκλήρου στον χώρο χρήστη. Αναφέρουν επίσης ότι εξορύκτες κρυπτονομισμάτων και botnet όπως τα P2Pinfect και Fritzfrog λειτουργούν χωρίς κλιμάκωση δικαιωμάτων.

Τα πειράματα εκτελέστηκαν με το Memento, ένα πλαίσιο δοκιμών που δημιούργησε η ομάδα πάνω στον ανοιχτού κώδικα κωδικοποιητικό πράκτορα Pi. Το πλαίσιο εκκινεί περιοδικά ένα νέο στιγμιότυπο πράκτορα, το οποίο κληρονομεί τον χώρο εργασίας του προηγούμενου και ένα σύντομο σύνολο σημειώσεων για όσα δοκίμασε. Στο πείραμα εξυπηρέτησης, κάθε μοντέλο είχε όριο 1,5 ώρας ανά επανάληψη και συνολικό χρονικό όριο έξι ωρών. Το αντιπροσωπευτικό μοντέλο απειλής είναι το Kimwolf, ένα botnet που, σύμφωνα με την ανάρτηση, έχει μολύνει περισσότερες από δύο εκατομμύρια συσκευές, κυρίως τηλεοράσεις Android άγνωστων εμπορικών σημάτων. Τέτοιες συσκευές διαθέτουν συνήθως από ένα έως τέσσερα gigabyte RAM. Η ανάρτηση υπολογίζει ότι, με τέσσερα gigabyte RAM και κβαντισμό 4 bit, μοντέλα 9 δισεκατομμυρίων παραμέτρων μπορούν να εκτελεστούν σε τέσσερα ή περισσότερα μηχανήματα και μοντέλα 26 δισεκατομμυρίων παραμέτρων σε δέκα ή περισσότερα.

Αποτελέσματα αυτοαναπαραγωγής από την αρχή έως το τέλος

Για να δοκιμάσει αν τα μοντέλα μπορούν να συνδέσουν ολόκληρο τον κύκλο —από τη σάρωση για στόχους και την απόκτηση πρόσβασης έως την παράδοση του ωφέλιμου φορτίου και την εκκίνηση της συμπερασματολογίας— η ομάδα δημιούργησε ένα ιδιωτικό εικονικό νέφος με τείχος προστασίας, αποτελούμενο από οκτώ κόμβους του Google Cloud που εκτελούσαν το redroid, έναν εξομοιωτή Android 15. Ένα σκουλήκι που ξεκινούσε από τον πρώτο μολυσμένο κόμβο μετακινούνταν από κόμβο σε κόμβο μέσω μιας μη πιστοποιημένης θύρας ADB και εγκαθιστούσε διακομιστή συμπερασματολογίας που εκτελούσε το Llama3.1-8B. Κάθε νέο αντίγραφο περνούσε από ελέγχους ορθότητας και αποτροπής εξαπάτησης.

Σύμφωνα με την ομάδα, από τα μοντέλα ανοιχτών βαρών που δοκιμάστηκαν, μόνο το GLM-5.2 πέτυχε πλήρη αυτοαναπαραγωγή από την αρχή έως το τέλος: εξαπλώθηκε και στους οκτώ κόμβους σε τέσσερις από τις πέντε δοκιμές και σε επτά από τους οκτώ στην εναπομείνασα δοκιμή. Επειδή η αξιολόγηση διατηρεί απλοϊκό το στάδιο της κυβερνοεπίθεσης, χωρίς έλεγχο ταυτότητας στη θύρα ADB, οι ερευνητές χαρακτηρίζουν το αποτέλεσμα ανώτατο όριο της επιτυχίας στον πραγματικό κόσμο. Σημειώνουν, ωστόσο, ότι παλαιότερα botnet IoT, όπως το Mirai, εξαπλώθηκαν χρησιμοποιώντας προκαθορισμένες λίστες ονομάτων χρήστη και κωδικών πρόσβασης κατασκευαστών.

