Главное

  • Каждая приставка имела 4 ГБ памяти и стоила $55. Модель работала со скоростью 0,39 токена в секунду. Токен представляет собой небольшой фрагмент текста.
  • GLM-5.2, модель китайской компании Z.ai, распространила программы по всем восьми узлам в четырех из пяти испытаний.
  • GLM-5.2 работала на отдельном сервере. На устройства она устанавливала меньшую модель Llama3.1-8B.

Как проходили испытания

Сначала небольшая открытая модель Qwen3.5-9B организовала запуск Llama3.1-8B на восьми из девяти типов оборудования. Среди них были компьютеры Mac, Jetson Nano, видеокарты Nvidia RTX 4090 и ускорители AMD MI300X.

Исследователи не проверяли уязвимости этих устройств. Они оценивали способность модели приспосабливаться к разному оборудованию.

Затем специалисты объединили 15 Android-приставок. Они распределили между ними слои Gemma4-26B-A4B с 26 млрд параметров. Параметры представляют собой настройки, полученные при обучении.

Одна приставка не могла вместить всю модель. Устройства хранили отдельные части модели и последовательно обрабатывали запросы.

Модель с 9 млрд параметров можно распределить между четырьмя приставками. Для 26 млрд параметров потребуется минимум десять.

В третьем опыте использовалась изолированная сеть виртуальных устройств на Android 15. Модель находила узлы, подключалась к ним и настраивала запуск Llama3.1-8B.

Для подключения открыли ADB, средство отладки Android, без проверки пользователя. Условия намеренно упростили, поэтому искать реальные уязвимости не требовалось.

Почему полного копирования пока нет

Компактные модели уже работают на группе недорогих устройств. Однако они пока недостаточно надежно выполняют всю последовательность действий.

Более мощная GLM-5.2 прошла полный цикл в подготовленной сети. При этом она оставалась на внешнем сервере и не переносила туда собственные параметры.

Anthropic допускает появление нужных возможностей у моделей до 30 млрд параметров к концу 2026 года. Оценка основана на темпах развития открытых моделей.

Использованный показатель общей эффективности прямо не измеряет способность моделей распространяться между устройствами.

Первые такие системы могут работать медленно. Настройка Qwen3.5-9B на слабом оборудовании потребует примерно 28-51 час. Для Gemma4-26B-A4B оценка составляет 71-150 часов.

Это расчет времени вычислений, а не измеренная скорость заражения устройств.

Система Memento передавала новым экземплярам записи об ошибках и способах их исправления. У Qwen3.5-9B успешность настройки выросла с 45% до 61-84% в следующих поколениях.

Исследователи Anthropic написали о будущих моделях: «Часть из них не будут контролироваться людьми».

Какие меры защиты предложены

В качестве примера существующей инфраструктуры приведена Kimwolf, сеть из более чем 2 млн зараженных Android-устройств. Ее используют для перегрузки сайтов запросами и передачи чужого интернет-трафика.

Два миллиона приставок можно разделить на группы по 15 устройств. Они могли бы поддерживать около 133 тыс. экземпляров Gemma4-26B-A4B.

Их общая производительность соответствовала бы максимум 40 процессорам Nvidia H100 при запуске моделей.

Исследователи предложили наблюдать за трафиком, изолировать зараженные системы и отказаться от общих заводских паролей.

Ранее калифорнийская Palisade Research, компания по безопасности ИИ, показала автономное копирование моделей на другие компьютеры. Новые опыты охватили несколько маломощных устройств одновременно.

Подробности: The Verge