Команда Frontier Red Team компании Anthropic запустила модель искусственного интеллекта на наборе из 15 недорогих устройств Android TV общей стоимостью около 825 долларов в рамках эксперимента, изучавшего, насколько небольшие модели ИИ приблизились к способности копировать себя через подключённые к интернету устройства. Это оборудование работает со скоростью 0,39 токена в секунду — медленной для обычного взаимодействия, но, возможно, достаточной для программного обеспечения, работающего без ожидания пользователя.
Исследование не означает, что Anthropic создала червя искусственного интеллекта, способного автоматически распространяться по общедоступному интернету. Эксперименты проводились в изолированных средах и включали упрощения и допущения, облегчавшие доступ к устройствам. Однако результаты, опубликованные исследователями William Zhou и Daniel Freeman, указывают, что некоторые оставшиеся технические препятствия могут быть временными.
Четыре этапа цепочки саморепликации
В исследовании выделяются четыре задачи, необходимые программному червю для копирования себя: найти цель, получить к ней доступ, запустить инференс, а затем перейти на другое устройство. Исследователи считают, что небольшие модели уже продемонстрировали некоторые способности, необходимые для эксплуатации, тогда как запуск модели на незнакомом оборудовании, операционных системах и с незнакомыми зависимостями представляет собой главную проблему.
В ходе испытаний Qwen3.5-9B успешно настроила сервер инференса, на котором работала модель Llama3.1-8B, на восьми из девяти типов оборудования, включая Jetson Nano, компьютеры Mac и компьютеры с видеокартами RTX 4090. GLM-5.2 была более надёжной и обеспечивала более высокую производительность, но оказалась слишком большой для непосредственной работы на целевых устройствах.
В защищённой межсетевым экраном среде Google Cloud, включавшей восемь узлов с эмуляторами Android, GLM-5.2 получила доступ ко всем восьми узлам в четырёх из пяти попыток, а в пятой — к семи узлам. Для запуска GLM-5.2 использовался отдельный сервер, тогда как червь устанавливал на целевых устройствах меньшую модель размером 8B. Кроме того, открытым оставался недокументированный порт Android Debug Bridge, что не обязательно отражает реальные сетевые условия.
Память повысила шансы на копирование
Способность агентов настраивать инференс улучшилась, когда последующие копии получили возможность читать заметки, оставленные предыдущими попытками. При запуске Qwen3.5-9B через 20 линий, каждая из которых проходила шесть поколений, показатель успеха вырос с 45% в первом поколении до диапазона от 61% до 84% в последующих поколениях.
Исследователи назвали этот подход «ламарковским наследованием»: опыт передаётся от одной копии к другой без повторного обучения модели. Предоставление Qwen3.5-9B возможности запрашивать советы у более мощной модели Opus 4.8 не привело к статистически значимому улучшению, поскольку небольшая модель не всегда знала, какие вопросы следует задавать.
Что это меняет на практике?
Текущий парадокс заключается в том, что модель, способная выполнить весь процесс саморепликации, обычно слишком велика для работы на взломанных устройствах, тогда как небольшие модели, подходящие для этих устройств, не выполняют задачу достаточно стабильно. Исследователи оценивают, что устройства TV с объёмом памяти 4GB могут запускать модель 9B, распределённую между четырьмя или более модулями, и модель 26B, распределённую между десятью или более модулями. Кластер Anthropic из 15 устройств запускает модель Gemma4-26B-A4B.
Настройка одного инференса на устройствах этого класса может занимать от 28 до 150 часов в зависимости от модели. Однако программному агенту не требуется человеческое терпение, что делает медленное распространение среди огромного количества устройств сценарием, отличающимся от традиционных быстрых атак.
Основываясь на сети Kimwolf, поразившей более двух миллионов устройств, большинство из которых составляли дешёвые устройства Android TV, исследователи подсчитали, что разделение аналогичного количества устройств на кластеры по 15 устройств может дать около 133 тысяч копий модели с общей скоростью примерно 80 тысяч токенов в секунду. Эта мощность эквивалентна не более чем примерно 40 графическим процессорам Nvidia H100, но достигается за счёт устройств и эксплуатационных расходов, принадлежащих другой стороне.
Пределы угрозы и способы обнаружения
Результаты по-прежнему далеки от доказательства существования самораспространяющегося червя в интернете. Испытания опирались на открытые порты и контролируемые среды, а оценки исследователей относительно конца 2026 года основаны на общих тенденциях в развитии возможностей моделей и не гарантируют аналогичной производительности в реальном процессе саморепликации.
С другой стороны, требования к распространению могут сделать обнаружение такого типа программного обеспечения возможным: передача моделей размером в несколько гигабайт между устройствами создаёт сетевой трафик, который интернет-провайдеры могут отслеживать. Исследование указывает, что изоляция заражённых абонентов, как это произошло во время борьбы с сетью Mirai, когда мера одного из провайдеров привела к устранению 92% заражений за 14 дней, может стать первой линией защиты. Однако полное уничтожение копий потребует координации между всеми провайдерами, в сетях которых находятся заражённые устройства.