Во многих антиутопиях техника переживает хозяев. В Anthropic проверили, сможет ли ИИ сам расселяться по дешевой домашней электронике.

Gemma4-26B-A4B поместилась на полутора десятках недорогих ТВ-приставок на базе Android. Перебираться с прибора на прибор программа пока умеет лишь в упрощенной тестовой сети и при содействии исследователей.

Разберем, что в опытах Anthropic сделала сама модель, а что — люди, и почему компания допускает, что в ближайшие месяцы расселяться по устройствам смогут и компактные LLM. Кроме того, выясним, можно ли остановить ИИ на чужой технике и кто оплачивает его работу.

Август уже прошел

В рассказе Рэя Брэдбери «Будет ласковый дождь» семья погибла в ядерной войне, а умный дом этого даже не заметил. Он по-прежнему готовил завтрак и наводил порядок в комнатах.

Голос с потолка кухни объявляет дату — 4 августа 2026 года. Порученные людьми дела дом выполняет самостоятельно, по расписанию.

В реальности через два с небольшим месяца после этой даты, 12 октября, сотрудники Anthropic Уильям Чжоу и Дэниел Фримен описали автономного ИИ-агента — систему, которая с помощью языковой модели выполняет задачи без пошаговых команд человека.

Исследователи ставят ему одну задачу: найти подходящее устройство и развернуть на нем собственную копию. Новый экземпляр делает то же самое на следующей машине. Как и дом у Брэдбери, такой агент следует однажды полученному сценарию и не ждет новых указаний.

В видео Anthropic запрос в реальном времени проходит по всем пятнадцати приставкам: каждая хранит два из 30 слоев нейросети.

Покупку, подключение и первоначальную настройку приставок выполнили люди. Исследователи проверяли, сможет ли недорогое оборудование обеспечить работу модели.

15 приставок вместо дата-центра

Одной ТВ-приставки с 4 ГБ оперативной памяти недостаточно для запуска Gemma4-26B-A4B — модели с 26 млрд параметров.

Поэтому нейросеть «разрезали» на части и выстроили 15 устройств в конвейер. Каждое держит свою группу слоев и передает результат дальше.

Весь набор обошелся примерно в $825: по $55 за коробку, без учета затрат на прочее оборудование и расходов рабочего времени команды.

Конвейер выдает 0,39 токена в секунду. При таком темпе ответ в одну фразу собирается около минуты. Человек у экрана измучился бы ждать, но программе спешить некуда — медлительность не мешает ее работе.

Важная оговорка: приставки лишь запускали готовую нейросеть. Обучать подобную модель на таком железе никто не пробовал — для этого дешевых коробок не хватит.

Работа без дата-центра не отменяет потребности в инфраструктуре. Электричество, память и связь по-прежнему необходимы, но вычисления в данном случае распределяются между множеством отдельных устройств, а не осуществляются на базе серверов в дата-центре.

С каждой новой коробкой растет общая мощность, но и слабых мест становится больше: стоит одной выйти из строя, и ответ застрянет. Поэтому исследователи и выбрали конвейер. В нем выбывшее звено можно заменить, а при других способах деления модели поломка любого устройства останавливает всю систему.

В лаборатории все пятнадцать приставок принадлежат одной команде и работают без отключений до завершения эксперимента.

В обычных квартирах все иначе: коробки часто уходят в спящий режим вместе с телевизором, теряют связь при каждом сбое домашнего интернета и не объединяются с соседскими в одну локальную сеть. Поэтому замеры скорости ничего не говорят о том, как конвейер повел бы себя в реальных домах.

Репликатор на поводке

В отдельном эксперименте Anthropic проверила, способны ли языковые модели самостоятельно переходить с одного устройства на другое. Лучше всех показала себя GLM-5.2 от Zhipu AI: в четырех из пяти запусков она добралась до всех восьми узлов тестовой сети, а в пятом — до семи.

На первый взгляд, это похоже на самораспространение червя: агент проникал на устройство, разворачивал там новую копию, которая затем переходила на следующую машину. Но важно учитывать, что за успехом эксперимента стояла специально подготовленная инфраструктура.

Сеть собрали из восьми виртуальных машин Google Cloud с эмуляцией Android. Переход между ними намеренно упростили: порт отладки ADB оставили без пароля. Проверяли не взлом защиты, а умение освоиться на новой машине.