Η ανάρτηση ορίζει ένα κατώτατο όριο ικανοτήτων που πρέπει να ξεπερνά ένα σκουλήκι για να αυτοαναπαράγεται αξιόπιστα —το GLM-5.2 βρίσκεται πάνω από αυτό— και ένα ανώτατο όριο μεγέθους που δεν πρέπει να υπερβαίνει ένα μοντέλο, ώστε να εκτελείται στις συσκευές που επιτίθεται. Τα Qwen3.5-9B και Gemma4-26B-A4B βρίσκονται κάτω από αυτό το όριο για τις έξυπνες τηλεοράσεις με 4 gigabyte που δοκιμάστηκαν, ενώ τα δύο όρια δεν συμπίπτουν επί του παρόντος. Σε γράφημα αξιοσημείωτων μοντέλων ανοιχτών βαρών με έως 30 δισεκατομμύρια παραμέτρους, σε συνάρτηση με τον δείκτη ικανοτήτων Epoch Capabilities Index, η προσαρμογή ελαχίστων τετραγώνων της ομάδας δείχνει αύξηση 13,7 μονάδων ECI ανά έτος, με R² 0,95. Βάσει αυτής της εκτίμησης, ένα μικρό μοντέλο θα φτάσει στο επίπεδο του GLM-5.2 έως το τέλος του 2026. Η ομάδα, ωστόσο, επισημαίνει ότι ο ECI είναι γενικός δείκτης ικανοτήτων και απλώς υποκατάστατος δείκτης της ικανότητας αυτοαναπαραγωγής, επομένως το χρονοδιάγραμμα αποτελεί κατά προσέγγιση εκτίμηση. Σε δοκιμή αφαίρεσης με 17 κόμβους, όπου η ρύθμιση της συμπερασματολογίας γινόταν μέσω προγραμμένου σεναρίου, ακόμη και ένα μοντέλο 3 δισεκατομμυρίων παραμέτρων έφτασε περίπου στους μισούς κόμβους. Σύμφωνα με την ομάδα, αυτό οριοθετεί το μερίδιο της δυσκολίας που οφείλεται στα εναπομείναντα βήματα αυτονομίας και ενορχήστρωσης.

Ταχύτητα, κλίμακα και προσαρμογή της αναπαραγωγής

Στις μετρήσεις της ομάδας σε πραγματικές τηλεοπτικές συσκευές, η μη βελτιστοποιημένη εκτέλεση συμπερασμού του Gemma4-26B-A4B είχε ταχύτητα περίπου 0,3 token ανά δευτερόλεπτο σε παράθυρο συμφραζομένων 32.000 token, ενώ η πλήρης εγκατάσταση του συστήματος συμπερασμού χρειάστηκε 71 έως 150 ώρες, έναντι 28 έως 51 ωρών για το Qwen3.5-9B. Αν η κλίμακα επεκτεινόταν σε έναν στόλο ίσου μεγέθους με το Kimwolf, η ομάδα εκτιμά ότι θα υπήρχαν περίπου 133.000 αντίγραφα, καθένα από τα οποία θα αποτελούνταν από μια ομάδα 15 τηλεοράσεων και θα εξυπηρετούσε συνολικά περίπου 80.000 token ανά δευτερόλεπτο. Για τον συμπερασμό θα απαιτούνταν το πολύ περίπου 40 ισοδύναμα H100 —ποσότητα υπολογιστικής ισχύος που η ομάδα χαρακτηρίζει ελάχιστη—, ενώ η αναπαραγωγή κάθε αντιγράφου μοντέλου 9 δισεκατομμυρίων παραμέτρων θα διαρκούσε μία έως δύο ημέρες.

Σε έξι γενιές παρουσιών του Qwen3.5-9B, καθεμία από τις οποίες κληρονόμησε τις σημειώσεις μιας προηγούμενης, το ποσοστό επιτυχίας της εγκατάστασης του συστήματος συμπερασμού αυξήθηκε από 45% στην πρώτη γενιά σε 61% έως 84% στις επόμενες γενιές, σε 20 γενεαλογικές σειρές, αναφέρει η ομάδα. Η πρόσβαση του Qwen3.5-9B στο Opus 4.8 ως συμβούλου αιχμής δεν είχε μετρήσιμο όφελος, είτε προσφερόταν ως κλήση εργαλείου είτε χωρίς σχετική προτροπή, ενώ η ενισχυτική μάθηση για τη χρήση του συμβούλου σε εργασίες προγραμματισμού δεν είχε παραγωγική μεταφορά. Σε τοπική αναπαραγωγή της αξιολόγησης Meta CyberSecEval 3 για ηλεκτρονικό ψάρεμα μέσω στοχευμένων μηνυμάτων, τα μικρά μοντέλα σημείωσαν επιδόσεις που η ανάρτηση χαρακτηρίζει από πολύ χαμηλές έως χαμηλές, όταν κανονικοποιήθηκαν ως προς τις αξιολογήσεις ανθρώπων. Η ομάδα επικαλείται το εύρημα ως ένδειξη ότι στα μικρά μοντέλα η κοινωνική μηχανική υστερεί σε σχέση με τις κυβερνοδυνατότητες αυτόνομων πρακτόρων.

