Anthropicin puna-tiimin mukaan pienet tekoälymallit saattavat pian pystyä replikoitumaan IoT-laitteissa

Anthropicin Frontier Red Team julkaisi 12. lokakuuta 2026 tutkimuksen, jonka mukaan pienet tekoälymallit saattavat jo muutaman kuukauden kuluttua pystyä replikoitumaan itsenäisesti kaupallisissa IoT-laitteissa, kuten älyuuneissa ja tuntemattomien merkkien Android TV -bokseissa. Tällaisen replikaattorin pysäyttäminen olisi vaikeaa, koska sillä ei ole keskitettyä pistettä, josta sen voisi sammuttaa.

Kirjoittajat William Zhou ja Daniel Freeman kertovat julkaisussa, että 9 miljardin parametrin mallin päättely saatiin toimimaan kahdeksassa yhdeksästä testatusta laitteistotyypistä ja että enintään 30 miljardin parametrin mallit pystyvät jo suorittamaan monia yksittäisiä replikoitumisen vaiheita, vaikka ne tekevät virheitä yhdistäessään vaiheet kokonaiseksi prosessiksi. Jos pienet mallit kehittyvät edelleen aiempaa tahtiaan, tiimi arvioi niiden saavuttavan vaaditun kyvykkyystason vuoden 2026 loppuun mennessä. Painoihin perustuvat pienet replikaattorit voisivat olla mahdollisia pian tämän jälkeen, vaikka tiimi huomauttaa, että replikoituminen saattaa olla hidasta ja kaksinkertaistumiseen voi kulua päiviä.

Hajautettu päättely älytelevisioiden bokseissa

Osoittaakseen, etteivät kalliit kiihdyttimet ole ehdottoman välttämättömiä, tiimi osti 15 tuntemattoman merkin Android TV -boksia, jotka maksoivat noin 55 dollaria kappaleelta, ja liitti ne verkkoon. Sen jälkeen se ajoi Gemma4-26B-A4B-mallia, jossa on 26 miljardia parametria, laitteiden yli paloihin jaettuna putkiparallelismia hyödyntäen. Jokaisessa neljän gigatavun RAM-muistilla varustetussa boksissa oli pieni osa mallin kerroksista. Tiimin mukaan kokoonpano tuotti 0,39 tokenia sekunnissa. Tiimi toteaa, että hajautettu bottiverkko, joka koostuu halvoista ja tyypillisesti heikosti suojatuista IoT-laitteista, voisi tarjota riittävästi laskentatehoa kyvykkään mallin ajamiseen.

Uhkamallit ja arvioinnin suunnittelu

Julkaisussa huolenaiheeksi nostetaan autonominen replikoituminen ja mukautuminen (ARA), ja replikoituminen jaetaan neljään vaiheeseen: kohteiden etsimiseen, suoritusmahdollisuuden saamiseen, päättelyn käyttöönottoon ja leviämisen jatkamiseen uudesta isännästä. Tutkijat jättivät kyberhyökkäysten vaiheet pääosin tarkastelun ulkopuolelle. He viittasivat aiempiin tutkimuksiin, kuten CyberGymiin ja ExploitBenchiin, sekä mukautuvia matoja käsittelevään työhön, joiden mukaan pienet mallit pystyvät jo kyberhyökkäyksiin. Tutkijat keskittyivät päättelyn käyttöönottoon, jota he kuvailevat vähiten tutkituksi ja mahdollisesti pienille malleille haastavimmaksi vaiheeksi.

Julkaisussa kuvataan kolme uhkamallia, jotka ovat lähimpänä toteutumista: pieni painoihin perustuva replikaattori, joka leviää murtautumalla isäntäkoneisiin; suuri ja kehittynyt painoihin perustuva replikaattori, joka kohdistuu datakeskuksiin ja muihin paljon laskentatehoa tarjoaviin järjestelmiin ja josta on sekä huippumalliin että avoimiin painoihin perustuva versio; sekä rajapintaan perustuva replikaattori, joka varastaa tunnistetiedot omaa päättelyrajapintaansa varten. Tutkijoiden mukaan painoihin perustuvat replikaattorit eivät tarvitse pääkäyttäjäoikeuksia, sillä päättelymoottorit voivat toimia kokonaan käyttäjätilassa. He mainitsevat esimerkkeinä kryptovaluuttojen louhintaohjelmat ja bottiverkot, kuten P2Pinfectin ja Fritzfrogin, jotka toimivat ilman oikeuksien korottamista.

