Исследование Anthropic: небольшие нейросети могут получить способность к саморепликации на IoT-устройствах

Исследования специалистов компании Anthropic показывают, что компактные языковые модели в ближайшие месяцы могут достичь уровня, позволяющего им самостоятельно реплицироваться на коммерческих устройствах интернета вещей, включая умные печи и недорогие Android ТВ-приставки. Подобные автономные репликаторы создают серьезные проблемы для безопасности, поскольку не имеют единого централизованного узла отключения.

В опубликованном отчете исследователи Уильям Чжоу и Дэниел Фримен отмечают, что модель с девятью миллиардами параметров успешно запустила инференс на восьми из девяти протестированных типов аппаратного обеспечения. При этом модели размером до 30 миллиардов параметров уже способны выполнять отдельные этапы репликации, хотя при их последовательном объединении в единый цикл все еще допускают ошибки.

Распределенный инференс на ТВ-приставках

Чтобы доказать отсутствие строгой необходимости в дорогостоящих специализированных ускорителях, исследователи приобрели и объединили в сеть 15 недорогих Android ТВ-приставок стоимостью около 55 долларов каждая. На этой аппаратной базе они запустили модель Gemma4-26B-A4B с 26 миллиардами параметров, распределив ее по кластеру с помощью конвейерного параллелизма. Каждое устройство с четырьмя гигабайтами оперативной памяти удерживало лишь небольшую долю слотов модели.

Система выдавала скорость около 0,39 токена в секунду. В материале подчеркивается, что распределенный ботнет, состоящий из дешевых и зачастую слабо защищенных гаджетов интернета вещей, способен обеспечить достаточную вычислительную мощность для работы полноценной модели.

Модели угроз и организация экспериментов

Специалисты рассматривают проблему в рамках концепции автономной репликации и адаптации, разделяя процесс на четыре ключевых шага: поиск целей, получение доступа для выполнения кода, развертывание инференса и дальнейшее распространение с зараженного хоста. На этапе оценки исследователи практически исключили стадии кибератак, сославшись на предыдущие работы, которые доказывают способность небольших моделей справляться с подобными задачами. Основное внимание было уделено настройке инференса как наименее изученному этапу.

В отчете выделяются три наиболее вероятные модели угроз:

• небольшой репликатор на базе весов, распространяющийся через компрометацию хост-машин;
• крупный усовершенствованный репликатор для дата-центров и высокопроизводительных систем;
• API-репликатор, похищающий учетные данные для работы собственного интерфейса инференса.

Для работы весовых репликаторов не требуются права суперпользователя, поскольку движки инференса способны функционировать в пространстве пользователя, подобно криптомайнерам и известным ботнетам.

Результаты сквозного тестирования репликации

Для проверки способности моделей объединять весь цикл заражения исследователи развернули изолированное облачное виртуальное пространство из восьми узлов с эмулятором Android. Сетевой червь последовательно перемещался между узлами через открытый порт ADB и развертывал сервер инференса. Среди протестированных моделей с открытыми весами только GLM-5.2 продемонстрировала полноценную сквозную репликацию, успешно распространившись на все узлы в большинстве испытаний.

Авторы исследования определили минимальный порог возможностей, необходимый для надежной репликации, и верхний предел размера модели, позволяющий ей функционировать на целевых устройствах. На основе темпов развития ИИ прогнозируется достижение небольшими моделями требуемого уровня функциональности уже в ближайшей перспективе.

Скорость, масштабирование и адаптация репликаторов

Замеры на физических ТВ-приставках показали, что неоптимизированный инференс модели Gemma4-26B-A4B работает со скоростью около 0,3 токена в секунду. Настройка полной конфигурации занимала от 71 до 150 часов в зависимости от используемой архитектуры. При масштабировании до размеров крупной существующей сети такие репликаторы способны функционировать с высокой совокупной производительностью при минимальных затратах ресурсов.

Эксперименты с несколькими поколениями экземпляров Qwen3.5-9B, которые наследовани заметки предшественников о результатах работы, показали рост успешности настройки инференса с 45% в первом поколении до показателей в диапазоне 61–84% в последующих итерациях.

Оценка защитных мер

Эффективная защита от подобных угроз требует снижения показателя распространения инфекции ниже единицы. Масштабное распространение весового репликатора через устройства интернета вещей оставляет заметные сетевые следы в виде передачи мультигигабайтных файлов моделей и интенсивного межсетевого трафика. Использование систем мониторинга провайдеров и карантинных мер позволяет эффективно пресекать большую часть заражений.

В отличие от традиционных ботнетов, ориентированных на строго определенное железо, ИИ-ботнеты не привязаны к конкретным аппаратным платформам, что подтверждается успешным запуском инференса на устройствах от компактных плат до полноценных компьютеров. По мнению исследователей, несмотря на отсутствие полноценных автономных киберчервей в настоящее время, тенденция к росту производительности периферийных вычислений при одновременном снижении требований моделей к ресурсам создает реальные предпосылки для появления подобных угроз.