Anthropic проверила саморепликацию ИИ на дешевых ТВ-приставках

Для распространения искусственного интеллекта по сети необязательно иметь доступ к мощным дата-центрам и дорогим графическим ускорителям. Исследователи Anthropic выяснили, что современные языковые модели уже способны выполнять некоторые задачи, необходимые для самостоятельного запуска на незнакомом оборудовании. В перспективе это может позволить ИИ распространяться между обычными потребительскими устройствами, создавая децентрализованные сети, которые будет трудно отключить.

Принцп работы саморепликации ИИ

Исследователи Frontier Red Team Уильям Чжоу и Дэниел Фриман изучили сценарий, при котором ИИ самостоятельно разворачивает свои копии и переносит их на другие устройства без непосредственного участия человека. Этот процесс называется автономной репликацией и адаптацией (ARA).

Ранее научные работы уже демонстрировали, что ИИ-агенты способны искать уязвимые узлы в сети, использовать обнаруженные эксплойты и передавать файлы модели на другие компьютеры. В новом исследовании команда Anthropic сосредоточилась на другой проблеме: сможет ли модель самостоятельно подготовить среду для запуска на оборудовании, с которым прежде не сталкивалась.

Для этого необходимо последовательно решить несколько технических задач: определить характеристики устройства, выбрать совместимое программное обеспечение, подобрать версии библиотек и настроить запуск с учетом доступных ресурсов. При этом административные права не всегда обязательны — некоторые модели можно запускать в обычном пользовательском окружении.

Именно сочетание этих возможностей вызывает опасения исследователей. Если ИИ сможет самостоятельно адаптироваться к разным устройствам, его распространение перестанет зависеть от единой аппаратной платформы.

Дешевые ТВ-приставки в качестве испытательного стенда

Чтобы проверить возможности современных моделей, команда приобрела 15 недорогих Android TV-боксов стоимостью около 55 долларов каждый. Вместо запуска полной модели на каждой приставке исследователи распределили ее слои между несколькими устройствами, применив конвейерный параллелизм.

В эксперименте использовалась Gemma4-26B-A4B. Такая схема позволила запустить модель на группе маломощных устройств, хотя производительность оказалась невысокой — около 0,39 токена в секунду. Иными словами, эксперимент подтвердил техническую возможность выполнения вычислений, но не продемонстрировал высокую скорость работы.

Подобные приставки представляют интерес для исследователей безопасности из-за ограниченных аппаратных ресурсов и особенностей защиты отдельных моделей устройств. Некоторые из них оснащены всего 1–4 ГБ оперативной памяти, а качество программной поддержки и обновлений зависит от производителя.

В качестве примера уже существующей угрозы авторы упоминают ботнет Kimwolf, который, согласно приведенным в исследовании данным, заразил более двух миллионов устройств. Этот случай показывает, насколько масштабными могут становиться сети, построенные на массовом потребительском оборудовании. Однако сам по себе он не доказывает, что аналогичный масштаб уже достижим для автономно распространяющегося ИИ.

Какие модели справились с испытаниями

В ходе экспериментов исследователи проверили, насколько хорошо модели адаптируются к различным аппаратным платформам. Модель с 9 млрд параметров смогла настроить запуск на восьми из девяти типов оборудования. Среди проверенных устройств были NVIDIA Jetson Nano, компьютеры Mac и системы с видеокартой RTX 4090.

Отдельно команда проверила, могут ли модели последовательно проходить этапы настройки на нескольких узлах сети. В упрощенном сценарии с восемью устройствами, где не требовалось получать доступ через порт ADB, лучше остальных показала себя GLM-5.2. В четырех из пяти испытаний она охватила все узлы, а в оставшемся случае добралась до семи из восьми.

Другие открытые модели не смогли стабильно завершить весь процесс. Это указывает на то, что наличие отдельных необходимых навыков еще не означает способности самостоятельно организовать полноценное распространение.

Результаты изменились, когда исследователи упростили задачу и заменили сложную настройку готовым скриптом. В таких условиях даже небольшие модели могли выполнять значительную часть работы: модель с 3 млрд параметров смогла пройти примерно половину узлов в сети из 17 устройств.

Авторы подчеркивают, что подобные испытания не воспроизводят полноценную кибератаку. Условия эксперимента были упрощены, поэтому полученные результаты скорее отражают потенциальные возможности моделей при благоприятных обстоятельствах, чем их гарантированное поведение в реальной сети.