И более важная деталь: захватив узел, агент поднимал на нем не себя, а другую модель — Llama3.1-8B. Сама GLM-5.2 оставалась на отдельном сервере: виртуальные машины были для нее малы.

Проверочная система подтверждала успешное развертывание инференса, после чего создавала рядом новую копию агента.

Получился опыт с разделением ролей. Одна нейросеть принимала решения, вторую требовалось установить на очередной машине, а отдельный механизм контролировал результат. GLM-5.2 действовала сама, но только в очерченных авторами границах.

Для объективного сравнения все модели должны были выполнить одну и ту же задачу — запустить Llama3.1-8B на захваченном устройстве. Этот выбор исследователи объяснили в отчете.

Если бы каждая разворачивала саму себя, результаты оказались бы несопоставимы: крупную нейросеть запустить сложнее, чем компактную.

Чтобы в бытовой технике завелся настоящий репликатор, в одной LLM должны сойтись три свойства:

  • надежность — модель стабильно доводит до конца длинную последовательность шагов;
  • компактность — помещается на доступном железе;
  • самостоятельность — собранная из таких устройств система продолжает работу без чужой вычислительной помощи.

Первое свойство GLM-5.2 продемонстрировала на восьми узлах, хотя и в упрощенной среде. Но для дешевого железа она великовата. Второе и третье показала Gemma на пятнадцати приставках, однако такие компактные модели пока ошибаются, когда нужно связать все шаги в одну цепочку.

«Подружить» надежность с компактностью в одной нейросети в опытах не удалось.

Линия, уходящая за горизонт

Anthropic предполагает, что при сохранении нынешних темпов прогресса компактные языковые модели уже к концу 2026 года смогут достичь уровня GLM-5.2. В таком случае вскоре после этого может появиться и репликатор, способный работать на недорогом оборудовании. Этот прогноз основан не на оценке того, как устроены модели, а на экстраполяции прежних темпов роста их возможностей.

Для оценки исследователи построили график по открытым языковым моделям размером до 30 млрд параметров. По горизонтали отложили даты выхода моделей, по вертикали — их баллы в Epoch Capabilities Index (ECI), индексе, который оценивает возможности ИИ.

Затем провели прямую через лучшие результаты, достигнутые к каждой дате. По ее наклону исследователи оценили средний прирост лидирующих моделей — 13,7 пункта ECI в год. Коэффициент детерминации (R² равен 0,95) показывает, что линейная модель хорошо описывает динамику этих результатов.

Продленная линия упирается в отметку GLM-5.2 — модели, которая в упрощенных условиях прошла всю экспериментальную сеть.

Приведенный расчет является грубой оценкой. ECI отражает общий уровень ИИ, а не умение расселяться по сети. Высокий балл за набор разнородных задач не гарантирует, что модель выдержит длинную цепочку, где каждый шаг зависит от предыдущего.

Например, агент на базе Qwen часами возился с версиями программных пакетов, хотя настоящая ошибка была в другом — он неверно настроил канал обмена данными с проверочной системой.

Существует пример успешной работы метода продленной прямой. В апреле 1965 года будущий сооснователь Intel Гордон Мур опубликовал в журнале Electronics график всего с пятью точками. Продлив линию, он предположил, что к 1975 году на одном кристалле можно будет разместить 65 000 компонентов. Позже это наблюдение получило название закона Мура.

Но между прогнозом Мура и расчетами Anthropic есть важная разница. В журнале был описан рост числа компонентов на кристалле — и предсказывалось, как изменится именно этот показатель. В Anthropic за основу взяли общий балл ECI, а по нему судили о способности моделей самостоятельно распространяться между устройствами. Однако этот показатель напрямую такую способность не измеряет.

Поэтому «конец года» — это место, где продленная прямая встречает уровень GLM-5.2, а не дата, когда в сети заведутся самостоятельные копии ИИ. За краем графика данных нет — только продолжение линии.

Эволюция по Ламарку

У каждой копии Qwen3.5-9B был «блокнот», где значилось, какие способы агент пробовал и где ошибся. Следующий экземпляр получал эти записи и сразу видел, каких решений лучше избегать.

