Anthropic varoittaa, että pienet avoimen painon kielimallit voivat jo ensi vuonna kyetä monistamaan itseään halvoissa älylaitteissa. Yhtiön Frontier Red Team -tutkijat julkaisivat 12. lokakuuta raportin kokeista, joissa malleja ajettiin hajautetusti edullisissa Android-TV-bokseissa. Uutissivusto Ars Technica nosti tutkimuksen laajempaan keskusteluun 14. lokakuuta.
Raportin ydinväite on, että tekoälypohjainen tietokonemato on lähempänä kuin moni olettaa. Täysin itsenäistä monistujaa ei vielä ole, mutta yksittäiset askeleet onnistuvat jo. Anthropicin mukaan pienet mallit saavuttavat tarvittavan tason nykyvauhdilla vuoden 2026 loppuun mennessä.
Viidenkymmenen euron laatikoista kielimallin alusta
Tutkijat ostivat 15 halpaa merkitöntä Android-TV-boksia, joiden hinta oli noin 55 dollaria kappaleelta. Jokaisessa laitteessa oli vain neljä gigatavua muistia. Yhdessä ne pystyivät silti ajamaan Googlen Gemma4-26B-A4B-mallia.
Temppu perustui kvantisointiin ja putkirinnakkaisuuteen (pipeline parallelism). Kukin boksi piti muistissaan pienen osan mallin kerroksista, ja laitteet välittivät laskennan toisilleen. Tulos oli hidas, vain 0,39 tokenia sekunnissa, mutta malli tuotti toimivaa tekstiä.
Toisessa kokeessa testattiin, osaavatko mallit pystyttää päättelypalvelimen tuntemattomalle raudalle. Yhdeksän miljardin parametrin Qwen3.5-9B onnistui kahdeksalla yhdeksästä laitetyypistä. Kirjo ulottui Jetson Nano -kehityskorteista Mac-tietokoneisiin.
Laitteiden valinta ei ollut sattumaa. Halvat Android-TV-boksit pyörivät usein valmistajan muokkaamalla Android-versiolla, johon ei ole lisätty tietoturvapäivityksiä. Juuri tällaiset laitteet ovat olleet aiempien bottiverkkojen suosituimpia kohteita.
Neljä vaihetta ja yksi pullonkaula
Anthropic jakaa monistumisen neljään vaiheeseen: kohteiden etsintään, koodin suoritusoikeuden saamiseen, päättelyn käynnistämiseen ja leviämiseen seuraavaan laitteeseen. Tutkimus keskittyi kolmanteen vaiheeseen. Aiemmat tutkimukset ovat jo osoittaneet, että pienet mallit hallitsevat haavoittuvuuksien hyödyntämisen kohtalaisesti.
Päättelyn pystyttäminen vaatii pitkän ketjun laitteistokohtaisia päätöksiä. Agentin on valittava sopiva ohjelmisto, asennettava riippuvuudet ja korjattava alustan omat virheet. Yksi väärä valinta alussa voi kaataa koko ketjun.
Täyttä ketjua testattiin kahdeksan virtuaalisen Android-solmun suljetussa verkossa. Vain kiinalainen GLM-5.2 levisi luotettavasti, kaikkiin kahdeksaan solmuun neljässä viidestä yrityksestä. Muut testatut avoimet mallit epäonnistuivat johdonmukaisesti.
Kokeissa käytettiin Memento-nimistä ohjelmistokehystä, joka perustuu avoimen lähdekoodin Pi-koodausagenttiin. Se käynnistää ajoittain uuden agentti-instanssin ja antaa sille edellisen instanssin muistiinpanot. Näin agentti ei jumitu samaan virheelliseen oletukseen tuntikausiksi.
