Anthropic: model AI nhỏ sắp tự nhân bản trên thiết bị IoT

Ngày 12/10/2026, đội Frontier Red Team của Anthropic công bố một nghiên cứu khiến giới bảo mật phải chú ý: các model AI nhỏ có thể chỉ còn vài tháng nữa là đủ sức tự nhân bản trên thiết bị IoT thông thường, từ lò nướng thông minh cho tới những chiếc TV box Android không thương hiệu. Nói cách khác, viễn cảnh AI tự nhân bản, hay "AI worm", không còn cần tới trung tâm dữ liệu với GPU đắt tiền.

Bài nghiên cứu do William Zhou và Daniel Freeman thực hiện. Điểm đáng lo nhất theo họ là một con sâu AI như vậy sẽ rất khó dập tắt, vì không có một điểm trung tâm nào để tắt đi. Bù lại, nó lây khá chậm, thời gian nhân đôi tính bằng ngày.

Anthropic phát hiện điều gì?

Trong bảo mật, "worm" là chương trình tự sao chép từ máy này sang máy khác mà không cần con người. Một AI worm có thể mang theo trọng số model của chính nó (hoặc tải lại từ kho công khai) rồi chạy suy luận ngay trên phần cứng đã bị chiếm. Lúc đó, trọng số model trở thành một phần của mã độc.

Kết luận chính của Anthropic:

• Các model từ 30 tỷ tham số trở xuống đã làm được nhiều bước riêng lẻ của quá trình nhân bản, nhưng vẫn mắc lỗi khi phải ghép tất cả lại từ đầu đến cuối.

• Trong các bài đánh giá đã được đơn giản hóa, GLM-5.2 và các model mạnh hơn có thể tự nhân bản trọn vẹn.

• Một model 9 tỷ tham số đã tự dựng được hệ thống suy luận trên 8 trong 9 loại phần cứng được thử.

• Nếu model nhỏ tiếp tục tiến bộ theo tốc độ như trước nay, chúng sẽ đạt mức năng lực này vào cuối năm 2026. Loại sâu AI nhỏ mang theo trọng số có thể xuất hiện ngay sau đó.

Khác với mã độc truyền thống, một con sâu AI có thể tự tìm hiểu cách hoạt động của thiết bị lạ thay vì chỉ nhắm vào một loại máy cố định.

Anthropic thử nghiệm như thế nào?

Nhóm nghiên cứu chia quá trình tự nhân bản thành bốn giai đoạn: tìm mục tiêu, giành quyền thực thi, dựng hệ thống suy luận trên máy mới, và tiếp tục lây lan từ máy đó. Hai bước đầu thuộc mảng khai thác lỗ hổng, vốn đã được nhiều nghiên cứu trước chứng minh là model nhỏ làm được. Vì vậy Anthropic tập trung vào bước ít được đo nhất: tự cài đặt và chạy model trên phần cứng lạ.

Các model được thử gồm Qwen3.5-9B, GLM-5.2, Gemma4-26B-A4B, cùng Llama3.1-8B là model mà các AI phải tự dựng lên trên máy mục tiêu. Nhóm cũng cho Qwen3.5-9B hỏi ý kiến Opus 4.8 trong lúc làm, nhưng lời khuyên từ model lớn không giúp gì đáng kể vì model nhỏ thường không biết nên hỏi gì.

Ở phần thử lây lan, Anthropic dựng một mạng riêng có tường lửa gồm 8 máy trên Google Cloud chạy trình giả lập Android 15. Con sâu bắt đầu từ một máy "bệnh nhân số 0", tự quét mạng, nhảy sang máy khác qua cổng ADB không có xác thực, gửi payload rồi dựng máy chủ suy luận. Nếu máy chủ vượt qua các bài kiểm tra chống gian lận, một bản sao mới của con sâu được khởi chạy trên máy đó.

Một chi tiết quan trọng: các model được giao dựng Llama3.1-8B trên máy mục tiêu chứ không phải dựng chính mình. Lý do là để so sánh công bằng, vì model càng lớn càng khó chạy. Nếu GLM-5.2 làm được, điều đó cho thấy một model cỡ 8B có năng lực tương đương GLM-5.2 cũng sẽ tự dựng được chính nó.

GLM-5.2: model mở duy nhất tự nhân bản trọn vẹn

Trong nhóm model open-weight được thử, chỉ có GLM-5.2 hoàn thành được toàn bộ chu trình nhân bản một cách ổn định. Model này lây sang 8/8 máy trong 4 trên 5 lần thử, lần còn lại đạt 7/8. Các model khác thì thất bại cũng rất "ổn định".

Tuy vậy, Anthropic nhấn mạnh vài điểm cần hiểu đúng:

• Bước khai thác lỗ hổng được làm cho cực kỳ dễ, vì cổng ADB không có mật khẩu. Do đó kết quả này là mức trần của khả năng thành công ngoài đời thực.

• Dù vậy, an ninh IoT thực tế có khi cũng không khó hơn bao nhiêu. Botnet Mirai từng lây lan chỉ bằng cách thử danh sách tên đăng nhập và mật khẩu mặc định của nhà sản xuất.

• Hiện tại, "sàn" năng lực cần có để tự nhân bản và "trần" kích thước để chạy vừa thiết bị IoT vẫn chưa gặp nhau. Theo đường xu hướng chỉ số ECI của Epoch, model nhỏ tăng khoảng 13,7 điểm mỗi năm và sẽ chạm mức của GLM-5.2 vào cuối 2026. Anthropic tự nhận đây chỉ là ước tính thô.