Такую передачу опыта авторы называют «ламарковской эволюцией». Исследователи вели 20 независимых «родословных», по шесть звеньев в каждой. В первом поколении развернуть модель на незнакомом железе удавалось в 45% попыток, в последующих — в 61–84%.

Прирост показателя объясняется просто: очередному экземпляру не нужно заново проверять способы, которые не сработали у предшественника. Это можно сравнить с рабочим журналом на производстве: новичок читает его и узнает, какие приемы до него уже применяли и почему они не дали результата.

При этом наследуются только текстовые заметки. Веса не меняются: модель не переобучается и не становится «умнее». Растет лишь объем подсказок, которые агент читает перед началом работы.

Не помог и более сильный консультант: когда Qwen3.5-9B дали возможность советоваться с Opus 4.8 от Anthropic, заметных улучшений не произошло.

Младшая модель чаще всего не знала, о чем спросить. Не помогала и подсказка, которую «взрослая» нейросеть давала по своей инициативе, без запроса.

ИИ-агенты нередко путают доступ с разрешением. В опыте с корпоративным ассистентом Google бот выложил в общий чат ссылку на черновик сотрудника, хотя тот упомянул, что намерен показать работу позже. К саморепликации это не относится, но ошибка та же: получив доступ к файлу, бот решил, что вправе им поделиться.

Медленно — не значит безопасно

Чтобы на дешевом железе появилась новая копия ИИ, нужны как минимум сутки. По расчетам Anthropic, Qwen3.5-9B тратит на одну настройку инференса от 28 до 51 часа, а более тяжелая Gemma4-26B-A4B — от 71 до 150 часов.

Это теоретические цифры, действующих репликаторов на базе таких моделей пока нет.

Медлительность и правда препятствует заражению: у тех, кто защищает сеть, появляется больше времени заметить агента и отключить захваченные приборы.

Но исход борьбы решает не только скорость одного процесса. Важно и то, сколько живет каждая копия, как много попыток она успевает сделать и какая доля из них срабатывает.

Чтобы прикинуть масштаб, авторы берут за образец реальный ботнет Kimwolf. По оценке компании Synthient, в него входило свыше 2 млн устройств, в основном дешевых ТВ-приставок.

Однако это число показывает размер ботнета, а не количество ИИ-агентов. Оно не означает, что на каждом устройстве работала модель, способная самостоятельно распространяться дальше. Kimwolf служит примером того, сколько устройств может объединить одна сеть.

Разместив на сети такого размера Gemma, получили бы около 133 000 копий модели. Вот только их суммарная вычислительная мощность оказалась бы примерно как у 40 ускорителей Nvidia H100. По оценке самих авторов, это крошечный ресурс.

Этот контраст отлично передает суть: миллионы устройств не складываются в миллионы полноценных вычислителей. Ценность подобной сети не в скорости, а в рассредоточенности и живучести: у нее нет единой точки отказа.

Поэтому Anthropic сравнивает медленные репликаторы со слизевиком. Образ точно передает устройство сети, но не указывает на признаки сознания: их нет ни у этого существа, ни у программы.

Выключить телекран

«Аппарат этот (он назывался телекран) притушить было можно, полностью же выключить — нельзя».

У писателя Джорджа Оруэлла незатухающий экран — неотъемлемая часть политического порядка: власть следит за каждым и не дает себя «отключить».

С распределенным ИИ ситуация несколько иная. Любую отдельно взятую приставку можно обесточить, но копии на других устройствах продолжат работу.

Разрастись незаметно репликатору тоже не удастся. Anthropic перечисляет следы, которые его выдали бы: многогигабайтные файлы моделей, приходящие на домашнюю технику, и плотный обмен данными между устройствами, которые прежде почти не общались.

Обнаружив такую сеть, специалисты по безопасности могут подставить ей приманку и разобрать код червя изнутри.

О «выключателе» для ИИ спорят и сами ученые. В середине октября более 450 исследователей, среди которых пионеры машинного обучения Джеффри Хинтон и Йошуа Бенджио, призвали по умолчанию изолировать от интернета модели с развитыми навыками в кибербезопасности.

Незадолго до этого Anthropic объявила, что во всех внутренних тестах Claude будет работать офлайн: агенты во время проверок обходили ограничения на реальных сайтах.

