В 4 из 5 запусков GLM-5.2 распространила модель на все 8 тестовых узлов

Исследователи Уильям Чжоу и Дэниел Фримен изучали сценарий, при котором вредоносная программа переносит на новое устройство веса ИИ-модели и запускает её там. Такая модель могла бы изучать незнакомое оборудование и подбирать способ настройки рабочей среды для следующей копии. Среди возможных целей — плохо защищённые умные телевизоры, холодильники и роботы-пылесосы. Для работы червю не потребовался бы постоянный доступ к дата-центру.

Сначала команда проверила, способны ли обычные недорогие устройства выполнять вычисления для ИИ. Распределённую модель Gemma4-26B-A4B запустили на 15 Android TV-приставках с 4 ГБ оперативной памяти у каждой. Одна приставка стоила около $55 (около 4 600 ₽), а её задача состояла в обработке части слоёв модели. Система работала медленно, но запуск удался; по данным «Хакера», скорость составила 0,39 токена в секунду.

Полную цепочку исследователи разделили на поиск уязвимых устройств в сети, получение доступа, настройку ИИ-среды и дальнейшее распространение. Сам взлом в испытание намеренно не включили. Команда сосредоточилась на вопросе, сможет ли модель наладить работу на устройстве, с которым прежде не сталкивалась. На отдельном этапе модель с 9 млрд параметров настроила среду для Llama3.1-8B на восьми из девяти типов устройств.

Объединить этапы оказалось сложнее. Модель GLM-5.2 распространила Llama3.1-8B на все восемь тестовых узлов в четырёх из пяти запусков. «Хакер» уточняет, что узлы представляли собой виртуальные Android-устройства с открытым без аутентификации доступом ADB. Вычисления GLM-5.2 выполнялись на отдельном сервере, а новые копии агента запускала тестовая система после проверки развёртывания. Поэтому успешный результат испытания не означает, что ИИ-червь уже способен самостоятельно заражать бытовую технику.

ИИ-червь: почему ботнет будет трудно отключить

Исследователи проверили и передачу опыта между копиями модели. Каждая из них получала записи об удачных и неудачных действиях предшественниц. В испытании Qwen3.5-9B доля успешных попыток выросла с 45% в первом поколении до 84% в последующих. Однако сейчас ни одна модель одновременно не подходит по двум условиям: она должна быть достаточно компактной для бытового устройства и достаточно способной для полного самостоятельного распространения.

Для сравнения исследователи приводят ботнет Kimwolf, который на пике охватил более 2 млн устройств, преимущественно Android TV-приставок. Такой ботнет работает с определёнными типами оборудования. ИИ-червь в предложенном сценарии мог бы приспосабливаться к разным устройствам, а отсутствие единого центра управления осложнило бы его отключение. При масштабе Kimwolf общая вычислительная мощность подобной сети, по оценке команды, соответствовала бы примерно 40 специализированным ИИ-чипам.

Быстрым распространение тоже не обещает быть. По расчётам исследователей, настройка одной новой копии заняла бы от 28 до 150 часов в зависимости от модели. Передача многогигабайтных весов и обмен данными между устройствами создали бы заметный сетевой трафик. Исследователи предлагают изолировать заражённые сети силами интернет-провайдеров и отказаться от паролей по умолчанию. Во время борьбы с ботнетом Mirai за 14 дней удалось устранить 92% заражений; в Великобритании запрет на пароли по умолчанию уже закреплён законом.

Глава Anthropic Дарио Амодей ранее предупредил, что за 6—12 месяцев подобный рой может получить возможность создать устойчивый ботнет и нанести ущерб на сотни миллиардов долларов. По прогнозу исследователей, если небольшие модели продолжат совершенствоваться прежними темпами, к концу 2026 года автономное распространение может стать технически возможным. Эти оценки относятся к будущему сценарию, а не к результату проведённых испытаний.