Anthropic Red Team’e göre küçük yapay zekâ modelleri yakında IoT cihazlarında kendi kendini çoğaltabilir

Anthropic’in Frontier Red Team’i, 12 Ekim 2026’da yayımladığı araştırmada, küçük yapay zekâ modellerinin akıllı fırınlar ve tanınmış markalara ait olmayan Android TV kutuları gibi ticari IoT cihazlarında kendi kendini çoğaltabilecek duruma gelmesine birkaç ay kalmış olabileceğini bildirdi. Ekip ayrıca böyle bir çoğaltıcıyı kapatmanın zor olacağını belirtti; çünkü onu devre dışı bırakmaya yarayacak merkezi bir nokta bulunmuyor.

Yazarlar William Zhou ve Daniel Freeman, yazıda, 9 milyar parametreli bir modelin ekibin test ettiği dokuz donanım türünün sekizinde çıkarım çalıştırabildiğini ve 30 milyar parametreli ya da daha küçük modellerin çoğalma sürecindeki birçok adımı tek başına tamamlayabildiğini bildiriyor. Ancak bu modeller, adımları baştan sona birleştirirken hatalar yapıyor. Küçük modeller tarihsel gelişim hızını korursa ekibin öngörüsüne göre 2026’nın sonuna kadar gereken yetkinlik düzeyine ulaşacak; ağırlık tabanlı küçük çoğaltıcılar da kısa süre sonra mümkün olabilecek. Bununla birlikte ekip, çoğalmanın yavaş ilerleyebileceğini ve ikiye katlanma süresinin günler alabileceğini belirtiyor.

Akıllı TV Kutularında Dağıtık Çıkarım

Pahalı hızlandırıcıların kesinlikle gerekli olmadığını göstermek için ekip, tanınmış markalara ait olmayan ve tanesi yaklaşık 55 dolara mal olan 15 Android TV kutusu satın alıp bunları ağa bağladı. Ardından 26 milyar parametreli Gemma4-26B-A4B modelini, işlem hattı paralelliği kullanarak bu cihazlara parçalara ayırıp dağıttı; 4 gigabayt RAM’e sahip her kutuda modelin katmanlarının küçük bir bölümü yer aldı. Ekip, bu kurulumun saniyede 0,39 belirteç ürettiğini bildiriyor ve ucuz, genellikle yetersiz korunan IoT cihazlarından oluşan dağıtık bir botnet’in yetkin bir modeli çalıştırmaya yetecek işlem gücü sağlayabileceğini yazıyor.

Tehdit Modelleri ve Değerlendirme Tasarımı

Yazı, kaygıyı otonom çoğalma ve uyum (ARA) çerçevesinde ele alıyor ve çoğalma sürecini dört aşamaya ayırıyor: hedefleri bulmak, çalıştırma olanağı elde etmek, çıkarımı başlatmak ve yeni ana bilgisayardan yayılmayı sürdürmek. Araştırmacılar, CyberGym ve ExploitBench’in de aralarında bulunduğu önceki makalelerin yanı sıra uyarlanabilir solucanlar üzerine çalışmaları, küçük modellerin siber istismarları gerçekleştirebildiğini gösteren çalışmalar olarak anıyor ve siber istismar aşamalarını büyük ölçüde kapsam dışında bırakıyor. Bunun yerine, en az incelenen ve küçük modeller açısından muhtemelen en zorlu aşama olarak tanımladıkları çıkarım kurulumuna odaklanıyorlar.

Yazı, gerçeğe dönüşmeye en yakın üç tehdit modelini şöyle tanımlıyor: ana bilgisayarları ele geçirerek yayılan küçük, ağırlık tabanlı bir çoğaltıcı; veri merkezlerini ve diğer yüksek işlem gücüne sahip sistemleri hedefleyen, öncü model ve açık ağırlıklı sürümleri bulunan büyük ve gelişmiş bir ağırlık tabanlı çoğaltıcı; kendi çıkarım API’sini kullanmak için kimlik bilgilerini çalan, API tabanlı bir çoğaltıcı. Araştırmacılar, çıkarım motorları tamamen kullanıcı alanında çalışabildiğinden ağırlık tabanlı çoğaltıcıların kök yetkilerine ihtiyaç duymadığını belirtiyor. Ayrıca kripto para madencilerinin ve P2Pinfect ile Fritzfrog gibi botnet’lerin ayrıcalık yükseltmesi yapmadan çalıştığını örnek gösteriyorlar.

