Tim Red Team Anthropic Menyebut Model AI Kecil Mungkin Segera Bereplikasi di Perangkat IoT

Tim Red Team Frontier Anthropic menerbitkan penelitian pada 12 Oktober 2026 yang melaporkan bahwa model AI kecil mungkin hanya berjarak beberapa bulan dari kemampuan untuk bereplikasi sendiri di perangkat IoT komersial, seperti oven pintar dan kotak TV Android tanpa merek ternama. Penelitian itu juga menyebutkan bahwa replikator semacam itu akan sulit dihentikan karena tidak memiliki satu titik pusat yang dapat dinonaktifkan.

Dalam tulisan tersebut, penulis William Zhou dan Daniel Freeman melaporkan bahwa model dengan 9 miliar parameter berhasil menjalankan inferensi pada delapan dari sembilan jenis perangkat keras yang diuji tim. Mereka juga melaporkan bahwa model dengan 30 miliar parameter atau kurang sudah mampu menyelesaikan banyak langkah replikasi secara terpisah, meski masih melakukan kesalahan saat merangkai langkah-langkah itu dari awal hingga akhir. Jika model kecil terus berkembang dengan laju historisnya, tim memperkirakan model tersebut akan mencapai tingkat kemampuan yang diperlukan pada akhir 2026. Replikator kecil berbasis bobot mungkin muncul tak lama setelah itu, meski tim mencatat bahwa replikasi dapat berlangsung lambat, dengan waktu penggandaan dalam hitungan hari.

Inferensi Terdistribusi pada Kotak TV Pintar

Untuk menunjukkan bahwa akselerator mahal tidak mutlak diperlukan, tim membeli dan menghubungkan 15 kotak TV Android tanpa merek ternama seharga sekitar $55 per unit. Mereka lalu menjalankan Gemma4-26B-A4B, model dengan 26 miliar parameter, yang dibagi ke seluruh perangkat menggunakan paralelisme pipeline; setiap kotak dengan RAM 4 gigabita menampung sebagian kecil lapisan model. Tim melaporkan bahwa konfigurasi tersebut menghasilkan 0,39 token per detik dan menulis bahwa botnet terdistribusi yang memanfaatkan perangkat IoT murah yang umumnya kurang terlindungi dapat menyediakan daya komputasi yang cukup untuk menjalankan model berkemampuan tinggi.

Model Ancaman dan Desain Evaluasi

Tulisan tersebut membingkai masalah ini sebagai replikasi dan adaptasi otonom (ARA), dengan membagi proses replikasi menjadi empat tahap: menemukan target, memperoleh kemampuan untuk menjalankan kode, menyiapkan inferensi, dan melanjutkan penyebaran dari hos baru. Para peneliti sebagian besar mengecualikan tahap eksploitasi siber dengan merujuk pada makalah terdahulu, termasuk CyberGym, ExploitBench, dan penelitian tentang worm adaptif, yang menunjukkan bahwa model kecil sudah mampu melakukan eksploitasi siber. Mereka berfokus pada penyiapan inferensi, yang mereka sebut sebagai tahap yang paling sedikit diteliti dan mungkin paling menantang bagi model kecil.

Tulisan tersebut menguraikan tiga model ancaman yang paling mendekati kenyataan: replikator kecil berbasis bobot yang menyebar dengan menyusupi mesin hos; replikator besar dan canggih berbasis bobot yang menargetkan pusat data dan sistem lain dengan komputasi tinggi, dalam varian model terdepan dan model berbobot terbuka; serta replikator berbasis API yang mencuri kredensial untuk menggunakan API inferensinya sendiri. Para peneliti mencatat bahwa replikator berbasis bobot tidak memerlukan hak akses root karena mesin inferensi dapat berjalan sepenuhnya di ruang pengguna. Mereka juga menyebut penambang kripto dan botnet seperti P2Pinfect dan Fritzfrog sebagai contoh yang beroperasi tanpa meningkatkan hak akses.