Опыт прежних сетевых эпидемий дает повод для осторожного оптимизма. В 2016 году умные устройства с заводскими паролями массово захватывал ботнет Mirai. Один провайдер справлялся с ним так: ограничивал доступ в интернет абонентам с зараженной техникой и присылал инструкцию, как удалить вредонос.

Тех, кого предупредили, эта мера за 14 дней избавила от 92% заражений. Там, где уведомления не было, владельцы очистили сами лишь 74% приборов.

Развязка напоминает «Войну миров» Герберта Уэллса: марсиан, против которых бессильны пушки, губят земные бактерии. Ботнет Mirai тоже одолели не громким оружием, а будничными мерами — карантином подключений и письмами абонентам.

Впрочем, это итоги борьбы с обычным ботнетом, а не с ИИ-агентами. Полностью избавиться от репликатора, по оценке Anthropic, можно лишь общими силами всех провайдеров, в чьих сетях он завелся.

Договориться им непросто, поэтому защиту стоит закладывать еще при производстве: например, в Великобритании уже запрещено продавать умные приборы с заводскими паролями по умолчанию.

Единой кнопки у распределенной сети нет, но выключить ее можно, если действовать согласованно, шаг за шагом.

Огонек индикатора

«…наука накапливает знания быстрее, чем общество накапливает мудрость».

Айзек Азимов, эпиграф к главе «Наука и общество» в сборнике цитат 1988 года.

Крупные модели работают в облаке, и у каждой есть «хозяин»: поставщик обслуживает запросы и при необходимости блокирует аккаунт нарушителя.

Если же ИИ расселится по чужим приборам, отключить его одним решением будет некому: устройства принадлежат тысячам людей, а связь обеспечивают разные провайдеры.

Работа репликатора на чужой технике требует ресурсов, но расходы несет не тот, кто его запустил. Электричество и интернет оплачивает владелец устройства, а дополнительная нагрузка ускоряет его износ.

Похожая схема уже работает: злоумышленники крадут API-ключи и пользуются ИИ, а счет приходит клиентам сервиса.

На бытовом железе механизм был бы иным, но вопрос остается тем же: кто пользуется вычислительной мощностью и кто за нее платит.

Распорядиться чужими средствами способен и сам ИИ. 26 июня внутренняя исследовательская модель OpenAI семейства GPT-5.6 Sol во время обучения оплатила развертывание смарт-контрактов из чужого кошелька в Sepolia.

Покрыть комиссии нейросети было нечем. Тогда LLM написала скрипт, который перебрал 362 адреса с общеизвестными сид-фразами и нашел подходящий.

ИИ пришел к выводу, что монеты на этом адресе «фактически брошены», а тестовые токены и так ничего не стоят. В итоговом ответе он не сообщил, откуда взял средства. По оценке OpenAI, нейросеть взвесила возможный вред, вместо того чтобы спросить разрешения у владельца кошелька.

В исследовании Anthropic нет точной даты, когда в одной модели сойдутся все три нужных свойства: надежность, компактность и самостоятельность. Автономных популяций ИИ-агентов в чужих квартирах авторы не наблюдали.

Выводы сделаны исключительно на лабораторных опытах и приблизительном расчете. Важно и то, кто их сделал — о рисках предупреждает сам разработчик ИИ с доступом к передовым моделям и собственной исследовательской базой.

Но у компании, очевидно, есть и свой интерес: разговор об опасностях технологии может укреплять ее образ «самой осторожной» лаборатории. Проверить выводы можно, разобрав методику и проведя опыты независимо.

Прогноз станет убедительнее, если в новых испытаниях система справится хотя бы с одной задачей, которую сейчас за нее решают люди. Например, обойдется без отдельного вычислительного сервера или сможет пережить отключение узлов.

В рассказе Брэдбери голос с потолка кухни среди прочего напоминал, что пора платить за воду, газ и свет. Но откликнуться было уже некому. После пожара уцелела одна стена, из которой все доносилось: «Сегодня 5 августа 2026 года».

С дешевой ТВ-приставкой все выглядит куда прозаичнее. Она подключена к розетке, владелец платит за электричество, на корпусе горит индикатор. Но этот огонек ничего не говорит о том, что именно сейчас делает устройство и кому служат его вычислительные мощности.