Az Anthropic Frontier Red Team nevű csapatának 2026. október 12-én közzétett kutatása szerint a legfeljebb 30 milliárd paraméteres AI-modellek az önreplikáció egyes lépéseit már elvégzik, de a teljes láncot még nem viszik végig. Az egyszerűsített tesztben a kipróbált nyílt súlyú (open-weight) modellek közül egyedül a nagyobb GLM-5.2 jutott végig a teljes láncon, miközben maga egy külön szerveren futott. A szerzők arra számítanak, hogy ha a kis modellek a korábbi ütemben fejlődnek tovább, 2026 végére elérik ezt a szintet, és nem sokkal ezután kis modellel működő önreplikáló AI is megjelenhet.
A kutatók leírása szerint egy ilyen AI-alapú számítógépes féreg gyengén védett, olcsó IoT-eszközökön, például okos sütőkön és Android TV-boxokon futna. Lassan terjedne, a fertőzött eszközök száma napok alatt nőne a kétszeresére, leállítani viszont nehéz volna, mert nincs központi kikapcsolási pontja.
Mit mértek az Anthropic kutatói?
A kutatók a replikációt négy lépésre bontották: célpontok keresése, bejutás és a kártevő átjuttatása, a modell futtatásának beállítása az új eszközön, végül a továbbterjedés. Korábbi tanulmányok már kimutatták, hogy a kis modellek a támadási lépésekre is képesek, ezért a kutatás az inferenciára, azaz a modell futtatására összpontosított: ezt mérték eddig a legkevésbé, és a kis modelleknek ez lehet a legnehezebb.
A futtatási tesztben a modelleknek ismeretlen hardveren kellett elindítaniuk egy szervert, amely a Llama3.1-8B modellt szolgálja ki. A kipróbált hardverek között Nvidia Jetson Nano modulok, Mac gépek és RTX 4090-es videokártyák is voltak, és egy 9 milliárd paraméteres modell a kilenc hardvertípusból nyolcon sikerrel járt.
A kutatók 15 darab, egyenként nagyjából 55 dolláros, 4 GB memóriájú Android TV-boxon is futtatták a 26 milliárd paraméteres Gemma4-26B-A4B modellt: mindegyik doboz a modell két rétegét kapta meg, a rendszer pedig 0,39 token/másodperc sebességet ért el. A szerzők számítása szerint 4 GB memóriával és 4 bites kvantálással egy 9 milliárd paraméteres modellhez legalább 4, egy 26 milliárd paraméteres modellhez legalább 10 doboz kell. A replikációt ezen a bemutatón nem próbálták ki.
A teljes láncot egy elszigetelt, 8 gépből álló Google Cloud-hálózaton tesztelték, ahol minden gép Android 15-öt emulált. A féregnek hitelesítés nélkül elérhető ADB-porton (Android Debug Bridge) keresztül kellett átjutnia a következő gépre, és ott üzembe kellett helyeznie a Llama3.1-8B-t kiszolgáló szervert. Ha a szerver átment az ellenőrzéseken, a kutatók elindították rajta a féreg következő másolatát. A kipróbált nyílt súlyú modellek közül csak a GLM-5.2 vitte végig a láncot: öt próbából négyszer mind a 8 gépet elérte, egyszer 7-et. A többi modell rendre elakadt.
A szerzők szerint egy ilyen féregnek egyszerre kell elég erősnek lennie a megbízható replikációhoz és elég kicsinek ahhoz, hogy elférjen a feltört eszközökön. Ma egyetlen modell sem felel meg mindkét feltételnek. A legfeljebb 30 milliárd paraméteres nyílt súlyú modellek közül a mindenkori legjobbak az Epoch AI Epoch Capabilities Index (ECI) nevű mutatóján évente 13,7 ponttal javultak, és a szerzők trendvonala alapján egy kis modell 2026 végére érheti el a GLM-5.2 szintjét.
Mit nem bizonyít még a kutatás?
A szerzők maguk írják, hogy elszabadult, önreplikáló AI ma még nincs. A tesztben a bejutás szándékosan egyszerű volt: az ADB-port hitelesítés nélkül fogadta a kapcsolatot, ezért valós környezetben a féreg legfeljebb ilyen sikeres lehet. A Mirai botnet ugyanakkor a gyári felhasználónevek és jelszavak listájával terjedt, így a kutatók úgy vélik, hogy a valódi IoT-eszközök feltörése nem feltétlenül sokkal nehezebb a tesztben használt bejutásnál.
