Исследователи Anthropic показали, что современные ИИ-модели уже способны выполнять основные этапы самостоятельного распространения между компьютерами и умными устройствами. Полноценного ИИ-червя пока не существует, но необходимый для его появления технологический барьер может исчезнуть уже к концу 2026 года.
Команда Frontier Red Team проверила, сможет ли искусственный интеллект копировать себя на чужие устройства, запускать там собственную модель и продолжать распространение без участия человека. Исследователей интересовали не мощные серверы и дата-центры, а обычная бытовая электроника, включая дешёвые телевизионные приставки, умные камеры и другие устройства интернета вещей. Результаты оказались достаточно серьёзными, чтобы рассматривать подобные атаки как потенциальную угрозу ближайшего будущего.
Главное отличие предполагаемого ИИ-червя от традиционного вредоносного ПО заключается в способности самостоятельно разбираться с незнакомым оборудованием. Обычный червь распространяется по заранее написанным алгоритмам и использует известные способы проникновения. ИИ-агент потенциально сможет изучать характеристики обнаруженной системы, подбирать совместимое программное обеспечение, исправлять ошибки установки и менять тактику при неудаче.
Первый эксперимент показал, насколько хорошо небольшие открытые модели справляются с развёртыванием ИИ на разных аппаратных платформах. Qwen3.5-9B сумела организовать запуск модели Llama3.1-8B на восьми из девяти проверенных типов оборудования. Среди испытанных платформ были компактные компьютеры Jetson Nano, системы Mac, видеокарты NVIDIA RTX 4090 и ускорители AMD MI300X. Исследование не выявляло уязвимости в перечисленных процессорах, а проверяло способность ИИ адаптироваться к разным вычислительным средам.
Во втором эксперименте специалисты собрали необычную вычислительную систему из 15 недорогих Android TV-приставок стоимостью около 55 долларов каждая. Все устройства имели по 4 ГБ оперативной памяти. Исследователи распределили между приставками слои модели Gemma4-26B-A4B, заставив отдельные устройства совместно выполнять вычисления. Система действительно заработала и выдавала 0,39 токена в секунду. Для обычного чат-бота скорость практически непригодная, но опыт подтвердил возможность запуска крупной модели на группе слабых устройств.
Подобная архитектура позволяет обойти ограничение, которое ещё недавно выглядело непреодолимым. Одна дешёвая приставка физически не способна разместить достаточно крупную ИИ-модель в оперативной памяти. Однако несколько устройств могут хранить разные части нейросети и последовательно обрабатывать запросы. По оценке Anthropic, модель с 9 миллиардами параметров при определённых условиях можно распределить между четырьмя такими устройствами, а для модели с 26 миллиардами параметров потребуется не менее десяти.
Третий эксперимент приблизился непосредственно к сценарию компьютерного червя. Исследователи создали изолированную сеть виртуальных устройств на Android 15 и предоставили ИИ возможность находить новые узлы, подключаться к ним, передавать программные компоненты и настраивать запуск Llama3.1-8B. Для проникновения использовали открытый без аутентификации интерфейс ADB, предназначенный для отладки Android. Такая конфигурация намеренно упрощала заражение и не требовала поиска настоящих уязвимостей.
Лучший результат показала GLM-5.2. В четырёх из пяти испытаний модель успешно прошла все восемь целевых узлов, а в оставшейся попытке добралась до семи. Другие протестированные открытые модели не смогли столь же надёжно выполнить весь цикл. Результат показывает, что достаточно мощный ИИ уже умеет координировать распространение программных компонентов по сети, хотя успех был достигнут в специально подготовленной среде с минимальными препятствиями.
У эксперимента обнаружилось принципиальное ограничение. GLM-5.2 не запускала собственные веса на заражённых устройствах. Модель работала на отдельном сервере, а на виртуальных узлах разворачивала значительно меньшую Llama3.1-8B. После проверки работоспособности исследовательская система запускала следующего агента GLM-5.2, также использовавшего внешние вычислительные ресурсы. Поэтому испытание подтвердило способность управлять цепочкой распространения, но не доказало возможность полноценного самостоятельного размножения крупной нейросети.
Исследователи фактически обнаружили разрыв между возможностями и размерами современных моделей. Компактные нейросети уже помещаются в распределённую инфраструктуру из недорогих устройств, но пока недостаточно надёжно выполняют сложную последовательность действий. Более мощные системы способны пройти такую цепочку, однако требуют слишком много вычислительных ресурсов. Для появления автономного ИИ-червя оба условия должны совпасть в одной достаточно компактной модели.
