Красная команда Anthropic Frontier Red Team опубликовала в конце октября 2026 года исследование о малых ИИ-моделях, которые могут через несколько месяцев копировать себя и распространяться по незащищённым устройствам, собирая медленные автономные ботнеты. Сторонние специалисты по кибербезопасности сроки в целом принимают, но термин «самокопирование» считают неточным.
«Это, пожалуй, даже раньше, чем я бы сказал. Я бы ждал этого скорее к лету следующего года», — говорит Крис Канал, глава EquiStamp, проверяющей модели для ИИ-лабораторий и регуляторов. Он допускает, что у Anthropic есть данные о переднем крае исследований, недоступные ему.
В эксперименте модель переходила с устройства на устройство и разворачивала инференс на каждом. Работа шла в эмулированной сети, а эксплойт был тривиальным.
Майкл Бэйли, профессор Школы кибербезопасности и приватности Georgia Tech, изучающий интернет-черви с начала 2000-х, называет формулировку неточной: модель занималась шардингом — делила работу между узлами, а не размножалась целиком, как червь. Реальный ИИ-ботнет, по его мнению, работал бы скорее как дроппер: ставил на устройство небольшой инструмент координации, принимающий команды из сети.
Отправная точка сравнения — Mirai 2016 года, разбор которого Бэйли соавторствовал в 2017-м. Ботнет из бытовых роутеров и IP-камер устроил DDoS-атаку на PlayStation Network, задел DNS-провайдера Dyn и на время отключил Amazon, GitHub, PayPal, Reddit и Twitter для многих пользователей в США и части Европы. Sony оценила потери примерно в 2,7 млн долларов.
Mirai уже работал на разнородных архитектурах, но каждая новая требовала ручной работы — как минимум перекомпиляции кода. Новизна нынешнего этапа, по словам Бэйли, в том, что ИИ берёт эту рутину на себя: меняется экономика атаки, а не появляется новый класс атак. Полиморфизма — смены сигнатуры и поведения — модели не показали, для этого ей пришлось бы переобучать саму себя. Ближе всего к этому был опыт, где копии модели передавали заметки преемникам и со временем лучше настраивали инференс.
Вопрос о мотивах публикации закономерен: Anthropic вскоре после неё подала заявку на IPO. Канал считает вероятным другое — лаборатории опасаются безрассудства конкурентов, у которых те же стимулы быстрее вывести модель на рынок.
Рецепты Anthropic оказались старыми. Провайдерам предлагают уведомлять клиентов о заражении и временно ограничивать доступ коротким списком безопасных сайтов — так делали во время Mirai. Регуляторный пример — Великобритания, где закон PSTI запрещает легко угадываемые пароли по умолчанию на IoT-устройствах.
Защиту трудно встроить в модель с открытыми весами: в работе с некоммерческой FAR.AI EquiStamp выяснила, что срабатывает практически любая стратегия снятия ограничений, которую находят поиском. «Идей много, но надёжной пока нет», — говорит Канал.
Владельцу домашней сети стоит проверить список подключённых устройств, сменить заводские логины и пароли, включить автообновление прошивок, а камеры и умную технику вынести в гостевую сеть. Устройство без обновлений от производителя лучше заменить. Бэйли: защита сведётся к патчам, изоляции и паролям — описывать это легко, выполнять тяжело.