Eksperimen dijalankan menggunakan Memento, sebuah kerangka kerja yang dibangun tim di atas agen pemrograman Pi sumber terbuka. Agen ini secara berkala memulai instans agen baru yang mewarisi ruang kerja pendahulunya serta sejumlah catatan singkat tentang hal-hal yang telah dicobanya. Dalam eksperimen penyajian, setiap model mendapat batas waktu 1,5 jam untuk setiap iterasi dan batas waktu total enam jam. Model ancaman yang dijadikan contoh adalah Kimwolf, sebuah botnet yang menurut tulisan tersebut telah menginfeksi lebih dari dua juta perangkat, terutama TV Android tanpa merek ternama. Perangkat seperti itu biasanya dilengkapi RAM 1 hingga 4 gigabita. Menurut perhitungan dalam tulisan tersebut, dengan RAM 4 gigabita dan kuantisasi 4-bit, model dengan 9 miliar parameter dapat dijalankan di empat mesin atau lebih, sedangkan model dengan 26 miliar parameter dapat dijalankan di sepuluh mesin atau lebih.

Hasil Replikasi Menyeluruh

Untuk menguji apakah model mampu merangkai seluruh siklus—memindai target, memperoleh akses, mengirimkan muatan, dan menyiapkan inferensi—tim membangun jaringan privat virtual berpelindung firewall yang terdiri atas delapan simpul Google Cloud yang menjalankan redroid, emulator Android 15. Sebuah worm yang menjadi titik awal infeksi berpindah dari satu simpul ke simpul lain melalui port ADB tanpa autentikasi, lalu menyiapkan server inferensi yang menjalankan Llama3.1-8B. Setiap salinan baru harus melewati pemeriksaan kebenaran dan antipengelabuan.

Tim melaporkan bahwa di antara model berbobot terbuka yang diuji, hanya GLM-5.2 yang berhasil bereplikasi sepenuhnya dari awal hingga akhir: model itu menyebar ke seluruh delapan simpul dalam empat dari lima uji coba, dan ke tujuh dari delapan simpul pada uji coba yang tersisa. Karena evaluasi tersebut membuat tahap siber menjadi sangat sederhana, tanpa autentikasi pada port ADB, para peneliti menyebut hasil itu sebagai batas atas keberhasilan di dunia nyata. Namun, mereka juga mencatat bahwa botnet IoT terdahulu seperti Mirai menyebar dengan menggunakan daftar nama pengguna dan kata sandi bawaan dari produsen.

Tulisan tersebut menetapkan ambang kemampuan yang harus dilampaui worm agar dapat bereplikasi dengan andal; GLM-5.2 berada di atas ambang itu. Tulisan itu juga menetapkan batas ukuran yang tidak boleh dilampaui model agar dapat berjalan di perangkat yang diserangnya. Qwen3.5-9B dan Gemma4-26B-A4B berada di bawah batas tersebut untuk TV pintar dengan RAM 4 gigabita yang diuji, sementara kedua batas itu saat ini belum beririsan. Dengan memetakan model berbobot terbuka terkemuka yang memiliki paling banyak 30 miliar parameter terhadap Indeks Kemampuan Epoch, regresi kuadrat terkecil tim menunjukkan peningkatan 13,7 ECI per tahun dengan R² sebesar 0,95. Berdasarkan proyeksi itu, model kecil akan mencapai tingkat kemampuan GLM-5.2 pada akhir 2026. Namun, tim mengingatkan bahwa ECI merupakan indeks kemampuan umum dan hanya menjadi proksi bagi kemampuan replikasi, sehingga perkiraan waktunya masih kasar. Dalam uji ablasi 17 simpul, ketika penyiapan inferensi ditangani oleh skrip yang telah ditulis sebelumnya, model dengan 3 miliar parameter pun mencapai sekitar separuh simpul. Menurut tim, hasil ini memberi batas atas pada besarnya kesulitan yang berasal dari langkah otonomi dan orkestrasi yang tersisa.

Kecepatan Replikasi, Skala, dan Adaptasi

Dalam pengukuran tim pada perangkat TV fisik, inferensi Gemma4-26B-A4B yang belum dioptimalkan berjalan sekitar 0,3 token per detik dalam jendela konteks 32.000 token, dan penyiapan inferensi secara penuh memerlukan waktu 71 hingga 150 jam, dibandingkan dengan 28 hingga 51 jam untuk Qwen3.5-9B. Jika diskalakan hingga armada sebesar Kimwolf, tim memperkirakan ada sekitar 133.000 replika, masing-masing berupa kelompok yang terdiri atas 15 TV, dengan kapasitas gabungan sekitar 80.000 token per detik. Kebutuhan inferensinya paling banyak sekitar 40 ekuivalen H100—jumlah komputasi yang disebut tim sangat kecil—dengan proses replikasi memerlukan waktu satu hingga dua hari untuk setiap salinan berparameter 9 miliar.

