Anthropic은 저가형 Android TV 박스와 스마트 오븐 같은 상용 사물인터넷 기기 사이에서 소형 인공지능 모델이 몇 달 안에 자기 확산 능력에 가까워질 수 있다고 경고했다. 이러한 시나리오는 데이터센터에 직접 의존하지 않고 AI 작업 부하를 실행할 수 있는 분산형 기기 네트워크의 구축으로 이어질 수 있다.
그러나 이 경고는 임박한 공격이나 완전히 독립적인 AI 웜에 대한 완전한 입증에 근거한 것은 아니다. 연구진은 Google DeepMind의 Gemma4-26B-A4B 모델을 브랜드가 알려지지 않은 Android TV 박스 15대에 배포하는 데 성공했지만, 실제 IoT 하드웨어를 대상으로 기기를 찾고 침해한 뒤 자동으로 자기 자신을 복제하는 완전한 과정을 시연하는 데는 성공하지 못했다.
실험에서 무엇이 드러났나?
Anthropic은 저가형 Android TV 박스를 사용하고 Qwen3.5-9B, Gemma4-26B-A4B, Llama3.1-8B, Opus 4.8, GLM-5.2 모델에 서로 다른 역할을 배정했다. Qwen3.5-9B와 GLM-5.2는 Llama3.1-8B를 준비하고 배포하는 작업을 맡았으며, Gemma4-26B-A4B는 15대의 기기에서 모델을 실행할 수 있음을 보였다.
시험은 대상 기기에서 문서화되지 않은 ADB 액세스가 노출된 단순화된 환경을 바탕으로 진행됐다. Qwen3.5-9B는 시험한 9개 하드웨어 유형 중 8개에 Llama3.1-8B를 실행하는 데 필요한 소프트웨어를 설치하고 설정하는 데 성공했다. GLM-5.2는 통제된 모의 네트워크 안에서 5번의 시도 중 4번, 8개의 노드에 도달했다. 반면 다른 모델들은 이 과정을 안정적으로 완료하지 못했다.
Qwen3.5-9B의 성공률은 초기 시도의 45%에서 이전 시도의 데이터를 보존한 후속 세대에서는 84%로 상승했다. 이를 지원하기 위해 Opus 4.8을 사용해도 측정 가능한 개선은 나타나지 않았다.
실질적으로 무엇이 달라지는가?
Anthropic은 실험 결과와 이전의 개선 속도를 근거로, 매개변수가 300억 개를 넘지 않는 모델이 2026년 말까지 필요한 능력 수준에 도달할 수 있다고 추정한다. 연구된 하드웨어에서 추론에는 Qwen3.5-9B의 경우 28~51시간, Gemma4-26B-A4B의 경우 71~150시간이 걸렸으며, 이는 방어자에게 활동을 발견하고 대응할 시간을 제공한다. 그러나 모델과 하드웨어가 개선되면 이 시간은 줄어들 수 있다.
제안된 방어책과 경고의 한계
Anthropic은 대형 모델 전송 과정과 기기 간 비정상적인 데이터 이동을 모니터링하고, 페이로드를 검사하기 위해 네트워크 허니팟을 사용하며, 감염된 가입자나 기기를 격리하는 한편 IoT 기기의 기본 보안 설정을 개선할 것을 제안한다.
핵심 결과는 여전히 위협이 실제로 존재한다는 입증이 아니라 경고에 해당한다. 보호 수준을 낮추고 확산 대상을 미리 지정했음에도 실험에서는 처음부터 끝까지 독립적인 웜을 구축하지 못했다. 그럼에도 결과는 취약한 IoT 설정과 소형 모델의 기기 탐지 및 설정 능력이 결합할 경우 향후 분산 공격을 억제하기가 더 어려워질 수 있음을 보여준다.