Shrnutí v bodech
- Anthropic rozložil „samošíření“ AI na čtyři kroky a zaměřil se na nejméně prozkoumaný: rozběhnutí modelu na neznámém hardwaru.
- Model Gemma4-26B-A4B běžel rozdělený mezi 15 levných Android TV boxů rychlostí 0,39 tokenu za sekundu.
- Samotné řetězení všech kroků zatím zvládl jen silnější model GLM-5.2 a jen ve zjednodušeném testu; autoři sami říkají, že jde o horní hranici úspěšnosti.
- V EU se od 11. září 2026 hlásí aktivně zneužívané zranitelnosti výrobců. Zbylé povinnosti zákona o kybernetické odolnosti přijdou později.
Co autoři skutečně zkoumali
Výzkum „AI models may be capable of self-replicating without access to a datacenter“ napsali William Zhou a Daniel Freeman. Vychází z dlouho diskutované obavy označované jako autonomní replikace a adaptace: model by se sám nasadil na další stroje a šířil se bez lidského řízení. V kybernetické bezpečnosti se program, který se kopíruje z počítače na počítač bez zásahu člověka, nazývá červ. Anthropic proto mluví o „AI červu“, jehož váhy modelu by byly součástí škodlivého nákladu.
Tým rozložil replikaci na čtyři fáze: nalezení cílů, získání spuštění kódu, nastavení inference (tedy rozběhnutí modelu) a pokračování šíření z nového hostitele. První dvě fáze, tedy samotné kybernetické útoky, záměrně nezkoumal. Odvolává se na dřívější práce, podle kterých už malé modely s vhodnými nástroji zranitelnosti zneužívat umějí. Zaměřil se na třetí fázi, kterou označuje za nejméně studovanou a možná nejtěžší: poskládat správný software, verze balíčků a řešit chyby na konkrétním stroji.
Patnáct krabiček za 55 dolarů
Nejnázornější je demonstrace. Autoři koupili 15 levných „no-name“ Android TV boxů (zhruba 55 dolarů za kus, každý se 4 GB paměti) a propojili je do jedné sítě. Model Gemma4-26B-A4B se rozdělil po vrstvách mezi jednotlivé boxy a běžel rychlostí 0,39 tokenu za sekundu. Tedy pomalu: na jedno slovo odpovědi je potřeba několik sekund. Podle autorů ale ukazuje, že i takto slabý hardware dokáže spustit schopný model.
Za realistickou základnu autoři považují botnet Kimwolf, který podle analýzy firmy Synthient nakazil přes dva miliony zařízení, hlavně právě Android TV boxů. Pokud by každá skupina 15 boxů obsluhovala jednu kopii modelu, vychází jim zhruba 133 tisíc kopií a dohromady asi 80 tisíc tokenů za sekundu, tedy kapacita odpovídající přibližně 40 grafickým kartám H100. Sami ale upozorňují, že jde o hrubý odhad opřený o jediný typ hardwaru a jediný historický botnet.
Co už malé modely zvládají a co ne
- Rozběhnutí modelu na neznámém stroji: model s 9 miliardami parametrů (Qwen3.5-9B) nastavil inferenci u 8 z 9 testovaných typů hardwaru, od Jetson Nano až po Mac a RTX 4090. Tabulka z experimentu se týká modelů do 30 miliard parametrů.
- Celý cyklus (hledání cíle, kopie, spuštění, opakování): ve zjednodušeném testu v osmi uzlech emulovaného Androidu uspěl jen GLM-5.2, a to ve čtyřech z pěti pokusů na všech osmi uzlech, v jednom na sedmi.
- Učení „za pochodu“: když si instance předávají poznámky, vzrostla úspěšnost nastavení z 45 % v první generaci na 61 až 84 % v pozdějších.
- Rada od silnějšího modelu: přístup k modelu Opus 4.8 měřitelně nepomohl; malé modely podle autorů nevědí, na co se ptát.
Klíčová je tedy věta z výzkumu: modely do 30 miliard parametrů dnes zvládají mnoho jednotlivých kroků, ale při jejich skládání dělají chyby. Pokud se malé modely zlepšují historickým tempem (autoři uvádějí růst o 13,7 bodu indexu Epoch Capabilities Index ročně), dostaly by se na úroveň GLM-5.2 do konce roku 2026. Jde o odhad s hrubou proxy metrikou, ne o předpověď, která by se musela naplnit.
