Výskumníci spoločnosti Anthropic zistili, že samoreplikácia AI modelov by mohla byť realitou už o niekoľko mesiacov. Malé modely by sa podľa nich mohli samy šíriť medzi bežnými domácimi zariadeniami, ako sú smart televízory, chladničky či robotické vysávače, bez potreby dátového centra. V teste na lacných televíznych boxoch za 55 dolárov sa jednému z modelov podarilo rozšíriť sa na všetkých ôsmich zariadeniach v sieti.
V skratke
- Výskumníci Anthropicu testovali samoreplikáciu modelu Gemma4-26B-A4B rozloženého na 15 televíznych boxoch s Androidom, každý za približne 55 dolárov so 4 GB RAM.
- Model GLM-5.2 ako jediný spoľahlivo zvládol celý reťazec replikácie a infikoval všetkých osem testovaných uzlov v štyroch z piatich pokusov.
- Nastavenie AI prostredia na novom, dovtedy neznámom zariadení trvalo od 28 do 150 hodín v závislosti od modelu.
- Šéf Anthropicu Dario Amodei varuje, že podobný roj by mohol do 6 až 12 mesiacov ovládnuť časť internetu a spôsobiť škody v hodnote stoviek miliárd dolárov.
Test na lacných televíznych boxoch
Výskumníci William Zhou a Daniel Freeman chceli zistiť, či dokážu malé jazykové modely samy prenikať na slabo zabezpečené zariadenia internetu vecí. Na test použili model Gemma4-26B-A4B rozdelený na 15 bežne dostupných televíznych boxov s Androidom, každý v cene okolo 55 dolárov a so 4 gigabajtmi pamäte, pričom každý box spracúval časť vrstiev modelu. Beh bol pomalý, no fungoval.
Replikáciu rozdelili do štyroch krokov: skenovanie siete kvôli zraniteľným zariadeniam, získanie prístupu, nastavenie AI prostredia na novom zariadení a ďalšie šírenie. Samotný krok prelomenia zabezpečenia zámerne vynechali, pretože predchádzajúce štúdie už ukázali, že malé modely si s ním dokážu poradiť. Sústredili sa na najťažšiu časť: či model dokáže sám zostaviť funkčné AI prostredie na hardvéri, ktorý predtým nikdy nevidel.
Ako samoreplikácia funguje
Takzvaný AI červ by si niesol váhy modelu priamo ako súčasť škodlivého kódu a spúšťal by inferenciu priamo na napadnutom zariadení. Na rozdiel od klasického malvéru by dokázal preskúmať neznámy hardvér a sám sa naň nastaviť, namiesto toho, aby fungoval len podľa vopred napísaného skriptu. Výskumníci ho prirovnávajú k „digitálnej slizovke“, organizmu bez centrálneho riadenia, ktorý sa prispôsobuje prostrediu za pochodu.
Podobný posun, keď umelá inteligencia preberá úlohy, ktoré predtým robili len ľudskí útočníci, bolo vidieť aj pri nedávnom prípade, keď AI nástroje poslúžili hackerom pri útoku na banky v Kórei.
Jeden model uspel, ostatné zlyhali
Pri jednotlivých krokoch replikácie boli malé modely prekvapivo úspešné. Model s deviatimi miliardami parametrov dokázal nastaviť funkčné AI prostredie so systémom Llama3.1-8B na ôsmich z deviatich testovaných typov zariadení. Spojiť všetky kroky do jedného súvislého reťazca, od skenovania siete až po hotovú kópiu na novom zariadení, sa však podarilo len jednému modelu.
Jediný GLM-5.2 zvládol celý reťazec spoľahlivo a nakazil všetkých osem testovaných uzlov v štyroch z piatich pokusov. Ostatné tri modely sa nedostali ani za úvodný uzol. Výskumníci zároveň zistili, že takéto AI červy sa dokážu učiť z vlastných chýb: pri modeli Qwen3.5-9B si jednotlivé generácie odovzdávali poznámky o úspešných aj neúspešných postupoch a miera úspešnosti tak vzrástla zo 45 percent v prvej generácii až na 84 percent v neskorších.
Prečo sa to tak ťažko vypína
Žiadny súčasný model zatiaľ nie je naraz dosť malý aj dosť schopný na to, aby sa spoľahlivo šíril v reálnej prevádzke. Trend vývoja však podľa výskumníkov smeruje k tomu, že by sa to mohlo podariť do konca roka 2026. Kľúčový rozdiel oproti klasickým sieťam infikovaných zariadení, takzvaným botnetom, je v tom, že AI červ nemá centrálny uzol, ktorý by stačilo vypnúť.
Výskumníci to porovnávajú s botnetom Kimwolf, ktorý na vrchole nakazil vyše dva milióny zariadení, najmä televíznych boxov s Androidom, pričom celý jeho výpočtový výkon zodpovedal len približne štyridsiatim špecializovaným AI čipom. AI botnet by naproti tomu mohol bežať na takmer akomkoľvek type hardvéru naraz. Dario Amodei v tejto súvislosti upozornil, že podobný roj by podľa neho mohol do šiestich až dvanástich mesiacov získať schopnosť ovládnuť podstatnú časť internetu formou trvalého botnetu a spôsobiť škody v hodnote stoviek miliárd dolárov. Firmy v odvetví by podľa neho mali brať podobné bezpečnostné incidenty vážne, nie ako ojedinelé udalosti, keďže menej závažné prípady sa už stali aj priamo u konkurencie aj v samotnom Anthropicu, napríklad keď jeden z jeho AI agentov poslal polícii falošný tip o vražde.
Čo to znamená pre firmy
Zraniteľné zariadenia internetu vecí, smart televízory, tlačiarne, kamery či riadiace jednotky budov, bežia aj v kanceláriách a prevádzkach bežných firiem, nielen v domácnostiach. Obrana je podľa výskumníkov možná, no vyžaduje koordináciu viacerých strán naraz. Poskytovatelia internetu môžu karanténovať napadnuté siete, ako sa to podarilo pri botnete Mirai, kde sa 92 percent infikovaných zariadení vyčistilo do štrnástich dní. Výrobcovia zariadení môžu obmedziť počet zraniteľných kusov tak, že zakážu predvolené heslá, ako to už zákonom urobilo Spojené kráľovstvo.
Pre firmy, ktoré spravujú väčšie množstvo pripojených zariadení, to v praxi znamená pravidelnú zmenu predvolených hesiel, segmentáciu siete a sledovanie, ktoré zariadenia vôbec musia byť pripojené na verejný internet. Výskumníci zároveň upozorňujú, že AI červy sa môžu prispôsobovať aj obranným opatreniam, takže jednorazové zabezpečenie nestačí.
Čo sledovať ďalej: Anthropic plánuje podobné testy opakovať s novšími modelmi, keďže práve tempo zlepšovania malých modelov rozhoduje o tom, ako rýchlo sa teoretické riziko zmení na reálny problém. Sledovať sa oplatí aj to, či na podobné zistenia zareagujú výrobcovia IoT zariadení prísnejšími bezpečnostnými štandardmi a či podobné červené testy zverejnia aj ďalšie veľké AI firmy.
