Исследование Anthropic стало основой для проверки того, способны ли небольшие модели создавать самораспространяющиеся заражения на устройствах интернета вещей. Такие вредоносные программы могли бы действовать подобно традиционным червям, включая Mirai, которая устанавливала код для DDoS-атак и другие полезные нагрузки. Однако модели искусственного интеллекта представляли бы более серьёзную угрозу, поскольку могли бы подбирать эксплойты и содержимое атаки под конкретную цель, а остановить начавшуюся цепочку заражений было бы сложнее.
В Anthropic назвали подобные программы автономными червями-репликаторами на основе весов моделей. «Такой “ИИ-червь” мог бы переносить веса модели вместе с собой при размножении или повторно загружать их из общедоступного хаба, а затем запускать вывод непосредственно на скомпрометированном оборудовании», — заявили в компании. «Фактически веса стали бы частью вредоносной нагрузки».
Сценарий атаки включал поиск устройств, получение возможности выполнять код, настройку вывода модели и переход к новым узлам. Запущенные в моделях агенты имели доступ к распространённым инструментам эксплуатации, включая обратные оболочки. При этом каждый неудачный взлом мог оставлять следующим копиям перечень запросов, программного кода и заметок, чтобы они не повторяли неэффективные действия на той же платформе.
Наиболее сложной и малоизученной частью процесса Anthropic считает динамическую настройку вывода. Для неё требуется последовательно принимать решения с учётом аппаратного и программного обеспечения конкретного устройства, выбирать совместимое ПО для вывода, устанавливать зависимости и устранять ошибки, связанные с определённой платформой. «Эти шаги зависят друг от друга, а после сбоев восстановление затруднено», — отметили в Anthropic.
Проведённый эксперимент показал, что небольшие модели постепенно лучше справляются с такими задачами самостоятельно. Вместе с тем ни одна из протестированных облегчённых моделей пока не смогла полностью пройти весь цикл: найти новые устройства, использовать уязвимость для доступа, установить полезную нагрузку, настроить сервер вывода и повторить заражение.
Дополнительным ограничением остаётся низкая скорость работы. Модель Gemma4-26B-A4B, распределённая между 15 приставками Android TV, обрабатывала 0,39 токена в секунду; полная настройка вывода занимала от 71 до 150 часов в неоптимизированном варианте. Для Qwen3.5-9B этот показатель составлял от 29 до 51 часа, тогда как крупная модель GLM-5.2, по оценке исследователей, уже, вероятно, способна надёжно выполнять такой процесс.