Tim melaporkan bahwa selama enam generasi instans Qwen3.5-9B yang masing-masing mewarisi catatan pendahulunya, tingkat keberhasilan penyiapan inferensi meningkat dari 45% pada generasi pertama menjadi antara 61% dan 84% pada generasi-generasi berikutnya, di 20 garis keturunan. Memberi Qwen3.5-9B akses ke Opus 4.8 sebagai penasihat model terdepan tidak memberikan peningkatan yang terukur, baik saat ditawarkan sebagai panggilan alat maupun diberikan tanpa diminta. Pelatihan penguatan agar model menggunakan penasihat tersebut dalam tugas pemrograman juga tidak menghasilkan transfer yang bermanfaat. Dalam replikasi lokal atas evaluasi spear-phishing CyberSecEval 3 milik Meta, model kecil memperoleh skor yang tergolong sangat buruk hingga buruk menurut penilaian penilai manusia yang telah dinormalisasi. Tim mengutip hasil ini sebagai bukti bahwa kemampuan rekayasa sosial pada model kecil masih tertinggal dari kemampuan siber agenik.

Tulisan tersebut secara terpisah memperkirakan ada sekitar 90 lini produk IoT berbeda yang menggunakan silikon NVIDIA dan sekitar 9,5 juta unit yang telah digunakan di lapangan. Perkiraan kasar sekali menunjukkan bahwa akselerator komputasi tepi menyediakan sekitar 9.000 hingga 35.000 ekuivalen H100, sementara bagian yang dapat dijangkau kemungkinan setidaknya satu orde magnitudo lebih kecil. Menurut angka yang dikutip dalam tulisan tersebut, Jetson AGX Orin 64GB menjalankan Qwen3-30B-A3B pada kecepatan 76,7 token per detik, sedangkan AGX Thor mencapai 226 token per detik.

Pertahanan dan Penilaian Tim

Menurut tulisan tersebut, pertahanan perlu menurunkan R₀—jumlah perangkat baru yang kemudian diinfeksi oleh setiap perangkat yang terinfeksi—hingga di bawah satu. Replikator berbasis bobot yang menyebar luas melalui perangkat IoT akan meninggalkan jejak jaringan yang dapat terlihat melalui pemantauan ISP berbasis aliran data, karena host yang baru terinfeksi menerima muatan model berukuran beberapa gigabita dan inferensi terdistribusi menghasilkan lalu lintas ant perangkat yang terus-menerus. Replikasi yang lebih cepat menghasilkan lebih banyak lalu lintas, sehingga kecepatan harus ditukar dengan kemampuan bersembunyi; sementara itu, honeypot dapat menangkap perangkat kendali dan muatan replikator. Mengutip penelitian remediasi Mirai, tulisan tersebut menyatakan bahwa karantina oleh ISP disertai pemberitahuan kepada pelanggan mengatasi 92% infeksi dalam 14 hari, dibandingkan dengan 74% tanpa pemberitahuan. Tulisan itu juga mencatat bahwa kata sandi bawaan IoT kini tidak lagi memenuhi ketentuan di pasar Inggris, sebagai contoh bagaimana regulasi mempersempit kumpulan target.

Tidak seperti botnet berkode keras seperti Kimwolf, yang menargetkan jenis perangkat tertentu, botnet AI tidak terikat pada perangkat keras tertentu, menurut tulisan tersebut. Tulisan itu menunjuk pada model kecil yang menyiapkan inferensi di berbagai mesin, mulai dari Jetson Nano hingga Mac. Para peneliti menyimpulkan bahwa, seperti halnya agen pemrograman pada 2024, temuan ini menunjukkan tanda-tanda awal bahwa worm AI mulai berkembang: agen semakin mampu menyelesaikan langkah-langkah individual dalam rangkaian replikasi dan meneruskan adaptasi kepada salinan berikutnya, tetapi belum menjadi replikator liar yang sepenuhnya mandiri. Mereka memperkirakan komputasi tepi yang digunakan akan terus berkembang, sementara ukuran minimum model yang dibutuhkan untuk replikasi andal akan semakin kecil.