A GLM-5.2 maga egy külön szerveren futott, és az új gépeken csak a kisebb Llama3.1-8B-t helyezte üzembe. A szerzők ebből arra következtetnek, hogy egy GLM-5.2 képességű, 8 milliárd paraméteres modell önmagát is el tudná indítani, bár az újabb kis modellek felépítése bonyolultabb lehet. Az ECI több mint 50 benchmark eredményét összesítő általános mutató, amely a replikációs képességet csak közvetve méri, ezért a 2026 végi időpontot a szerzők is csak durva becslésnek tartják. A terjedési sebességre vonatkozó számítás egyetlen hardvertípusra és egyetlen korábbi botnetre épül, és azt sem vizsgálták, hogyan reagálna egy AI-alapú botnet a védekezőkre.
A kutatók mérései szerint tehát a lépések külön-külön már működnek, és egy nagyobb modell egyszerűsített környezetben végig is vitte a láncot. A 2026 végi időpont és a terjedési sebesség becslés, a könnyű bejutás pedig a teszt feltevése volt.
Milyen gyorsan terjedne egy ilyen AI-féreg?
A szerzők a valódi TV-boxokon mért értékekből indultak ki: a Gemma4-26B-A4B optimalizálás nélkül, 32 ezer tokenes kontextusablakon nagyjából 0,3 token/másodperc sebességgel dolgozik, így a futtatás teljes beállítása 71–150 órát venne igénybe. Egy 9 milliárd paraméteres modell egy-egy replikációja is 1–2 napnál tovább tartana.
A Synthient szerint a Kimwolf botnet több mint 2 millió eszközt fertőzött meg, főként Android TV-boxokat. Ha egy ekkora flottában minden 15 TV-boxból álló csoport egy-egy Gemma4-26B-A4B-t futtatna, a szerzők számítása szerint nagyjából 133 000 másolat jönne létre, amelyek együtt körülbelül 80 000 token/másodperc sebességet érnének el. Ez legfeljebb nagyjából 40 Nvidia H100 GPU teljesítményének felel meg, abszolút értékben tehát kevés. A szerzők azt várják, hogy az eszközökbe épített számítási kapacitás tovább nő, a megbízható replikációhoz szükséges legkisebb modellméret pedig csökken.
A szerzők a védekezést a járványkezeléshez hasonlítják: a reprodukciós számot (R₀), vagyis azt, hogy egy fertőzött eszköz átlagosan hány újat fertőz meg, 1 alá kell vinni, hogy a féreg kihaljon. A védekezőknek kedvez, hogy a féreg nyomot hagyna a hálózaton: az újonnan fertőzött eszközök több gigabájtnyi adatot, a modell súlyait töltenék le, az elosztott futtatás szokatlanul nagy, tartós forgalmat okozna az eszközök között, a terjedés pedig szkenneléssel és sok kimenő kapcsolattal járna. Ezt az internetszolgáltatók forgalomfigyelése észlelné, és minél gyorsabban terjed a féreg, annál feltűnőbb.
A Mirai botnet visszaszorításakor egy internetszolgáltató karanténba helyezte a fertőzött előfizetőket, és a böngészőjüket a tisztítási útmutatóra irányította. Egy 2019-es vizsgálat szerint így 14 nap alatt a fertőzések 92 százaléka megszűnt, szemben az értesítés nélküli 74 százalékkal. A szerzők úgy vélik, hogy első védekezésként a karantén egy AI-féreg ellen is hasonlóan működne, a teljes felszámoláshoz viszont minden érintett internetszolgáltató összehangolt munkája kellene.
Ha saját szerveren futtatsz nyílt súlyú modellt, vagy API-kulccsal hívsz modelleket, a rendszer monitorozását és riasztásait havidíjas üzemeltetésben is elvállaljuk. AI-rendszerek üzemeltetése
Miben különbözne egy AI-féreg a mai botnetektől?
A hagyományos botnetek egy-egy eszköztípust céloznak: a Kimwolf például Android TV-ket és mobileszközöket támadott. Az AI-alapú botnet a szerzők szerint nem kötődik hardverhez vagy szoftverhez, és az IoT-eszközökön túl más gépeket is megfertőzhet. Root jogosultság sem kell hozzá: a modellt futtató szoftver anélkül is működik, a gyengén védett eszközök pedig újraindítás után újra megfertőzhetők.
A modellek a terjedés közben tanulhatnak is: a kísérletben a Qwen3.5-9B minden új generációja megkapta az előző generáció jegyzeteit, és a beállítás sikeraránya az első generáció 45 százalékáról a későbbiekben 61–84 százalékra nőtt. A frontier modell tanácsa viszont nem segített: az Opus 4.8-hoz forduló Qwen3.5-9B eredménye mérhetően nem javult, mert a kis modellek nem tudják, mit kérdezzenek. A szerzők ezért valószínűbbnek tartják, hogy egy nagy modell irányítaná a stratégiát, és kis modelleket indítana subagentként. Célzott adathalászatban a kis modellek gyengék, ezért a social engineeringet a szerzők inkább a nagy modellektől várják.
