Khi nói đến chuyện AI “tự nhân bản”, người ta thường hình dung một model hàng đầu lén chép trọng số (weights) của mình ra khỏi trung tâm dữ liệu. Thứ Hai, 12/10/2026, nhóm Frontier Red Team (nhóm thử nghiệm tấn công) của Anthropic đăng một bài nghiên cứu cho rằng phiên bản gần hơn của mối nguy trông khác hẳn: một model open-weight cỡ nhỏ, chạy trên các thiết bị tiêu dùng bị chiếm quyền, tự chép mình từ máy rẻ tiền này sang máy rẻ tiền khác. Bài viết của hai nhà nghiên cứu William Zhou và Daniel Freeman kết luận rằng điều này chưa xảy ra, nhưng khoảng cách còn lại khá hẹp và có thể được lấp trước cuối năm 2026.
Báo chí sau đó (CBS News, Fox News, Ynet…) dùng những cụm từ như “sâu AI” hay “chỉ vài tháng nữa”. Bản gốc thận trọng hơn nhiều so với các tiêu đề đó, và rất đáng đọc với dân kỹ thuật: những gì nó mô tả chính là công việc mà các coding agent vẫn làm hằng ngày, chỉ có điều được đặt vào một mục tiêu mang tính tấn công.
Anthropic đã thử nghiệm những gì
Nhóm nghiên cứu chia việc “nhân bản” thành các bước: tìm thiết bị có thể truy cập, chiếm quyền vào được, nhận diện phần cứng và hệ điều hành, dựng được hệ thống inference (chạy suy luận model) trên đó, chép trọng số sang, rồi khởi động bản sao tiếp theo của agent. Sau đó họ thử các model open-weight trên từng bước và trên toàn chuỗi.
1. Dựng inference trên phần cứng lạ. Các model được giao nhiệm vụ chạy Llama 3.1 8B trên nhiều loại máy, từ bo mạch NVIDIA Jetson Nano tới máy Mac và PC gắn RTX 4090. Theo bài viết, “một model 9B đã chạy được inference trên 8/9 loại phần cứng được thử”. Model nhỏ như Qwen3.5-9B làm được; model mạnh hơn như GLM-5.2 thì nhanh và ổn định hơn. Mọi lần chạy đều dùng Memento, bộ khung (harness) nội bộ xây trên coding agent mã nguồn mở Pi. Memento khởi động lại agent khi bị kẹt, kèm ghi chú từ các lần thử trước, để agent khỏi cứ bám mãi một hướng sai.
2. Chạy thử trên phần cứng “đồ chợ”. Để minh hoạ, nhóm chia model Gemma4-26B-A4B ra 15 chiếc TV box Android không thương hiệu, mỗi chiếc khoảng 55 USD với 4 GB RAM, theo kiểu pipeline parallelism (mỗi máy giữ vài lớp của model). Hệ thống chạy được, với tốc độ khoảng 0,39 token mