Đội Đỏ Tiên phong của Anthropic đã dùng khoảng 825 USD để ghép 15 TV box Android không thương hiệu thành một cụm chạy mô hình AI. Cụm máy chỉ đạt 0,39 token mỗi giây, quá chậm đối với chatbot. Tuy vậy, tốc độ này vẫn dùng được cho tác vụ tự động chạy lâu vì không có người dùng chờ kết quả theo thời gian thực.
Theo bài viết gốc của The New Stack, thí nghiệm là nền tảng cho nghiên cứu về AI tự sao chép của Anthropic. William Zhou và Daniel Freeman thực hiện nghiên cứu này. Kết quả cho thấy các mô hình trọng số mở cỡ nhỏ có thể chỉ còn cách khả năng tự sao chép vài tháng. Quá trình đó diễn ra qua phần cứng giá rẻ kết nối mạng mà không phải dựa vào trung tâm dữ liệu.
Nhóm nghiên cứu chưa tạo ra một sâu AI có thể tự lan truyền trên internet công cộng. Toàn bộ thử nghiệm diễn ra trong môi trường được kiểm soát, với một số điều kiện được đơn giản hóa để quá trình sao chép dễ hơn. Kết quả chưa chứng minh một cuộc tấn công như vậy khả thi ngoài thực tế. Tuy nhiên, một số rào cản kỹ thuật còn lại có thể sớm bị vượt qua.
Suy luận mới là trở ngại lớn nhất
Nội dung thử nghiệm trên phần cứng xa lạ
Trở ngại chính đối với AI tự sao chép không chỉ là xâm nhập thiết bị. Hệ thống còn phải khởi chạy mô hình trên phần cứng xa lạ. Tác tử phải xử lý hệ điều hành, bộ nhớ và phần phụ thuộc. Nó cũng phải khắc phục lỗi cài đặt trước khi chuyển sang mục tiêu tiếp theo.
Zhou và Freeman xác định bốn việc một hệ thống AI phải làm để tự sao chép: tìm mục tiêu, giành quyền truy cập, khởi chạy quá trình suy luận và chuyển sang máy tiếp theo. Các chuẩn đánh giá CyberGym và ExploitBench cho thấy mô hình nhỏ đã xử lý được một phần công việc khai thác lỗ hổng.
Trong thử nghiệm của Anthropic, Qwen3.5-9B triển khai thành công máy chủ suy luận Llama3.1-8B trên 8 trong 9 loại phần cứng. Các thiết bị được thử gồm Jetson Nano, máy Mac và máy dùng RTX 4090. GLM-5.2 lớn hơn hoàn thành cùng nhiệm vụ ổn định hơn và đạt thông lượng cao hơn.
Thử nghiệm trên tám nút Android
Nhóm nghiên cứu tiếp tục dựng một môi trường Google Cloud có tường lửa. Môi trường này gồm 8 nút chạy trình giả lập Android. Từ một bản sâu duy nhất, hệ thống phải tiếp cận các nút còn lại. Sau đó, nó thiết lập một máy chủ suy luận hoạt động được trên từng nút. Hệ thống chỉ tạo bản sao mới khi máy chủ vượt qua kiểm tra tính chính xác và chống gian lận.
Theo kết quả của Anthropic, GLM-5.2 tiếp cận đủ 8 nút trong 4 trên 5 lần thử và đạt 7 nút ở lần còn lại. Mô hình này phải chạy trên một máy chủ suy luận riêng vì các máy mục tiêu không đủ sức chứa nó. Sâu cài một mô hình 8B nhỏ hơn lên các nút, còn nhóm nghiên cứu chủ động để mở cổng Android Debug Bridge không yêu cầu xác thực nhằm đơn giản hóa bước khai thác.
Khoảng cách giữa năng lực mô hình và giới hạn phần cứng cũng là vấn đề cốt lõi của hạ tầng AI và cách vận hành. Khả năng chạy mô hình phụ thuộc vào năng lực tính toán, bộ nhớ, phần mềm và cách phân phối tải.
Những bản sao biết đọc ghi chú
Các tác tử thiết lập suy luận trên phần cứng lạ thành công hơn khi được đọc ghi chú từ những lần thử trước. Cơ chế này chuyển kinh nghiệm giữa các thế hệ tác tử mà không cần huấn luyện lại mô hình, giúp những bản sao sau xử lý các lỗi cài đặt chưa từng gặp.
Anthropic cho Qwen3.5-9B chạy qua 20 dòng phát triển riêng biệt, mỗi dòng kéo dài 6 thế hệ. Theo nghiên cứu của Anthropic, tỷ lệ thành công tăng từ 45% ở thế hệ đầu lên khoảng 61% đến 84% trong các thế hệ sau.
Zhou và Freeman gọi cơ chế này là “kế thừa kiểu Lamarck”. Một tác tử chuyển điều đã học được cho tác tử tiếp theo mà không cần huấn luyện lại mô hình. Trong thí nghiệm, phần ghi nhớ giúp các bản sao kế tiếp xử lý lỗi cài đặt trên những thiết bị chúng chưa từng gặp.
Nhóm nghiên cứu cũng cho Qwen3.5-9B tiếp cận Opus 4.8 mạnh hơn để xin tư vấn. Kết quả không tạo ra cải thiện có ý nghĩa thống kê vì mô hình nhỏ thường không biết nên đặt câu hỏi nào. Năng lực của mô hình tư vấn chưa đủ nếu tác tử thực hiện nhiệm vụ không thể nhận ra vấn đề cần hỏi.
