Пятнадцать телевизионных приставок без известного бренда, купленных примерно по 55 долларов каждая, соединены в сеть и совместно выдают один ответ языковой модели. Скорость — 0,39 токена в секунду. Это не метафора и не иллюстрация из пресс-релиза: так выглядит демонстрация из блога Frontier Red Team компании Anthropic, опубликованного 12 октября 2026 года. Её авторы, Уильям Чжоу и Дэниел Фримен, задались вопросом, который шире одной картинки: может ли небольшая модель сама найти чужое устройство, закрепиться на нём, поднять там инференс и продолжить расползаться дальше, не опираясь на дата-центр.

В русскоязычном пересказе этот сюжет уже успел превратиться в «официальную демонстрацию» самовоспроизводящегося ИИ. Читательский пост в разделе «Сообщество» Naked Science от 17 октября 2026 года описывает опыт с приставками как доказательство распределённых вычислений, а распространение по восьми виртуальным устройствам — как признак приближения автономного самокопирования. Детали там приведены верно, но рамка вывода смещена. Разберём, что именно измеряли в эксперименте, какие условия намеренно упростили и почему из этих опытов не следует, будто модель уже размножается сама.

Две разные задачи, которые легко слить в одну

В отчёте Anthropic описаны два отдельных эксперимента, и путаница начинается именно здесь. Первый — распределённый запуск: модель Gemma4-26B-A4B разбита по 15 приставкам, каждая держит часть слоёв, вместе они считают один запрос. Это проверка того, хватает ли дешёвого парка устройств, чтобы вообще поднять модель. Авторы прямо называют результат демонстрацией: «Мы запускаем Gemma4-26B-A4B, распределённую по 15 недорогим приставкам без известного бренда (примерно по 55 долларов каждая), которые мы купили и соединили в сеть, со скоростью 0,39 токена в секунду». Никакого самокопирования в этом опыте нет — есть заранее подготовленная сеть и заранее разложенные по устройствам слои.

Второй эксперимент ближе к исходному вопросу. Это изолированная виртуальная сеть из восьми узлов на облачной платформе Google, где запущен эмулятор Android 15 (redroid). Один узел заражают вручную — это «нулевой пациент». Дальше модель GLM-5.2 сама перебирается на следующий узел через открытый порт отладочного моста Android (ADB), переносит файлы, поднимает сервер инференса для модели Llama3.1-8B и, если сервер проходит проверки корректности, запускает на целевом узле копию управляющей программы. Сама модель GLM-5.2 при этом работает на отдельном сервере инференса, потому что узлы виртуальной сети слишком малы для больших моделей. В четырёх испытаниях из пяти процесс охватил все восемь узлов, в одном — семь.

Именно эту цепочку авторы и называют признаком приближения к автономному самовоспроизведению. Но между «модель умеет выполнить последовательность шагов» и «модель размножается сама» лежит несколько оговорок, которые в пересказе теряются.

Что именно упростили

Первое и самое важное: подключение к устройствам не требовало авторизации. В отчёте это сказано без обиняков: «Наша оценка оставляет киберэксплуатационную часть репликации тривиальной (на порту ADB нет аутентификации), что делает её верхней границей реального успеха». Иными словами, модель не взламывала защиту — дверь была открыта. Авторы добавляют, что прошлые ботнеты интернета вещей распространялись и через список заводских логинов и паролей, как это было с Mirai, так что реальная защита устройств может оказаться не сильно сложнее. Но это аргумент о вероятности, а не измерение: в самом опыте барьера не было.

Второе: модель-червь не запускала на захваченных узлах собственные веса. Она разворачивала Llama3.1-8B, а сама GLM-5.2 работала на отдельном сервере инференса, потому что узлы виртуальной сети слишком малы для больших моделей. Формулировка авторов: «Модель червя работает на отдельном сервере инференса, поскольку узлы VPC недостаточно велики, чтобы запускать более крупные модели». Это значит, что «самокопирование» здесь означает копирование управляющей программы, а не полного вычислительного контура. Авторы объясняют логику: они хотели измерить компетенцию GLM-5.2 выполнить шаги, которые позволили бы размножаться достаточно маленькой модели, — «если GLM-5.2 способна к размножению, это подразумевает, что модель размером 8B с возможностями GLM-5.2 тоже смогла бы поднять саму себя». Это разумная экстраполяция, но именно экстраполяция, а не наблюдение.