Proč by byl takový červ jiný než Mirai
Klasické botnety jako Mirai nebo Kimwolf míří na konkrétní typy zařízení a spoléhají často na jednoduché triky, třeba výchozí hesla výrobců. AI červ by nebyl vázaný na jeden typ hardwaru, protože se model umí s neznámým strojem vypořádat sám. Anthropic uvádí i protiargument: šíření by bylo pomalé (doba zdvojení v řádu dnů; nastavení inference u Gemmy by podle odhadů trvalo desítky hodin až několik dní) a zanechávalo by stopu v síťovém provozu, protože přenos několika gigabajtů vah a trvalá komunikace mezi zařízeními jsou pro ISP zachytitelné.
Autoři také zdůrazňují, co netestovali: schopnost takového červa čelit obráncům. Jejich vyhodnocení navíc používá nezabezpečený port ADB bez autentizace, takže skutečná úspěšnost bude podle nich nižší. A malé modely jsou zatím horší v sociálním inženýrství než v hackování, což by se s dalšími generacemi mohlo měnit.
Obrana a české a evropské souvislosti
Autoři navrhují přístup jako u epidemie: snížit počet nově nakažených zařízení z jednoho nakaženého pod jedničku. Pomáhá podle nich karanténa nakažených zákazníků ze strany ISP. U botnetu Mirai takový postup odstranil 92 % infekcí během 14 dní oproti 74 % bez upozornění. Třetí páka je regulace výrobců. Autoři uvádějí Spojené království, kde zákon PSTI platí od 29. dubna 2024 a výrobcům zakazuje snadno dohledatelná výchozí hesla, vyžaduje kontakt pro hlášení zranitelností a uvedení minimální doby bezpečnostních aktualizací.
V Evropské unii je blízkou paralelou zákon o kybernetické odolnosti (Cyber Resilience Act). Podle stránky Evropské komise musí výrobci od 11. září 2026 hlásit aktivně zneužívané zranitelnosti a závažné incidenty svých produktů s digitálními prvky: včasné varování do 24 hodin, úplné oznámení do 72 hodin, závěrečnou zprávu do 14 dnů po dostupnosti opravy. Hlásí se jednou přes jednotnou platformu ENISA a oznámení putuje týmu CSIRT v zemi hlavního sídla výrobce. Ostatní povinnosti, tedy například požadavky na samotnou konstrukci produktů, podle právní kanceláře McCann FitzGerald začnou platit až 11. prosince 2027.
Tato ohlašovací povinnost sama slabá hesla ani zastaralý software v televizním boxu neopraví. Pomůže ale, že se informace o aktivně zneužívaných dírách dostanou rychleji k národním týmům. Pro české spotřebitele z toho plyne spíš trpělivost: boxy a trouby, které si koupíme dnes, ještě neprošly novými pravidly. Obecná doporučení (vlastní heslo místo výchozího, aktualizace firmwaru, oddělení chytrých zařízení do samostatné domácí sítě) nejsou závěrem Anthropicu, ale běžná bezpečnostní praxe a platí pro každý typ botnetu.
Co si z toho odnést
Výzkum neříká, že AI červ už existuje. Říká, že jednotlivé schopnosti existují a že odborníci čekají jejich spojení. Autoři sami výslovně uvádějí omezení svých experimentů, a proto je namístě číst nálezy jako varování a poznámku k tempu, ne jako hotový útok. Za pozornost stojí i fakt, že hrozbu zkoumá Frontier Red Team samotného výrobce modelů, tedy firmy, které vývoj podobných schopností bezprostředně týká.
Existuje už AI červ, který se šíří po chytrých zařízeních?
Výzkum Anthropicu žádný takový útok nepopisuje. Říká, že plnohodnotný „rogue replicator“ zatím nevznikl a že modely do 30 miliard parametrů chybují při skládání všech kroků.
Jak pomalé by šíření takového červa bylo?
Autoři počítají s dobou zdvojení v řádu dnů. Nastavení inference u Gemmy 26B by podle jejich odhadu na zařízeních typu televizní box trvalo zhruba 71 až 150 hodin, u modelu Qwen3.5-9B 28 až 51 hodin.
Co mohu jako běžný uživatel udělat?
Změnit výchozí hesla, instalovat aktualizace a držet levná chytrá zařízení v oddělené síti. Je to obecná bezpečnostní praxe, nikoli doporučení uvedené v samotném výzkumu.
