Co Anthropic zmierzył, a czego nie pokazał
Zespół Frontier Red Team z Anthropic opublikował 12 października artykuł Williama Zhou i Daniela Freemana, w którym przekonuje, że małe modele AI mogą być o miesiące od kopiowania się na komercyjne urządzenia internetu rzeczy, takie jak inteligentne piekarniki i bezmarkowe przystawki Android TV. Liczby poniżej pochodzą z samego artykułu.
| Test | Wynik |
|---|---|
| Typy sprzętu, na których model 9B uruchomił inferencję | 8 z 9 |
| GLM-5.2 replikujący się w sieci testowej z 8 węzłami | Wszystkie 8 węzłów w 4 próbach na 5, 7 z 8 w pozostałej |
| Gemma4-26B-A4B rozłożona na 15 przystawek TV | 0,39 tokena na sekundę |
| Czas, w jakim Qwen3.5-9B uruchamia inferencję | 28 do 51 godzin |
| Wzrost małych modeli otwartych (30B lub mniej) | Około 13,7 punktu indeksu rocznie |
| Infekcje Mirai usunięte w 14 dni | 92 % z kwarantanną i powiadomieniem, 74 % bez powiadomienia |
Qwen3.5-9B uruchamiał swoje serwery na sprzęcie od płytek Jetson Nano po komputery Mac i karty RTX 4090. Autorzy dzielą replikację na cztery etapy: znalezienie celów, uzyskanie wykonania, uruchomienie inferencji i kontynuację z nowego gospodarza. Dwa pierwsze celowo zostawili trywialne. Sieć testowa miała port debugowania Androida bez uwierzytelniania, dlatego Anthropic nazywa wynik górną granicą powodzenia w praktyce. Wniosek jest skromny: według artykułu pełnego niesfornego replikatora jeszcze nie ma, są tylko 'oznaki życia'.
Dlaczego tanie urządzenia są prawdopodobnymi pierwszymi gospodarzami
Urządzenia w domach i małych firmach mogą być pierwszymi celami, piszą autorzy, bo są podłączone do internetu i historycznie miały minimalne zabezpieczenia. Anthropic kupił 15 bezmarkowych przystawek Android TV po około 55 dolarów sztuka, połączył je w sieć i uruchomił na nich model Gemma4-26B-A4B z prędkością 0,39 tokena na sekundę, przy czym każda przystawka niosła kilka warstw modelu.
Przystawki tej klasy mają zwykle od 1 do 4 GB pamięci. Przy 4 GB na sztukę i kompresji 4-bitowej cztery lub więcej przystawek obsłuży model 9B, a dziesięć lub więcej model 26B, dlatego rój słabych urządzeń może pomieścić coś zdolnego.
Następne pytanie dotyczy skali. Botnet Kimwolf zainfekował ponad 2 miliony urządzeń, głównie bezmarkowych przystawek Android TV. Gdyby każda grupa 15 takich urządzeń uruchamiała jedną kopię modelu 26B, Anthropic szacuje około 133 000 kopii i łącznie 80 000 tokenów na sekundę, mniej więcej tyle co inferencja 40 akceleratorów Nvidia H100. To mało mocy obliczeniowej, a replikator rozchodziłby się powoli, z czasem podwojenia liczonym w dniach. Szkoda w tym modelu bierze się z odcisku bez jednego wyłącznika, bo sama moc obliczeniowa jest niewielka. Szacunek opiera się na jednej klasie sprzętu i jednym dawnym botnecie, co zaznaczają autorzy.
Data końca 2026 roku wynika z linii trendu
Data końca 2026 roku u Anthropic wynika z prostej dopasowanej do otwartych modeli o najwyżej 30B parametrów, których wynik w Epoch Capabilities Index rośnie o około 13,7 punktu rocznie, przy współczynniku determinacji 0,95.
Spośród przetestowanych modeli otwartych tylko GLM-5.2 przeszedł cały łańcuch: dotarł do wszystkich 8 węzłów w 4 próbach na 5 i do 7 w piątej. Przyjmując go jako dolną granicę zdolności, a przystawkę TV z 4 GB jako górną granicę rozmiaru, linia trendu sadza mały model na tej granicy mniej więcej na koniec tego roku. Autorzy nazywają indeks tylko przybliżeniem zdolności do replikacji, a datę zgrubnym szacunkiem.
Dwa inne wyniki działają w obie strony. Gdy każda kopia Qwen3.5-9B dziedziczyła notatki poprzedniej, jej skuteczność w uruchamianiu inferencji rosła z 45 procent w pierwszym pokoleniu do wartości od 61 do 84 procent w kolejnych. Dostęp do silniejszego modelu doradcy, Opus 4.8, nie dał mierzalnego zysku.
Zewnętrzne głosy są ostrożne. Al Jazeera, która opisała artykuł 13 października, cytuje Romana Yampolskiego z University of Louisville, według którego robak AI mógłby wnioskować o nieznanych urządzeniach i dalej się rozprzestrzeniać bez operatora, ale dziś nie jest zagrożeniem egzystencjalnym. Anthropic nie odpowiedział na pytania Al Jazeery, wysłane poza godzinami pracy.
Cztery kontrole dla biur, sklepów i małych lokalizacji
Anthropic opisuje obronę jak epidemię: zbić R0, czyli liczbę nowych urządzeń, które zaraża każde zainfekowane urządzenie, poniżej 1, aby replikator wygasł. Dla właściciela oznacza to cztery kontrole.
Po pierwsze, spisz każde urządzenie z procesorem w sieci, w tym przystawki TV, kamery, sprzęt do wideokonferencji i dyski sieciowe, zamknij przychodzące porty zarządzania i zmień domyślne dane logowania. Mirai rozchodził się dzięki fabrycznym hasłom producentów, a robak z testu potrzebował tylko portu debugowania Androida bez uwierzytelniania. Brytyjski reżim dla podłączanych produktów konsumenckich, obowiązujący od 29 kwietnia 2024 roku, zakazuje uniwersalnych i łatwych do odgadnięcia haseł domyślnych, a Anthropic podaje takie przepisy jako sposób na zmniejszenie puli celów.
Po drugie, zapytaj dostawcę internetu lub dostawcę zarządzanej sieci, czy obserwuje dane przepływu. Replikator zostawiałby pobrania modeli liczone w gigabajtach i stały ruch między maszynami, które zwykle ze sobą nie rozmawiają, a według artykułu monitoring po stronie dostawcy mógłby zobaczyć jedno i drugie. Po trzecie, zapytaj, czy zainfekowani klienci są kierowani na kwarantannę i powiadamiani: przy sprzątaniu po Mirai dostawca, który tak robił, usunął 92 procent infekcji w 14 dni, wobec 74 procent bez powiadomienia.
Po czwarte, zapytaj dostawców urządzeń, jak spełnią unijny Cyber Resilience Act. Komisja Europejska podaje 11 września 2026 roku dla obowiązku zgłaszania aktywnie wykorzystywanych podatności i 11 grudnia 2027 roku dla głównych obowiązków. Dostawca bez odpowiedzi to dostawca do wymiany przy najbliższej odnowie.
Czytaj dalej: Luki z 2014 nadal otwierają drzwi chińskiemu wykonawcy | OSS Scanner Anthropic wysyła raporty bez przeglądu
