Что проверяли исследователи

Исследователи Anthropic Уильям Чжоу и Дэниел Фриман проверили, способны ли небольшие языковые модели самостоятельно переносить свою копию между плохо защищёнными устройствами интернета вещей. В сценарии ИИ-червя веса модели входят в вредоносную нагрузку, а сама модель запускается на захваченном устройстве и пытается настроить среду для работы. Описание эксперимента опубликовано на сайте Anthropic.

Испытания не доказывают, что такой червь уже существует в реальных сетях. Исследователи намеренно исключили из эксперимента собственно взлом устройств: они сосредоточились на том, сможет ли модель подготовить рабочую среду на незнакомом оборудовании. По словам авторов, предыдущие работы уже изучали способность малых моделей выполнять отдельные атаки.

Модели испытывали на недорогих ТВ-приставках

Для проверки модели Gemma4-26B-A4B распределили между 15 серийными Android TV-приставками. Каждая стоила около 55 долларов и имела 4 гигабайта оперативной памяти; устройства обрабатывали разные части модели. Она работала медленно, но запускалась.

Исследователи разделили распространение на четыре этапа: поиск уязвимых устройств в сети, получение доступа, настройка ИИ-среды на новом устройстве и дальнейшее распространение. Модель с 9 млрд параметров смогла настроить среду с Llama3.1-8B на 8 из 9 проверенных типов устройств. Однако пройти всю цепочку оказалось значительно сложнее.

По результатам испытаний, только GLM-5.2 надёжно завершила полный цикл: она заразила все восемь тестовых узлов в четырёх из пяти запусков. Три другие проверенные модели ни разу не распространились дальше исходного узла. Авторы также проверили передачу между поколениями модели заметок об удачных и неудачных стратегиях: у Qwen3.5-9B показатель успеха вырос с 45% в первом поколении до 84% в последующих.

Автономного червя пока нет

По оценке исследователей, ни одна нынешняя модель одновременно не достаточно мала для бытовых устройств и не обладает всеми нужными возможностями для самостоятельного размножения. Если малые модели продолжат развиваться нынешними темпами, такой уровень может быть достигнут к концу 2026 года. Настройка нового устройства в испытанном сценарии занимала от 28 до 150 часов — в зависимости от модели.

Авторы считают, что децентрализованную сеть было бы трудно отключить одним действием. В отличие от ботнета Kimwolf, работавшего на определённых типах устройств, потенциальный ИИ-ботнет мог бы адаптироваться к разному оборудованию. При размере сети Kimwolf вычислительная мощность, по оценке исследователей, соответствовала бы примерно 40 специализированным ИИ-чипам.

В качестве возможных мер защиты исследователи называют изоляцию заражённых сетей интернет-провайдерами и отказ производителей от паролей по умолчанию. В качестве примера они приводят ликвидацию последствий Mirai: в течение 14 дней удалось очистить 92% заражений. При этом авторы допускают, что ИИ-ботнеты смогут самостоятельно приспосабливаться к защитным мерам.

Амодеи предупреждает о потенциальном ущербе

Глава Anthropic Дарио Амодеи ранее писал, что подобный рой, по его прогнозу, может в течение 6–12 месяцев получить возможность захватить интернет с помощью устойчивого ботнета и причинить ущерб в сотни миллиардов долларов. Это предупреждение — оценка Амодеи, а не результат эксперимента исследователей.В публикации он призвал ИИ-компании относиться к инцидентам безопасности как к риску, за который каждая из них может отвечать сама. Исследователи, в свою очередь, называют медленные самораспространяющиеся системы возможным ранним признаком более быстрых и агрессивных вариантов.