Kokeet suoritettiin Mementolla, joka on tiimin avoimen lähdekoodin Pi-koodausagentin pohjalta rakentama testausympäristö. Se käynnistää säännöllisin väliajoin uuden agentti-instanssin, joka saa käyttöönsä edeltäjänsä työtilan ja lyhyet muistiinpanot tämän kokeilemista asioista. Palvelukokeessa kunkin mallin aikaraja oli 1,5 tuntia iteraatiota kohden, ja kokonais aikakatkaisu oli kuusi tuntia. Edustavana uhkamallina käytettiin Kimwolfia, bottiverkkoa, jonka julkaisun mukaan se on saastuttanut yli kaksi miljoonaa laitetta, pääasiassa tuntemattomien merkkien Android-televisioita. Tällaisissa bokseissa on yleensä yhdestä neljään gigatavua RAM-muistia. Julkaisun laskelmien mukaan neljän gigatavun laitteissa 4-bittistä kvantisointia käytettäessä 9 miljardin parametrin malleja voidaan ajaa vähintään neljällä koneella ja 26 miljardin parametrin malleja vähintään kymmenellä.

Päästä päähän ulottuvan replikoitumisen tulokset

Testatakseen, pystyvätkö mallit ketjuttamaan koko prosessin kohteiden etsimisestä pääsyn saamiseen, hyötykuorman toimittamiseen ja päättelyn käyttöönottoon, tiimi rakensi palomuurilla suojatun yksityisen virtuaalipilven, jossa oli kahdeksan redroidia eli Android 15 -emulaattoria ajavaa Google Cloud -solmua. Nollapotilasmato siirtyi solmusta toiseen tunnistautumattoman ADB-portin kautta ja käynnisti päättelypalvelimen, joka ajoi Llama3.1-8B-mallia. Oikeellisuus- ja huijaamisenestotarkistukset valvoivat jokaisen uuden kopion hyväksymistä.

Tiimin mukaan testatuista avoimiin painoihin perustuvista malleista vain GLM-5.2 onnistui replikoitumaan päästä päähän: neljässä viidestä kokeesta se levisi kaikkiin kahdeksaan solmuun ja jäljelle jääneessä kokeessa seitsemään kahdeksasta. Koska arvioinnissa kybervaihe pidetään yksinkertaisena eikä ADB-portissa ole tunnistautumista, tutkijat pitävät tulosta tosielämän onnistumisen ylärajana. He huomauttavat kuitenkin, että aiemmat IoT-bottiverkot, kuten Mirai, levisivät valmistajien oletuskäyttäjätunnusten ja -salasanojen luetteloiden avulla.

Julkaisussa määritellään kyvykkyyksien alaraja, jonka madon on ylitettävä replikoituakseen luotettavasti; GLM-5.2 ylittää sen. Lisäksi määritellään kokoraja, jonka alapuolella mallin on pysyttävä voidakseen toimia hyökkäämissään laitteissa. Testatuissa neljän gigatavun älytelevisioissa Qwen3.5-9B ja Gemma4-26B-A4B jäävät tämän kokorajan alle, mutta kyvykkyyksien alaraja ja kokoraja eivät tällä hetkellä kohtaa. Kun tiimi sijoitti enintään 30 miljardin parametrin merkittävät avoimiin painoihin perustuvat mallit Epoch Capabilities Index -indeksiin, pienimmän neliösumman menetelmällä sovitettu trendi osoitti indeksin kasvavan 13,7 ECI-pistettä vuodessa; R² oli 0,95. Tämän perusteella pieni malli saavuttaisi GLM-5.2:n tason vuoden 2026 loppuun mennessä, mutta tiimi varoittaa, että ECI on yleinen kyvykkyysindeksi ja vain epäsuora mittari replikoitumiskyvylle, joten ajankohta on karkea arvio. Kokeessa, jossa käytettiin 17 solmun ablaatiota ja päättelyn käyttöönotto hoidettiin valmiiksi kirjoitetulla skriptillä, jopa 3 miljardin parametrin malli saavutti noin puolet solmuista. Tiimin mukaan tämä rajaa sitä, kuinka suuri osa vaikeudesta liittyy jäljellä oleviin autonomian ja orkestroinnin vaiheisiin.

Monistumisen nopeus, mittakaava ja sopeutuminen

Tiimin fyysisillä televisiobokseilla tekemissä mittauksissa optimoimattoman Gemma4-26B-A4B-mallin päättelynopeus oli noin 0,3 tokenia sekunnissa 32 000 tokenin konteksti-ikkunassa. Päättelyn käyttöönotto kokonaisuudessaan kesti 71–150 tuntia, kun Qwen3.5-9B-mallilla siihen kului 28–51 tuntia. Kimwolfin kokoiseen laitteistokantaan skaalattuna tiimi arvioi tarvittavan noin 133 000 kopiota, joista kukin koostuisi 15 televisiosta. Ne käsittelisivät yhteensä noin 80 000 tokenia sekunnissa, ja päättelyyn tarvittaisiin enintään noin 40 H100-näytönohjaimen verran laskentatehoa. Tiimin mukaan laskentatehon tarve on hyvin pieni, ja yhden 9 miljardin parametrin kopion monistuminen kestäisi yhdestä kahteen päivää.

