Umetna inteligenca bi se lahko kmalu sama širila po internetu – že konec leta 2026.
Umetna inteligenca bi se lahko kmalu samostojno nameščala na povezane naprave, iskala nove tarče in svoje kopije širila naprej brez neposredne človeške pomoči. Raziskovalci podjetja Anthropic so pokazali, da je več ključnih tehničnih ovir za nastanek takšnega »AI-črva« že mogoče premagati.
To še ne pomeni, da po internetu že kroži popolnoma avtonomna umetna inteligenca. Poskusi so potekali v nadzorovanem in namerno poenostavljenem okolju. Kljub temu rezultati kažejo, da zmogljivi modeli za delovanje ne potrebujejo nujno podatkovnega centra ali dragega strežnika. Razdeliti jih je mogoče med več šibkih naprav, kakršne najdemo v pametnih televizorjih, kamerah, usmerjevalnikih in drugih napravah interneta stvari.
AI-model so zagnali na 15 poceni televizijskih napravah
Anthropicova raziskovalca William Zhou in Daniel Freeman sta model Gemma4-26B-A4B razdelila med 15 generičnih Android TV-naprav. Vsaka je imela 4 GB pomnilnika in je stala približno 55 dolarjev, zato je bila vrednost celotnega sistema okoli 825 dolarjev.
Posamezna naprava ni imela dovolj pomnilnika za celoten model. Raziskovalci so zato uporabili cevovodno vzporedno izvajanje: vsaka naprava je hranila in obdelovala le manjši del modela, podatki pa so med ustvarjanjem odgovora potovali skozi celotno verigo.
- Število naprav: 15
- Pomnilnik posamezne naprave: 4 GB
- Približna cena posamezne naprave: 55 dolarjev
- Skupna cena strojne opreme: okoli 825 dolarjev
- Dosežena hitrost: 0,39 žetona na sekundo
Delovanje je bilo izredno počasno, vendar je pomembnejše nekaj drugega: model s 26 milijardami parametrov je dejansko deloval na skupini cenovno dostopnih potrošniških naprav. Poskus je pokazal, da omejitev ene naprave ni nujno omejitev celotnega omrežja.
Kako bi se AI lahko samostojno širil?
Morebitni AI-črv bi moral opraviti precej več kot le prenesti datoteko. Poiskati bi moral primerne naprave, pridobiti možnost izvajanja ukazov, prenesti model in programsko okolje, vzpostaviti sklepanje ter nato postopek ponoviti z novega gostitelja.
Raziskovalci so te sposobnosti preizkusili v zaščitenem virtualnem omrežju z osmimi vozlišči, na katerih je tekel emulator Androida 15. Začetno vozlišče je bilo že opremljeno z agentom, dostop do drugih naprav pa je bil namenoma olajšan z nezaščitenim vmesnikom ADB.
Model GLM-5.2 je v štirih od petih poskusov dosegel vseh osem vozlišč, v enem pa sedem od osmih. Znal je pregledati omrežje, dostaviti koristni tovor, vzpostaviti izvajanje modela in nadaljevati širjenje.
Rezultat je pomemben, vendar ima dve veliki omejitvi. GLM-5.2 na novih napravah ni nameščal samega sebe, temveč manjši model Llama 3.1 8B. Tudi prodor v naprave ni bil realističen preizkus kibernetskega napada, saj ni bilo preverjanja pristnosti. Poskus zato dokazuje sposobnost usklajevanja postopka v poenostavljenem okolju, ne pa obstoja popolnoma samostojnega AI-črva v odprtem internetu.
Majhni in sposobni modeli bi se lahko srečali že konec leta 2026
Trenutno obstaja razkorak med velikostjo in sposobnostmi modelov. Manjši modeli so dovolj varčni, da lahko delujejo na poceni napravah, vendar pri dolgih tehničnih postopkih še pogosto naredijo napako. Večji modeli so zanesljivejši, a zahtevajo bistveno več pomnilnika in računske moči.
