Исследователи проверили, может ли малая ИИ-модель сама распространяться по IoT-устройствам

12 октября команда Frontier Red Team компании Anthropic опубликовала эксперимент о потенциально опасных возможностях небольших языковых моделей. Исследователи Уильям Чжоу и Дэниел Фриман проверили, сможет ли модель самостоятельно развернуть инференс на дешёвых IoT-устройствах и передать инструкции следующему узлу без доступа к дата-центру.

В одном из тестов модель с 9 млрд параметров смогла запустить инференс на восьми из девяти типов оборудования. В упрощённой сети GLM-5.2 от Zhipu за четыре из пяти прогонов заразила все восемь узлов, а в пятом — семь из восьми. Авторы подчёркивают, что речь идёт не о полноценном вредоносном ПО, а об исследовательской демонстрации возможностей моделей.

Дешёвое железо может стать распределённым вычислителем

В отдельной демонстрации Gemma4-26B-A4B от Google работала на 15 безымянных Android-приставках стоимостью около 55 долларов каждая. Скорость составляла примерно 0,39 токена в секунду — немного по современным меркам, но такая система не имеет единой точки отказа, которую можно было бы отключить одним действием.

Экземпляры Qwen3.5-9B передавали заметки следующему поколению узлов. Благодаря этому доля успешных настроек инференса выросла с 45% у первого поколения до 61–84% у последующих. Полная настройка инференса на приставках занимала у Gemma от 71 до 150 часов, а у Qwen3.5-9B — от 28 до 51 часа. Для обычного пользователя это значительный срок, однако автоматизированная сеть может работать без спешки.

Исследователи предполагают, что до полноценной способности к самокопированию малым моделям могут оставаться считанные месяцы. Их прогноз основан на тренде Epoch Capabilities Index: согласно приведённой оценке, малые модели прибавляют около 13,7 пункта в год при R² = 0,95. Если считать уровень GLM-5.2 порогом для репликации, модель может достичь его к концу 2026 года.

Потенциальный масштаб угрозы

Для оценки масштаба авторы сравнили сценарий с ботнетом Kimwolf, который заразил более двух миллионов устройств. Если бы каждая группа из 15 приставок запускала Gemma4-26B-A4B, в такой сети получилось бы около 133 тысяч копий модели с суммарной производительностью примерно 80 тысяч токенов в секунду. Это сопоставимо с возможностями примерно 40 видеокарт NVIDIA H100, но вычислительная мощность была бы распределена по миллионам устройств в частных домах.

При этом эксперимент проводился в благоприятных для атаки условиях: исследователи использовали открытый порт ADB без аутентификации. Поэтому результаты следует рассматривать как верхнюю границу возможностей, а не как доказательство того, что современные модели уже способны самостоятельно заражать реальные сети. Однако сочетание дешёвого оборудования, автоматизации и длительного времени работы может сделать такие сценарии практически значимыми в будущем.

Классические ботнеты, включая Mirai, распространялись в том числе благодаря заводским паролям, и эта проблема сохраняется. Модель, способная самостоятельно настраивать инференс и искать новые устройства, потенциально превращает большое количество приставок, роутеров и другой техники в распределённую вычислительную инфраструктуру без ведома владельцев.

Какие меры предлагают исследователи

Провайдерам рекомендуют отслеживать многогигабайтные передачи файлов моделей между домашними устройствами. Производителям стоит отказаться от паролей по умолчанию — аналогичные требования уже вводятся, например, законодательством Великобритании. Владельцам устройств следует закрывать отладочные порты и не оставлять ADB доступным из сети.

Опыт борьбы с Mirai показывает, что информирование пользователей и изоляция заражённых устройств могут заметно ускорить очистку сетей. Когда абонентов помещали в карантин и уведомляли о заражении, за 14 дней удавалось устранить 92% инфекций. Без уведомлений показатель составлял 74%.