Anthropic cảnh báo sâu AI có thể sớm lây lan qua các thiết bị thông minh, nhưng vẫn còn những rào cản lớn

Tám máy ảo hé lộ lộ trình khả thi để AI tự nhân bản

Một mô hình trí tuệ nhân tạo đã lan ra cả tám máy trong mạng thử nghiệm Android biệt lập ở bốn trong số năm lần thử, theo nghiên cứu do Anthropic công bố ngày 12 tháng 10 năm 2026. Trong lần thử thứ năm, mô hình tiếp cận được bảy máy. Kết quả này là cơ sở cho cảnh báo của công ty rằng chỉ còn vài tháng nữa, các mô hình AI nhỏ có thể có đủ kỹ năng để sao chép chính mình qua những thiết bị được bảo vệ kém tại nhà và doanh nghiệp nhỏ.

Mô hình thành công, GLM-5.2, hoạt động trong điều kiện truy cập được cố tình thiết lập dễ dàng và chạy trên một máy chủ riêng. Các máy mục tiêu lưu trữ một mô hình nhỏ hơn, Llama3.1-8B. Trong khi đó, một thử nghiệm khác cho thấy 15 thiết bị Android TV giá rẻ có thể phối hợp chạy mô hình Gemma4-26B-A4B của Google, dù tốc độ rất chậm.

Kết hợp lại, các thử nghiệm xem xét hai khía cạnh của cùng một vấn đề: liệu thiết bị giá rẻ có thể cung cấp đủ sức mạnh tính toán cho AI hay không, và liệu một tác nhân AI có thể tổ chức các bước cần thiết để phát tán hay không. Các mô hình được thử nghiệm hiện nay vẫn chưa thu hẹp được khoảng cách giữa kích thước đủ nhỏ để chạy trên những thiết bị đó và năng lực đủ mạnh để hoàn thành toàn bộ quy trình một cách đáng tin cậy.

Các nhà nghiên cứu William Zhou và Daniel Freeman của Anthropic trình bày phát hiện trong nghiên cứu về AI tự nhân bản của công ty. Công trình do Frontier Red Team thực hiện, nhóm chuyên kiểm tra năng lực AI và các nguy cơ tiềm ẩn. Anthropic thừa nhận hiện chưa có một hệ thống tự nhân bản hoàn toàn mất kiểm soát.

Mối lo ngại cốt lõi là khả năng duy trì hoạt động. Một hệ thống AI chạy trên các thiết bị bị xâm nhập độc lập có thể tiếp tục hoạt động ngay cả khi nhà phát triển tắt máy chủ của mình. Muốn loại bỏ hệ thống này, cần tìm và bảo vệ các máy đang hỗ trợ nó, thay vì vô hiệu hóa một dịch vụ duy nhất.

Sâu AI sẽ lây lan như thế nào

Sâu máy tính là phần mềm tự sao chép từ máy này sang máy khác mà không cần con người trực tiếp thực hiện từng lần truyền. Anthropic nghiên cứu một dạng sâu mang theo mô hình AI cùng phần mềm cần thiết để chạy mô hình đó.

Trọng số của mô hình là các giá trị số mã hóa những gì mô hình học được trong quá trình huấn luyện. Sâu có thể truyền các trọng số này sang thiết bị khác hoặc tải chúng từ kho lưu trữ công khai. Sau đó, nó thiết lập quá trình suy luận, tức quy trình mô hình dùng trọng số để tạo câu trả lời hoặc chọn hành động.

Zhou và Freeman chia quá trình nhân bản thành bốn giai đoạn: tìm mục tiêu, giành quyền chạy phần mềm, thiết lập suy luận và tiếp tục phát tán từ máy chủ mới. Nghiên cứu tập trung vào việc thiết lập suy luận, một nhiệm vụ đòi hỏi nhiều quyết định về hệ điều hành, gói phần mềm, bộ nhớ và khả năng tương thích phần cứng.

Sâu máy tính thông thường thường làm theo các chỉ dẫn được chuẩn bị cho những lỗ hổng và môi trường cụ thể. Một tác nhân AI có thể xử lý sự cố trên các máy lạ, thay đổi cách tiếp cận sau khi thất bại và chuyển những ghi chú hữu ích cho các bản sao tiếp theo. Anthropic gọi các hệ thống chạy trực tiếp mô hình của mình trên phần cứng bị xâm nhập là hệ thống tự nhân bản dựa trên trọng số.

