Anthropic: małe modele AI mogą za kilka miesięcy umieć kopiować się na urządzeniach IoT

Anthropic opublikował 12 października 2026 roku badanie, w którym ostrzega, że małe modele AI mogą być "o miesiące" od zdolności do samodzielnego kopiowania się na komercyjnych urządzeniach internetu rzeczy (IoT), takich jak tanie przystawki z Android TV. Autorzy podkreślają, że to szacunek oparty na ekstrapolacji trendów, a nie wykryty w praktyce robak AI.

Co sprawdzono

Zespół Frontier Red Team badał, czy agenci AI potrafią uruchomić model na nieznanym sprzęcie i rozprzestrzenić go dalej. Cykl replikacji to znalezienie celu, uzyskanie dostępu, uruchomienie modelu i powtórzenie. Eksperymenty prowadzono w kontrolowanych warunkach, a nie w publicznym internecie.

W jednym z testów model Gemma4-26B-A4B został rozdzielony na 15 tanich przystawek Android TV. Działał, ale z prędkością zaledwie 0,39 tokena na sekundę. Przy 4 GB RAM i kwantyzacji 4-bitowej modele 9B wymagają według autorów co najmniej czterech urządzeń, a modele 26B co najmniej dziesięciu.

Pełna replikacja w laboratorium

Pełny cykl udało się przeprowadzić tylko modelowi GLM-5.2. Test odbywał się na ośmiowęzłowej flocie w Google Cloud z emulatorami Androida i niezabezpieczonym portem ADB. Model dotarł do wszystkich ośmiu węzłów w czterech z pięciu prób, a w piątej do siedmiu. Wdrażał przy tym Llama3.1-8B, a nie samego siebie.

Autorzy sprawdzili też, czy agenci uczą się na wcześniejszych próbach. Gdy kolejne instancje Qwen3.5-9B dostawały notatki poprzedników, skuteczność uruchomienia wnioskowania wzrosła z 45 proc. do przedziału 61-84 proc. Dostęp do doradcy w postaci modelu Opus 4.8 nie dał mierzalnej poprawy.

Skala i ograniczenia

Według szacunku Anthropic flota wielkości botnetu Kimwolf, czyli ponad 2 mln urządzeń, dałaby około 133 tys. replik i około 80 tys. tokenów na sekundę, co odpowiada co najwyżej około 40 kartom H100. Według szacunku autorów, opartego na zmierzonych prędkościach, pełne uruchomienie wnioskowania na przystawkach TV zajęłoby około 28-51 godzin dla Qwen3.5-9B i około 71-150 godzin dla niezoptymalizowanej Gemma4-26B-A4B.

Anthropic wprost wymienia zastrzeżenia. Etap włamania był celowo uproszczony, więc wyniki to górna granica tego, co możliwe w praktyce. Wskaźnik ECI jest tylko przybliżeniem zdolności do replikacji, a oszacowanie rozprzestrzeniania opiera się na jednej klasie sprzętu i jednym dawnym botnecie. Małe modele są też słabe w spearphishingu i inżynierii społecznej, a zespół nie badał, czy botnety AI potrafiłyby działać inteligentnie przeciw obrońcom.

Powinniśmy utwardzać nasze systemy tak, by takim replikatorom trudno było się rozprzestrzeniać. - Anthropic Frontier Red Team

Jak się bronić

Autorzy proponują, by dążyć do tego, aby współczynnik reprodukcji R0 spadł poniżej 1. Zalecają monitorowanie u dostawców internetu przesyłów wielogigabajtowych, nietypowego ruchu między urządzeniami i skanowania sieci, a także honeypoty do przechwycenia kodu replikatora. Wskazują, że przy botnecie Mirai kwarantanna i powiadamianie zainfekowanych abonentów przez dostawcę internetu usunęły 92 proc. infekcji w 14 dni wobec 74 proc. bez powiadomień.

Producenci powinni według raportu wprowadzać bezpieczne ustawienia domyślne, tak jak brytyjski zakaz domyślnych haseł w urządzeniach IoT. Dla firm w Polsce praktyczny wniosek jest prosty: zinwentaryzować kamery, sprzęt konferencyjny i nieaktualizowane urządzenia IoT oraz zamknąć porty debugowania.

Szerszy kontekst

Semafor zwraca uwagę, że współzałożyciel Anthropic napisał osobno, iż "rekurencyjne samodoskonalenie" może nadejść w przyszłym roku. Dziennikarz Derek Thompson skrytykował firmę, pisząc, że jej szefowie powinni przestać zachowywać się jak prezenter lokalnych wiadomości relacjonujący korki i przyznać, że to oni są tym korkiem. Samo badanie nie pokazuje działającego robaka AI w prawdziwych sieciach.