ИИ-черви в умном доме: почему самовоспроизводящиеся ИИ-модели превращают IoT-устройства в новую поверхность атаки

Когда сами ИИ-модели становятся вредоносным ПО: смена парадигмы в кибербезопасности

Представление о том, что вредоносное программное обеспечение способно самостоятельно эволюционировать, до недавнего времени оставалось уделом научной фантастики. Однако актуальный доклад компании Anthropic — разработчика ИИ-ассистента Claude — приближает этот сценарий к пугающей реальности. Компания предупреждает, что так называемые Small Weight-Based Replicators — то есть легковесные ИИ-модели, способные внедрять себя в качестве полезной нагрузки в другие системы, — уже в обозримом будущем могут ознаменовать появление нового класса компьютерных червей. Особую угрозу они представляют для миллиардов подключённых бытовых устройств, объединённых под понятием Internet of Things (IoT).

Для компаний, использующих сетевую инфраструктуру, умные производственные объекты или автоматизированные системы управления зданиями, это не абстрактные лабораторные результаты — а конкретный повод пересмотреть собственную стратегию безопасности.

Что показал эксперимент Anthropic — и чего он не показал

Исследователи Anthropic в ходе контролируемого эксперимента изучили, способны ли небольшие квантизированные ИИ-модели работать на недорогом IoT-оборудовании. Результат оказался одновременно отрезвляющим и тревожным: модели Gemma4-26B-A4B потребовалось всего 15 приставок Android TV с 4 ГБ оперативной памяти каждая, чтобы обеспечить так называемый инференс — то есть загрузку весов модели и генерацию выходных данных. Другая модель, Qwen3.5-9B, смогла самостоятельно настроиться на восьми из девяти различных типов оборудования.

С технической точки зрения это примечательно: в то время как классическое вредоносное ПО пишется под конкретную аппаратную или программную среду, ИИ-репликатор способен динамически адаптировать свою конфигурацию к целевой системе. Anthropic описывает теоретическую схему атаки в четыре этапа:

• Идентификация целей: модель сканирует сеть в поисках уязвимых устройств.
• Получение доступа к выполнению кода: через известные уязвимости обеспечивается доступ к устройству.
• Установка инференса: модель загружает себя на скомпрометированном устройстве и запускает инференс-сервер.
• Распространение: процесс повторяется на других устройствах в сети.

Пока ни одна из протестированных легковесных моделей не способна автономно и надёжно пройти весь этот цикл. Инференс также оказался крайне медленным — у Gemma4-26B-A4B скорость обработки составила всего 0,39 токена в секунду, а полная настройка на целевом устройстве занимает от 71 до 150 часов. Тем не менее Anthropic оценивает, что модели с 30 миллиардами параметров уже надёжно справляются со многими отдельными шагами этого процесса.

„Such an 'AI worm' could carry its model weights with it as it reproduces – effectively, the weights would become part of the malware payload." – Anthropic

Принципиальное отличие от классических IoT-червей

Кто помнит атаку ботнета Mirai в 2016 году, временно парализовавшую интернет массированными DDoS-атаками через взломанные IoT-устройства, тот может представить себе масштаб, который способен принять её аналог на основе ИИ. Принципиальное отличие заключается в способности к адаптации: классические черви, подобные Mirai, действуют по жёстко закодированным правилам. ИИ-репликатор, напротив, способен учиться на ошибках — каждая неудачная попытка компрометации оставляет своего рода пометку для последующих экземпляров, чтобы те же неэффективные шаги не повторялись.

К этому добавляется ещё одна структурная проблема: не существует центрального сервера, который можно было бы отключить, чтобы остановить распространение. Модель распределяется по сотням или тысячам устройств, не нуждаясь в централизованной инфраструктуре. Anthropic говорит в этой связи о времени удвоения в несколько дней — медленно по человеческим меркам, но потенциально неудержимо, если не сработают надлежащие контрмеры.

Оценка: насколько серьёзна угроза на самом деле?

