Nghiên cứu của Anthropic cảnh báo: Mô hình AI nhỏ có thể sớm tự lây lan qua thiết bị thông minh tiêu dùng
Các nhà nghiên cứu tại Anthropic chỉ ra rằng các mô hình ngôn ngữ nhỏ có thể tự nhân bản và cấu hình trên phần cứng IoT giá rẻ như TV thông minh, đe dọa nghiêm trọng an ninh mạng trong tương lai.
Nguy cơ AI tự nhân bản có thể không còn là kịch bản chỉ giới hạn trong các trung tâm dữ liệu khổng lồ. Một nghiên cứu mới của hai nhà nghiên cứu William Zhou và Daniel Freeman thuộc Anthropic cảnh báo rằng các mô hình AI cỡ nhỏ có thể sớm sở hữu khả năng tự phát tán qua các thiết bị điện tử gia dụng thường ngày có bảo mật kém, chẳng hạn như smart TV, tủ lạnh thông minh hay robot hút bụi.
Khác với mã độc truyền thống, một "sâu AI" (AI worm) sẽ đóng gói luôn cả trọng số mô hình (model weights) như một phần tải độc hại (payload), chạy suy luận (inference) trực tiếp trên phần cứng đã bị xâm nhập. Nhờ đó, phần mềm này có thể tự động kiểm tra các thiết bị lạ và tự thiết lập môi trường vận hành riêng để duy trì sự hiện diện rồi tiếp tục lây lan.
Thử nghiệm thành công trên Android TV Box giá 55 USD
Để đánh giá liệu các thiết bị điện tử phổ thông có thể gánh vác được những tác vụ như vậy hay không, nhóm nghiên cứu đã phân bổ mô hình Gemma4-26B-A4B trên 15 thiết bị Android TV box tiêu chuẩn. Mỗi thiết bị có giá khoảng 55 USD và sở hữu 4 GB RAM, trong đó mỗi box xử lý một phần các lớp (layers) của mô hình. Dù tốc độ suy luận diễn ra khá chậm, quá trình triển khai phân tán này vẫn hoạt động trơn tru.
Nhóm nghiên cứu chia chu trình tự nhân bản thành 4 giai đoạn riêng biệt:
- Quét mạng nội bộ để tìm các thiết bị dính lỗ hổng.
- Chiếm quyền truy cập trái phép.
- Thiết lập môi trường chạy AI (AI runtime) hoàn chỉnh trên thiết bị mục tiêu.
- Tiếp tục lây lan sang các nút (node) mạng mới.
Các nhà nghiên cứu của Anthropic đã chủ động bỏ qua bước tấn công xâm nhập thực tế, bởi các nghiên cứu trước đó đã chứng minh những mô hình nhỏ hoàn toàn có thể xử lý tốt các tác vụ khai thác lỗ hổng cơ bản. Thay vào đó, họ tập trung vào rào cản kỹ thuật phức tạp nhất: liệu một mô hình có thể tự mình thiết lập môi trường AI hoạt động được trên một phần cứng hoàn toàn xa lạ hay không.
GLM-5.2 hoàn tất chuỗi nhân bản
Các thử nghiệm cho thấy những mô hình nhỏ hiện đã có thể thực hiện hiệu quả từng bước cấu hình đơn lẻ. Đơn cử, một mô hình 9 tỷ tham số đã cài đặt thành công môi trường chạy Llama3.1-8B trên 8 trong số 9 loại phần cứng được thử nghiệm.
Dẫu vậy, việc thực thi toàn bộ chuỗi quy trình từ đầu đến cuối — từ quét mạng cho đến khi tạo ra một bản sao tự duy trì hoàn chỉnh trên mục tiêu mới — lại là thách thức quá lớn với hầu hết các mô hình được thử nghiệm. Duy chỉ có GLM-5.2 hoàn thành trọn vẹn chuỗi nhân bản này một cách đáng tin cậy, lây nhiễm thành công cả 8 node thử nghiệm trong 4 trên 5 lần chạy thử. Ba mô hình còn lại đều không thể phát tán ra ngoài node khởi đầu.
