Anthropic предупредила о самовоспроизводящихся ИИ-червях

Подразделение Frontier Red Team компании Anthropic опубликовало отчёт от 12 октября под названием «AI models may be capable of self-replicating without access to a datacenter», в котором описало концепцию вредоносного ПО нового класса — «репликатора на весах» (weight-based replicator). Вместо обычного исполняемого кода такой червь распространял бы веса языковой модели вместе с инфраструктурой для инференса на заражённых устройствах, включая дешёвые Android TV приставки и умную бытовую технику, без опоры на дата-центры.

В ходе экспериментов исследователи проверили, способны ли ИИ-агенты разворачивать инференс на разном железе и организовывать репликацию по сети. Модель Qwen3.5-9B смогла поднять инференс-сервер на восьми из девяти протестированных типов оборудования — среди них NVIDIA Jetson Nano, Mac на Apple Silicon, серверы Xeon, Google TPU, AMD MI300X и ПК с RTX 4090. Отдельно Gemma4-26B-A4B запустили на 15 небрендовых Android TV приставках стоимостью около $55 каждая, получив суммарную скорость генерации 0,39 токена в секунду.

Второй эксперимент касался оркестрации репликации по сети: восемь узлов Google Cloud с эмуляторами Android 15, агент распространялся между ними через незащищённый порт Android Debug Bridge (ADB), перенося файлы и поднимая инференс-сервер на каждой цели. Модель GLM-5.2 с 744 млрд параметров и размером более 1 ТБ завершила последовательность на всех восьми узлах в четырёх попытках из пяти, а в оставшейся дошла до семи. Ни одна другая открытая модель не справилась с задачей без оркестрации со стороны GLM-5.2.

При этом GLM-5.2 не реплицировала саму себя на приставки: она лишь разворачивала инференс-сервер для значительно меньшей Llama 3.1 8B на каждом узле, поскольку эмулируемые устройства не тянули большую модель. Таким образом, Anthropic показала, что крупная внешняя модель может управлять упрощённой репликацией на машинах с намеренно открытыми интерфейсами ADB, а малые модели способны настраивать инференс, — но не доказала, что небольшая модель может самостоятельно размножаться на потребительском железе.

Ключевое ограничение работы — разрыв между возможностями моделей и ресурсами целевых устройств. Модели, надёжно выполняющие всю последовательность репликации, пока слишком велики для дешёвых приставок, а те, что помещаются в их память, не могут довести процесс до конца. По оценкам Anthropic на основе Epoch Capabilities Index, модель класса 30 млрд параметров может достичь нужного уровня к концу 2026 года, однако это гипотеза, и проблема эффективности остаётся: развёртывание инференса на приставках с 4 ГБ ОЗУ заняло бы от 28–51 часа для Qwen3.5-9B до 71–150 часов для Gemma4-26B-A4B.

Anthropic также указывает на сетевые и ресурсные издержки: многогигабайтные веса создают заметный трафик и легко обнаруживаются. Гипотетический ботнет масштаба Kimwolf (более двух миллионов устройств) обеспечил бы около 133 тыс. экземпляров Gemma4-26B-A4B и лишь примерно 40 эквивалентов Hopper H100 по вычислительной мощности — при условии, что заражённые устройства остаются рабочими месяцами. По мнению исследователей, реальная угроза сегодня не в автономном самокопировании, а в том, что ИИ-агенты делают вредоносное ПО более адаптивным к незнакомым средам и снижают объём ручной работы под конкретные цели.