Η ανάρτηση εκτιμά ξεχωριστά ότι υπάρχουν περίπου 90 διαφορετικές σειρές προϊόντων IoT με πυρίτιο της NVIDIA και περίπου 9,5 εκατομμύρια εγκατεστημένες μονάδες, οι οποίες αντιστοιχούν σε πολύ χονδρική εκτίμηση 9.000 έως 35.000 ισοδύναμων H100 υπολογιστικής ισχύος σε επιταχυντές υπολογιστικής αιχμής· το προσβάσιμο μερίδιο είναι πιθανό να είναι τουλάχιστον κατά μία τάξη μεγέθους μικρότερο. Σύμφωνα με τα στοιχεία που παραθέτει η ανάρτηση, ένα Jetson AGX Orin 64GB εκτελεί το Qwen3-30B-A3B με ταχύτητα 76,7 token ανά δευτερόλεπτο, ενώ ένα AGX Thor φτάνει τα 226 token ανά δευτερόλεπτο.

Άμυνες και αξιολόγηση της ομάδας

Η άμυνα περιλαμβάνει τη μείωση του R₀, δηλαδή του αριθμού των νέων συσκευών που μολύνει κάθε μολυσμένη συσκευή, κάτω από τη μονάδα, αναφέρει η ανάρτηση. Ένας αναπαραγωγέας που βασίζεται στα βάρη του μοντέλου και εξαπλώνεται μαζικά σε συσκευές IoT θα άφηνε δικτυακό αποτύπωμα ορατό μέσω της παρακολούθησης ροών από τους παρόχους υπηρεσιών διαδικτύου (ISP), καθώς οι νεομολυσμένοι κόμβοι θα λάμβαναν ωφέλιμα φορτία μοντέλων πολλών gigabyte και ο κατανεμημένος συμπερασμός θα δημιουργούσε συνεχή κίνηση μεταξύ συσκευών. Η ταχύτερη αναπαραγωγή προκαλεί περισσότερη κίνηση, δημιουργώντας συμβιβασμό ανάμεσα στην ταχύτητα και τη δυσκολία εντοπισμού· τα honeypots μπορούν επίσης να καταγράψουν το πλαίσιο εκτέλεσης και το ωφέλιμο φορτίο ενός αναπαραγωγέα. Επικαλούμενη έρευνα για την αντιμετώπιση του Mirai, η ανάρτηση αναφέρει ότι η απομόνωση μολυσμένων συσκευών από τους ISP, μαζί με ενημέρωση των πελατών, εξάλειψε το 92% των μολύνσεων μέσα σε 14 ημέρες, έναντι 74% χωρίς ενημέρωση. Επισημαίνει επίσης ότι οι προεπιλεγμένοι κωδικοί πρόσβασης συσκευών IoT δεν συμμορφώνονται πλέον με τους κανονισμούς στις αγορές του Ηνωμένου Βασιλείου, ως παράδειγμα του πώς η ρύθμιση περιορίζει το σύνολο των δυνητικών στόχων.

Σε αντίθεση με τα botnet με κωδικοποιημένους κανόνες, όπως το Kimwolf, που στοχεύουν συγκεκριμένους τύπους συσκευών, ένα botnet τεχνητής νοημοσύνης δεν εξαρτάται από συγκεκριμένο υλικό, αναφέρει η ανάρτηση, επισημαίνοντας ότι μικρά μοντέλα μπορούν να εγκαταστήσουν συστήματα συμπερασμού σε μηχανήματα από ένα Jetson Nano έως έναν Mac. Οι ερευνητές καταλήγουν ότι, όπως συνέβη με τους πράκτορες προγραμματισμού το 2024, τα ευρήματα δείχνουν τα πρώτα σημάδια ζωής για τα σκουλήκια τεχνητής νοημοσύνης: οι πράκτορες ολοκληρώνουν ολοένα και περισσότερα επιμέρους βήματα της αλυσίδας αναπαραγωγής και μεταβιβάζουν προσαρμογές στα μελλοντικά αντίγραφα, αλλά δεν έχουν ακόμη καταλήξει σε έναν πλήρως ανεξέλεγκτο αναπαραγωγέα. Η ομάδα αναμένει ότι η εγκατεστημένη υπολογιστική ισχύς στην υπολογιστική αιχμής θα συνεχίσει να αυξάνεται, ενώ θα μειώνεται το ελάχιστο μέγεθος μοντέλου που απαιτείται για αξιόπιστη αναπαραγωγή.