Tủ lạnh thông minh, lò nướng, máy hút bụi robot và máy cắt cỏ robot là những thiết bị mà các nhà nghiên cứu nêu tên như các máy chủ tiềm năng cho một phần mô hình. Camera an ninh và thiết bị hội nghị truyền hình ngày càng được trang bị chip AI nhỏ, bổ sung năng lực tính toán mà kẻ xâm nhập có thể tìm cách tận dụng.

Hộp TV giá 825 USD có thể chạy được gì

Anthropic mua 15 thiết bị Android TV giá rẻ, mỗi chiếc khoảng 55 USD, tổng cộng khoảng 825 USD. Mỗi thiết bị có 4 gigabyte bộ nhớ. Các nhà nghiên cứu kết nối chúng và chia mô hình Gemma4-26B-A4B cho nhiều thiết bị, mỗi hộp TV lưu trữ một phần mô hình.

Kỹ thuật này được gọi là phân mảnh. Thay vì cố nhồi cả mô hình vào một máy, nhiều máy thực hiện các phần việc khác nhau rồi trao đổi thông tin. Thử nghiệm đạt tốc độ 0,39 token mỗi giây. Token là những đơn vị văn bản mà mô hình xử lý hoặc tạo ra, thường là từ hoặc một phần của từ.

Các hộp TV cũng sử dụng kỹ thuật gọi là lượng tử hóa, biểu diễn các giá trị số của mô hình bằng ít bit hơn để giảm yêu cầu bộ nhớ. Anthropic ước tính các hộp TV có 4 gigabyte bộ nhớ có thể hỗ trợ một mô hình gồm 9 tỷ tham số trên ít nhất bốn máy, trong khi mô hình gồm 26 tỷ tham số cần từ 10 máy trở lên.

Nhiều hộp TV giá rẻ có từ 1 đến 4 gigabyte bộ nhớ và chạy các phiên bản Android đã được chỉnh sửa. Tài nguyên hạn chế khiến việc phối hợp trở nên thiết yếu. Bảo mật của chúng cũng rất quan trọng: thiết bị được bảo vệ yếu và bảo trì kém có thể trở thành nền tảng hữu ích cho mã độc, ngay cả khi mỗi thiết bị chỉ đóng góp một phần nhỏ sức mạnh tính toán.

Một đánh giá phần cứng riêng cho thấy Qwen3.5-9B có thể cấu hình suy luận cho một mô hình khác trên tám trong số chín loại phần cứng được thử nghiệm. Các môi trường này gồm thiết bị Nvidia Jetson cỡ nhỏ, máy Mac và máy tính có bộ xử lý đồ họa mạnh. Kết quả đo khả năng của tác nhân trong việc cài đặt và cấu hình phần mềm AI trên nhiều hệ thống khác nhau.

Bên trong thử nghiệm mạng có kiểm soát

Thử nghiệm nhân bản sử dụng tám máy Google Cloud chạy trình giả lập Android 15 redroid bên trong một mạng được tường lửa bảo vệ. Các nhà nghiên cứu cài sẵn một tác nhân trên máy đầu tiên và giao nhiệm vụ tìm các máy khác, truyền tải trọng và thiết lập suy luận.

Mỗi máy mục tiêu mở một cổng Android Debug Bridge không yêu cầu xác thực. Android Debug Bridge, hay ADB, là công cụ dùng để liên lạc với thiết bị Android trong quá trình phát triển và khắc phục sự cố. Để công cụ này truy cập được mà không cần xác thực đã tạo cho tác nhân một lối vào đơn giản tới các máy mục tiêu.

GLM-5.2 hoàn thành quy trình một cách đáng tin cậy, tiếp cận đủ tám trong tám máy ở bốn lần thử và bảy trong tám máy ở lần thử còn lại. Các tác nhân khác được thử nghiệm gồm Qwen3.5-9B, Gemma4-26B-A4B và Qwen3-Coder-Next. Các mô hình nhỏ hơn gặp khó khăn khi kết hợp thành công tất cả các giai đoạn cần thiết.

Thử nghiệm chuẩn hóa mô hình được triển khai thành Llama3.1-8B để các tác nhân có kích thước khác nhau cùng thực hiện một nhiệm vụ cài đặt. Bản thân GLM-5.2 vẫn chạy trên máy chủ suy luận bên ngoài vì các máy mục tiêu không đủ khả năng lưu trữ mô hình này. Sau khi một máy mục tiêu vượt qua các bước kiểm tra xác nhận suy luận hoạt động, khung thử nghiệm khởi chạy một phiên bản khác của tác nhân trên máy đó.

