Zespół Frontier Red Team firmy Anthropic oświadcza, że kompaktowe modele AI mogą być tylko kilka miesięcy od kopiowania się na tanie, podłączone do internetu urządzenia domowe, bez udziału centrum danych. Badacze ostrzegli, że taki scenariusz byłby bardzo trudny do opanowania, ponieważ modele trudno byłoby wyłączyć przy braku jakiegokolwiek centralnego punktu kontroli.

Wyniki opublikowano 12 października w artykule badawczym na stronie internetowej Anthropic, a ich konsekwencje dotyczą każdego, kto używa inteligentnych urządzeń w domu lub w małej firmie.

Piętnaście tanich dekoderów TV, jeden model o 26 miliardach parametrów

Badacze William Zhou i Daniel Freeman zademonstrowali potencjalne ryzyko, łącząc 15 tanich dekoderów Android TV mało znanych marek, aby uruchomić Gemma4-26B-A4B, model o 26 miliardach parametrów. Każde urządzenie kosztowało około 55 dolarów i miało 4 GB pamięci RAM. Zespół rozdystrybuował warstwy modelu pomiędzy urządzenia za pomocą techniki znanej jako parallelizm potokowy.

Zbiór 15 dekoderów Android generował łącznie tylko 0,39 tokena na sekundę – zdecydowanie za wolno do jakiegokolwiek praktycznego zastosowania czatbota. Badacze argumentowali jednak, że samorozprzestrzeniający się wirus nie musi działać z dużą prędkością na pojedynczej maszynie i w rzeczywistości więcej zyskałby na dotarciu do dużej liczby urządzeń.

Wskazali także na Kimwolf, botnet, który zainfekował ponad dwa miliony głównie tanich telewizorów Android TV, jako przykład tego, ile słabo zabezpieczonych urządzeń czai się w domach użytków jako łatwe cele. Ten epizod wskazuje na drugą część scenariusza: dla samorozprzestrzeniającego się modelu mniej ważna jest prędkość działania, a bardziej liczba tanich, stale online i słabo chronionych urządzeń, przez które może przechodzić – te same warunki, które pozwoliły botnetom takim jak Kimwolf się wcześniej zakorzenić.

Żaden z testowanych modeli nie potrafił niezawodnie replikować się na inne urządzenie, pozostając jednocześnie na tyle małym, by działać na smart TV. Badacze oczekują, że ta luka zamknie się do końca 2026 roku, jeśli lekkie otwarte modele będą nadal rozwijać się w obecnym tempie – prognoza, która daje producentom urządzeń, operatorom sieci i zespołom bezpieczeństwa konkretny horyzont czasowy do obserwacji.

Replikacja w czterech krokach i jeden model, któremu się to udało

Anthropic podzielił proces replikacji na cztery odrębne etapy: identyfikację celów, uzyskanie możliwości wykonywania kodu, konfigurację inferencji, a następnie powtórzenie procesu z każdego nowo zainfekowanego urządzenia.

Badacze w dużej mierze pominięli początkowe etapy hakowania, powołując się na wcześniejsze prace pokazujące, że małe modele potrafią już przeprowadzać cyber-eksploity. Skupili się zamiast tego na trzecim etapie – konfiguracji inferencji, która obejmuje długi szereg decyzji specyficznych dla danego sprzętu.

Aby przetestować cały proces, zespół zbudował izolowaną sieć ośmiu węzłów Google Cloud, każdy z uruchomionym emulatorem Androida. Wstępnie załadowany wirus rozprzestrzeniał się między węzłami przez niezabezpieczony port Android Debug Bridge, po czym uruchamiał serwer do obsługi Llama3.1-8B. Spośród testowanych modeli o otwartych wagach tylko GLM-5.2, opracowany przez chińską firmę Z.ai, ukończył pełny cykl replikacji, docierając do wszystkich ośmiu węzłów w czterech z pięciu prób.

Modele stawały się coraz skuteczniejsze w samodzielnej konfiguracji w miarę rozprzestrzeniania się między pokoleniami. Gdy instancje modelu Qwen3.5-9B o 9 miliardach parametrów przekazywały notatki konfiguracyjne swoim następcom, wskaźnik sukcesu wzrósł z 45% w pierwszym pokoleniu do 61–84% w kolejnych pokoleniach. Skok między pokoleniami ma znaczenie, ponieważ pokazuje, że wiedza może być przekazywana dalej: każda nowa instancja dziedziczy działające notatki konfiguracyjne zamiast rozwiązywać zagadkę sprzętową od zera.

Dlaczego zdecentralizowany wirus trudno zabić

Surowa prędkość nie jest głównym zmartwieniem w tym scenariuszu – to rozróżnienie Anthropic starannie wyjaśnił. Firma szacuje, że skonfigurowanie modelu 26B na dekoderach TV zajęłoby od 71 do 150 godzin. Większe ryzyko tkwi w trwałości: przy braku centralnego serwera lub operatora ludzkiego, który mógłby system wyłączyć, mógłby oniknąć typowych metod powstrzymywania i dezaktywacji.

Roman V. Yampolskiy, ekspert ds. AI i cyberbezpieczeństwa z Uniwersytetu Louisville, określił wyniki badań jako bardzo istotne. Argumentował, że wirusy napędzane AI mogą wyjść poza tradycyjne złośliwe oprogramowanie, rozumując działanie nieznanych urządzeń, adaptując się, gdy podejście zawodzi, i kontynuując rozprzestrzenianie się bez ingerencji człowieka. Choć nie uważa ich dziś za zagrożenie egzystencjalne, ostrzegł, że ich rozwój budzi niepokój.

„Urządzenia IoT w domach i małych firmach mogą być pierwszym celem takich ataków, ponieważ są podłączone do internetu i historycznie miały minimalne środki bezpieczeństwa” – napisali Zhou i Freeman w artykule Anthropic.

Obrońcy wciąż mają przewagę

Anthropic porównał zadanie obronne do powstrzymywania epidemii, którego celem jest utrzymanie średniej liczby nowych zakażeń wywoływanych przez każde urządzenie poniżej jednego. Dostawcy internetu mogliby oznaczać nietypowo duże transfery modeli lub stałą komunikację między urządzeniami, a honeypoty mogłyby służyć do przechwytywania kodu wirusa.

W raporcie przywołano brytyjski zakaz domyślnych haseł w urządzeniach inteligentnych jako skuteczny sposób zmniejszenia liczby podatnych urządzeń dostępnych dla atakujących – środek po stronie podaży, który kurczy się pulę punktów wejścia, od których zależałby samorozprzestrzeniający się model.

Anthropic oświadczył również, że nie zaobserwował jeszcze działającego samo-replikatora, opisując obecne dowody jedynie jako „oznaki życia”. Firma opublikowała badania wraz z odrębnym twierdzeniem, że nowe zabezpieczenia zmniejszyły destylację o 90 do 99%.