Tiimin mukaan päättelyn käyttöönoton onnistumisaste nousi kuuden Qwen3.5-9B-esiintymän sukupolven aikana ensimmäisen sukupolven 45 prosentista myöhempien sukupolvien 61–84 prosenttiin 20 kehityslinjassa. Kukin esiintymä peri edeltäjänsä muistiinpanot. Qwen3.5-9B-mallin käyttö Opus 4.8:n kaltaisen huippumallin neuvonantajana ei tuottanut mitattavaa hyötyä, tarjottiinpa sitä työkalukutsuna tai ilman kehotusta. Myöskään vahvistusoppiminen neuvonantajan hyödyntämiseksi koodaustehtävissä ei siirtynyt hyödyllisellä tavalla. Meta CyberSecEval 3 -keihäskalasteluarvioinnin paikallisessa toisinnossa pienten mallien tulokset sijoittuivat ihmisten arvioijien tuloksiin suhteutettuina erittäin heikosta heikkoon. Postauksen mukaan tämä osoittaa, että pienissä malleissa sosiaalinen manipulointi laahaa agenttipohjaisten kyberkyvykkyyksien perässä.

Postauksessa arvioidaan erikseen, että NVIDIA-piitä käyttävien IoT-tuotelinjojen määrä on noin 90 ja käytössä olevien laitteiden määrä noin 9,5 miljoonaa. Reunalaskennan kiihdyttimissä olisi erittäin karkean arvion mukaan laskentatehoa 9 000–35 000 H100-näytönohjaimen verran, mutta tavoitettavissa oleva osuus on todennäköisesti vähintään kertaluokkaa pienempi. Postauksessa mainittujen lukujen mukaan Jetson AGX Orin 64GB käsittelee Qwen3-30B-A3B-mallilla 76,7 tokenia sekunnissa, ja AGX Thor yltää 226 tokeniin sekunnissa.

Puolustuskeinot ja tiimin arvio

Puolustuksessa on painettava R₀ eli niiden uusien laitteiden määrä, joihin kukin tartunnan saanut laite tartuttaa edelleen, alle yhden, postauksessa todetaan. Laajalle IoT-laitteisiin leviävä mallipainoihin perustuva replikaattori jättäisi verkkoliikenteeseen jäljen, jonka internetpalveluntarjoajien tietoliikennevirtojen seuranta voisi havaita: uudet tartunnan saaneet isännät vastaanottavat useiden gigatavujen mallipaketteja, ja hajautettu päättely tuottaa jatkuvaa laitteiden välistä liikennettä. Nopeampi leviäminen lisää liikennettä, joten nopeuden ja huomaamattomuuden välillä on tehtävä kompromissi. Hunajapurkit voivat kaapata replikaattorin toimintakehyksen ja hyötykuorman. Postauksessa viitataan Mirain torjuntaa koskevaan tutkimukseen, jonka mukaan internetpalveluntarjoajien asettama karanteeni yhdessä asiakkaille ilmoittamisen kanssa poisti tartunnat 92-prosenttisesti 14 päivän kuluessa. Ilman ilmoitusta osuus oli 74 prosenttia. Postauksessa mainitaan myös esimerkkinä sääntelyn vaikutuksesta kohdelaitteiden määrään se, että IoT-laitteiden oletussalasanat eivät enää täytä vaatimuksia Yhdistyneen kuningaskunnan markkinoilla.

Toisin kuin kovakoodatut bottiverkot, kuten Kimwolf, jotka kohdistuvat tietyntyyppisiin laitteisiin, tekoälybottiverkko ei ole sidottu tiettyyn laitteistoon, postauksessa todetaan. Esimerkkinä mainitaan pienet mallit, jotka ottavat päättelyn käyttöön laitteissa Jetson Nanosta Mac-tietokoneeseen. Tutkijat päättelevät, että vuoden 2024 koodausagenttien tapaan löydökset osoittavat tekoälymatojen olevan heräämässä eloon: agentit suorittavat yhä useammin yksittäisiä vaiheita monistumisketjussa ja välittävät mukautuksia tuleville kopioille, mutta täysimittaista omille teilleen lähtenyttä replikaattoria ei vielä ole. Tutkijat odottavat käytössä olevan reunalaskentakapasiteetin kasvavan edelleen samalla, kun luotettavaan monistumiseen tarvittavan mallin vähimmäiskoko pienenee.