ИИ научили распространяться как вирус. Реальная угроза или еще одна страшилка от разработчиков?

Что случилось: эксперимент Anthropic и нейрочервь

В октябре Anthropic предупредила, что уже в ближайшие месяцы могут появиться компактные ИИ-модели, способные самостоятельно распространяться между подключенными к интернету устройствами. Потенциальными носителями такого ИИ могут стать плохо защищенные камеры, умная бытовая техника и дешевые ТВ-приставки на Android.

Одну из моделей, Gemma4-26B-A4B, исследователи запустили сразу на 15 дешевых Android-приставках. Нейросеть распределили между устройствами: каждая приставка обрабатывала только часть ее слоев. В результате модель заработала на сети слабого «железа» стоимостью около 55 долларов за устройство, хотя и очень медленно — примерно 0,4 токена в секунду.

В другом эксперименте небольшая модель смогла самостоятельно подготовить к работе восемь из девяти типов оборудования. А значительно более мощная система в четырех попытках из пяти сумела последовательно развернуть копии модели на всех восьми устройствах тестовой сети.

Полностью автономного компактного ИИ-червя Anthropic пока не получила. Модель, которая успешно организовывала распространение, сама работала на мощном внешнем оборудовании, а на новые устройства передавала меньшую нейросеть. Но исследователи считают, что компактные модели быстро приближаются по возможностям к более крупным, поэтому разрыв может закрыться в ближайшие месяцы.

Однако, если исследователям или, хуже того, киберпреступникам удастся сделать этот сценарий рабочим, последствия могут быть довольно серьезными.

Даже если такой червь появится, первым поколениям вряд ли удастся действовать незаметно и быстро. Передача моделей между устройствами создает большой объем трафика, а вычисления на слабом железе идут медленно. Anthropic считает, что это даст защитникам время обнаружить зараженные устройства.

При этом компания предлагает готовиться к сценарию заранее: обновлять защиту IoT-устройств и исходить из того, что в перспективе самораспространяющиеся ИИ-системы могут стать постоянной киберугрозой, а не единичным экспериментом.

ИИ-черви уже тестируют

Самораспространяющиеся вредоносные программы в кибербезопасности называют червями, уточняет разработчик Александр Могила. ИИ в такой системе может не просто выполнять заранее записанные команды или писать вредоносную программу, а самостоятельно анализировать найденную машину и выбирать дальнейшие действия.

В июне 2026 года исследователи испытали подобного агента в лабораторной сети с Linux, Windows и устройствами интернета вещей. На целевых машинах заранее оставили известные уязвимости и ошибки конфигурации, активной защиты не было.

Среда была подготовленной: на машинах оставили реальные известные уязвимости, активной защиты не было. Эксперт обращает внимание еще на одно ограничение: вычисления модели обеспечивала общая инфраструктура стенда. Эксперимент не доказывает, что такой агент завтра пойдет заражать произвольные корпоративные сети. Но сам механизм уже работает: ИИ способен самостоятельно выбирать следующую цель и способ проникновения.

При этом сочетание самораспространения и способности менять тактику само по себе создает новую проблему.

Еще в 2024 году исследователи из Cornell Tech и Technion создали экспериментального ИИ-червя для почтовых помощников. Его назвали Morris II — по аналогии с червем Morris 1988 года. В этом случае сама модель между устройствами не перемещалась: распространялась вредоносная инструкция. Она могла попасть в почтового ИИ-помощника вместе с сообщением, заставить его выполнить чужую команду и затем воспроизвестись в следующем письме.

Пока ни один из этих экспериментов не показал ИИ-червя, который способен массово распространяться по реальному интернету без специально подготовленной среды. Но сам принцип уже проверен в нескольких вариантах.

Так что несмотря на то, что пока действительно самостоятельные и опасные «ИИ-вирусы» выглядят скорее как страшилка на будущее, вопрос уже не в том, возможно ли такое в принципе, а в том, дает ли нейросеть вредоносу достаточно преимуществ, чтобы злоумышленнику вообще было выгодно ее использовать.

Как ИИ используют для атак уже сейчас

Ближайшая угроза для пользователей связана не с полностью автономным ИИ-вирусом, а с тем, что нейросети начинают встраиваться в уже привычные схемы атак.

При этом возможности таких моделей пока ограничены скоростью и требованиями к железу. Эксперт обращает внимание, что на обычном пользовательском устройстве даже небольшая нейросеть работает медленно и заметно нагружает систему.

Но у моделей может найтись применение и для усиления атак обычных вирусов. Как объяснил эксперт, нейронка может выступать способом распаковки вместо специализированного ПО. Это усложнит задачу для экспертов кибербезопасности, которые будут изучать такие атаки, чтобы понять, как с ними бороться (т. н. реверс-инжиниринг). Однако сам вредоносный код надежнее отправить как обычный скрипт, поскольку небольшая модель может загаллюцинировать и перепутать IP-адрес, на который необходимо доставить данные, а генерация самого адреса также может занять несколько минут.

В настоящих кибератаках большие модели пока чаще используют именно так: не как часть самого вируса, а как автоматизированного исполнителя отдельных этапов. Google Threat Intelligence Group в сентябре зафиксировала переход злоумышленников от обычных запросов к нейросетям к агентным схемам. В одном случае после взлома облачного ресурса планирование, подготовка и запуск массового сбора учетных данных заняли меньше шести часов.

