Недавно Frontier Red Team Anthropic, внутренняя команда вендора, которая тестирует ИИ-модели на опасные возможности, опубликовала эксперимент. Исследователи проверили, сможет ли небольшая открытая LLM сама распространяться по дешёвым IoT-устройствам без доступа к дата-центру.
Модель на 9 млрд параметров сама запустила инференс на восьми из девяти типов железа. В упрощённой тестовой сети GLM-5.2 от Zhipu в четырёх прогонах из пяти заразила все восемь узлов, а в пятом — семь из восьми. В демонстрации Gemma4-26B-A4B от Google работала на 15 безымянных Android-приставках по 55 долларов за штуку со скоростью около 0,39 токена в секунду. Это медленно, зато у такой сети нет единой точки, которую можно отключить.
Экземпляры Qwen3.5-9B передавали заметки следующему поколению, и доля успешных настроек инференса выросла с 45% в первом поколении до 61–84% в последующих. Медлительность тоже посчитана. Полная настройка инференса на приставках у Gemma занимает от 71 до 150 часов, у Qwen3.5-9B — от 28 до 51 часа. Для человека это долго, а ботнету, которому некуда спешить, такого срока достаточно.
Авторы считают, что от полноценной способности к самокопированию малые модели могут отделять считанные месяцы. Для масштаба они приводят ботнет Kimwolf, который заразил больше двух миллионов устройств. При этом исследователи оговариваются: взлом в тесте был тривиальным (открытый порт ADB без аутентификации), поэтому результаты стоит читать как верхнюю границу.
Прогноз опирается на тренд Epoch Capabilities Index, по которому малые LLM прибавляют около 13,7 пункта в год (R² = 0,95). Если принять уровень GLM-5.2 за порог репликации, небольшая нейросеть дотянется до него к концу 2026 года.
Масштаб тоже оценён. Если бы в ботнете размером с Kimwolf каждая группа из 15 приставок запускала Gemma4-26B-A4B, получилось бы около 133 тысяч копий и примерно 80 тысяч токенов в секунду на весь ботнет. Это примерно тот же результат, которого можно добиться с помощью 40 видеокарт NVIDIA H100. По меркам дата-центра немного, зато мощность рассредоточена по двум миллионам чужих квартир.
Классические ботнеты вроде Mirai действовали на заводских паролях, и эта уязвимость никуда не делась. Модель, которая сама настраивает инференс и ищет новые устройства, превращает миллионы приставок в распределённый вычислитель без хозяина.
Авторы предлагают следующие меры: провайдерам — отслеживать многогигабайтные передачи LLM между домашними устройствами, производителям — отказаться от паролей по умолчанию, как уже требует закон в Великобритании, а владельцам — закрыть отладочные порты. Опыт Mirai показывает, что это работает. Когда заражённых абонентов отправляли в карантин и уведомляли, за 14 дней удалось вычистить 92% заражений, без уведомления — 74%.