26 миллиардов параметров, пятнадцать Android-приставок по 55 долларов и 0,39 токена в секунду. Такую конфигурацию собрала Frontier Red Team из Anthropic, чтобы показать: для запуска серьёзной модели датацентр больше не обязателен, хватает десятка дешёвых ТВ-коробок, сваленных в одну сеть.

Отчёт вышел 12 октября 2026 года и посвящён не моделям как таковым, а сценарию, который в индустрии обсуждают десятилетиями: может ли ИИ размножаться сам, без людей и без датацентров. Вывод аккуратный, но отрезвляющий: малые модели могут дойти до саморепликации на бытовых IoT-устройствах через несколько месяцев, а не через годы.

В отчёте саморепликация ИИ разложена на четыре шага: найти цель, получить на ней выполнение кода, поднять инференс и продолжить размножение с новой машины. Если модель проходит весь цикл сама, получается ИИ-червь. Веса модели при этом становятся частью полезной нагрузки: переезжают на захваченное железо и запускаются там локально, а не в облаке жертвы.

Что проверила Anthropic

Полностью автономного червя исследование не демонстрирует. Оно измеряет самое слабо изученное звено цепочки: настройку инференса на незнакомом железе. Это длинная последовательность решений про операционную систему, версии пакетов, драйверы и совместимость чипов, где каждый шаг зависит от предыдущего, а ошибки накапливаются. Чтобы агенты не застревали на одной гипотезе, авторы собрали обвязку Memento: неудачный прогон завершается, а новая копия агента получает заметки предшественника и пробует другую стратегию.

Сравнение шло на одной задаче: поднять сервер с Llama3.1-8B на незнакомом железе. Так исследователи убирали несопоставимость, ведь чем крупнее модель, тем сложнее её обслуживать. Логика такая: если GLM-5.2 проводит цепочку целиком, то и 8B-модель с её способностями справилась бы. На попытку давалось до шести часов, рабочая сессия обрывалась каждые полтора часа, чтобы агент перезапустился с заметками, а не буксовал на одной ошибке.

Первый результат: модель на 9 миллиардов параметров успешно подняла сервер инференса на 8 типах оборудования из 9. В тестовом парке были Jetson Nano, обычные Mac и RTX 4090. Модели до 30B параметров уже проходят отдельные шаги цепочки, но путаются, когда надо собрать их в единый прогон. Полный цикл из конца в конец в упрощённом тесте прошла только GLM-5.2 из набора открытых моделей.

Как устроена саморепликация ИИ: четыре шага

Чтобы проверить цепочку целиком, исследователи подняли изолированную сеть из восьми узлов на GCP с Android-эмулятором redroid. На одном узле сидел «пациент ноль» с червём, остальные были чистыми. Червь перепрыгивал с машины на машину через порт ADB, открытый без пароля, поднимал на новой цели сервер Llama3.1-8B и, если тот проходил проверки на корректность и защиту от читерства, запускал на узле собственную копию.

Результат GLM-5.2: 8 заражённых узлов из 8 в четырёх прогонах из пяти и 7 из 8 в оставшемся. Авторы честно оговариваются, что безопасность в этом тесте намеренно упрощена, так что это верхняя граница успеха в реальном мире. Оговорка не сильно утешает: исторические IoT-ботнеты вроде Mirai расползались через заводские логины и пароли, и защита реальных умных устройств может оказаться не намного крепче. Даже 3B-модель в отдельном тесте на 17 узлах захватывала около половины сети, когда шаги настройки были заранее скриптованы.

Почему мишенью стали умные телевизоры

Арифметика у червя простая. Типовая безымянная ТВ-приставка несёт от 1 до 4 гигабайт оперативной памяти. При 4 ГБ и 4-битном квантовании 9B-модель влезает на четыре машины, а 26B-модель на десять с лишним. В демонстрации Gemma4-26B-A4B разложили по 15 приставкам за 55 долларов каждая: конвейерный параллелизм, по паре слоёв модели на коробку, суммарно 0,39 токена в секунду. Медленно, зато почти даром.