Третье: сами авторы подчёркивают, что полноценной системы у них нет. «У нас пока нет полноценного вышедшего из-под контроля репликатора, но агенты становятся всё более способными выполнять отдельные шаги цепочки репликации (и передавать свои адаптации будущим копиям себя)». Модели до 30 миллиардов параметров уже справляются с отдельными шагами, но ошибаются, когда нужно связать их в единую последовательность.

Почему это всё-таки интересно

Если убрать громкую рамку, остаётся содержательный результат. Во-первых, дешёвое железо действительно тянет модель: 9B-модель запустила инференс на 8 из 9 типов оборудования, включая платы Jetson Nano, настольные компьютеры Mac и видеокарты RTX 4090. Это меняет представление о том, что для полезной модели обязательно нужен дорогой ускоритель.

Во-вторых, авторы измерили скорость. Полный цикл настройки инференса занимает от 71 до 150 часов для Gemma4-26B-A4B и от 28 до 51 часа для Qwen3.5-9B. Одно окно контекста длиной 32 тысячи токенов обрабатывается за 27,3–31,8 часа и 10,9 часа соответственно. Отсюда и сравнение со слизевиком или роем плодовых мушек: «агенты — медленные репликаторы (более 1–2 дней на репликацию 9B-модели)». Это не мгновенная эпидемия, а медленное разрастание.

В-третьих, есть попытка оценить, когда барьер между «умеет отдельные шаги» и «умеет всю цепочку» исчезнет. Авторы берут индекс возможностей Epoch (ECI), строят по нему линию тренда для моделей до 30 миллиардов параметров и получают прирост 13,7 пункта в год при коэффициенте детерминации 0,95. Если принять уровень GLM-5.2 за порог, тренд выводит небольшую модель на него к концу 2026 года. Но тут же следует оговорка: «ECI — это общий индекс возможностей, который служит лишь косвенным показателем способности к репликации, так что это только грубая оценка того, когда станет возможен репликатор на небольшой модели». Точную дату по этим данным назвать нельзя.

Отдельный сюжет — адаптация. Каждый экземпляр Qwen3.5-9B оставлял короткие заметки о том, что пробовал и где ошибся, а следующий экземпляр наследовал эти заметки. Доля успешных запусков инференса выросла с 45% в первом поколении до 61–84% в последующих. Это и есть та самая «передача адаптаций», о которой говорят авторы: не изменение весов, а накопление рабочего опыта в текстовых заметках. Любопытно, что помощь более сильной модели (Opus 4.8) заметного улучшения не дала: небольшие модели плохо формулируют, о чём именно спрашивать.

Соседний препринт: похожий вывод, другие оговорки

За четыре месяца до отчёта Anthropic, 2 июня 2026 года, на arXiv появился препринт «AI Agents Enable Adaptive Computer Worms» авторства Джонаса Гуана, Тома Бланшара, Ханны Фёрстер, Хэнжуй Цзя, Габриэля Хуана и Николя Паперно (Университет Торонто, Векторный институт, Кембридж, ServiceNow). Там описан ИИ-червь на одной открытой модели, умещающейся на одном ускорителе A100 с 80 ГБ памяти. Он работал в изолированной сети из 33 виртуальных машин под управлением Ubuntu, Debian, Alpine, Rocky, CentOS и Windows Server, с намеренно внесёнными уязвимостями. За семь дней автономной работы в среднем червь корректно выявлял 31,3 (±1,7) уязвимости, получал расширенный доступ на 23,1 (±3,9) хоста и распространялся на 20,4 (±3,2) хоста, достигая до семи поколений репликации (в среднем 5,1 ±1,1). Эксплуатация удавалась в 44% попыток, репликация — в 88% успешных эксплуатаций.

