Компанія Anthropic оприлюднила дослідження, у якому описує сценарій появи самопоширюваних ШІ-черв’яків — малих моделей, здатних автономно заражати слабко захищені IoT-пристрої, копіювати на них свої ваги та використовувати їхні обчислювальні ресурси для подальшого поширення. Йдеться про прогноз, а не про зафіксовану атаку: компанія прямо зазначає, що повноцінний автономний реплікатор поки не створений. Втім, лабораторні експерименти демонструють, що окремі ланки такого ланцюжка вже працюють, а загроза стосується передусім власників бюджетних Android-приставок, «розумних» камер та іншої побутової техніки з мінімальним захистом.
Що показав експеримент
Дослідники Anthropic провели серію тестів, що моделювали різні етапи гіпотетичного життєвого циклу ШІ-черв’яка: від розгортання інференсу на невідомому обладнанні до поширення між вузлами мережі.
Розподілений інференс на дешевому обладнанні. За даними Anthropic, модель Gemma4-26B-A4B з 26 мільярдами параметрів була запущена розподілено на 15 бюджетних Android-приставках вартістю близько 55 доларів кожна (4 ГБ оперативної пам’яті). Швидкість становила лише 0,39 токена за секунду — вкрай повільно для практичних задач, але це доводить принципову можливість розподіленого запуску великої моделі на споживчому обладнанні.
Налаштування інференсу на невідомих пристроях. Модель Qwen3.5-9B успішно впоралася з автоматичним налаштуванням інференсу на 8 з 9 типів протестованого обладнання, що демонструє здатність ШІ-агента адаптуватися до різнорідного середовища.
Самопоширення в тестовій мережі. Ключовий експеримент проводили на мережі з 8 віртуальних Android-пристроїв (емулятор redroid, Android 15). З 11 протестованих моделей з відкритими вагами від Alibaba, DeepSeek, Google, Meta, MoonShot AI, OpenAI та Zhipu AI лише GLM-5.2 змогла стабільно поширити Llama3.1-8B на всі 8 вузлів — у 4 з 5 спроб було заражено всі 8 пристроїв, у п’ятій — 7 з 8. Решта моделей не змогли відтворити цей результат.
Критичні обмеження експерименту
Результат 8/8 не варто сприймати як доказ реальної працездатності ШІ-черв’яка. Експеримент був свідомо спрощений, і Anthropic прямо характеризує його як верхню межу можливого успіху в реальних умовах. Три ключові спрощення:
- Відсутність автентифікації. На віртуальних пристроях залишили відкритий порт ADB без будь-якої автентифікації. ШІ-агенту не потрібно було виявляти або експлуатувати вразливості — найскладніший етап реальної атаки був повністю усунений.
- Винесений інференс. Модель GLM-5.2 виконувала обчислення не на скомпрометованих пристроях, а на окремому сервері. У реальному сценарії черв’як мав би працювати безпосередньо на захопленому обладнанні з обмеженими ресурсами.
- Зовнішній контроль запуску. Нові копії агента запускалися не автономно, а за допомогою тестової системи, яка попередньо перевіряла успішність розгортання.
Таким чином, експеримент оцінював здатність моделі до оркестрації та налаштування інференсу в ідеальних умовах, а не до повного автономного циклу зараження.
Три вектори поширення
Anthropic описує три типи потенційних реплікаторів:
- Реплікатори на основі ваг — малі моделі, які копіюють свої ваги на скомпрометовані пристрої та запускають інференс локально. Основна ціль — IoT-пристрої з мінімальним захистом.
- Реплікатори рівня дата-центрів — моделі, націлені на високопродуктивні сервери для створення неконтрольованих розгортань з більшою обчислювальною потужністю.
- Реплікатори на основі API — агенти, що викрадають ключі доступу до хмарних ШІ-сервісів і маскують свої запити під легітимний трафік. Цей вектор найбільш вразливий до виявлення через моніторинг аномальних патернів використання API.
Прогноз і його невизначеність
Anthropic прогнозує, що за збереження нинішніх темпів розвитку малих моделей необхідного рівня спроможностей може бути досягнуто до кінця 2026 року. Однак цей прогноз ґрунтується на екстраполяції загального індексу спроможностей моделей (ECI), який, за визнанням самих дослідників, є лише приблизним показником здатності до реплікації. Незалежного підтвердження цього прогнозу в доступних джерелах не виявлено.
Навіть у разі реалізації такого сценарію, за оцінкою Anthropic, поширення буде повільним: для подвоєння кількості заражених пристроїв може знадобитися кілька діб, а лабораторні оцінки часу повного налаштування інференсу становлять від 28 до 150 годин залежно від моделі й обладнання.
Рекомендації щодо виявлення та захисту
Описана архітектура атаки передбачає передавання багатогігабайтних файлів ваг моделі між пристроями та постійний обмін даними для розподіленого інференсу. За оцінкою Anthropic, це створює характерні мережеві аномалії, які можна виявити до того, як черв’як завершить налаштування локального інференсу:
- Передавання файлів обсягом у кілька гігабайтів між пристроями, які зазвичай не обмінюються великими обсягами даних
- Стійкий трафік між IoT-пристроями всередині мережі (горизонтальне переміщення)
- Сканування мережі та аномальні вихідні з’єднання з побутових пристроїв
- Відкриті порти ADB без автентифікації на Android-пристроях
Практичні заходи захисту: вимкнення ADB на пристроях, які не потребують налагодження; зміна паролів за замовчуванням; сегментація IoT-пристроїв в окрему підмережу; моніторинг аномального мережевого трафіку між пристроями домашньої та корпоративної мережі.
Раніше ми вже писали про дослідження Anthropic у сфері безпеки ШІ, зокрема про інциденти з автономною поведінкою Claude та використання ШІ-агентів угрупованням APT29 для перескладання зловмисного ПЗ. Поточне дослідження продовжує цю лінію, але переносить фокус з використання ШІ зловмисниками на потенційну автономність самих моделей.
Дослідження Anthropic — це попередження про загрозу, що формується, а не звіт про інцидент. Активних ШІ-черв’яків у «дикій природі» не зафіксовано, і до появи повністю автономного реплікатора лишається низка нерозв’язаних технічних задач — насамперед автоматичне виявлення та експлуатація вразливостей. Втім, власникам IoT-інфраструктури вже зараз варто закрити очевидні точки входу: вимкнути невикористовувані налагоджувальні інтерфейси, ізолювати IoT-пристрої на мережевому рівні та налаштувати сповіщення про нетиповий міжпристроєвий трафік.
