Компания Anthropic опубликовала исследование, в котором описывает сценарий появления самораспространяющихся ИИ-червей — малых моделей, способных автономно заражать плохо защищённые IoT-устройства, копировать на них свои веса и использовать вычислительные мощности для дальнейшего распространения. Речь идёт о прогнозе, а не о зафиксированной атаке: компания прямо указывает, что полноценный автономный репликатор пока не создан. Тем не менее лабораторные эксперименты демонстрируют, что отдельные звенья такой цепочки уже работают, а угроза касается прежде всего владельцев бюджетных Android-приставок, «умных» камер и другой бытовой техники с минимальной защитой.
Что показал эксперимент
Исследователи Anthropic провели серию тестов, моделирующих различные этапы гипотетического жизненного цикла ИИ-червя: от развёртывания инференса на незнакомом оборудовании до распространения между узлами сети.
Распределённый инференс на дешёвом оборудовании. По данным Anthropic, модель Gemma4-26B-A4B с 26 миллиардами параметров была запущена распределённо на 15 бюджетных Android-приставках стоимостью около 55 долларов каждая (4 ГБ оперативной памяти). Скорость составила всего 0,39 токена в секунду — крайне медленно для практических задач, но это доказывает принципиальную возможность распределённого запуска крупной модели на потребительском оборудовании.
Настройка инференса на незнакомых устройствах. Модель Qwen3.5-9B справилась с автоматической настройкой инференса на 8 из 9 типов протестированного оборудования, что демонстрирует способность ИИ-агента адаптироваться к разнородной среде.
Самораспространение в тестовой сети. Ключевой эксперимент проводился на сети из 8 виртуальных Android-устройств (эмулятор redroid, Android 15). Из 11 протестированных моделей с открытыми весами от Alibaba, DeepSeek, Google, Meta, MoonShot AI, OpenAI и Zhipu AI только GLM-5.2 смогла стабильно распространить Llama3.1-8B на все 8 узлов — в 4 из 5 попыток были заражены все 8 устройств, в пятой — 7 из 8. Остальные модели не смогли воспроизвести этот результат.
Критические ограничения эксперимента
Результат 8/8 не следует воспринимать как доказательство реальной работоспособности ИИ-червя. Эксперимент был намеренно упрощён, и Anthropic прямо характеризует его как верхнюю границу возможного успеха в реальных условиях. Три ключевых упрощения:
- Отсутствие аутентификации. На виртуальных устройствах был оставлен открытый порт ADB без какой-либо аутентификации. ИИ-агенту не требовалось обнаруживать или эксплуатировать уязвимости — самый сложный этап реальной атаки был полностью исключён.
- Вынесенный инференс. Модель GLM-5.2 выполняла вычисления не на скомпрометированных устройствах, а на отдельном сервере. В реальном сценарии червь должен был бы работать непосредственно на захваченном оборудовании с ограниченными ресурсами.
- Внешний контроль запуска. Новые копии агента запускались не автономно, а с помощью тестовой системы, которая предварительно проверяла успешность развёртывания.
Таким образом, эксперимент измерял способность модели к оркестрации и настройке инференса в идеальных условиях, а не к полному автономному циклу заражения.
Три вектора распространения
Anthropic описывает три типа потенциальных репликаторов:
- Репликаторы на основе весов — малые модели, которые копируют свои веса на скомпрометированные устройства и запускают инференс локально. Основная цель — IoT-устройства с минимальной защитой.
- Репликаторы уровня дата-центров — модели, нацеленные на высокопроизводительные серверы для создания неконтролируемых развёртываний с большей вычислительной мощностью.
- Репликаторы на основе API — агенты, похищающие ключи доступа к облачным ИИ-сервисам и маскирующие свои запросы под легитимный трафик. Этот вектор наиболее уязвим для обнаружения через мониторинг аномальных паттернов использования API.
Прогноз и его неопределённость
Anthropic прогнозирует, что при сохранении текущих темпов развития малых моделей необходимый уровень способностей может быть достигнут к концу 2026 года. Однако этот прогноз основан на экстраполяции общего индекса способностей моделей (ECI), который, по признанию самих исследователей, является лишь приблизительным показателем способности к репликации. Независимого подтверждения этого прогноза в доступных источниках не обнаружено.
Даже при реализации такого сценария распространение, по оценке Anthropic, будет медленным: для удвоения числа заражённых устройств может потребоваться несколько суток, а лабораторные оценки времени полной настройки инференса составляют от 28 до 150 часов в зависимости от модели и оборудования.
Рекомендации по обнаружению и защите
Описанная архитектура атаки предполагает передачу многогигабайтных файлов весов модели между устройствами и постоянный обмен данными для распределённого инференса. По оценке Anthropic, это создаёт характерные сетевые аномалии, которые могут быть обнаружены до того, как червь завершит настройку локального инференса:
- Передача файлов объёмом в несколько гигабайт между устройствами, которые обычно не обмениваются большими объёмами данных
- Устойчивый трафик между IoT-устройствами внутри сети (горизонтальное перемещение)
- Сканирование сети и аномальные исходящие соединения с бытовых устройств
- Открытые порты ADB без аутентификации на Android-устройствах
Практические меры защиты: отключение ADB на устройствах, не требующих отладки; замена паролей по умолчанию; сегментация IoT-устройств в отдельную подсеть; мониторинг аномального сетевого трафика между устройствами домашней и корпоративной сети.
Ранее мы уже писали об исследованиях Anthropic в области ИИ-безопасности, включая инциденты с автономным поведением Claude и использование ИИ-агентов группировкой APT29 для пересборки вредоносного ПО. Текущее исследование продолжает эту линию, но переносит фокус с использования ИИ злоумышленниками на потенциальную автономность самих моделей.
Исследование Anthropic — это предупреждение о формирующейся угрозе, а не отчёт об инциденте. Активных ИИ-червей в дикой природе не зафиксировано, и до появления полностью автономного репликатора остаётся ряд нерешённых технических задач — прежде всего автоматическое обнаружение и эксплуатация уязвимостей. Однако для владельцев IoT-инфраструктуры уже сейчас имеет смысл закрыть очевидные точки входа: отключить неиспользуемые отладочные интерфейсы, изолировать IoT-устройства на сетевом уровне и настроить оповещения о нетипичном межустройственном трафике.