Anthropic ocenjuje, da bi se lahko ti dve razvojni črti približali do konca leta 2026. Če se bo napredek odprtih modelov nadaljeval s podobno hitrostjo, bi lahko dovolj majhen model dosegel raven sposobnosti, ki jo je v poskusu pokazal GLM-5.2.
To je napoved na podlagi trenda, ne zagotovilo. Uporabljeni indeks meri splošne sposobnosti modelov in ni neposredno merilo njihove zmožnosti samostojnega širjenja. Prav tako laboratorijski uspeh še ne pomeni, da bi model enako zanesljivo deloval na nepredvidljivem, raznolikem in bolje zaščitenem internetu.
Širjenje bi bilo počasno, a vztrajno
AI na poceni napravah ne bi deloval s hitrostjo sodobnih spletnih klepetalnikov. Anthropic ocenjuje, da bi samo vzpostavljanje izvajanja modela na novi skupini naprav lahko trajalo več dni.
| Model | Ocenjeni čas vzpostavitve izvajanja |
|---|---|
| Qwen3.5-9B | 28–51 ur |
| Gemma4-26B-A4B | 71–150 ur |
Počasnost pa ne izključuje nevarnosti. Če bi vsaka uspešna kopija sčasoma ustvarila nove, bi se omrežje lahko povečevalo podobno kot kolonija preprostih organizmov. Posamezni agent bi bil počasen, celotna populacija pa bi lahko vztrajno iskala nove naprave.
Za ponazoritev možnega obsega so raziskovalci uporabili botnet Kimwolf, ki je na vrhuncu okužil več kot dva milijona naprav, večinoma cenejših Android TV-naprav. Če bi bilo toliko naprav razdeljenih v skupine po 15 in bi vsaka skupina poganjala model Gemma4-26B-A4B, bi nastalo približno 133.000 kopij.
Njihova skupna hitrost bi po grobi oceni dosegla okoli 80.000 žetonov na sekundo, kar je primerljivo z največ približno 40 grafičnimi procesorji NVIDIA H100. To je za tako veliko število naprav presenetljivo malo računske moči, vendar bi šlo za porazdeljeno omrežje brez ene osrednje točke, ki bi jo bilo mogoče preprosto izklopiti.
Kopije umetne inteligence si lahko predajajo izkušnje
Ena najpomembnejših ugotovitev raziskave je bila sposobnost prilagajanja brez dodatnega učenja modela. Posamezne kopije so zapisovale, katere pristope so preizkusile, zakaj so spodleteli in katere tehnične rešitve so delovale. Naslednja generacija je nato podedovala delovno okolje, kodo in kratke zapiske predhodnice.
Uspešnost modela Qwen3.5-9B pri vzpostavljanju izvajanja se je v prvi generaciji začela pri 45 odstotkih. V poznejših generacijah je dosegala med 61 in 84 odstotki.
Pri tem se uteži modela niso samodejno spreminjale. Ne gre za to, da bi AI brez nadzora treniral izboljšano različico samega sebe. Izboljšanje je izhajalo iz prenosa praktičnega znanja: navodil, kode, opisov napak in uspešnih postopkov.
Tak način prilagajanja bi bil za branilce pomemben. Če bi ena kopija ugotovila, kako delovati na določeni vrsti kamere ali usmerjevalnika, bi lahko to rešitev posredovala drugim kopijam. Omrežje bi tako postopoma oblikovalo knjižnico postopkov za različne naprave in programska okolja.
Zakaj bi bil AI-črv drugačen od klasične zlonamerne kode?
Običajni računalniški črv praviloma sledi vnaprej napisanim pravilom. Pregleda omrežje, preizkusi določeno ranljivost in ob uspehu prenese enak program. Če naleti na neznano okolje ali nepričakovano napako, se lahko postopek ustavi.
