Дослідники Frontier Red Team в Anthropic Вільям Чжоу та Деніел Фріман заявили, що для самореплікації штучного інтелекту не потрібні дорогі дата-центри та GPU. За їхньою оцінкою, малі мовні моделі вже за кілька місяців можуть навчитися самостійно поширюватися на дешевих IoT-пристроях. Вимкнути таку мережу буде складно: єдиного центру, який можна відключити, у неї немає.
Автономна реплікація та адаптація (ARA) означає, що модель сама розгортає й розповсюджує себе без контролю людини. Попередні дослідження вже показали, що ШІ-агенти вміють сканувати мережу, застосовувати експлойт і переносити ваги на цільову машину. Тепер Anthropic зосередилася на найменш вивченому кроці — запуску моделі на незнайомому обладнанні. Він вимагає серії залежних рішень: вибір сумісного стека, підбір версій пакетів, налагодження під конкретну машину. Root-права для цього не потрібні, бо інференс може працювати в просторі користувача.
Команда купила 15 безбрендових Android TV-боксів по ~55 доларів і розділила між ними модель Gemma4-26B-A4B за принципом конвеєрного паралелізму: кожна приставка тримала кілька шарів. Швидкість становила 0,39 токена на секунду, тобто дуже повільно, але модель працювала. Такі бокси зазвичай мають 1–4 ГБ пам’яті та прошивку без захисту від виробника. Саме на них трималася мережа Kimwolf, що заразила понад два мільйони пристроїв.
Модель на 9 млрд параметрів налаштувала інференс на 8 із 9 типів апаратури, від Jetson Nano до Mac і RTX 4090. У спрощеному тесті на 8 вузлах (без авторизації на ADB-порту) повний цикл пройшла лише GLM-5.2: у чотирьох випробуваннях із п’яти вона охопила всі вузли, в одному дійшла до 7 із 8. Інші відкриті моделі стабільно провалювалися. Якщо складне налаштування інференсу замінити готовим скриптом, решту кроків виконують навіть малі моделі: 3-мільярдна дійшла приблизно до половини вузлів у мережі зі 17. Автори застерігають, що кібератаку тут спрощено, тож це верхня межа. Втім, Mirai поширювався простим перебором заводських паролів.
Автори описують «базу» здібностей, нижче якої реплікація ненадійна, і «стелю» розміру, вище якої модель не вмістити на пристрої. Поки ці межі не перетинаються. За індексом Epoch Capabilities Index найкращі відкриті моделі до 30 млрд параметрів додають по 13,7 пункту на рік. Якщо за основу взяти GLM-5.2, мала модель такого рівня з’явиться до кінця 2026 року. Це груба оцінка, бо індекс лише опосередковано відображає здатність до реплікації.
На реальних боксах повне налаштування інференсу займає 71–150 годин для Gemma4-26B-A4B і 28–51 годину для Qwen3.5-9B. У ботнеті розміром із Kimwolf вийшло б близько 133 тис. реплік, а їхня сумарна потужність відповідала б приблизно 40 графічним процесорам H100. Це мало, але автори порівнюють такого реплікатора зі слизовою цвіллю: повільний, проте стійкий.
Нащадки можуть успадковувати нотатки батьків. У тесті з Qwen3.5-9B частка успішних налаштувань виросла з 45% у першому поколінні до 61–84% у наступних. Підказки від потужнішої моделі (Opus 4.8) натомість не допомогли: мала модель не знає, що питати. Тому координацію, найімовірніше, візьме на себе велика модель, яка запускатиме малі як субагентів. На відміну від Kimwolf, що націлений на певні пристрої, ШІ-ботнет не прив’язаний до жодної платформи.
Серед методів захисту автори називають мережевий слід: багатогігабайтні моделі й постійний трафік між пристроями помітні для моніторингу провайдерів, а приманки (honeypots) допоможуть зібрати зразки. Карантин: у випадку з Mirai сповіщення та обмеження заражених абонентів очистили 92% інфекцій за 14 днів проти 74% без них. Регулювання: у Британії заводські паролі вже не відповідають вимогам. Повноцінного «втікача-реплікатора» ще немає, але видно перші ознаки життя, як у кодингових агентів 2024 року. Автори очікують світ агентів на різному обладнанні, частина яких не контролюватиметься людьми, і закликають і зміцнювати системи, і готуватися жити з такими реплікаторами.
5