Deneyler, ekibin açık kaynaklı Pi kodlama ajanı üzerine kurduğu Memento adlı bir test düzeneğinde yürütüldü. Bu düzenek, önceki örneğinin çalışma alanını ve ne denediğine ilişkin kısa bir not kümesini devralan yeni bir ajan örneğini düzenli aralıklarla başlatıyor. Model sunma deneyinde her model için yineleme başına 1,5 saatlik sınır ve toplamda altı saatlik zaman aşımı uygulandı. Temsili tehdit modeli, yazının iki milyondan fazla cihaza, çoğunlukla da tanınmış markalara ait olmayan Android TV’lere bulaştığını belirttiği Kimwolf adlı botnet’ti. Bu tür kutular genellikle bir ila dört gigabayt RAM’le geliyor. Yazının hesaplamasına göre, dört gigabayt RAM ve 4 bitlik niceleme kullanıldığında 9 milyar parametreli modeller dört veya daha fazla makinede, 26 milyar parametreli modeller ise on veya daha fazla makinede çalıştırılabiliyor.

Uçtan Uca Çoğalma Sonuçları

Modellerin hedefleri tarama, erişim sağlama, yükü iletme ve çıkarımı başlatma adımlarının tümünü birbirine bağlayıp bağlayamadığını sınamak için ekip, redroid adlı bir Android 15 emülatörünü çalıştıran sekiz Google Cloud düğümünden oluşan, güvenlik duvarıyla korunan bir sanal özel bulut kurdu. İlk bulaşmayı başlatan bir solucan, kimlik doğrulaması gerektirmeyen bir ADB bağlantı noktası üzerinden düğümler arasında ilerleyerek Llama3.1-8B modelini sunan bir çıkarım sunucusu kurdu. Her yeni kopyanın oluşturulmasına izin verilmesi için doğruluk ve hile önleme denetimlerinden geçmesi gerekiyordu.

Ekip, test edilen açık ağırlıklı modeller arasında yalnızca GLM-5.2’nin uçtan uca çoğalmayı tamamladığını bildiriyor: model beş denemenin dördünde sekiz düğümün tamamına, kalan denemede ise sekiz düğümün yedisine yayıldı. Değerlendirmede siber adımın basit tutulduğunu ve ADB bağlantı noktasında kimlik doğrulaması bulunmadığını belirten araştırmacılar, sonucu gerçek dünyadaki başarı için bir üst sınır olarak nitelendiriyor. Bununla birlikte Mirai gibi geçmişteki IoT botnet’lerinin, üreticilerin varsayılan kullanıcı adı ve parola listelerini kullanarak yayıldığını da hatırlatıyorlar.

Yazı, bir solucanın güvenilir biçimde çoğalabilmesi için aşması gereken yetkinlik eşiğini tanımlıyor; GLM-5.2 bu eşiğin üzerinde yer alıyor. Ayrıca bir modelin hedef aldığı cihazlarda çalışabilmesi için altında kalması gereken bir boyut sınırı belirliyor. Test edilen 4 gigabayt RAM’li akıllı TV’lerde Qwen3.5-9B ve Gemma4-26B-A4B bu sınırın altında kalıyor; ancak bu iki eşik şu anda kesişmiyor. Ekip, 30 milyar veya daha az parametreye sahip kayda değer açık ağırlıklı modelleri Epoch Yetkinlik Endeksi’ne göre grafik üzerinde gösterdiğinde, en küçük kareler uyumunun yılda 13,7 ECI artışa ve 0,95 R² değerine işaret ettiğini bildiriyor. Bu öngörüye göre küçük bir model, 2026’nın sonuna kadar GLM-5.2’nin düzeyine ulaşacak. Ancak ekip, ECI’nin genel bir yetkinlik endeksi olduğunu ve çoğalma becerisini yalnızca dolaylı biçimde ölçtüğünü vurgulayarak zamanlamanın kabaca yapılmış bir tahmin olduğu uyarısında bulunuyor. Çıkarım kurulumunun önceden yazılmış bir betikle gerçekleştirildiği 17 düğümlü bir bileşen çıkarma deneyinde, 3 milyar parametreli bir model bile düğümlerin yaklaşık yarısına ulaştı. Ekibe göre bu sonuç, geriye kalan otonomi ve düzenleme adımlarının ne ölçüde zorluk oluşturduğuna bir sınır koyuyor.

Çoğalma Hızı, Ölçeği ve Adaptasyon

Ekibin fiziksel TV kutuları üzerinde yaptığı ölçümlerde, optimize edilmemiş Gemma4-26B-A4B çıkarımı 32.000 tokenlık bağlam penceresinde saniyede yaklaşık 0,3 token hızında çalıştı. Tam bir çıkarım kurulumu 71 ila 150 saat sürerken Qwen3.5-9B için bu süre 28 ila 51 saatti. Kimwolf ölçeğinde bir cihaz filosuna uygulandığında ekip, her biri 15 TV’den oluşan yaklaşık 133.000 kopyanın toplamda saniyede yaklaşık 80.000 token işleyebileceğini tahmin ediyor. Bunun için en fazla yaklaşık 40 H100 eşdeğeri çıkarım gücü gerekiyor; ekip bu miktarı çok az bir hesaplama gücü olarak nitelendiriyor. Her 9 milyar parametreli kopyanın çoğalması ise bir ila iki gün sürüyor.