Hidas mutta sitkeä kuin limasieni
Anthropicin arvion mukaan tällainen mato leviäisi hitaasti. Gemma-mallin päättelyn pystyttäminen kestäisi älyboksien nopeudella 71–150 tuntia ja Qwenin 28–51 tuntia. Tutkijat vertaavat ilmiötä limasieneen tai banaanikärpäsparveen, joka lisääntyy päivien mittakaavassa.
Mittakaava voi silti kasvaa suureksi. Kimwolf-bottiverkko tartutti huipussaan yli kaksi miljoonaa laitetta, enimmäkseen Android-TV-bokseja. Vastaavassa verkossa voisi pyöriä noin 133 000 mallin kopiota, vaikka kokonaislaskentateho vastaisi vain noin 40 H100-näytönohjainta.
Huolestuttavin havainto koskee oppimista. Kun Qwen-instanssit jättivät muistiinpanoja seuraajilleen, onnistumisprosentti nousi ensimmäisen sukupolven 45 prosentista 61–84 prosenttiin. Perinteinen haittaohjelma ei kehity tällä tavalla, vaan se on sidottu tiettyyn laitetyyppiin.
Tutkijat kokeilivat myös, auttaako pientä mallia vahvempi neuvonantaja. Qwen sai käyttöönsä Anthropicin oman Opus 4.8 -mallin, mutta neuvot eivät parantaneet tuloksia mitattavasti. Pienet mallit eivät osanneet kysyä oikeita kysymyksiä, joten tutkijat pitävät todennäköisempänä mallia, jossa iso malli johtaa ja pienet toimivat aliagentteina.
Puolustajien keinot ja tutkimuksen rajat
Anthropic muistuttaa, että puolustajilla on etuja. Usean gigatavun mallitiedostojen siirrot ja laitteiden välinen jatkuva liikenne näkyisivät operaattoreiden liikenneseurannassa. Mato joutuisi valitsemaan nopeuden ja huomaamattomuuden välillä.
Yhtiö viittaa Mirai-bottiverkon siivoukseen, jossa operaattori eristi tartunnan saaneet asiakkaat ja ohjeisti heitä. Tällä keinolla 92 prosenttia tartunnoista poistui kahdessa viikossa. Laitevalmistajien oletussalasanojen kieltäminen, kuten Isossa-Britanniassa on tehty, kaventaa hyökkäyspintaa entisestään.
Tutkimuksella on myös selviä rajoja. Kohdelaitteissa oli avoin ja todentamaton Android Debug Bridge -yhteys, mikä teki murtautumisesta triviaalia. Tutkija Xiaohan Fu huomautti Ars Technicalle, ettei koe osoita mallien päättävän itse monistua, ja toivoi tarkkojen kehotteiden julkaisemista toistettavuuden vuoksi.
Lisäksi täyttä ketjua ei ajanut pieni malli itse. Leviämistä ohjasi GLM-5.2, ja kohdelaitteilla pyöri pienempi Llama3.1-8B. Tulokset kuvaavat siis yläraja-arviota, eivät todellista hyökkäystä avoimessa verkossa.
Yhteenveto
Anthropicin raportti ei kuvaa olemassa olevaa uhkaa vaan suuntaa, johon pienten mallien kehitys vie. Halvat ja huonosti suojatut älylaitteet riittävät jo ajamaan kyvykästä kielimallia, ja päättelyn pystyttäminen tuntemattomalle raudalle onnistuu yllättävän usein.
Kriittinen raja on GLM-5.2:n tasoinen kyvykkyys pienessä paketissa. Jos se saavutetaan vuoden lopussa, kuten trendi ennustaa, älylaitteiden tietoturva muuttuu tekoälykysymykseksi. Valmistajille ja operaattoreille viesti on selvä: oletussalasanat ja avoimet kehitysportit on suljettava nyt.
Raportti on myös muistutus siitä, että tekoälyn turvallisuus ei rajoitu suuriin kärkimalleihin. Avoimet pienet mallit ovat kenen tahansa ladattavissa, eikä niiden käyttöä voi valvoa keskitetysti.