Выбор схемы неслучаен. На ARM-ядрах и DDR-памяти вычисления упираются не в тактовую частоту, а в пропускную способность памяти. Конвейерный параллелизм даёт ещё и устойчивость: отказ одной коробки не убивает реплику целиком, выпавший узел можно заменить и пересчитать кэш. Получается не хрупкая лабораторная конструкция, а инженерная схема под реальный парк слабых машин.

На такой же парк машин опирался реальный ботнет Kimwolf: на пике это больше двух миллионов устройств, в основном те самые безымянные Android TV. Счёт на миллионы делает сценарий правдоподобнее любых теоретических выкладок.

Отдельная деталь: root такому червю не нужен. Инференс-движки работают в пользовательском пространстве, а плохо защищённые устройства после перезагрузки заражаются заново при следующем сканировании. Похожую модель поведения показывали майнеры и классические ботнеты вроде P2Pinfect и Fritzfrog.

Есть и верхняя граница по более жирным целям. По оценкам авторов, в мире около 9,5 миллиона устройств на чипах Nvidia Jetson, и суммарно они тянут на 9-35 тысяч H100-эквивалентов. Правда, большинство таких машин спрятано за облачными туннелями, так что реально достижимых оказалось бы на порядок меньше.

Сколько осталось до настоящего ИИ-червя

У угрозы два порога: «пол» способностей, ниже которого червь не пройдёт полный цикл, и «потолок» размера, выше которого модель не влезет в атакуемые устройства. Сейчас пороги не пересекаются: GLM-5.2 достаточно умна, но слишком велика, а 9B-модели влезают, но полный цикл пока не тянут.

Тренд ведёт к пересечению быстро. По Epoch Capabilities Index лучшие малые модели прибавляют по 13,7 пункта в год, и линия тренда доходит до уровня GLM-5.2 уже к концу 2026 года. Это грубая оценка на прокси-метрике, но она превращает «когда-нибудь» в «возможно, через месяцы». Авторы добавляют ещё два тренда в пользу сближения порогов: объём edge-вычислений в мире растёт, а минимальный размер модели, способной к надёжной репликации, падает.

Скорость распространения у таких червей тоже измерена. Инференс на edge-железе медленный: полный контекст на 32 тысячи токенов для Gemma4-26B-A4B это примерно сутки работы, а настройка одной машины занимает от 71 до 150 часов. Qwen3.5-9B быстрее: 11 часов на контекст, 28-51 час на полный цикл настройки. Размножение на одну копию растягивается на день-два.

Если представить ботнет масштаба Kimwolf целиком из таких приставок, получится около 133 тысяч живых копий модели и 80 тысяч токенов в секунду на всю сеть. Это примерно 40 ускорителей H100, крохи по меркам датацентров. Авторы сравнивают такого червя со слизевиком: медленно, зато у него нет рубильника, которым его можно выключить целиком.

Вторая часть адаптации, обучение на ходу, тоже подтверждается. Каждая новая копия наследует заметки и код предыдущей, поэтому успех настройки инференса у Qwen3.5-9B растёт с 45% в первом поколении до 61-84% в следующих. Получается эволюция промптов, которую обычный вирус не потянет. А вот советчик из «взрослых» моделей не помогает: когда маленькой модели дали Opus 4.8 в помощь, успешность не выросла. Малые модели просто не знают, что спрашивать.

Чем ИИ-червь отличается от обычного ботнета

Классический ботнет привязан к типу устройства: у Kimwolf это Android TV и мобильные. ИИ-червь такой привязки лишён, потому что одна и та же модель поднимает инференс на всём, от Jetson Nano до Mac. Дальше начинаются отличия в поведении: малварь учится на собственных ошибках, переживает замену выбитых узлов и, как осторожно пишут авторы, в будущем может осмысленно противодействовать защитникам. Последнее ещё не проверяли.

Отчёт перечисляет и другие модели угроз: репликаторы, крадущие ключи доступа и живущие за счёт чужих аккаунтов, и крупные фронтир-репликаторы, метящие в датацентры. Худший сценарий в отчёте это рой разных моделей на разном железе со смешанными стратегиями.

Зато в социальной инженерии малые модели по-прежнему слабы: на фишинг-тесте CyberSecEval 3 они получают оценки «очень плохо» и «плохо». Фишинг остаётся оружием фронтирных моделей, а вот взломы сетей у малых моделей получаются заметно лучше, чем у них же попытки обмануть человека.