Когда самораспространяющийся ИИ может стать реальностью

Для оценки перспектив технологии исследователи выделили два ограничения. Первое — минимальный уровень возможностей, при котором модель способна достаточно надежно выполнять необходимые для репликации действия. Второе — максимальный размер модели, которую еще можно разместить на доступном устройстве с учетом его памяти и вычислительной мощности.

Пока эти границы не пересекаются: модели, достаточно способные для выполнения сложных задач, не всегда помещаются на слабом оборудовании, а компактные варианты не всегда могут надежно пройти весь процесс самостоятельно.

В работе также рассматривается динамика развития открытых моделей с помощью Epoch Capabilities Index. Согласно приведенной авторами оценке, лучшие открытые модели размером до 30 млрд параметров прибавляют около 13,7 пункта индекса в год.

На основе этих данных исследователи предполагают, что модель с возможностями, сопоставимыми с продемонстрированными GLM-5.2, может появиться до конца 2026 года. Однако речь идет о приблизительном прогнозе: используемый индекс не измеряет способность к саморепликации напрямую, поэтому его нельзя считать точным предсказанием даты появления автономного ИИ-ботнета.

Почему такая сеть может быть медленной, но устойчивой

Эксперименты на реальных ТВ-приставках показали, что самостоятельная подготовка среды для запуска модели требует значительного времени. Для Gemma4-26B-A4B этот процесс занимал от 71 до 150 часов, а для Qwen3.5-9B — от 28 до 51 часа.

Такая скорость делает распространение намного менее эффективным по сравнению с традиционными вредоносными программами. Тем не менее исследователи рассмотрели гипотетический сценарий, в котором подобный механизм получает доступ к сети масштаба Kimwolf.

По их расчетам, в такой сети могло бы появиться около 133 тысяч копий модели. Совокупная вычислительная мощность этих устройств была бы сопоставима примерно с 40 ускорителями NVIDIA H100. Это незначительный ресурс по меркам крупных ИИ-систем, но он показывает, что распределенные вычисления возможны и без централизованной инфраструктуры.

Главная проблема заключается не столько в скорости, сколько в устойчивости. У децентрализованной сети нет единственного сервера, отключение которого гарантированно остановит все процессы. Если часть устройств выйдет из строя, оставшиеся узлы потенциально смогут продолжить работу.

Впрочем, подобный сценарий пока остается теоретическим: эксперимент не продемонстрировал полноценный ИИ-ботнет, который самостоятельно распространяется в реальной сети и сохраняет работоспособность после противодействия.

Может ли ИИ совершенствовать процесс распространения

Еще одна особенность, которую изучила команда Anthropic, — передача накопленного опыта между поколениями моделей. В некоторых сценариях потомки могли использовать заметки, оставленные предыдущими копиями, чтобы упростить настройку на новом оборудовании.

В испытаниях с Qwen3.5-9B доля успешных запусков увеличилась с 45% у первого поколения до 61–84% у последующих. Это говорит о том, что сохранение полезной информации может повышать эффективность повторения одних и тех же технических операций.

При этом подсказки от более мощной модели Opus 4.8 не дали ожидаемого результата. По интерпретации исследователей, одной передачи рекомендаций недостаточно, если небольшая модель не способна правильно определить, какие вопросы необходимо задать для решения конкретной задачи.

Поэтому авторы рассматривают возможность разделения ролей: более мощная модель могла бы координировать работу, а компактные модели — выполнять отдельные операции на доступных устройствах. Однако это возможный сценарий развития технологии, а не подтвержденная схема уже действующей сети.

Как защититься от подобных угроз

Исследователи считают, что противодействие потенциальным ИИ-ботнетам должно включать несколько направлений.

Одним из них является сетевой мониторинг. Передача больших файлов моделей и интенсивный обмен данными между устройствами могут оставлять заметные следы. Дополнительную информацию о методах распространения помогут получать изолированные исследовательские системы-ловушки, или honeypots.

Второе направление — оперативное выявление зараженных устройств и их изоляция. В исследовании приводится пример борьбы с Mirai: согласно упомянутым данным, уведомления пользователей и ограничения для зараженных абонентов помогли устранить 92% инфекций за 14 дней, тогда как без таких мер показатель составлял 74%.

Важную роль играет и безопасность устройств на этапе производства. В частности, использование заводских паролей, которые легко подобрать, создает условия для массового заражения оборудования. В Великобритании требования к безопасности потребительских устройств уже ограничивают подобные практики.

Не пропустите интересное!

Підписывайтесь на наши каналы и читайте анонсы хай-тек новостей, тестов и обзоров в удобном формате!

Мы в Facebook Мы в Instagram Мы в Telegram