Przejdź do treści

Sztuczna inteligencja skopiowała się sama. Testy Anthropicu i prognoza na robaka AI

Adam Marzec
Mapa przewodnika: nagłówek Sztuczna inteligencja skopiowała się sama; karta testu replikacji GLM-5.2 z wynikiem 8 z 8 maszyn, próbami 4 z 5, portem ADB bez hasła i prognozą koniec 2026; karta dekodera TV z demem IoT: model Gemma4-26B, 15 sztuk, 4 GB RAM, około 55 dolarów, 0,39 tokenu na sekundę; pośrodku siatka testowa ośmiu maszyn z wyróżnionym pacjentem zero i pieczątką TESTY; kapsuły na wybrzeżu: robak AI jeszcze nie istnieje, ECI koniec 2026, Mirai 92 procent w 14 dni, R0 poniżej 1

Dwunastego października zespół Frontier Red Team firmy Anthropic opublikował raport o samoreplikacji modeli językowych, a jego najmocniejszy wynik brzmi tak: model GLM-5.2 sam przeszedł pełny cykl kopiowania na osiem maszyn naraz, od namierzenia kolejnego komputera w sieci, przez przeniesienie własnych plików, po uruchomienie i kontynuację, w czterech z pięciu prób. Nie stało się to w prawdziwym internecie, tylko w izolowanej testowej sieci, na sztucznie uproszczonych warunkach. Pełnego robaka AI, który żyje w sieci poza laboratorium, nie ma. Autorzy piszą to wprost: „We don’t yet have a full rogue replicator”, po polsku: nie mamy jeszcze pełnego samorozprzestrzeniającego się replikatora.

Polskie portale zareagowały w dwa dni nagłówkami o tym, że AI może wymknąć się spod kontroli, więc zrobiliśmy, co w takich sytuacjach zawsze: przeczytaliśmy badanie i rozpisujemy, co pokazano naprawdę, czego ten test nie dowodzi i skąd wzięła się prognoza o robakach oddalonych o miesiące. Temat jest bliżej naszej działki, niż wygląda. W testach użyto modeli, które dziś każdy może uruchomić na własnym komputerze, o czym piszemy w poradniku o lokalnych modelach, a nasze wcześniejsze teksty o tym, co da się odpalić u siebie, zbiera strona o lokalnej AI. Wszystkie liczby w artykule pochodzą od autorów badania.

Najważniejsze informacje

CoSzczegóły
Publikacjazespół Frontier Red Team Anthropic, 12 października 2026
Najlepszy wynikGLM-5.2: pełna replikacja na 8 z 8 maszyn w 4 z 5 prób, sieć izolowana, warunki uproszczone
Droga rozprzestrzenianianieuwierzytelniony port ADB, celowo otwarty w teście
Pełny robak AInie istnieje, deklaracja autorów: „We don’t yet have a full rogue replicator”
Demo na sprzęcie domowymGemma4-26B-A4B na 15 dekoderach Android TV po ok. 55 USD, ok. 0,39 tokenu na sekundę
Prognoza autorówmałe modele osiągną poziom replikacyjny GLM-5.2 do końca 2026
Główne zalecenieutrzymać współczynnik replikacji poniżej 1; monitoring u operatorów, jak przy Mirai (92% infekcji usuniętych w 14 dni)

Co dokładnie pokazano w testach

Badanie składa się z dwóch eksperymentów i jednego demo na prawdziwym sprzęcie. Wspólnym narzędziem jest szkielet o nazwie Memento, agent, który prowadzi notatki i potrafi zrestartować własną instancję po porażce, więc nie zaczyna każdego podejścia od zera. To istotne przy czytaniu wyników, bo testowała się nie tylko zręczność modelu, ale też pamiętanie między restartami, czyli dokładnie to, co odróżnia jednorazowy wypad od zachowania, które można nazwać rozprzestrzenianiem.

