Сначала Anthropic запустила модель ИИ на 15 недорогих Android ТВ-приставках, а затем проверила отдельную задачу репликации в изолированной сети эмуляторов Android. Первый результат показывает, что потребительские устройства могут совместно обеспечивать вычисления для инференса. Второй — как работал более крупный агент, когда доступ к следующей машине намеренно упростили. Ни один эксперимент не помещал самораспространяющуюся систему ИИ в реальный мир.

В исследовательской публикации от 12 октября поставлен практический вопрос для владельцев и специалистов по защите подключённых устройств: сможет ли агент со временем перемещаться между обычными машинами и запускать собственную модель без центра обработки данных? Эксперименты Anthropic делают некоторые звенья такой цепочки конкретнее, но между лабораторной задачей и настоящей атакой остаётся большой разрыв.

Главное изменение

  • Что изменилось: Anthropic показала распределённый инференс модели на купленных ТВ-приставках и измерила работу агента в изолированной задаче репликации. Компания также оценила, когда небольшие модели могут получить достаточно возможностей, чтобы объединить эти навыки.
  • Кого это касается: Владельцев и специалистов по защите подключённых устройств, которые могут предоставить злоумышленнику полезные вычисления или доступ к сети.
  • Что остаётся неопределённым: В изолированной задаче упростили доступ к каждой цели, для более крупного агента использовали внешний инференс, а исследователи предоставили вспомогательную инфраструктуру. Anthropic не показывала полного вредоносного репликатора, распространяющегося по реальным устройствам.

Купленные ТВ-приставки обеспечили вычислительную мощность

Anthropic купила и подключила к сети 15 Android ТВ-приставок малоизвестных марок, каждая с 4 ГБ памяти. Компания распределила Gemma4-26B-A4B между ними, чтобы на каждой приставке находилась часть слоёв модели. По данным компании, в этой демонстрации генерировалось 0,39 токена в секунду. Это свидетельствует, что такой класс недорогого оборудования может совместно запускать модель этого размера с измеренной скоростью.

В демонстрации ТВ-приставок модель не искала эти устройства и не взламывала их. Отдельно Anthropic проверяла, смогут ли агенты с открытыми весами развернуть инференс на незнакомом оборудовании. В обзоре говорится, что модель с 9 млрд параметров успешно справилась с восемью из девяти типов оборудования. В подробной оценке настройки инференса агентам поручили запускать Llama3.1-8B на разных машинах. Компания использовала исследовательскую среду Memento, которая периодически передавала новому агенту рабочую область предыдущей попытки и краткие заметки. Исследователи также предоставляли сведения об оборудовании и ограничивали время. Эта поддержка важна при оценке того, отражает ли результат возможности агента или развёртывание без помощи.

Результат репликации получен в упрощённом эмуляторе

Во втором эксперименте Anthropic использовала защищённую межсетевым экраном облачную сеть из восьми узлов с эмуляторами Android. Задача состояла в том, чтобы начать с узла, подготовленного исследователями, пройти по сети и настроить сервер инференса на каждом достигнутом узле. Доступ к следующему узлу намеренно оставили без аутентификации, поэтому испытание проверяло последовательность действий и настройку инференса, а не преодоление реалистичной защиты устройства.

Модель более крупного агента работала на отдельном сервере, поскольку узлы эмулятора не могли её разместить. На каждом целевом узле требовалось запустить Llama3.1-8B — типовую нагрузку для сравнения агентов разного размера. После успешной проверки этого сервера экспериментальная система запускала следующую копию агента. Такая конструкция проверяет, может ли способный агент организовать цепочку в контролируемых условиях; она не показывает, что та же модель переносила и запускала себя на каждом устройстве.

Anthropic сообщает, что GLM-5.2 достиг всех восьми узлов в четырёх из пяти испытаний и семи узлов в пятом. Другие проверенные модели с открытыми весами не завершили задачу полностью надёжно. Авторы называют результат верхней границей успеха в реальном мире, поскольку этап доступа сделали почти тривиальным. Эта оговорка принципиальна: в реальной сети устройств были бы другое программное обеспечение, разрешения, сетевые маршруты и средства защиты. Эксперимент не измерял процент успеха в таких условиях.

Срок появления — это прогноз

Anthropic сравнила порог возможностей, предполагаемый результатом эмулятора, с прогрессом моделей с открытыми весами и не более чем 30 млрд параметров в общем индексе возможностей Epoch AI. Экстраполяция этой тенденции показала, что небольшая модель может достичь порога к концу 2026 года. Индекс измеряет общие возможности и служит лишь косвенным показателем полной задачи репликации. Сам порог получен в изолированном эксперименте с более крупным агентом и более лёгким способом доступа. Поэтому это оценка исследователей, а не наблюдённая дата появления IoT-репликатора.

Скорость — ещё одно ограничение. Anthropic оценивает, что при измеренной скорости устройств и нагрузке по настройке инференса попытка с моделью 9B могла бы занять около 28–51 часа, а неоптимизированная конфигурация Gemma — примерно 71–150 часов. Это расчёты для такой нагрузки, а не измеренное время заражения. Они позволяют предположить, что агент на базе устройств мог бы действовать медленно и долго, меняя то, за чем стоит следить защитникам.

Что специалисты по защите устройств могут извлечь из исследования

Anthropic указывает на необычно крупные передачи весов модели и устойчивый трафик между устройствами как на возможные признаки работы системы на основе весов в целой сети устройств. Это предложенные направления для обнаружения; исследователи не проверяли систему мониторинга в реальном времени против развёрнутого ИИ-червя. Также они предлагают усилить настройки устройств по умолчанию и координировать действия сетевых операторов, чтобы сократить возможности распространения.

Для владельца дома или малого бизнеса результаты подкрепляют привычную гигиену устройств и дают более конкретную причину ей следовать: знать, какие подключённые устройства используются, обновлять программное обеспечение и настройки доступа там, где это разрешает поставщик, и разбираться с неожиданным трафиком между устройствами. Команды безопасности могут использовать статью как повод проверить, как они обнаружат медленные длительные вычисления и крупные передачи между управляемыми устройствами. Ни одна такая проверка не доказывает, что ИИ-червь уже присутствует. Anthropic прямо говорит, что не показывала полного вредоносного репликатора.

Источники и дополнительные материалы

  • Anthropic, “AI models may be capable of self-replicating without access to a datacenter”, 12 октября 2026 года: первичный отчёт о демонстрации на купленных устройствах, оценке настройки инференса, изолированных испытаниях на эмуляторах, методах, прогнозе и предложенных мерах защиты. Результаты и оценки в статье приписаны исследователям; BIG CHANGE не повторяла эксперименты.
  • Epoch AI, Epoch Capabilities Index: описание общего индекса возможностей, который Anthropic использовала в прогнозе как косвенный показатель. Индекс напрямую не измеряет репликацию IoT.