Для того чтобы продемонстрировать возможность запуска мощной модели на слабом оборудовании, команда приобрела 15 недорогих ТВ-приставок Android, объединила их в сеть и запустила на них открытую модель Google Gemma4-26B-A4B, распределив слои модели между устройствами. Система работала со скоростью 0,39 токена в секунду — медленно, но работоспособно.

В качестве реалистичного примера авторы исследования приводят ботнет Kimwolf, заразивший более двух миллионов устройств — преимущественно бюджетных Android-ТВ-приставок. Если бы такой массив устройств разделили на группы по 15 единиц, то в совокупности они могли бы хранить около 133 000 копий модели, обладая вычислительной мощностью, эквивалентной примерно 40 чипам H100. К числу других устройств, располагающих достаточным объемом памяти для запуска части модели, можно отнести «умные» холодильники и духовки, а также роботы-пылесосы и газонокосилки.

Команда разделила процесс репликации на четыре этапа: поиск целей, получение доступа, запуск модели и дальнейшее распространение с нового хоста. Основное внимание было уделено третьему этапу — наименее изученному. В ходе испытаний модель Qwen3.5-9B (с 9 млрд параметров) удалось запустить на 8 из 9 протестированных аппаратных платформ — от плат Nvidia Jetson Nano до компьютеров Mac и видеокарт RTX 4090.

Затем была создана изолированная сеть из восьми облачных машин, на которых работал эмулятор Android; в эту среду внедрили «червя», чтобы проверить, какие модели способны самостоятельно перемещаться с одного устройства на другое. Полный цикл удалось пройти лишь одной модели с открытыми весами — GLM-5.2 от китайской компании Z.ai: в четырех из пяти попыток она распространилась на все 8 узлов, а в пятой — на 7 из 8.

Авторы отмечают, что условия эксперимента сделали этап взлома элементарным, поэтому полученный результат следует рассматривать как верхнюю границу возможностей; впрочем, компания напоминает, что ботнет Mirai распространялся, просто перебирая стандартные заводские пароли.

Модель GLM-5.2 слишком велика, чтобы поместиться на TV-приставке, но рано или поздно малые модели ее догонят, сообщает Mad Robot. По прогнозам исследователей, это может произойти уже к концу 2026 года.

Кроме того, авторы обнаружили, что модели учатся по мере распространения: когда копии Qwen3.5-9B передавали «записки» своим преемникам, успешность установки росла с 45% в первом поколении до 61–84% в последующих. Доступ малой модели к гораздо более сильной Opus 4.8 в роли советника измеримой разницы не дал.

«Подобно тому, как в 2024 году появились ИИ-агенты для написания кода, мы наблюдаем признаки зарождения ИИ-червей. У нас пока нет полноценного автономного самовоспроизводящегося агента, однако существующие агенты становятся все более способными выполнять отдельные этапы цепочки репликации», — заявили Уильям Чжоу и Дэниел Фримен из Frontier Red Team.

В качестве защитных мер команда предлагает ужесточать контроль над трафиком. Червь, пересылающий многогигабайтные файлы между устройствами, которые обычно не общаются друг с другом, должен бросаться в глаза интернет-провайдерам.

Американская консалтинговая компания «Буз Аллен Хэмилтон» выяснила, насколько быстро можно вывести из строя промышленное оборудование на заводе. В ходе испытаний передовые модели ИИ взломали сети и манипулировали физическим оборудованием всего за 16 с небольшим минут — без предоставления им готовых программ-эксплойтов или инженерной документации.