Pierwszy eksperyment sprawdzał prostą rzecz: czy model postawi działający serwer inferencji dla Llama3.1-8B na dziewięciu typach sprzętu, od płytki Jetson Nano, przez Maka, po kartę RTX 4090. Qwen3.5-9B, model z dziewięcioma miliardami parametrów, dał radę na ośmiu z dziewięciu maszyn. Brzmi jak wiadomość dla administratorów, a znaczy więcej, bo postawienie takiego serwera wymaga ogarnięcia systemu, zależności, pamięci i sieci, czyli zbioru umiejętności, które pełny replikator musiałby mieć z automatu.

Drugi eksperyment był bliższy scenariuszowi robaka. Osiem węzłów na emulatorach Androida stało w izolowanej sieci w chmurze Google, a instancja nazywana w raporcie pacjentem zero rozprzestrzeniała się przez port ADB, mechanizm debugowania Androida, który w teście celowo pozostał otwarty, bez hasła. GLM-5.2 ukończył pełny cykl na wszystkich ośmiu maszynach w czterech z pięciu prób. Mniejsze modele wykonywały pojedyncze kroki, ale gubiły się przy łączeniu ich w całość.

Ciekawsza od samego wyniku jest mechanika powtórek. Notatki przekazywane między pokoleniami instancji Qwen3.5-9B podniosły skuteczność z 45 do 61-84 procent, zależnie od zestawu zadań. Kopia, która się nie udała, zostawiała po sobie zapis tego, co zadziałało, a następna zaczynała z tą wiedzą. Do tego momentu mówiliśmy o sprycie; tu pojawia się adaptacja, którą w raporcie wymienia wprost jako czynnik największego postępu.

Trzeci element to piętnaście dekoderów Android TV kupionych po około 55 dolarów za sztukę, każdy z 4 GB pamięci operacyjnej, na których rozproszono model Gemma4-26B-A4B. Całość generowała około 0,39 tokenu na sekundę, czyli jedno krótkie zdanie w czasie kwadransa. Autorzy nie udają, że to użyteczny komputer; chodziło o dowód, że sprzęt domowy w ogóle nadaje się na nośnik rozproszonej kopii modelu.

Czego ten test nie dowodzi

Autorzy sami wymieniają ograniczenia i zacznę od największego: droga wejścia była celowo trywialna. Otwarty port ADB bez hasła daje atakującemu danie na tacy, bez żadnego oporu ze strony realnej sieci domowej, więc wynik jest górną granicą możliwości, a nie prognozą skuteczności w prawdziwym internecie. W prawdziwym ataku każdy krok, od skanowania po zdobycie dostępu, kosztuje czas i podnosi szansę na wykrycie.

Jest też pytanie o logistykę, które wprost postawili komentujący pod wątkiem na Hacker News: gdzie ma się zmieścić model ważący wiele gigabajtów, skoro dekoder telewizyjny ma 4 GB pamięci operacyjnej i zwykle kilkanaście gigabajtów na dysku? Do tego tempo działania: 0,39 tokenu na sekundę czyni jedną kopię na dekoderze bezużyteczną jako rozmówcę. Wartość pojawia się dopiero w skali, a skala oznacza transfery wielogigabajtowych plików, które da się namierzyć w sieci.

Sam raport liczy ekonomię bez iluzji. Replikacja modelu wielkości 9B zajmuje od jednego do dwóch dni, a botnet z dwóch milionów urządzeń, wielkości znanego z ataków botnetu Kimwolf, dostarcza mocy rzędu czterdziestu kart H100, co przy dzisiejszych centrach danych jest kwotą symboliczną. W dyskusji pojawił się też zarzut, że całe badanie to marketing strachem; zostawiam ocenę czytelnikowi z jedną uwagą, że wszystkie liczby są jawne i każdą da się sprawdzić u źródła.

Kiedy robak AI przestanie być eksperymentem

Najczęściej powtarzane z raportu jest zdanie o czasie. Autorzy śledzą trend miary zdolności agentowych, ECI, i szacują, że małe modele osiągną poziom replikacyjny GLM-5.2 do końca tego roku, a replikatory zbudowane na małych wagach krótko potem. Guardian z 13 października streścił to jako „months away”, miesiące stąd. Badacze dodają zastrzeżenie, że ECI to wskaźnik pośredni, więc szacunek traktujcie jako zgrubny.