Mely céges eszközök és fiókok lehetnek célpontok?
A szerzők szerint ezek a terjedési utak állnak a legközelebb a megvalósuláshoz:
| Terjedési út | Mit támad? | Mi véd a cégnél? |
|---|---|---|
| A kis modell feltöri az eszközt, és ott futtatja magát | Olcsó Android TV-boxok, okoshűtők, okos sütők, robotporszívók, NAS-ok (hálózati adattárolók) | Külön hálózati szegmens, a gyári jelszó cseréje, lezárt ADB-port, firmware-frissítés |
| Ugyanez AI-chippel szerelt eszközökön | Biztonsági kamerák, tárgyalótermi videokonferencia-berendezések, Nvidia Jetson modulok | Az internetről nem elérhető kezelőfelület, rendszeres frissítés |
| A nagy modell adatközpontot vagy GPU-szervert tör fel | Adatközponti GPU-k, saját GPU-szerverek | Hitelesítés a modell végpontján, elkülönített szerverek |
| A modell ellopott hozzáféréssel fut | API-kulcsok, felhőplatformok bejelentkezési adatai | Költési korlát és riasztás, a kulcsok rendszeres cseréje |
Az első két oszlop az Anthropic kutatásán alapul.
A Jetson-eszközök többsége a szerzők szerint nem érhető el az internetről. A TV-boxoknál más a helyzet: a Synthient szerint a Kimwolf áldozatai között ezek álltak az élen, a cég által vásárolt dobozokon pedig már gyárilag kártevő futott. A Kimwolf lakossági proxyhálózatokon keresztül fertőzött, és több proxyszolgáltató a helyi hálózat eszközeihez is hozzáférést engedett.
A szerzők szerint a gyártók biztonságosabb alapbeállításai a hagyományos és az AI-alapú botnetek ellen egyaránt erősítik a védelmet, és ebben a szabályozás is segít. Az Egyesült Királyság 2024. április 29-től betiltotta a gyári jelszót használó fogyasztói okoseszközök árusítását, és a gyártónak közölnie kell, legalább meddig ad biztonsági frissítést. Az EU-ban a kiberrezilienciáról szóló rendelet (Cyber Resilience Act, CRA) 2024. december 10-én lépett hatályba. A gyártóknak 2026. szeptember 11. óta jelenteniük kell a termékeik aktívan kihasznált sebezhetőségeit és súlyos biztonsági incidenseit, a fő kötelezettségeket pedig 2027. december 11-től kell alkalmazni. Ettől kezdve a gyártónak a vásárláskor hónapra és évre pontosan meg kell adnia, meddig kezeli a termék sebezhetőségeit. A korábban forgalomba hozott eszközökre ez csak lényeges módosítás után vonatkozik.
Mit tegyél most a céges hálózaton?
Az alábbi lépések a mai, hagyományos botnetek ellen is védenek.
- Készíts leltárt a hálózatra kötött eszközökről: TV-boxokról, okostévékről, kamerákról, videokonferencia-berendezésekről, NAS-okról és okos háztartási gépekről.
- Tedd az IoT-eszközöket külön hálózati szegmensbe, ahonnan nem érhetők el a céges gépek és szerverek. A Nemzeti Kiberbiztonsági Intézet (NKI) szerint a legbiztonságosabb a külön VLAN.
- Ne köss TV-boxot a céges hálózatra; a Synthient is ezt javasolja a szervezeteknek, a fertőzött dobozt pedig a cég szerint teljesen törölni vagy selejtezni kell. Ellenőrizd, hogy egyetlen eszközön sem fogad kapcsolatot hitelesítés nélkül az ADB; a Kimwolf többek között az 5555-ös TCP-portot támadta.
- Beszerzéskor kérdezd meg, meddig kap az eszköz biztonsági frissítést, és üzembe helyezéskor cseréld le a gyári jelszót.
- Figyeld a hálózati forgalomban a szerzők által megnevezett jeleket: több gigabájtos letöltést egy IoT-eszközre, tartós forgalmat két eszköz között, szkennelést és szokatlan kimenő kapcsolatokat.
- Az API-kulcsokra állíts be költési korlátot és riasztást, cseréld őket rendszeresen, és ne tárold őket a forráskódban.
- Ha on-premise, saját GPU-szerveren futtatsz nyílt súlyú modellt, a modell végpontját csak hitelesítéssel tedd elérhetővé.
- Az AI agentek kimenő hálózati kapcsolatait szűkítsd a szükséges célokra; a lépéseket az AI agentek korlátozásáról szóló cikkünk írja le.