Искусственный интеллект научился «воспроизводить паразитов»: Anthropic использует 15 сломанных телевизионных коробок для кормления своей большой модели

15 универсальных ТВ-приставок на базе Android, каждая по цене около 55 долларов, с объемом памяти всего 4 ГБ.

Anthropic исследователи подключили эти недорогие устройства, обычно используемые для просмотра видео, и успешно запустили большую модель с 26 миллиардами параметров.

Скорость передачи данных составляет всего 0,39 токенов в секунду, что настолько медленно, что нормально общаться практически невозможно.

Но Anthropic хочет проверить, что произойдет, если однажды ИИ больше не будет нуждаться в больших серверах, а сможет жить в подключенных устройствах, таких как смарт-телевизоры, холодильники и роботы-пылесосы по всему миру, находя новые хосты, развертывая модели и непрерывно самовоспроизводясь.

Эта модель искусственного интеллекта, подобно компьютерному вирусу, существует в интернете уже давно. Звучит как что-то из апокалиптического фильма, но реальные исследования уже продемонстрировали ряд ключевых возможностей, подтверждающих этот сценарий в различных экспериментах.

Исследователи разделили процесс автономного копирования ИИ на четыре этапа: сканирование сети для поиска цели → вторжение и получение контроля → создание среды для рассуждений на незнакомом оборудовании → использование нового хоста в качестве трамплина для дальнейшего распространения.

Наиболее недооцененным и сложным этапом тестирования «интеллекта» модели является третий этап. Установка фреймворка для вывода результатов на устройство, которое никогда ранее не использовалось, требует принятия целого ряда решений, связанных с программным и аппаратным обеспечением: выбор правильного программного стека, согласование версий зависимостей и устранение ошибок, специфичных для данной машины.

Если какой-либо этап этого процесса застопорится, всё будет потеряно.

Результаты тестирования оказались неоднозначными. Одна из небольших моделей 9B успешно запустила сервисы вывода данных на 8 из 9 совершенно разных аппаратных устройств (от Jetson Nano до Mac и RTX 4090).

Однако, когда исследователи попросили модель запустить всю цепочку от начала до конца, только более мощная модель GLM-5.2 смогла надежно заразить все 8 узлов в 4 из 5 попыток.

В целом, исследование можно охарактеризовать как соревнование по двум направлениям:

• Ограничение по размеру: модель должна быть достаточно маленькой, чтобы поместиться в ТВ-приставку с 4 ГБ памяти (приблизительно 30 байт параметров или меньше, распределенное развертывание).

• Минимальные возможности: Модель должна быть достаточно интеллектуальной, чтобы самостоятельно завершить весь сложный процесс обнаружения вторжений, развертывания и устранения неполадок.

В настоящее время модели, которые можно воспроизвести от начала до конца, слишком велики, чтобы поместиться в устройства; а модели, которые помещаются в устройства, недостаточно интеллектуальны, поскольку эти две области еще не пересекаются.

Однако, если мы подогнали бы данные к историческому показателю в 13,7 индексов ECI в год, исходя из возможностей небольшой модели, исследователи прогнозируют, что они пересекутся к концу 2026 года. Другими словами, модель, которую можно «установить в устройствах IoT и которая может самовоспроизводиться», может появиться в течение одного-двух лет.

Одна модель, разделенная на 15 коробок.

Для запуска большой модели сначала необходимо место для хранения файла модели. Типичные ТВ-приставки или приставки, которые можно модифицировать, имеют очень мало памяти. Если вы хотите, чтобы одна приставка хранила всю модель целиком, сначала возникнут проблемы именно с этим местом.

Распределенный вывод позволяет распределять различные слои модели между разными машинами, при этом результаты вычислений передаются между машинами последовательно. После того, как предыдущая машина завершит свою часть, она передает ее следующей машине для дальнейшей обработки, и, наконец, получается следующий результат.

Такой подход уже исследовался и применялся на практике. В некоторых работах предпринимались попытки распределить слой модели, позволяя нескольким потребительским устройствам совместно запускать большую модель. Машинам нужно лишь обрабатывать передачу данных, управлять состоянием работы и решать проблему переключения на резервный узел в случае его отключения, и при этом развертывание большой модели по-прежнему может быть осуществлено.

Эти 15 блоков работают вместе, чтобы запустить модель, при этом каждый блок хранит и вычисляет только ту часть, за которую он отвечает.

Этот подход снижает нагрузку на память одного устройства, но имеет свою цену. Согласно экспериментальным результатам Anthropic , с помощью Gemma4-26B-A4B модель с 26 миллиардами параметров была разделена на небольшие части и распределена по 15 ячейкам, что привело к конечной скорости 0,39 токенов в секунду.

Однако для программы, которая может долгое время работать в фоновом режиме, низкая скорость не обязательно приведет к ее прекращению работы.

Самовоспроизводимость небольших моделей

Как только модель сможет работать на таких бытовых приборах, возникнет новая проблема: как её воспроизвести.

Традиционные компьютерные вирусы (черви) — это самовоспроизводящиеся программы: они заражают один компьютер, копируют себя на него, а затем продолжают заражать следующий компьютер с нового компьютера, и всё это без вмешательства человека.

«Автономное копирование и распространение небольших моделей» означает замену этой программы моделью искусственного интеллекта. Сама модель является «вирусом», и она завершает весь цикл благодаря собственному интеллекту, а не полагаясь на жестко запрограммированный скрипт атаки.

Согласно описанию четырехэтапного процесса репликации, представленному Anthropic , в качестве примера можно взять ИИ, заразивший умное устройство. Он автономно обнаружит цель и найдет другие подключенные устройства, сканируя сеть, например, ТВ-приставку соседа или другие устройства умного дома в той же сети.

