Самораспространение нейросетей: как ИИ может превратить IoT-устройства в ботнет
Команда Frontier Red Team компании Anthropic, которая изучает потенциально опасные возможности ИИ-моделей, проверила, способны ли небольшие открытые нейросети самостоятельно распространяться по дешёвым IoT-устройствам. Исследование Уильяма Чжоу и Дэниела Фримана было посвящено не полноценному заражению реальных сетей, а проверке технического предела: сможет ли модель без доступа к дата-центру развернуть инференс на новых узлах и передать им необходимые инструкции.
Что показал эксперимент
В одном из тестов модель с 9 млрд параметров самостоятельно запустила инференс на восьми из девяти типов проверенного оборудования. GLM-5.2 от Zhipu в четырёх из пяти прогонов смогла заразить все восемь узлов тестовой сети, а в ещё одном случае — семь из восьми.
В отдельной демонстрации Gemma4-26B-A4B от Google запускалась на 15 недорогих Android-приставках стоимостью около 55 долларов каждая. Производительность была невысокой — примерно 0,39 токена в секунду, однако распределённая схема не имела единой точки отказа: отключение одного устройства не остановило бы работу всей системы.
Экземпляры Qwen3.5-9B передавали заметки и инструкции следующим поколениям модели. Благодаря этому доля успешных настроек инференса увеличилась с 45% у первого поколения до 61–84% у последующих. Полная настройка Gemma на приставках занимала от 71 до 150 часов, а для Qwen3.5-9B — от 28 до 51 часа. Для обычного пользователя это слишком долго, но автоматизированная сеть заражённых устройств может работать без жёстких временных ограничений.
Почему исследователи говорят о ботнетах
По оценке авторов, только GLM-5.2 среди проверенных открытых моделей продемонстрировала скорость, близкую к теоретическому пределу, необходимому для сквозной репликации по IoT-узлам. Исследователи считают, что до появления малых моделей с более полноценной способностью к самокопированию могут оставаться считанные месяцы.
Для оценки сроков использовался Epoch Capabilities Index. Согласно приведённому в исследовании тренду, малые модели прибавляют около 13,7 пункта в год при коэффициенте детерминации R² = 0,95. Если принять возможности GLM-5.2 за условный порог репликации, модель сопоставимого уровня, по прогнозу авторов, может появиться к концу 2026 года.
Потенциальный масштаб исследователи сравнили с ботнетом Kimwolf, который ранее заразил более двух миллионов устройств. Если бы в сети такого размера каждая группа из 15 приставок запускала Gemma4-26B-A4B, суммарно могло бы работать около 133 тысяч копий модели с производительностью примерно 80 тысяч токенов в секунду. Это сопоставимо с вычислительной мощностью около 40 видеокарт NVIDIA H100, но распределено по большому числу чужих домов.
Ограничения эксперимента и меры защиты
Авторы подчёркивают, что тест проводился в упрощённых условиях. Уязвимость заключалась в открытом порте ADB без аутентификации — тривиальной конфигурационной ошибке, которая не отражает защищённость большинства корректно настроенных устройств. Поэтому результаты следует рассматривать как верхнюю границу возможного, а не как доказательство готовности моделей массово заражать реальные сети.
При этом классические риски IoT-ботнетов никуда не исчезают. Уязвимые настройки, заводские пароли и открытые сервисы уже помогали распространяться вредоносным сетям вроде Mirai. Если к такому доступу добавить модель, способную искать новые устройства, настраивать инференс и передавать инструкции, миллионы приставок и других гаджетов могут превратиться в распределённый вычислительный ресурс без ведома владельцев.
В качестве мер защиты исследователи предлагают провайдерам отслеживать многогигабайтные передачи моделей между домашними устройствами, производителям — отказываться от паролей по умолчанию, а владельцам — закрывать отладочные порты и менять небезопасные настройки. Опыт борьбы с Mirai показывает, что информирование пользователей и перевод заражённых абонентов в карантин дают заметный эффект: за 14 дней удалось устранить 92% заражений среди уведомлённых пользователей и 74% — среди тех, кого не предупреждали.