Claude Code тоже уже использовали для разведки, поиска и эксплуатации уязвимостей. Поэтому сейчас кибербезопасников больше беспокоят не сценарии, что нейросети научатся использовать как вирусы, а куда более простые и приземленные кейсы, когда нейронки помогают киберпреступникам банальным анализом, парсингом (перебором) и поиском уязвимостей.

Для обычных пользователей и небольших компаний это означает, что под атаки могут чаще попадать цели, которые раньше не интересовали злоумышленников из-за затрат времени и ресурсов. Тушканов отдельно указывает на риск массового поиска плохо защищенных IoT-устройств, которые затем могут оказаться частью ботнета или использоваться для проникновения в сеть.

При этом для защиты возникают новые вызовы: вредонос с ИИ потенциально способен менять поведение в зависимости от конкретной цели и встреченных мер безопасности.

Для компаний отдельный риск связан с собственными ИИ-агентами. Такой помощник уже может иметь доступ к документам, почте и рабочим приложениям, поэтому опасность возникает не только при заражении устройства, но и при подмене задания самому агенту.

По словам эксперта, ожидается и рост атак на память ИИ-помощников. В этом случае навязанная информация может сохраняться после первоначального разговора и влиять на последующие решения. Тогда причина атаки и опасное действие оказываются разделены во времени, что усложняет расследование.

Еще один риск возникает, когда несколько агентов автоматически обмениваются поручениями. Александр отмечает, что подмененная задача может перейти от одного помощника к другому как обычный рабочий запрос. Если один агент автоматически доверяет другому, последствия одной атаки способны затронуть сразу несколько процессов.

Есть и менее массовые, но уже обсуждаемые сценарии:

• отравление цепочки поставки моделей — вредоносные изменения в открытых весах, датасетах или обновлениях;
• промпт-инъекции против корпоративных агентов;
• самомодифицирующееся вредоносное ПО с использованием больших языковых моделей во время работы;
• ИИ-управляемые ботнеты;
• отравление обучающих данных;
• дипфейки и автоматизацию социальной инженерии.

Так что, даже если сценарий с полностью автономным ИИ-вирусом или ИИ-червем пока остается будущей угрозой, уже сейчас ИИ серьезно усложнил работу защитников.

Как не дать вашему интернету вещей стать мишенью хакеров с ИИ

Роутеры, камеры, ТВ-приставки и другая умная техника становились частью ботнетов задолго до нынешних экспериментов с ИИ.

Но ИИ может усилить уже существующую проблему. Умные камеры, роутеры и приставки особенно уязвимы потому, что на их безопасность систематически забивают владельцы.

Эксперимент Anthropic показал, что несколько слабых устройств можно объединить для совместной работы одной модели. Поэтому потенциальному ИИ-червю не обязательно полагаться на мощность одной конкретной камеры или приставки.

Но и пользователю не нужно ждать появления такого червя, чтобы заняться защитой домашней сети. Владислав Тушканов советует начинать с привычных мер безопасности.

На практике это означает: не оставлять заводские пароли, ставить обновления прошивки, если производитель их выпускает, отключать устройства, которыми больше не пользуетесь, и время от времени проверять, что именно подключено к домашней сети.

Если камера, приставка или другой гаджет годами не получает обновлений, риск со временем растет. В таком случае безопаснее заменить устройство, чем рассчитывать, что его никто не заметит.

Сам ИИ не создает новую уязвимость в роутере или камере. Риск в другом: автоматизированные системы могут быстрее находить уже существующие слабые места и массово проверять устройства, которые раньше не выглядели привлекательной целью для ручной атаки.

Насколько реальна угроза сегодня

Пока эти эксперименты разработчиков крупных ИИ-моделей выглядят сомнительными не только потому, что пугают мир угрозами, которые сами же и придумывают и воссоздают в лабораторных условиях. Условный «сферический конь в вакууме» все еще остается в вакууме и никуда не поскачет, потому что пока как самостоятельная угроза просто не существует.

Однако ИИ уже меняет и реальные атаки. И полностью автономный червь здесь детский лепет, по сравнению с более простыми для практического применения сценариями. Хотя, безусловно, хорошо работает как медиапугалка, подогревает интерес к возможностям ИИ и в очередной раз льет мельницу на будущие биржевые размещения ИИ-гигантов. О том, почему разработчикам выгодно пугать индустрию мощными и ужасно опасными ИИ, мы писали здесь.

Основная опасность в том, что нейросети меняют количество ресурсов, необходимых для масштабной кибероперации.

Данила Александров отмечает, что тема уже вошла в профессиональные модели угроз: у OWASP есть отдельный перечень рисков для агентных приложений. В «дикой природе» таких образцов пока не видели, но как вектор угрозы их уже разбирают всерьез.

Но меры безопасности и тут пока не предполагают никаких ноу-хау, в отличие от множества вариантов эту безопасность пошатнуть. Просто потому что старые добрые методы все еще работают.

Полноценный ИИ-червь, который самостоятельно расселяется по телевизорам и другой бытовой технике, пока остается прогнозом. Но ждать именно его появления, чтобы увидеть изменения в кибератаках, уже не приходится: нейросети и без подобных сценариев из киберантиутопий справляются прекрасно.