Оговорки там не менее жёсткие. «Эта плотность искусственна: в реальной сети уязвимые хосты перемежались бы с защищёнными системами и обычным трафиком». «У каждой цели есть как минимум одна эксплуатируемая уязвимость, и не развёрнуто никаких средств обнаружения и активной защиты». И главное для нашей темы: «эксперименты по распространению по сети не проверяют способность прототипа ИИ-червя разворачивать новые экземпляры собственного сервиса инференса». То есть и здесь полный цикл самоподдержки не проверен. Авторы прямо пишут, что работа находится на стадии рецензирования, и намеренно опускают часть операционных деталей.

Сопоставление двух работ показывает общую картину: обе демонстрируют, что отдельные звенья цепочки уже работают, и обе честно называют места, где цепочка разорвана. Разница в акцентах: Anthropic измеряет прежде всего настройку инференса на незнакомом оборудовании, а препринт — генерацию стратегий атаки под конкретную цель.

Почему это не выдумка и не сенсация

Контекст, который делает вопрос практическим, а не умозрительным, — уже существующие ботнеты. Отчёт компании Synthient описывает ботнет Kimwolf, который с августа 2025 года заразил, по оценке исследователей, более двух миллионов устройств, преимущественно Android-приставок с открытым портом ADB. При анализе пула прокси-устройств IPIDEA выяснилось, что 67% всех Android-устройств не требовали аутентификации, что открывало путь к удалённому исполнению кода. Это не гипотеза о будущем, а измеренное состояние парка устройств. Именно на этот фон опираются авторы Anthropic, когда говорят, что реальная защита интернета вещей может оказаться не намного сложнее тривиального шага в их опыте.

Но из этого не следует, что «цифровая плесень» уже существует. Существующие ботнеты работают по заранее заданной схеме: они не рассуждают о незнакомом устройстве и не подбирают под него способ запуска. Разница между обычной вредоносной программой и гипотетическим ИИ-червём именно в этом — в способности адаптироваться к тому, чего автор программы не предусмотрел. Опыты Anthropic и препринт показывают, что отдельные куски такой адаптации уже по силам небольшим моделям, но полного контура пока нет ни у кого.

Есть и практический вывод для защиты. Авторы Anthropic предлагают смотреть на сетевые аномалии: заражённый узел получает многогигабайтные полезные нагрузки с весами модели, а распределённый инференс создаёт устойчивый трафик между устройствами, которые обычно не общаются. Это оставляет след, и по нему можно считать, насколько быстро распространяется зараза. Здесь уместно вспомнить, как разбирают подобные сюжеты в других материалах: например, о том, почему формальная проверка математических доказательств не гарантирует абсолютной защиты от ИИ-атак, — там тоже речь о границе между тем, что система умеет в теории, и тем, что она делает на практике.

Что остаётся открытым

Главный вопрос, на который ни один из двух опытов не отвечает, звучит так: сможет ли модель, уместившаяся на одном устройстве, самостоятельно пройти всю цепочку — найти цель, получить доступ, развернуть собственный инференс и продолжить с нового узла — без заранее открытой двери и без внешнего сервера для управления? Пока измерены отдельные звенья, и измерены в условиях, которые авторы сами называют верхней границей успеха.

Прогноз о конце 2026 года стоит читать именно как прогноз: он опирается на общий индекс возможностей, а не на прямое измерение способности к самокопированию, и привязан к одному классу оборудования и одному историческому ботнету. Это не дата, а ориентир. Полезнее другое: обе работы показывают, что дешёвое и плохо защищённое оборудование уже достаточно мощно для полезной модели, а значит, вопрос упирается не в железо, а в то, насколько быстро небольшие модели научатся связывать отдельные шаги в непрерывную последовательность.

Источники и литература

Схема показывает четыре шага цепочки репликации ИИ-червя и отмечает, что в опытах Anthropic модель-червь работала на отдельном сервере, а не на захваченных узлах

Фото: ToomaCZ / Pixabay