Anthropic предполагает, что необходимый уровень возможностей может появиться у моделей с числом параметров до 30 миллиардов уже к концу 2026 года. Прогноз основан на динамике развития открытых моделей и показателе Epoch Capabilities Index, который оценивает их общую эффективность. Авторы признают, что показатель не измеряет непосредственно способность к самораспространению. Поэтому речь идёт об ориентировочном сроке, а не о доказанной дате появления нового класса вредоносных программ.
Даже при достижении необходимого уровня интеллекта первые подобные черви могут оказаться чрезвычайно медленными. Расчёты Anthropic показывают, что на настройку запуска модели Qwen3.5-9B на слабом оборудовании потребуется примерно 28–51 час, а Gemma4-26B-A4B может потратить 71–150 часов. Речь идёт об оценках времени выполнения вычислительной работы на испытанной конфигурации, а не об измеренной скорости заражения реальных устройств. Обычные программные черви способны распространяться гораздо быстрее.
Медлительность, однако, не обязательно сделает подобную угрозу безобидной. Автономному агенту необязательно быстро захватывать тысячи компьютеров, если заражённые устройства способны работать неделями и постепенно расширять сеть. В отличие от централизованного сервиса, распределённая система не имеет единственного сервера, отключение которого гарантированно остановит распространение. Anthropic сравнивает возможный сценарий с колонией организмов, которая медленно разрастается и приспосабливается к окружающей среде.
Отдельный эксперимент показал, что небольшие модели способны улучшать результаты без дополнительного обучения своих весов. Исследователи использовали систему Memento, в которой очередной экземпляр агента наследовал записи предшественника о выполненных действиях, ошибках и найденных решениях. У Qwen3.5-9B доля успешных настроек выросла с 45% в первом поколении до 61–84% в последующих. Таким образом, будущий ИИ-червь потенциально сможет передавать следующим копиям накопленный практический опыт.
При этом помощь более мощной модели не гарантировала улучшения результата. Когда Qwen3.5-9B предоставили возможность обращаться за советами к Claude Opus 4.8, исследователи не обнаружили статистически значимого повышения успешности. Небольшие агенты плохо формулировали вопросы и не всегда использовали полученные рекомендации. Авторы считают более вероятной архитектуру, в которой мощная модель управляет общей стратегией, а компактные агенты выполняют отдельные задачи на доступном оборудовании.
Опасения Anthropic подкрепляет существование крупных сетей заражённых бытовых устройств. В качестве примера исследователи приводят ботнет Kimwolf, который, по оценкам специалистов, охватил более двух миллионов устройств, преимущественно дешёвых Android TV-приставок. Злоумышленники уже используют подобное оборудование для DDoS-атак и передачи чужого интернет-трафика. Добавление автономных ИИ-агентов теоретически позволило бы такой инфраструктуре работать с более разнообразным оборудованием и самостоятельно решать часть технических проблем.
Масштаб потенциальных вычислительных ресурсов Anthropic оценила на примере сети из двух миллионов приставок. Если разделить устройства на группы по 15 и запустить на каждой Gemma4-26B-A4B, получится около 133 тысяч экземпляров модели. При параллельной работе их суммарная производительность могла бы достигать примерно 80 тысяч токенов в секунду, что исследователи сопоставляют максимум с 40 ускорителями NVIDIA H100 при выбранном режиме вычислений. Оценка иллюстрирует возможности распределённой системы, но не означает, что существующий Kimwolf уже располагает подобной функциональностью.
У защитников остаются способы обнаружить такое распространение. Передача многогигабайтных файлов с весами моделей, постоянный обмен данными между бытовыми устройствами и попытки подключения к новым адресам могут создавать заметные аномалии в сетевом трафике. Anthropic предлагает использовать мониторинг провайдеров, изоляцию заражённых систем и повышение базовых требований к безопасности умной электроники. Чем быстрее червь пытается размножаться, тем больше подозрительной активности способен оставить.
Для владельцев Android-приставок исследование добавляет вполне практический аргумент против ненужных открытых сетевых сервисов. Доступный посторонним ADB, слабые пароли, устаревшие прошивки и отсутствие обновлений уже позволяют обычным ботнетам захватывать подобные устройства. Отключение ненужной отладки, установка доступных исправлений и ограничение сетевого доступа сокращают число возможностей для заражения независимо от того, использует вредоносная программа искусственный интеллект или традиционный код.
Anthropic пока не обнаружила полноценного автономного ИИ-червя, способного самостоятельно переносить собственную модель между бытовыми устройствами и продолжать работу без внешней вычислительной инфраструктуры. Но исследование показало, что отдельные технические препятствия уже преодолены. Главный вопрос теперь заключается в том, как быстро достаточно компактные нейросети научатся объединять найденные возможности в единую надёжную цепочку распространения.