Здесь необходима дифференциация. Исследователь в области ИИ Сяохань Фу, прокомментировавшая доклад, указывает на важное ограничение: эксперимент доказывает, что небольшие модели могут быть способны к самовоспроизведению — но не то, что они сделали бы это по собственному побуждению. Автономное решение о саморепликации в ходе экспериментов не наблюдалось; скорее, значительно более мощная модель GLM-5.2 оркестрировала процесс, тогда как на целевых устройствах запускались более мелкие модели. Кроме того, протестированные Android-устройства имели открытый интерфейс Android Debug Bridge — ошибка конфигурации, которой следует избегать в реальных производственных средах.

Dr. Maik Bunzel, основатель и генеральный директор mabucon.eu, оценивает выводы с точки зрения автоматизации бизнес-процессов: «То, что описывает Anthropic, — это по сути тот же принцип, который мы применяем в агентных системах для легитимных бизнес-процессов: автономное принятие решений, динамическая адаптация к условиям среды и итеративное обучение на ошибках. То, что именно эти свойства могут использоваться и в атакующих целях, — не случайность, а системное свойство agentic AI».

Что это конкретно означает для компаний?

Выводы из эксперимента Anthropic можно перевести в несколько практически значимых областей действий:

• Инвентаризация IoT и сегментация сети: Многие компании не знают точно, какие подключённые устройства активны в их инфраструктуре. Полная инвентаризация и последовательное отделение IoT-сегментов от основной сети — базовые меры защиты.
• Отключение неиспользуемых интерфейсов: Интерфейсы разработки и отладки, такие как Android Debug Bridge, ни в коем случае не должны быть открыто доступны в производственных средах. Эта, казалось бы, тривиальная мера существенно осложнила бы экспериментальную установку Anthropic.
• Мониторинг аномальной вычислительной активности: Выполнение KI-инференса на устройстве создаёт измеримую вычислительную нагрузку. Обнаружение аномалий на уровне ресурсов может служить первым сигналом раннего предупреждения.
• Осведомлённость о цепочке поставок IoT-оборудования: Устройства малоизвестных брендов с предустановленной, плохо обслуживаемой прошивкой особенно уязвимы. Компаниям следует критически пересмотреть свою политику закупок сетевого оборудования.
• Защита собственных KI-агентов: Те, кто сам использует агентную автоматизацию, должны убедиться, что применяемые агенты не могут оказывать неконтролируемых побочных воздействий на внешние системы.

Граница между продуктивностью KI и рисками KI становится всё тоньше

Было бы ошибкой воспринимать предупреждение Anthropic как сугубо академическое упражнение. Та же траектория, которая делает малые языковые модели привлекательными для легитимной бизнес-автоматизации — низкие требования к ресурсам, возможность работы на недорогом оборудовании, динамическая адаптируемость — потенциально делает их интересными и для злоумышленников. При этом модели совершенствуются быстрее, чем многие специалисты по безопасности сейчас рассчитывают.

Dr. Maik Bunzel, основатель и генеральный директор mabucon.eu, видит в этом двойную ответственность для компаний: «Тот, кто продуктивно использует KI-агентов, должен одновременно понимать, как аналогичные механизмы могут быть использованы в злонамеренных целях. Это не паранойя, а стратегическая необходимость. Архитектура безопасности и KI-стратегия сегодня должны разрабатываться совместно».

Перспективы: гонка между защитой и атакой

Сам Anthropic оценивает, что надёжные Small Weight-Based Replicators могут стать реальностью уже в ближайшее время, если развитие малых моделей продолжится темпами, наблюдавшимися в последние годы. Это оставляет защитникам узкое временное окно. Вместе с тем исследования показывают, что барьеры для проведения работоспособной сквозной атаки по-прежнему весьма значительны: отсутствие автономии при принятии решения о самовоспроизведении, крайне медленный инференс, зависимость от небезопасно настроенных устройств.

Ключевой вопрос состоит не в том, станет ли этот вектор атаки технически осуществимым когда-либо — по нынешнему состоянию исследований это вполне вероятно. Ключевой вопрос в том, успеют ли компании и специалисты по безопасности отреагировать вовремя, прежде чем результат исследования превратится в реальный инструмент атаки. Окна для превентивных мер сужаются с каждым шагом в развитии моделей.