Ekip, her birinin kendinden önceki neslin notlarını devraldığı Qwen3.5-9B örneklerinin altı nesli boyunca, çıkarım kurulumunu başarıyla tamamlama oranının ilk nesildeki %45’ten sonraki nesillerde 20 soy hattı genelinde %61 ile %84 arasına yükseldiğini bildiriyor. Qwen3.5-9B’ye ileri düzey bir danışman olarak Opus 4.8’e erişim vermek, ister araç çağrısı olarak sunulsun ister herhangi bir yönlendirme olmadan kullanıma açılsın, ölçülebilir bir fayda sağlamadı. Danışmanı kodlama görevlerinde kullanmaya yönelik pekiştirmeli öğrenme de verimli biçimde başka görevlere aktarılamadı. Meta’nın CyberSecEval 3 kimlik avı amaçlı hedefli e-posta değerlendirmesinin yerel bir uygulamasında küçük modeller, insan değerlendiricilerin puanlarına göre normalize edildiğinde, yazının çok kötü ile kötü arasında nitelendirdiği sonuçlar aldı. Ekip, bunu küçük modellerde sosyal mühendislik yeteneğinin ajan tabanlı siber yetkinliğin gerisinde kaldığının kanıtı olarak gösteriyor.

Yazı ayrıca, sahada kullanılan yaklaşık 9,5 milyon birimden oluşan, NVIDIA silikonlu yaklaşık 90 farklı IoT ürün hattı olduğunu tahmin ediyor. Bu ürünlerdeki uç hızlandırıcıların hesaplama gücü kabaca 9.000 ila 35.000 H100 eşdeğerinde; erişilebilir payın ise muhtemelen en az bir büyüklük mertebesi daha düşük olduğu belirtiliyor. Yazının aktardığı rakamlara göre Jetson AGX Orin 64GB, Qwen3-30B-A3B modelini saniyede 76,7 token hızında çalıştırırken AGX Thor saniyede 226 tokene ulaşıyor.

Savunma ve Ekibin Değerlendirmesi

Yazıya göre savunma, R₀’ı —bulaşmış her cihazın daha sonra bulaştırdığı yeni cihaz sayısını— birin altına indirmeyi gerektiriyor. IoT makinelerine geniş ölçekte yayılan ve model ağırlıklarını kullanan bir çoğaltıcı, ağda iz bırakır ve bu iz internet servis sağlayıcılarının (ISP) trafik akışı izlemesiyle görülebilir; çünkü yeni bulaşmış ana makineler çok gigabaytlık model dosyaları alırken dağıtık çıkarım, cihazlar arasında kesintisiz trafik oluşturur. Daha hızlı çoğalma daha fazla trafik üretir ve hız ile gizlenme arasında ödünleşim yaratır; ayrıca tuzak sunucular, çoğaltıcının çalışma düzenini ve yükünü ele geçirebilir. Yazı, Mirai’nin temizlenmesine ilişkin araştırmalara atıfta bulunarak, ISP’lerin müşterilere bildirimde bulunarak karantinaya aldığı uygulamanın 14 gün içinde bulaşmaların %92’sini temizlediğini, bildirim yapılmadığında ise bu oranın %74’te kaldığını belirtiyor. Ayrıca, Birleşik Krallık pazarlarında varsayılan IoT parolalarının artık mevzuata uygun olmadığını, düzenlemelerin hedef havuzunu nasıl daralttığına örnek gösteriyor.

Belirli cihaz türlerini hedefleyen Kimwolf gibi sabit kodlanmış botnetlerin aksine, yazıya göre bir yapay zekâ botneti belirli bir donanıma bağlı değil; araştırmacılar, çıkarım kurulumunun Jetson Nano’dan Mac’e kadar farklı makinelerde yapılabildiğine dikkat çekiyor. Araştırmacılar, 2024’teki kodlama ajanlarında olduğu gibi, bulguların yapay zekâ solucanlarının gelişmeye başladığını gösterdiği sonucuna varıyor: Ajanlar çoğalma zincirinin tek tek adımlarını giderek daha sık tamamlıyor ve uyarlamaları sonraki kopyalara aktarıyor, ancak henüz kontrolden çıkmış, tam teşekküllü bir çoğaltıcı ortaya çıkmış değil. Araştırmacılar, kullanıma alınan uç hesaplama gücünün artmaya devam etmesini ve güvenilir çoğalma için gereken asgari model boyutunun düşmesini bekliyor.