Đường xu hướng đến cuối năm 2026
Khoảng cách giữa năng lực và kích thước mô hình
AI tự sao chép cần đủ mạnh để hoàn thành quy trình. Mô hình cũng phải đủ nhỏ để chạy trên thiết bị bị xâm nhập. Theo nghiên cứu của Anthropic, hai điều kiện này chưa giao nhau. Đường xu hướng do nhóm công bố cho thấy khoảng cách có thể thu hẹp vào cuối năm 2026.
GLM-5.2 thể hiện năng lực cần thiết trong thử nghiệm đã được đơn giản hóa, nhưng quá lớn đối với các thiết bị giá rẻ mà nhóm hướng tới. Những mô hình nhỏ hơn có thể chạy trên các thiết bị đó, nhất là khi suy luận được phân tán qua nhiều máy, nhưng chưa hoàn thành toàn bộ quy trình một cách nhất quán.
Dự báo từ Chỉ số Năng lực Epoch
Zhou và Freeman dùng Chỉ số Năng lực Epoch để theo dõi các mô hình trọng số mở có không quá 30 tỷ tham số.
Đây là ước tính gần đúng. Điểm năng lực tổng quát không nhất thiết dự báo chính xác khả năng tự sao chép, còn thí nghiệm đầu cuối của Anthropic được thực hiện trong điều kiện thuận lợi.
Theo tính toán của nhóm nghiên cứu, các TV box phổ biến có 4 GB bộ nhớ và chạy trọng số 4 bit có thể chứa một mô hình 9B trên ít nhất 4 thiết bị. Một mô hình 26B cần ít nhất 10 thiết bị. Cụm 15 TV box của nhóm đã dùng cách này để chạy Gemma4-26B-A4B.
Anthropic ước tính một lần thiết lập suy luận trên loại phần cứng này có thể mất khoảng 28 đến 150 giờ, tùy mô hình. Một tác tử nhẹ có thể kiên trì thực hiện công việc đó trên số lượng thiết bị rất lớn lâu hơn con người. Nhóm nghiên cứu ví khả năng lan truyền chậm qua bất kỳ tài nguyên nào tiếp cận được với một loại “nấm nhầy kỹ thuật số”.
Thiết bị giá rẻ và năng lực tính toán đi mượn
Một mạng lưới gồm hàng triệu TV box bị xâm nhập không tạo ra sức mạnh tương đương trung tâm dữ liệu lớn. Rủi ro nằm ở khả năng khai thác phần cứng, điện năng và kết nối mạng của chủ thiết bị để duy trì nhiều bản sao mô hình với chi phí trực tiếp thấp cho người điều khiển.
Botnet Kimwolf từng lây nhiễm hơn 2 triệu thiết bị, phần lớn là TV box Android giá rẻ. Anthropic dùng quy mô này để ước tính một hệ thống AI tự sao chép có thể làm gì nếu kiểm soát một mạng lưới tương đương.
Theo phép tính của nhóm, chia hơn 2 triệu thiết bị thành các cụm 15 máy chạy Gemma4-26B-A4B sẽ tạo ra khoảng 133.000 bản sao mô hình. Tổng thông lượng đạt khoảng 80.000 token mỗi giây, tương đương không quá khoảng 40 GPU Nvidia H100.
So với một trung tâm dữ liệu, mức tính toán đó không lớn. Phần cứng, điện năng và chi phí vận hành do chủ sở hữu thiết bị gánh chịu, không phải người điều khiển mạng lưới.
Nhóm nghiên cứu còn xem xét các bộ tăng tốc biên như Nvidia Jetson, loại phần cứng xuất hiện trong camera an ninh, thiết bị phòng họp, robot và thiết bị bay không người lái. Các thiết bị này thường khó tiếp cận hơn vì chúng liên lạc với hệ thống quản lý đám mây thông qua kết nối đi ra ngoài.
Ngăn phần mềm tự sao chép bằng cách nào
AI tự sao chép có thể bị phát hiện qua lưu lượng mạng và dấu hiệu lây nhiễm trên thiết bị. Việc chuyển mô hình nhiều gigabyte tạo ra hoạt động mà nhà cung cấp dịch vụ internet có thể theo dõi, còn biện pháp cách ly thuê bao nhiễm mã độc từng loại bỏ phần lớn ca lây nhiễm Mirai trong một nghiên cứu thực địa.
Theo nghiên cứu về quá trình xử lý botnet Mirai, một nhà cung cấp dịch vụ internet đã loại bỏ 92% ca lây nhiễm trong vòng 14 ngày bằng cách cách ly thuê bao nhiễm mã độc. Các nhà nghiên cứu Anthropic cho rằng biện pháp tương tự có thể là tuyến phòng thủ đầu tiên trước một hệ thống AI tự sao chép.
Xóa sạch hệ thống như vậy sẽ khó hơn vì việc đó đòi hỏi phối hợp giữa mọi nhà cung cấp dịch vụ internet có khách hàng bị nhiễm. Bài toán cũng liên quan trực tiếp đến câu hỏi AI nên được trao bao nhiêu quyền trong hoạt động an ninh. Mỗi quyền truy cập và mỗi cổng quản trị để mở đều có thể trở thành mắt xích cho quá trình lan truyền.
Thí nghiệm trên 15 TV box chưa tạo ra một sâu AI ngoài đời thực. Rủi ro xuất hiện khi ba yếu tố tiến gần nhau: mô hình nhỏ ngày càng mạnh, phần cứng kết nối mạng có mặt ở nhiều nơi và tác tử có thể kiên trì thực hiện một nhiệm vụ trong hàng chục hoặc hàng trăm giờ.
Hãy tiếp tục theo dõi Sine để cập nhật những thử nghiệm an toàn AI có thể sớm tác động đến các thiết bị đang kết nối quanh chúng ta.