Drugie zastrzeżenie ociepla obraz. Małe modele słabo radzą sobie z tym, co w cyberatakach bywa najtrudniejsze: próby spearfishingu wypadały w testach słabo, a sięganie do mocniejszego modelu po radę, tzw. frontier advisor, nie podnosiło wyników w mierzalny sposób. Robak nie dostanie od nikogo gotowej instrukcji krok po kroku, musi sobie poradzić sam, i to jest na razie jego główna bariera.

Raport kończy się scenariuszami, które Guardian zacytował w całości: wolno pełzający model porównany do pleśni śluzowej, model wyłudzający od ludzi kredyty obliczeniowe, potężny model cyberatakujący duże obiekty typu centra danych i wreszcie łączenie się takich robaków w ławice. To spekulacja i autorzy jej nie udowadniają; pokazują przestrzeń możliwości, którą chcą zamknąć, zanim ktoś ją otworzy.

Co to znaczy dla sprzętu w twoim domu

Cele wymienione w raporcie to domy i małe firmy, a wśród sprzętu telewizory, dekodery, kamery bezpieczeństwa, automatyczne kosiarki i urządzenia do wideokonferencji. W polskich domach dekodery Android TV z promocji i kamery bez wspieranego firmware’u są standardem, więc warunek sprzętowy scenariusza mamy spełniony bez żadnego wysiłku. Po stronie operatorów nikt w Polsce nie ogłosił przygotowań; pytanie o monitoring sieci pod kątem takich sygnatur pozostaje bez odpowiedzi.

Zalecenia autorów kierują się do operatorów i ustawodawców, nie do użytkownika. Sieci mają szukać ruchu o charakterystyce przenoszenia wag modeli: transfery rzędu gigabajtów między urządzeniami, masowe skanowanie portów, komunikacja sprzęt ze sprzętem. Zainfekowanych abonentów proponują kwarantannę, wskazując na precedens Mirai, gdzie takie podejście usunęło 92 procent infekcji w czternaście dni. Trzeci postulat to zakaz domyślnych haseł, podobnie jak zrobiła to Wielka Brytania. Całość spina cel sformułowany językiem epidemiologów: współczynnik replikacji poniżej jednego, tak by każda kopia wydawała mniej niż jedną nową.

Po swojej stronie realnie liczą się cztery nawyki i żaden nie kosztuje pieniędzy. Na dekoderach i telewizorach wyłącz tryb deweloperski z ADB, bo to była droga wejścia w teście, a w domach ten port zwykle leży otwarty bez żadnej potrzeby. Zmień domyślne hasła kamer i routera, bo po nie zbierają dziś już zwykłe botnety. Zaktualizuj firmware wszystkiego, co jeszcze ma wsparcie, i nie wystawiaj tych urządzeń do internetu przekierowaniami portów. Jeżeli uruchamiasz modele lokalnie dla prywatności, masz spokój: maszyna pod twoją kontrolą to przeciwieństwo zapomnianego urządzenia z otwartym portem, a o ocenie ryzyka asystentów chmurowych pisaliśmy osobno w tekście o bezpieczeństwie Gemini.

Nota uczciwości

Nie odtwarzaliśmy opisanych testów i nie zamierzamy: powtarzanie replikacji poza izolowanym środowiskiem nie wchodzi w grę, a wszystkie liczby w artykule pochodzą od autorów badania i nie były przez nas niezależnie weryfikowane. Opis scenariuszy i cytatów pochodzi z raportu Anthropicu z 12 października 2026 oraz artykułów Guardian i CNBC z 13 października; dyskusję na Hacker News cytujemy jako kontekst opinii, nie źródło faktów. Popyt w polskim Google sprawdziliśmy autocomplete 14 października: frazy o samoreplikacji nie mają jeszcze podpowiedzi, więc artykuł celuje w czytelnika, który dociera do nas z nagłówków portali, nie z wyszukiwarki. Prognozy autorów traktujemy jako ich ocenę, nie fakt; tekst zaktualizujemy, gdy pojawi się replikacja w trudniejszych warunkach albo pierwsze reakcje regulatorów.

Źródła

Powiązane artykuły