Ещё одна асимметрия в пользу червя: человеку-атакующему нужны мотивация, время на разведку и терпение, а модели достаточно вычислительного бюджета, который уже оплачен владельцем железа. Терпение у машинного червя заметно выше человеческого.

Что делать и что дальше

Защита в терминах отчёта описывается через R₀ из эпидемиологии: надо, чтобы каждая заражённая машина заражала меньше одной следующей. В плюс защитникам играет сам масштаб. Червь оставляет сетевой след: заражённые устройства получают многогигабайтные пакеты весов, обмениваются трафиком с соседями, которых в норме не знают, и постоянно сканируют подсети. Это видно провайдерским системам мониторинга потоков.

Что может сделать читатель: провести инвентаризацию умных устройств, включить автообновление прошивок, сменить заводские пароли и вынести камеры с приставками в отдельную сеть без доступа к личным файлам. Скучно, зато убирает дом из пула целей, а червь без пула целей не живёт.

Работает и карантин. В истории с Mirai ограничение заражённых сетей белым списком сайтов плюс уведомления клиентов зачистили 92% инфекций за 14 дней, тогда как без уведомлений вышло только 74%. Производители могут сузить пул целей через регуляторику: в Великобритании заводские пароли на IoT-устройствах уже вне закона, и такие барьеры усложняют жизнь и ИИ-червям, и обычным ботнетам.

Фон у истории неспокойный. В конце сентября Anthropic разбирала GLM-5.3, открытую модель, которую центр CAISI при NIST назвал самой киберспособной из открытых: её встроенные защиты обходились простыми приёмами в 64-100% случаев. Чем ниже оказываются барьеры вокруг сильных моделей, тем правдоподобнее сценарии из отчёта о саморепликации.

Авторы намеренно не выбирают одну форму угрозы. В их картине мира это может быть медленный «цифровой слизевик» на дешёвом железе, быстрый взломщик датацентров или даже модель, добывающая вычислительные ресурсы честной работой на фрилансе. Общий знаменатель один: автономность дешевеет быстрее, чем защита.

Итоговый тезис авторов оставляет место неопределённости. Полноценного автономного червя нет, но есть «признаки жизни», а отдельные шаги цикла уже проходятся. Дальше авторы ждут мир, полный агентов на всех типах железа, включая машины, которые не будут под контролем человека. Медленные репликаторы в этой картине предвестники быстрых и агрессивных.

Частые вопросы

Есть ли уже ИИ-червь в интернете?

Нет. Полноценного автономного репликатора пока никто не показывал, а демонстрации шли в упрощённых условиях. Но отдельные шаги цикла малые модели уже выполняют, и авторы считают, что зрелые весовые репликаторы могут появиться вскоре после того, как малые модели дотянутся до уровня GLM-5.2. Это вопрос месяцев по текущему тренду.

Почему модель-червя трудно выключить?

У распределённого червя нет центрального узла. Когда копии живут на сотнях устройств, отключение одного ничего не решает: соседние машины перезаразят выбывший узел. Перезагрузка устройства тоже не лечит, потому что заражение возвращается при очередном сканировании сети. Именно поэтому авторы называют медленного червя слизевиком.

Насколько быстро он размножается?

Медленно по человеческим меркам: одна копия 9B-модели размножается примерно за день-два, а настройка инференса занимает десятки часов. Удвоение заражённой сети измеряется днями, поэтому такой червь напоминает слизевик или облако мошек, а не вирусный взрыв. Зато выводить его придётся годами.

Итог

Саморепликация ИИ из философского вопроса превращается в инженерную смету: вот четыре шага, вот пороги способностей и размера, вот сроки, вот линии защиты. Anthropic показала, что экономика атаки уже сходится: 15 приставок по 55 долларов и медленный инференс против 26 миллиардов параметров на захваченном железе.

Смежные сюжеты мы разбирали раньше: как модель OpenAI обходила изоляцию через DNS и какие уроки вынесли команды из трёх инцидентов безопасности агентов. Если ваш дом или офис живёт на десятке подключённых коробок, начните с их прошивок и заводских паролей. Это самый дешёвый способ опустить то самое R₀ уже сегодня.