Команда Red Team Anthropic: небольшие модели ИИ вскоре могут начать самовоспроизводиться на устройствах Интернета вещей

Команда Frontier Red Team компании Anthropic опубликовала исследование 12 октября 2026 года. Согласно ему, небольшие модели ИИ, возможно, уже через несколько месяцев смогут самовоспроизводиться на коммерческих устройствах Интернета вещей, например на умных духовках и телевизионных приставках Android малоизвестных марок. Такую систему будет сложно отключить, поскольку у неё нет единого централизованного узла, который можно было бы выключить.

В публикации авторы Уильям Чжоу и Дэниел Фриман сообщают, что модели с 9 миллиардами параметров удалось запустить в режиме инференса на восьми из девяти типов оборудования, испытанных командой. Модели с 30 миллиардами параметров и менее уже способны выполнять многие отдельные этапы самовоспроизведения, хотя при их объединении в единую последовательность допускают ошибки. По прогнозу команды, если небольшие модели продолжат совершенствоваться прежними темпами, к концу 2026 года они достигнут необходимого уровня возможностей, а вскоре после этого могут появиться небольшие самовоспроизводящиеся системы на основе весов модели. При этом команда отмечает, что процесс распространения может быть медленным: время удвоения составит несколько дней.

Распределённый инференс на приставках для умных телевизоров

Чтобы показать, что дорогостоящие ускорители не являются обязательным условием, команда купила 15 телевизионных приставок Android малоизвестных марок стоимостью около 55 долларов за штуку и объединила их в сеть. Затем на этой системе запустили Gemma4-26B-A4B — модель с 26 миллиардами параметров, распределив её между устройствами с помощью конвейерного параллелизма: на каждой приставке с 4 гигабайтами оперативной памяти размещалась небольшая часть слоёв модели. По данным команды, система обрабатывала 0,39 токена в секунду. Авторы пишут, что распределённый ботнет из дешёвых, обычно плохо защищённых устройств Интернета вещей мог бы предоставить достаточно вычислительных ресурсов для запуска мощной модели.

Модели угроз и план оценки

В публикации рассматривается риск автономного самовоспроизведения и адаптации (ARA). Процесс самовоспроизведения разбит на четыре этапа: поиск целей, получение возможности выполнять код, настройка инференса и дальнейшее распространение с нового узла. Исследователи в основном исключили этапы кибервзлома, сославшись на более ранние работы, в том числе CyberGym, ExploitBench и исследования адаптивных червей: они показывают, что небольшие модели уже способны проводить кибератаки. Вместо этого команда сосредоточилась на настройке инференса, которую считает наименее изученным и, возможно, самым сложным для небольших моделей этапом.

В публикации описаны три модели угроз, наиболее близкие к практической реализации: небольшой самовоспроизводящийся агент на основе весов модели, распространяющийся за счёт взлома хост-компьютеров; крупный продвинутый агент на основе весов, нацеленный на центры обработки данных и другие системы с высокой вычислительной мощностью, — как передовой, так и с открытыми весами; а также агент на основе API, который крадёт учётные данные для доступа к собственному API инференса. Исследователи отмечают, что таким агентам не нужны права суперпользователя: среды инференса могут работать полностью в пользовательском пространстве. В качестве примеров систем, действующих без повышения привилегий, они приводят майнеры криптовалют и ботнеты, такие как P2Pinfect и Fritzfrog.

Эксперименты проводились в Memento — экспериментальной среде, созданной командой на основе агента для программирования Pi с открытым исходным кодом. Она периодически запускает новый экземпляр агента, которому передаются рабочее пространство предыдущего экземпляра и краткие заметки о том, что тот пытался сделать. В эксперименте с обслуживанием запросов для каждой модели отводилось не более 1,5 часа на итерацию, а общий тайм-аут составлял шесть часов. В качестве характерной модели угроз рассматривается Kimwolf — ботнет, который, согласно публикации, заразил более двух миллионов устройств, преимущественно телевизоров Android малоизвестных марок. Такие приставки обычно поставляются с оперативной памятью объёмом от одного до четырёх гигабайт. По расчётам авторов, при четырёх гигабайтах памяти и 4-битном квантовании модели с 9 миллиардами параметров можно запускать на четырёх и более устройствах, а модели с 26 миллиардами параметров — на десяти и более.

Результаты сквозного самовоспроизведения

Чтобы проверить, могут ли модели пройти весь цикл — от поиска целей и получения доступа до доставки полезной нагрузки и запуска инференса, — команда создала защищённое межсетевым экраном виртуальное частное облако из восьми узлов Google Cloud, на которых работал redroid — эмулятор Android 15. Червь, запущенный на исходном узле, последовательно перемещался с одного узла на другой через не требующий аутентификации порт ADB и настраивал сервер инференса для Llama3.1-8B. Каждую новую копию допускали к запуску только после проверки корректности и отсутствия попыток обмана.

Среди испытанных моделей с открытыми весами только GLM-5.2 удалось выполнить полный цикл самовоспроизведения: в четырёх из пяти испытаний она распространилась на все восемь узлов, а в оставшемся — на семь из восьми, сообщают исследователи. Поскольку в ходе оценки киберэтап был предельно простым — порт ADB не требовал аутентификации, — исследователи считают этот результат верхней границей успеха в реальных условиях. При этом они отмечают, что прежние ботнеты Интернета вещей, например Mirai, распространялись, используя стандартные списки имён пользователей и паролей производителей.

