Известная исследовательская команда Frontier Red Team из Anthropic сообщает о создании модели самореплицирирующегося вредоносного ПО, которая может распознавать и заражать практически любые незнакомые умные устройства без участия пользователя и далее использовать их графические процессоры. По данным блога компании, модель GLM-5.2 реплицировалась на 15 недорогих приставках Android TV со скоростью 0,39 токена в секунду и могла запускаться на этих устройствах.

В марте 2026 года китайские исследователи представили ClawWorm — автономного ИИ‑агента, который полностью самостоятельно осуществлял цикл заражения устройств и нацелен на экосистемы агентов больших языковых моделей; общий коэффициент успеха достиг 64,5%. Уже в июне учёные из Университета Торонто заявили о создании самовоспроизводящейся вредоносной программы, способной обходить сети устройств и автономно разрабатывать новые стратегии атак, но остаётся неясным, могут ли такие черви использовать захваченные устройства для инференса на новых данных.

Исследователи Anthropic Уильям Чжоу и Дэниел Фримен сосредоточились на способах распространения ИИ‑червей через небольшие модели, которые создаются с учётом веса репликаторов и ориентированы на бытовые и малобюджетные устройства интернета вещей, поскольку они часто остаются слабозащищёнными. Значимым рассматривался интерес к более крупной технике с небольшими встроенными чипами — для формирования крупной модели, разделённой на сегменты и выполняемой на разных устройствах.

В рамках экспериментов исследователи испытали варианты репликаторов малого веса для оценки краткосрочных угроз. Например, на 15 приставках Android TV с 4 ГБ ОЗУ запустили Gemma4-26B‑A4B, разрезав модель на сегменты в конвейерной параллельной схеме. Результаты показали, что агент не только заражал новые устройства, но и успешно применял их для решения своих задач.

Другой тест продемонстрировал, что GLM-5.2 может нести полезную вирусную нагрузку в виде Llama3.1-8B независимо от типа устройства. Это наводит на мысль о будущем сетевом перечислении, доставке нагрузки и инференсе как на умных устройствах, так и на более сложном программном обеспечении. Скорость распространения репликаторов ниже, чем у интерактивных чат‑ботов, и заражение будет происходить медленно и устойчиво с использованием токенов на периферии.

Среди изученных моделей с открытым весом исключение составила GLM‑5.2, оказавшаяся единственной способной к полной сквозной репликации при нагрузке Llama3.1-8B.

Авторы подчёркивают, что рассматривались варианты заражения через мелкие модели, способные размножаться путём компрометации аппаратных репликаторов. По их словам, ботнет может заражать практически любой тип оборудования и не привязан к конкретной системе, и может работать независимо от платформы.