Nhóm nghiên cứu cũng thử nghiệm một cơ chế tiến hóa nhân tạo, cho phép các phiên bản mô hình truyền lại ghi chú chẩn đoán về các chiến lược thành công lẫn thất bại cho thế hệ kế tiếp. Khi áp dụng kỹ thuật này cho Qwen3.5-9B, tỷ lệ thiết lập thành công đã tăng vọt từ 45% ở thế hệ đầu tiên lên tới 84% ở các vòng lặp sau đó.
Những "khối nấm nhầy kỹ thuật số" chậm chạp và không có công tắc ngắt khẩn cấp
Hiện tại, chưa có mô hình đơn lẻ nào vừa đủ nhỏ gọn để chạy mượt mà trên các thiết bị gia dụng hạn chế tài nguyên, lại vừa đủ năng lực để tự điều phối toàn bộ chuỗi nhân bản ngoài đời thực. Dù vậy, với tốc độ tối ưu hóa hiệu suất mô hình tăng chóng mặt như hiện nay, các tác giả dự đoán khoảng cách này có thể được thu hẹp vào cuối năm 2026.
Một sâu AI dạng này sẽ hoạt động rất chậm. Tùy thuộc vào mô hình, việc thiết lập ban đầu trên một thiết bị mới bị xâm nhập mất từ 28 đến 150 giờ trong quá trình thử nghiệm. Nhóm nghiên cứu ví hành vi này như một "khối nấm nhầy kỹ thuật số" — tuy chậm chạp nhưng cực kỳ bền bỉ nhờ cấu trúc phi tập trung.
Các mạng botnet truyền thống thường dựa vào các đoạn mã chuyên biệt nhắm vào những kiến trúc phần cứng cụ thể. Chẳng hạn, mạng botnet Kimwolf từng lây nhiễm hơn 2 triệu thiết bị, chủ yếu là Android TV box. Ngược lại, một botnet vận hành bằng AI có thể tự thích ứng và tái cấu hình để chạy trên nhiều nền tảng phần cứng không đồng nhất. Dù mạng lưới 2 triệu thiết bị IoT này chỉ mang lại sức mạnh tính toán tương đương khoảng 40 chip tăng tốc AI chuyên dụng, nhưng nó lại hoàn toàn không có hạ tầng chỉ huy trung tâm hay bất kỳ "công tắc ngắt khẩn cấp" (kill switch) duy nhất nào.
Các biện pháp giảm thiểu rủi ro vẫn khả thi nhưng đòi hỏi sự phối hợp đồng bộ. Biện pháp cô lập ở cấp độ mạng từ các nhà cung cấp dịch vụ internet (ISP) từng giúp vô hiệu hóa botnet Mirai, quét sạch 92% thiết bị nhiễm chỉ trong 14 ngày. Những quy định pháp lý như việc Vương quốc Anh cấm đặt mật khẩu mặc định cho thiết bị cũng góp phần thu hẹp bề mặt tấn công, dù các nhà nghiên cứu cảnh báo rằng các tác tử AI có khả năng thích ứng cao cuối cùng cũng có thể học được cách vượt qua các rào chắn phòng thủ cơ bản này.
Cảnh báo nguy cơ gián đoạn Internet trên diện rộng
CEO Anthropic Dario Amodei đã gióng lên hồi chuông cảnh báo về hướng tấn công này, cho rằng một bầy AI tự trị "có thể trong vòng 6 đến 12 tháng tới sẽ đủ sức chiếm quyền kiểm soát toàn bộ Internet bằng một mạng botnet dai dẳng, có nguy cơ gây thiệt hại hàng trăm tỷ USD".
Amodei nhấn mạnh ngành công nghiệp AI nói chung phải chủ động xử lý các lỗ hổng về nhân bản và khai thác, thay vì xem các sự cố bảo mật riêng lẻ như những hiện tượng bất thường mang tính cá biệt.
"Như một dự đoán vượt ra ngoài phạm vi thử nghiệm, chúng tôi lường trước một tương lai tràn ngập các tác tử chạy trên mọi loại phần cứng, bao gồm cả những phần cứng nằm ngoài tầm kiểm soát của con người", các nhà nghiên cứu kết luận, đồng thời cảnh báo rằng những thực thể tự nhân bản chậm chạp ban đầu có thể là điềm báo cho những biến thể nhanh hơn và hung hãn hơn nhiều trong tương lai.