AI-agent bi lahko med izvajanjem sprejemal odločitve, analiziral napake, prilagajal ukaze in ustvarjal novo kodo. Namesto enega togo določenega postopka bi lahko izbiral med več strategijami ter se prilagodil operacijskemu sistemu, razpoložljivemu pomnilniku in nameščeni programski opremi.
| Klasični črv | AI-črv |
|---|---|
| Uporablja vnaprej določene postopke | Lahko izbira in prilagaja postopke |
| Običajno cilja znane sisteme | Lahko raziskuje neznano napravo |
| Nepričakovana napaka ga lahko ustavi | Lahko poišče vzrok in poskusi drugače |
| Spremembe zahtevajo novo različico kode | Lahko ustvari ali popravi del kode med delovanjem |
| Širi se po vnaprej določeni poti | Lahko spreminja strategijo širjenja |
Anthropic prilagajanja obrambi ni neposredno preizkusil, zato ni mogoče trditi, da bi sedanji modeli že znali učinkovito prelisičiti varnostne sisteme. Raziskava kaže predvsem, da imajo zametke sposobnosti, zaradi katerih bi se prihodnja zlonamerna programska oprema lahko bolj samostojno odzivala na ovire.
Kako bi lahko zaznali in ustavili takšno omrežje?
Porazdeljeno delovanje ima slabost: ustvarja opazen omrežni promet. Modeli so lahko veliki več gigabajtov, sodelovanje med napravami pa zahteva dolgotrajno izmenjavo podatkov. Pametni televizor, ki nenadoma prenaša velike datoteke in nenehno komunicira z drugimi napravami, bi moral sprožiti opozorilo.
Med najpomembnejše obrambne ukrepe sodijo:
- spremljanje nenavadnih prenosov in poskusov povezovanja med napravami;
- prepoznavanje večgigabajtnih datotek z utežmi AI-modelov;
- izolacija okuženih naprav ali celotnih omrežnih segmentov;
- odprava privzetih, skupnih in šibkih gesel;
- redno nameščanje varnostnih posodobitev;
- omejitev nepotrebnega dostopa naprav do interneta in lokalnega omrežja;
- varnejša zasnova IoT-naprav že pri proizvajalcih.
Cilj obrambe je zmanjšati povprečno število novih naprav, ki jih doseže ena okužena naprava, pod ena. Takrat se širjenje postopoma ustavi. Popolna odstranitev porazdeljenega AI-omrežja pa bi lahko zahtevala sodelovanje proizvajalcev, ponudnikov internetnih storitev in uporabnikov v številnih državah.
Najpomembnejše sporočilo raziskave
Anthropic ni dokazal, da lahko današnji majhen AI-model pobegne na internet, vdre v poljubne naprave in na njih popolnoma samostojno zažene svojo kopijo. Raziskava je posamezne dele problema preizkusila ločeno, najuspešnejši celoviti poskus pa je potekal v okolju z namerno poenostavljenim dostopom.
Kljub temu se hkrati dogajajo tri pomembne spremembe. AI-modeli postajajo dovolj majhni za delovanje na poceni strojni opremi. Agenti postajajo dovolj sposobni za izvajanje dolgih tehničnih postopkov. Poleg tega si lahko njihove zaporedne kopije predajajo pridobljeno znanje in s tem izboljšujejo uspešnost.
Prav združitev majhnih lokalnih modelov, avtonomnih agentov in porazdeljenega računalništva je bistvo raziskave. Iste tehnologije lahko omogočijo tudi koristna omrežja lokalnih pomočnikov, ki delujejo brez velikih podatkovnih centrov. Odločilna razlika je v tem, kdo nadzoruje naprave, kako je bil dostop pridobljen in kakšne cilje agenti izvajajo.
Samostojno širjenje umetne inteligence tako ni več samo oddaljen znanstvenofantastični scenarij. Še vedno ni dokazano v resničnem internetu, vendar so nekatere ključne sestavine že na voljo. Vprašanje ni več le, ali je tak sistem tehnično predstavljiv, temveč kako hitro se bodo združile njegova sposobnost, majhnost in dostop do slabo zaščitenih naprav.
