Anthropics red team säger att små AI-modeller snart kan komma att replikera på IoT-enheter

Anthropics Frontier Red Team publicerade forskning den 12 oktober 2026, där de rapporterade att det kanske bara är några månader kvar innan små AI-modeller kan självkopiera på kommersiella IoT-enheter som smarta ugnar och Android TV-boxar av mindre kända märken. En sådan replikator skulle vara svår att stänga av eftersom den saknar en central punkt som kan kopplas bort.

I inlägget rapporterar författarna William Zhou och Daniel Freeman att en modell med 9 miljarder parametrar kunde köra inferens på åtta av de nio typer av hårdvara som teamet testade. De skriver också att modeller med högst 30 miljarder parametrar redan kan utföra många enskilda steg i en replikering, även om de gör misstag när de ska sätta ihop stegen till en sammanhängande process. Om små modeller fortsätter att förbättras i samma takt som tidigare räknar teamet med att de når den nödvändiga förmånenivån i slutet av 2026. Små viktbaserade replikatorer kan bli möjliga kort därefter, även om teamet påpekar att replikeringen kan gå långsamt, med en fördubblingstid på flera dagar.

Distribuerad inferens på smart-tv-boxar

För att visa att dyra acceleratorer inte är absolut nödvändiga köpte teamet 15 Android TV-boxar av mindre kända märken för cirka 55 dollar styck och kopplade ihop dem i ett nätverk. Därefter körde de Gemma4-26B-A4B, en modell med 26 miljarder parametrar, uppdelad mellan enheterna med pipelinerad parallellisering. Varje box med 4 gigabyte RAM innehöll en liten del av modellens lager. Teamet rapporterar att systemet levererade 0,39 token per sekund och skriver att ett distribuerat botnät av billiga, vanligtvis dåligt skyddade IoT-enheter skulle kunna tillhandahålla tillräcklig beräkningskapacitet för att köra en kapabel modell.

Hotmodeller och utvärderingsupplägg

Inlägget beskriver problemet som autonom replikering och anpassning (ARA) och delar upp replikeringen i fyra steg: att hitta mål, få möjlighet att köra kod, konfigurera inferens och fortsätta spridningen från den nya värden. Forskarna uteslöt i stort sett stegen som bygger på cyberangrepp och hänvisade till tidigare artiklar, däribland CyberGym och ExploitBench, samt forskning om adaptiva maskar. Enligt dessa visar studier att små modeller redan klarar av cyberangrepp. I stället fokuserade forskarna på att konfigurera inferens, som de beskriver som det minst studerade och möjligen mest utmanande steget för små modeller.

Inlägget beskriver tre hotmodeller som ligger närmast att bli verklighet: en liten viktbaserad replikator som sprider sig genom att kompromettera värddatorer; en stor, avancerad viktbaserad replikator som riktar in sig på datacenter och andra system med hög beräkningskapacitet, i både frontier- och öppna viktvarianter; samt en API-baserad replikator som stjäl inloggningsuppgifter till ett inferens-API som den själv använder. Viktbaserade replikatorer behöver inte root-behörighet, påpekar forskarna, eftersom inferensmotorer kan köras helt i användarutrymmet. De hänvisar också till kryptovalutautvinnare och botnät som P2Pinfect och Fritzfrog, som fungerar utan att höja behörighetsnivån.

Experimenten genomfördes med Memento, ett ramverk som teamet byggde ovanpå kodningsagenten Pi med öppen källkod. Ramverket startar med jämna mellanrum en ny agentinstans som ärver den föregående instansens arbetsyta och en kort uppsättning anteckningar om vad den försökt göra. I experimentet med inferensservering hade varje modell en tidsgräns på 1,5 timmar per iteration och en total tidsgräns på sex timmar. Den representativa hotmodellen är Kimwolf, ett botnät som enligt inlägget har infekterat mer än två miljoner enheter, främst Android TV-apparater av mindre kända märken. Sådana boxar levereras vanligtvis med 1–4 gigabyte RAM. Med 4 gigabyte och 4-bitars kvantisering kan modeller med 9 miljarder parametrar köras på fyra eller fler maskiner och modeller med 26 miljarder parametrar på tio eller fler, beräknar inlägget.

Resultat för replikering från början till slut

För att testa om modeller kan genomföra hela kedjan – söka efter mål, få åtkomst, leverera nyttolasten och starta inferens – byggde teamet ett brandväggsskyddat virtuellt privat moln med åtta Google Cloud-noder som körde redroid, en Android 15-emulator. En mask med ursprung i patient noll hoppade från nod till nod via en ADB-port utan autentisering och installerade en inferensserver som körde Llama3.1-8B. Kontroller av korrekthet och fusk hindrade varje ny kopia från att spridas om de inte godkändes.

Bland de testade modellerna med öppna vikter var det bara GLM-5.2 som lyckades med fullständig replikering från början till slut. Enligt teamet spred den sig till alla åtta noder i fyra av fem försök och till sju av åtta i det återstående försöket. Eftersom utvärderingen gör cybersteget trivialt, utan autentisering på ADB-porten, beskriver forskarna resultatet som en övre gräns för framgång i verkliga förhållanden. De påpekar samtidigt att tidigare IoT-botnät som Mirai spred sig med hjälp av standardlistor över tillverkarnas användarnamn och lösenord.