Chạy model 26B trên 15 TV box giá rẻ

Để chứng minh IoT đủ sức gánh một model đáng kể, nhóm nghiên cứu mua 15 chiếc TV box Android không thương hiệu, mỗi chiếc khoảng 55 USD với 4GB RAM, rồi nối mạng lại. Model Gemma4-26B-A4B được chia nhỏ theo kiểu pipeline, mỗi box giữ vài lớp của model. Kết quả: tốc độ khoảng 0,39 token mỗi giây.

Con số này rất chậm so với chatbot thông thường, nhưng một con sâu không cần nhanh. Theo tính toán của Anthropic, Qwen3.5-9B mất khoảng 28 đến 51 giờ để tự dựng xong hệ thống suy luận, còn Gemma4-26B-A4B chưa tối ưu mất từ 71 đến 150 giờ.

Nhóm lấy botnet Kimwolf làm mốc tham chiếu. Botnet này từng lây nhiễm hơn 2 triệu thiết bị, chủ yếu là TV box Android. Nếu cứ 15 TV chạy một bản Gemma4-26B-A4B, một đội quân cỡ đó sẽ có khoảng 133.000 bản sao, tổng sức suy luận tối đa tương đương khoảng 40 GPU H100. Đó là lượng tính toán rất nhỏ, nhưng đủ để tồn tại dai dẳng. Anthropic ví nó như một loài "nấm nhầy kỹ thuật số", lan chậm nhưng khó diệt.

Đáng chú ý hơn, con sâu còn có thể "học nghề" khi lây lan. Khi mỗi thế hệ Qwen3.5-9B để lại ghi chú cho thế hệ sau, tỷ lệ dựng suy luận thành công tăng từ 45% ở thế hệ đầu lên 61% đến 84% ở các thế hệ sau.

Vì sao điều này quan trọng và cách phòng thủ

Botnet truyền thống như Kimwolf được viết sẵn để nhắm vào một loại thiết bị. Botnet AI thì không bị bó buộc như vậy: model nhỏ đã dựng được suy luận trên đủ loại máy, từ Jetson Nano tới máy Mac. Anthropic cũng cho rằng kịch bản phối hợp dễ xảy ra hơn là một model lớn lo chiến lược, còn các model nhỏ làm "lính" chạy việc.

Tin tốt là phe phòng thủ vẫn có lợi thế:

• Dấu vết mạng: thiết bị bị nhiễm phải nhận payload model nặng nhiều GB và trao đổi dữ liệu liên tục với các máy khác, điều mà hệ thống giám sát của nhà mạng có thể phát hiện. Con sâu càng lây nhanh thì càng lộ.

• Cách ly thuê bao: với Mirai, một nhà mạng từng cách ly khách hàng bị nhiễm, chỉ cho truy cập danh sách trang trắng và gửi hướng dẫn dọn dẹp. Cách này xử lý được 92% ca nhiễm trong 14 ngày, so với 74% khi không thông báo.

• Siết tiêu chuẩn nhà sản xuất: ví dụ tại Anh, thiết bị IoT dùng mật khẩu mặc định nay bị coi là không đạt chuẩn để bán ra thị trường. Mặc định an toàn hơn giúp chống cả botnet AI lẫn botnet viết sẵn.

Mục tiêu, theo Anthropic, giống như chống dịch: kéo chỉ số R₀ (số thiết bị mới mà mỗi máy nhiễm lây sang) xuống dưới 1 để con sâu tự tắt.

Người dùng Việt Nam nên làm gì?

TV box Android giá rẻ, camera an ninh, thiết bị nhà thông minh không rõ nguồn gốc đang rất phổ biến ở Việt Nam. Đây chính là nhóm thiết bị mà nghiên cứu nhắc tới. Một vài việc nên làm ngay:

• Đổi mật khẩu mặc định của mọi thiết bị IoT, router và camera.

• Tắt chế độ gỡ lỗi ADB trên TV box nếu không dùng tới, và không mở cổng thiết bị ra Internet.

• Ưu tiên thiết bị có thương hiệu, còn được cập nhật phần mềm. Box không thương hiệu thường chạy bản Android chỉnh sửa và ít được vá bảo mật.

• Để ý nếu mạng nhà bỗng chậm bất thường hoặc thiết bị nóng, chạy liên tục dù không sử dụng.

Anthropic nói rõ hiện chưa có con sâu AI tự nhân bản hoàn chỉnh nào ngoài thực tế. Nhưng giống như AI viết code hồi 2024, họ đang thấy những "dấu hiệu của sự sống". Chuẩn bị từ bây giờ vẫn rẻ hơn nhiều so với dọn dẹp sau này.

Nguồn tham khảo

- Anthropic - AI models may be capable of self-replicating without access to a datacenter: https://www.anthropic.com/research/self-replicating-ai

- The Verge - Anthropic's Frontier Red Team suggests some AI models "may be months away from being capable enough to self-replicate": https://www.theverge.com/ai-artificial-intelligence/1009658/anthropic-self-propagating-ai-slime-mold-botnets

- Magica - GLM-5.2 passes Anthropic's controlled replication test: https://magica.com/news/glm-52-end-to-end-replication-iot-test

- AI Weekly - Anthropic: open models months from self-replicating on IoT: https://aiweekly.co/alerts/anthropic-open-models-months-from-self-replicating-on-iot

- Post-Cutoff - Small AI models may be months away from self-replicating: https://postcutoff.com/e/2026-10-12-anthropic-self-replicating-ai-iot-devices/