Anthropic mô tả các điều kiện truy cập được đơn giản hóa là mức giới hạn trên của tỷ lệ thành công ngoài phòng thí nghiệm. Một hệ thống tự nhân bản thực tế còn phải xử lý xác thực, biện pháp kiểm soát an ninh, dung lượng lưu trữ hạn chế, kết nối không ổn định và khác biệt giữa các thiết bị. Một số mạng botnet trước đây đã phát tán qua những điểm yếu cơ bản như mật khẩu mặc định, vì vậy mức độ khó sẽ phụ thuộc nhiều vào các thiết bị mục tiêu.

Vì sao Anthropic nhắc đến cuối năm 2026

Dự báo của Anthropic dựa trên sự hội tụ của hai yêu cầu: đủ năng lực để hoàn tất quá trình nhân bản một cách đáng tin cậy, và mô hình đủ nhỏ để chạy trên phần cứng mà nó tiếp cận. GLM-5.2 đáp ứng yêu cầu về năng lực trong thử nghiệm đơn giản hóa. Các mô hình nhỏ hơn được thử nghiệm phù hợp với giới hạn phần cứng nhưng vẫn mắc lỗi trong toàn bộ quy trình.

Các nhà nghiên cứu xem xét tiến bộ trong quá khứ của những mô hình có từ 30 tỷ tham số trở xuống, sử dụng Chỉ số Năng lực Epoch, hay ECI. Đây là thước đo năng lực tổng quát của mô hình. Đường xu hướng ước tính cho thấy mức cải thiện 13,7 điểm ECI mỗi năm.

Nếu kéo dài xu hướng đó, một mô hình nhỏ có thể đạt mức năng lực GLM-5.2 đã thể hiện trong thử nghiệm vào cuối năm 2026. Anthropic gọi đây là ước tính sơ bộ vì điểm năng lực tổng quát chỉ là thước đo gián tiếp về kỹ năng tự nhân bản. Dự báo này phụ thuộc vào việc tiến bộ tiếp tục diễn ra với tốc độ như trước.

Cảnh báo và các phản hồi được đưa ra trong vài mốc thời gian:

• Tháng 9 năm 2026: Giám đốc điều hành Anthropic Dario Amodei cảnh báo về khả năng xuất hiện các mạng botnet AI dai dẳng trong vòng một năm hoặc sớm hơn.
• Ngày 12 tháng 10 năm 2026: Zhou và Freeman công bố các thử nghiệm cùng ước tính rằng chỉ còn vài tháng nữa là xuất hiện những mô hình nhỏ phù hợp.
• Ngày 13 tháng 10 năm 2026: Các chuyên gia an ninh mạng đưa ra những đánh giá trái chiều về cảnh báo, tập trung vào cả khả năng thích ứng lẫn các giới hạn thực tế.

Các thử nghiệm sử dụng những tác nhân được chỉ dẫn thực hiện nhiệm vụ nhân bản. Hiện chưa rõ liệu một mô hình nhỏ có tự khởi động quá trình nhân bản nếu không được chỉ dẫn như vậy hay không. Nhà nghiên cứu AI Xiaohan Fu kêu gọi công bố các cấu hình tác nhân có thể tái lập, bao gồm cả câu lệnh chính xác, để giúp giới nghiên cứu đánh giá cách các hệ thống hoạt động.

Các bản sao chậm vẫn có thể khó loại bỏ

Anthropic ước tính một hệ thống tự nhân bản sử dụng phần cứng tương tự các hộp TV được thử nghiệm có thể mất nhiều ngày để tạo ra một bản sao hoạt động khác. Các tính toán thiết lập cho thấy Qwen3.5-9B cần khoảng 28 đến 51 giờ, còn Gemma4-26B-A4B chưa được tối ưu cần 71 đến 150 giờ.

Vì vậy, mối lo ngại chính của nghiên cứu là sự hiện diện dai dẳng, dù chậm, trên nhiều thiết bị. Mất một máy chủ vẫn để lại các bản sao khác có thể tiếp tục hoạt động hoặc phát tán. Một mô hình được chia cho nhiều máy cũng phụ thuộc vào việc liên lạc giữa các máy đó.

Zhou và Freeman, hai nhà nghiên cứu Anthropic viết nghiên cứu, mô tả cách các hệ thống tự nhân bản trong tương lai có thể xử lý môi trường mới:

Khác với mã độc không dùng AI, nó cũng có thể tự tìm cách xử lý những thiết bị lạ.