Inlägget definierar en lägsta förmånenivå som en mask måste överskrida för att kunna replikera tillförlitligt; GLM-5.2 ligger över den. Det anger också en övre storleksgräns som en modell måste hålla sig under för att kunna köras på de enheter den angriper. Qwen3.5-9B och Gemma4-26B-A4B ligger under den gränsen för de smart-tv-apparater med 4 gigabyte RAM som testades, och de två gränserna överlappar inte i nuläget. När teamet jämförde uppmärksammade modeller med öppna vikter och högst 30 miljarder parametrar med Epoch Capabilities Index visade teamets minsta-kvadrat-anpassning en ökning på 13,7 ECI per år, med ett R² på 0,95. Det innebär att en liten modell kan nå GLM-5.2:s nivå i slutet av 2026, även om teamet understryker att ECI är ett generellt förmågeindex och bara en indikator på förmågan att replikera, vilket gör tidsangivelsen till en grov uppskattning. I en ablationsstudie med 17 noder, där ett förskrivet skript skötte konfigurationen av inferens, nådde till och med en modell med 3 miljarder parametrar ungefär hälften av noderna. Enligt teamet ger detta en bild av hur stor del av svårigheten som återstår i de autonoma stegen och samordningen.

Replikeringens hastighet, omfattning och anpassningsförmåga

I teamets mätningar på de fysiska tv-boxarna kördes ooptimerad inferens med Gemma4-26B-A4B med cirka 0,3 token per sekund över ett kontextfönster på 32 000 token, och en fullständig inferensuppsättning tog 71 till 150 timmar, jämfört med 28 till 51 timmar för Qwen3.5-9B. Uppskalat till en flotta av samma storlek som Kimwolf uppskattar teamet att den skulle omfatta ungefär 133 000 repliker, där varje replik består av en grupp på 15 tv-apparater, och tillsammans leverera cirka 80 000 token per sekund. Inferensen skulle kräva högst cirka 40 H100-ekvivalenter, vilket teamet beskriver som en mycket liten mängd beräkningskapacitet, och replikeringen skulle ta en till två dagar per kopia med 9 miljarder parametrar.

Enligt teamet ökade andelen lyckade inferensuppsättningar från 45 % i den första generationen till mellan 61 % och 84 % i senare generationer, över 20 utvecklingslinjer med sammanlagt sex generationer av Qwen3.5-9B-instanser som var och en ärvde föregångarens anteckningar. Att ge Qwen3.5-9B tillgång till Opus 4.8 som rådgivare från en ledande modell gav ingen mätbar förbättring, vare sig rådgivaren erbjöds som ett verktygsanrop eller var tillgänglig utan uppmaning, och förstärkningsinlärning för att använda rådgivaren i kodningsuppgifter gav ingen produktiv överföring. I en lokal upprepning av Metas utvärdering CyberSecEval 3 av spjutfiske fick små modeller resultat som inlägget beskriver som mycket dåliga till dåliga när de normaliserades mot mänskliga bedömare. Teamet hänvisar till detta som belägg för att social manipulation ligger efter agentbaserad cyberförmåga hos små modeller.

Inlägget uppskattar separat att det finns omkring 90 olika IoT-produktserier med NVIDIA-kisel och ungefär 9,5 miljoner driftsatta enheter, vilket motsvarar en mycket grov uppskattning på 9 000 till 35 000 H100-ekvivalenter av beräkningskapacitet i edge-acceleratorer. Den andel som går att nå är sannolikt minst en tiopotens lägre. En Jetson AGX Orin 64GB kör Qwen3-30B-A3B med 76,7 token per sekund och en AGX Thor når 226 token per sekund, enligt siffror som inlägget hänvisar till.

Försvar och teamets bedömning

Försvaret går ut på att få R₀, det vill säga antalet nya enheter som varje infekterad enhet i sin tur infekterar, under ett, enligt inlägget. En replikator som sprider modellvikter i stor skala mellan IoT-enheter skulle lämna ett nätverksmönster som syns i internetleverantörernas flödesbaserade övervakning, eftersom nyligen infekterade värdar tar emot modellpaket på flera gigabyte och distribuerad inferens ger upphov till ihållande trafik mellan enheter. Snabbare replikering ger mer trafik, vilket innebär en avvägning mellan hastighet och diskretion, och honungsfällor kan fånga upp replikatorns ramverk och nyttolast. Med hänvisning till forskning om åtgärder mot Mirai uppger inlägget att internetleverantörers karantänsättning, tillsammans med kundaviseringar, fick bukt med 92 % av infektionerna inom 14 dagar, jämfört med 74 % utan avisering. Inlägget noterar också att standardlösenord för IoT-enheter numera inte uppfyller regelkraven på brittiska marknader, som ett exempel på hur reglering minskar antalet möjliga mål.

Till skillnad från hårdkodade botnät som Kimwolf, vilka riktar in sig på särskilda enhetstyper, är ett AI-botnät inte knutet till någon särskild maskinvara, enligt inlägget, som pekar på att små modeller kan sätta upp inferens på allt från en Jetson Nano till en Mac. Forskarna drar slutsatsen att resultaten, liksom kodningsagenterna 2024, visar tecken på att AI-maskar börjar ta form: agenter klarar i allt högre grad enskilda steg i replikeringskedjan och för vidare anpassningar till framtida kopior, men utgör ännu inte en fullständig okontrollerad replikator. De räknar med att den driftsatta edge-beräkningskapaciteten fortsätter att växa, samtidigt som den minsta modellstorlek som krävs för tillförlitlig replikering minskar.