В публикации задаются нижний порог возможностей, который червь должен преодолеть для надёжного самовоспроизведения, и верхний предел размера модели, необходимый для её запуска на атакуемых устройствах. GLM-5.2 превышает нижний порог, а Qwen3.5-9B и Gemma4-26B-A4B укладываются в верхний предел для испытанных умных телевизоров с 4 гигабайтами памяти; в настоящее время эти два предела не пересекаются. Сопоставив заметные модели с открытыми весами, содержащие не более 30 миллиардов параметров, с индексом возможностей Epoch (ECI), команда с помощью аппроксимации методом наименьших квадратов оценила прирост в 13,7 ECI в год при R², равном 0,95. Согласно этой оценке, к концу 2026 года небольшая модель достигнет уровня GLM-5.2. Однако команда предупреждает, что ECI — это общий индекс возможностей, который лишь косвенно отражает способность к самовоспроизведению, поэтому срок представляет собой приблизительную оценку. В эксперименте по абляции на 17 узлах, где настройка инференса выполнялась заранее написанным скриптом, даже модель с 3 миллиардами параметров охватила примерно половину узлов. По словам команды, это позволяет оценить, насколько сложны оставшиеся этапы автономной работы и оркестрации.

Скорость, масштаб и адаптация репликации

В ходе измерений на физических ТВ-приставках команды Gemma4-26B-A4B без оптимизации обрабатывала около 0,3 токена в секунду при контекстном окне в 32 000 токенов. Полная настройка инференса занимала от 71 до 150 часов, тогда как для Qwen3.5-9B — от 28 до 51 часа. Если масштабировать эти показатели на флот размером с Kimwolf, по оценке команды, получится около 133 000 реплик, каждая из которых представляет собой группу из 15 телевизоров и в совокупности обрабатывает примерно 80 000 токенов в секунду. Для инференса потребуется не более примерно 40 эквивалентов H100 — команда называет это ничтожным объёмом вычислительных ресурсов. Репликация одной копии модели с 9 млрд параметров займёт от одного до двух дней.

По данным команды, среди шести поколений экземпляров Qwen3.5-9B, каждое из которых унаследовало заметки предшественника, доля успешной настройки инференса выросла с 45% в первом поколении до 61–84% в последующих поколениях в 20 линиях эволюции. Предоставление Qwen3.5-9B доступа к Opus 4.8 в качестве советника, работающего с передовыми моделями, не дало измеримого улучшения — независимо от того, вызывали ли советника как инструмент или предоставляли доступ к нему без запроса. Обучение с подкреплением, призванное научить модель обращаться к советнику при выполнении задач программирования, также не принесло практической пользы. При локальном воспроизведении оценки целевого фишинга Meta CyberSecEval 3 небольшие модели показали результаты от крайне низких до низких по шкале оценок людей. Команда приводит это как свидетельство того, что в небольших моделях навыки социальной инженерии отстают от агентных возможностей в киберсфере.

В отдельной оценке в публикации говорится примерно о 90 различных линейках IoT-продуктов на базе кремниевых чипов NVIDIA и примерно о 9,5 млн устройств, находящихся в эксплуатации. По очень приблизительной оценке, на периферийных ускорителях сосредоточено от 9 000 до 35 000 эквивалентов H100 вычислительных ресурсов, однако доступная доля, вероятно, как минимум на порядок меньше. Согласно приведённым в публикации данным, Jetson AGX Orin 64GB обрабатывает Qwen3-30B-A3B со скоростью 76,7 токена в секунду, а AGX Thor достигает 226 токенов в секунду.

Защита и оценка команды

Как говорится в публикации, для защиты необходимо снизить R₀ — число новых устройств, которые заражает каждое уже заражённое устройство, — ниже единицы. Масштабно распространяющийся по IoT-устройствам репликатор на основе весов модели оставлял бы сетевой след, заметный при мониторинге потоков трафика интернет-провайдером: вновь заражённые узлы получают многогигабайтные файлы модели, а распределённый инференс создаёт устойчивый трафик между устройствами. Более быстрая репликация порождает больше трафика, поэтому скорость приходится уравновешивать скрытностью. Приманки-серверы могут захватить программную обвязку и полезную нагрузку репликатора. Ссылаясь на исследования по устранению последствий Mirai, авторы публикации отмечают, что при карантине со стороны интернет-провайдера и уведомлении клиентов за 14 дней было устранено 92% заражений, тогда как без уведомления — 74%. В качестве примера того, как регулирование сокращает круг потенциальных целей, они также указывают, что использование паролей IoT-устройств по умолчанию теперь не соответствует требованиям на рынках Великобритании.

В отличие от ботнетов с жёстко заданными параметрами, таких как Kimwolf, которые нацелены на определённые типы устройств, ИИ-ботнет не привязан к конкретному оборудованию, говорится в публикации. В качестве примеров приводятся небольшие модели, запускающие инференс на устройствах от Jetson Nano до Mac. Исследователи заключают, что, как и в случае с агентами для программирования в 2024 году, полученные результаты свидетельствуют о первых признаках появления ИИ-червей: агенты всё чаще выполняют отдельные шаги цепочки репликации и передают адаптации будущим копиям, но до полноценного автономного репликатора-нарушителя пока не дошло. По их ожиданиям, объём развёрнутых периферийных вычислительных ресурсов будет расти, а минимальный размер модели, необходимый для надёжной репликации, — снижаться.