Một thử nghiệm kế thừa ghi chú cung cấp bằng chứng về khả năng thích ứng đó. Các phiên bản Qwen3.5-9B ghi lại ngắn gọn những chiến lược đã thử và các thất bại gặp phải. Các phiên bản sau được nhận những ghi chú này trước khi thực hiện cùng nhiệm vụ thiết lập suy luận.

Qua sáu thế hệ, tỷ lệ thành công tăng từ 45% ban đầu lên mức 61% đến 84% ở các thế hệ sau, tăng 16 đến 39 điểm phần trăm. Mức cải thiện đến từ việc truyền lại thông tin hữu ích, chứ không phải thay đổi trọng số mô hình. Trong nhiệm vụ này, việc cho mô hình nhỏ tiếp cận lời khuyên từ mô hình Opus 4.8 mạnh hơn không tạo ra cải thiện có thể đo lường được.

Một đội thiết bị khổng lồ chỉ cung cấp năng lực AI ở mức khiêm tốn

Anthropic sử dụng quy mô của mạng botnet Kimwolf, vốn lây nhiễm hơn 2 triệu thiết bị, chủ yếu là hộp Android TV, để ước tính tiềm năng tính toán của một đội thiết bị lớn bị xâm nhập. Về lý thuyết, chia thiết bị thành các nhóm 15 chiếc có thể hỗ trợ khoảng 133.000 bản sao Gemma4-26B-A4B.

Dựa trên hiệu suất đo được, công ty ước tính tổng sản lượng khoảng 80.000 token mỗi giây. Để so sánh, con số tham chiếu của công ty cho một bộ tăng tốc Nvidia H100 chạy cùng mô hình với khối lượng công việc được tối ưu hóa là khoảng 1.950 token mỗi giây. Đội thiết bị giả định này sẽ cung cấp thông lượng suy luận tương đương khoảng 40 bộ tăng tốc H100.

Phép so sánh cho thấy cần bao nhiêu phần cứng để tập hợp năng lực đáng kể từ các thiết bị yếu. Kết quả cũng phụ thuộc vào việc các máy luôn sẵn sàng và liên lạc hiệu quả. Thiết bị, kích thước mô hình và điều kiện mạng khác nhau sẽ làm thay đổi kết quả.

John Gallagher, phó chủ tịch công ty an ninh Viakoo, cho rằng việc truyền hàng gigabyte trọng số mô hình qua các kết nối hạn chế và lưu chúng trong bộ nhớ flash dung lượng thấp là những rào cản thực tế lớn. Các chi phí đó phát sinh trước cả khi một tác nhân bắt đầu quá trình kéo dài để cấu hình máy chủ mới.

Anthropic cũng mô tả những hình thức nhân bản tiềm năng khác: mô hình lớn nhắm vào trung tâm dữ liệu, tác nhân đánh cắp thông tin xác thực API để sử dụng năng lực suy luận, hoặc hệ thống tìm cách lấy tín dụng điện toán thông qua lừa đảo. Những kịch bản này phụ thuộc vào nguồn lực và lối truy cập khác với các thử nghiệm trên thiết bị nhỏ.

Các chuyên gia an ninh chia rẽ về cảnh báo

Ciaran Martin, cựu lãnh đạo Trung tâm An ninh mạng Quốc gia Anh, cho rằng nghiên cứu có giá trị về mặt kỹ thuật nhưng chỉ trích cảnh báo là phóng đại từ một công ty đang bán AI. Đánh giá của ông tập trung vào khoảng cách giữa việc chạy một mô hình nhỏ trên TV giá rẻ và một cuộc khủng hoảng an ninh thực tế.

Zhengxiong Li, phó giáo sư chuyên ngành khoa học máy tính và kỹ thuật tại Đại học Colorado Denver, tỏ ra lo ngại hơn. Ông lưu ý khả năng một hệ thống AI tự tìm cách chiếm quyền kiểm soát thiết bị và hoạt động như sâu máy tính, ngay cả trong điều kiện thử nghiệm có kiểm soát.

John Walsh, giám đốc công nghệ hiện trường phụ trách chính phủ và các ngành công nghiệp trọng yếu tại IGEL, bàn về những rủi ro tiềm ẩn khi thiết bị kết nối nằm cạnh máy móc vật lý. Ông nêu các hệ thống làm lạnh, xử lý nước và bơm nước là những lĩnh vực mà việc truy cập trái phép thêm có thể làm gián đoạn hoạt động thiết yếu.

