Kleine AI-modellen zijn mogelijk maanden verwijderd van zichzelf kopiëren naar gewone apparaten

Anthropic heeft geen worm gevonden die al los op het internet zit. William Zhou en Daniel Freeman beschrijven laboratoriumproeven. Ze knippen replicatie in vier stappen: een doelwit vinden, het programma daar aan de praat krijgen, het model starten, en opnieuw springen. De inbraak zelf laten ze grotendeels liggen. Eerder werk, dat ik niet gelezen heb, testte kleine modellen al op gaten in software. Hun eigen vraag was het minder gemeten stuk: kan een klein model een model aan de praat krijgen op een machine die het niet kent.

Op die smallere proef zette Qwen3.5-9B een inferenceserver op, de software waarmee een model antwoordt, op 8 van de 9 soorten hardware die ze probeerden, van een klein Nvidia-bord tot een Mac en een spelcomputer. De chips worden genoemd zodat het resultaat na te gaan is. Anthropic zegt dat de chips zelf het risico niet zijn. De hele cyclus, een machine vinden, de lading overzetten en het model starten, lukte alleen betrouwbaar bij een sterker open model, GLM-5.2. In een afgesloten testnetwerk van acht Android-emulatoren haalde het alle acht in vier van de vijf runs, en zeven in de vijfde. Bij de andere modellen mislukte die hele cyclus stelselmatig. De deur stond met opzet open: een beheerpoort zonder wachtwoord. Anthropic noemt de uitkomst een bovengrens. GLM-5.2 zelf draaide niet op die kleine machines. Het draaide op een andere server. De proef vraagt of een klein model met diezelfde vaardigheid zichzelf zou kunnen meenemen. Dat is niet aangetoond.

Die twee grenzen raken elkaar nog niet. GLM-5.2 zit boven de vaardigheid die ze maten. Qwen3.5-9B en een groter demomodel, Gemma4-26B-A4B, zijn klein genoeg voor de goedkope tv-boxen die ze kochten, ongeveer 55 dollar per stuk, met 4 gigabyte geheugen. Een model van 9 miljard heeft vier of meer van die dozen nodig. De demo van 26 miljard draaide verspreid over 15 dozen, met 0,39 token per seconde. Een token is een klein stukje tekst. Volgens hun meting duurt het opzetten van het 9-miljardmodel voor de volgende sprong een tot twee dagen. Ze trekken een lijn door open modellen van deze grootte, 13,7 punten per jaar op een algemene capaciteitsindex, en die lijn legt een klein model eind 2026 op het niveau van GLM-5.2. De index is volgens hen alleen een benadering, en de datum een ruwe schatting.

Een kopie kan beter worden zonder dat een mens haar herschrijft. Elke run van Qwen3.5-9B liet korte notities achter, en de volgende kopie erfde die. Het aandeel geslaagde installaties steeg van 45 procent in de eerste generatie naar 61 tot 84 procent daarna. Het kleine model advies geven van een veel sterker model, Opus 4.8, hielp niet meetbaar. Anthropic sluit zelf af met tekenen van leven, en met de zin dat een volledige loslopende replicator er nog niet is.

Hetzelfde weekend lieten aanvallers de koelingen van Franse supermarkten ontdooien, en haalde Ahold Delhaize systemen offline bij Albert Heijn en Delhaize. Dat stuk staat hier: de supermarktaanvallen. Anthropic noemt slimme koelkasten als machine die een deel van een klein model zou kunnen dragen. De Franse aanval ging over industriële koelsturing, en geen bericht zegt dat een model het deed. De paper is waarom de twee samen gelezen worden. Ze wijst geen aanvaller aan. Een geval waarin iemand wel AI-gereedschap tegen echte organisaties gebruikte, is de Zuid-Koreaanse banken.

Ik heb de blogpost gelezen, ook de bijlagen zoals ze op de pagina staan. De proeven heb ik niet overgedaan, en de eerdere exploitpapers waar Anthropic naar verwijst heb ik niet gelezen, evenmin als de telling van Synthient over het Kimwolf-botnet. De datum eind 2026 is hun lijn door een algemene index, die ze een ruwe benadering noemen. De inbraak in de replicatieproef was met opzet triviaal gemaakt.