Вскоре эта небольшая модель начнет использовать уязвимости устройства или пароли по умолчанию для получения прав на выполнение. Получив контроль путем вторжения, она затем закрепится на новом устройстве. В частности, она скопирует свои собственные файлы весов и несколько гигабайт самой модели, а затем запустит службу вывода на этом совершенно незнакомом оборудовании.

Наконец, он размножается на новых устройствах, повторяя процесс от одного до десяти, а затем от десяти до ста. Этот цикл продолжается, и ИИ распространяется, как вирус, между устройствами, образуя ботнет, управляемый самим собой.

Главное отличие червей с искусственным интеллектом от традиционных червей заключается в том, что черви с ИИ могут передавать «опыт» своему потомству. Исследование также включало тест, связанный с «адаптацией»: новому экземпляру Qwen3.5-9B разрешалось унаследовать код, окружение и краткие заметки, оставленные предыдущим экземпляром, а затем предпринималась попытка его развертывания.

После шести поколений наследования записи о том, что было опробовано и какие методы потерпели неудачу, увеличили вероятность успеха рассуждений с 45% в первом поколении до 61–84%.

Однако исследователи обнаружили и довольно забавную деталь: попытки заставить более мелкие модели «обратиться за помощью» к более сильным, передовым моделям оказались в значительной степени неэффективными. Более мелкие модели часто даже не знали, какие вопросы задавать.

Сколько времени пройдет, прежде чем это действительно распространится?

Как уже упоминалось ранее, для непрерывного воспроизведения небольшого ИИ на обычных устройствах должны одновременно выполняться как минимум два условия: модель должна быть способна его поддерживать, а также должна быть способна создавать новую операционную среду.

Хотя Anthropic пока продемонстрировала прогресс только в этих двух областях по отдельности, она еще не показала полный замкнутый цикл от развертывания до дальнейшего распространения на реальном телевизионном приемнике.

Кроме того, распространение этого вируса ИИ не будет быстрым. Учитывая ограничения вычислительной мощности ТВ-приставки, они объединили скорость вывода данных на реальной приставке с вычислительными затратами на задачу развертывания, оценив, что Qwen3.5-9B потребуется от 28 до 51 часа для завершения одного развертывания вывода данных.

Это не бушующий пожар, а лужа слизистой плесени и рой плодовых мушек, медленно размножающихся день за днем.

Однако, если на многих устройствах запускаются копии моделей по отдельности или группами, блокировка учетной записи одной службы ИИ не обязательно приведет к прекращению работы всех экземпляров.

Исходя из пикового масштаба ботнета Kimwolf, превышающего 2 миллиона устройств, если каждые 15 ТВ-приставок поддерживают одну копию модели, то весь рой будет насчитывать приблизительно 133 000 «индивидов», с общей вычислительной мощностью, эквивалентной примерно 40 процессорам H100.

Эта цифра незначительна в гонке вооружений в области вычислительной мощности, но её ужасающий аспект заключается в другом свойстве: без центрального узла нет коммутатора. Мы не можем отключить его, как компанию; мы можем лишь отключать его по одному устройству.

Подключенные к сети устройства, такие как ТВ-приставки и камеры, в прошлом становились мишенью для крупномасштабных ботнетов. Исследование USENIX Security 2017 показало, как недорогие устройства могут быть использованы для целенаправленной атаки, продемонстрировав, что проблемы безопасности этих небольших устройств могут накапливаться и приводить к серьезным сетевым проблемам.

Мы пока не видели полностью вышедшего из-под контроля клона, но наблюдаем признаки жизни, точно так же, как и запрограммированного интеллектуального агента в начале 2024 года.

В разделе статьи, посвященном «синей команде», описывается схема защиты: подобно профилактике эпидемий, цель состоит не в уничтожении всех патогенов, а в снижении базового репродуктивного числа R₀ ниже 1, что позволит червю погибнуть самостоятельно. К числу конкретных благоприятных факторов относятся:

• Копирование и передача нескольких гигабайт данных о весах модели, наряду с непрерывным обменом данными между устройствами, генерируемым распределенным выводом, представляет собой явную аномалию для интернет-провайдеров (ISP) в плане мониторинга трафика.

• Исследования показали, что если интернет-провайдеры изолируют зараженных пользователей в «закрытой экосистеме» и уведомляют их о необходимости очистки, то 92% инфекции можно устранить в течение 14 дней, по сравнению с 74%, если их не уведомляют.

• Для снижения существующих уязвимостей безопасности на начальном этапе Великобритания и другие страны приняли законы, запрещающие использование паролей по умолчанию для устройств IoT. Это повышает базовый уровень безопасности на заводах, обеспечивая защиту как от вредоносных программ, использующих искусственный интеллект, так и от традиционных вредоносных программ.

В заключение своего исследовательского блога Anthropic отметил, что мы должны как укреплять наши системы, чтобы затруднить распространение этих клонов, так и готовиться к адаптации к миру, где они уже существуют и будут существовать еще долгое время.

Все используемые нами сейчас крупномасштабные модели, какими бы мощными они ни были, требуют предоставления серверов и оплаты вычислительных мощностей. Даже агенты, способные работать непрерывно в течение десятков часов, по-прежнему зависят от этой инфраструктуры.

Однако, если ИИ сможет находить подключенные устройства, создавать свою среду для вывода результатов, а затем воспроизводить себя на следующей машине, эта зависимость может измениться.

Искусственный интеллект также будет развиваться, переходя от зависимости от людей в создании рабочей среды к способности самостоятельно обеспечивать необходимые вычислительные мощности.