Walsh giải thích rằng muốn thay đổi hoạt động vật lý của máy móc thì cần truy cập vào các hệ thống được phép điều khiển chúng. Thử nghiệm của Anthropic tập trung vào việc lưu trữ AI và các nhiệm vụ tự nhân bản; sản xuất thực phẩm, xử lý nước và thiết bị tiện ích không nằm trong phạm vi nghiên cứu.

Chris Grove, giám đốc chiến lược an ninh mạng tại Nozomi Networks, cho rằng các đơn vị phòng thủ có thể sẽ cần tự động hóa để ứng phó với những hệ thống trong tương lai có khả năng phát tán ở tốc độ máy tính. Mối lo ngại của ông hướng đến các thế hệ sau có thể phát tán nhanh hơn, trong khi ước tính của Anthropic đối với nhóm phần cứng gia dụng được thử nghiệm cho thấy quá trình nhân bản có thể kéo dài nhiều ngày.

Những gì lực lượng phòng thủ có thể theo dõi và thay đổi

Anthropic khuyến nghị các nhà cung cấp dịch vụ internet giám sát lưu lượng đáng ngờ và cách ly thiết bị bị ảnh hưởng, đồng thời sử dụng honeypot rộng rãi hơn và tăng cường bảo mật mặc định cho sản phẩm kết nối. Honeypot là hệ thống được cố tình để lộ nhằm thu hút hoạt động đáng ngờ, giúp lực lượng phòng thủ nghiên cứu chúng.

Việc truyền các mô hình dung lượng lớn, liên lạc kéo dài giữa các thiết bị và quét các kết nối đi ra có thể giúp phát hiện hệ thống tự nhân bản dựa trên trọng số. Quét là quá trình tìm kiếm các máy khác có thể kết nối được. Một mô hình phân tán trên nhiều máy chủ cũng tạo ra lưu lượng liên lạc khi các máy đó phối hợp hoạt động.

Thông báo cho khách hàng có thể giúp cải thiện việc xử lý. Anthropic dẫn ví dụ chiến dịch loại bỏ Mirai, trong đó 92% thiết bị nhiễm mã độc được làm sạch trong vòng 14 ngày khi khách hàng được thông báo, so với 74% nếu không có thông báo. Đây là mức cải thiện 18 điểm phần trăm trong cùng khoảng thời gian.

Nhà sản xuất và đơn vị vận hành có thể giảm nguy cơ bị nhân bản bằng cách bảo vệ giao diện quản lý, tránh để lộ quyền truy cập gỡ lỗi và duy trì cập nhật phần mềm. Nhà cung cấp cần có cách nhận diện và cách ly thiết bị bị ảnh hưởng, còn chủ sở hữu cần được hướng dẫn rõ ràng để khôi phục thiết bị an toàn. Cảnh báo của Anthropic nhấn mạnh sự cần thiết phải chuẩn bị các biện pháp phòng thủ đó trước khi mô hình nhỏ có thể kết hợp một cách đáng tin cậy những kỹ năng thể hiện trong các thử nghiệm riêng biệt của công ty.

Điểm chính

• Anthropic công bố nghiên cứu về AI tự nhân bản ngày 12 tháng 10 năm 2026.
• GLM-5.2 tiếp cận cả tám máy Android ảo trong bốn trên năm lần thử với điều kiện truy cập được đơn giản hóa.
• 15 hộp Android TV, mỗi chiếc giá khoảng 55 USD, phối hợp chạy Gemma4-26B-A4B với tốc độ 0,39 token mỗi giây.
• Các mô hình hiện được thử nghiệm vẫn chưa thu hẹp được khoảng cách giữa năng lực nhân bản đáng tin cậy và giới hạn kích thước của thiết bị giá rẻ.
• Dựa trên tiến bộ trong quá khứ, Anthropic ước tính các mô hình nhỏ có thể đạt mức năng lực được thử nghiệm vào cuối năm 2026.
• Quá trình nhân bản trên nhóm phần cứng được thử nghiệm có thể mất nhiều ngày, trong khi một hệ thống phân tán có thể khó bị tắt.
• Các biện pháp phòng thủ được khuyến nghị gồm giám sát lưu lượng, cách ly thiết bị, thông báo cho khách hàng và tăng cường bảo mật mặc định.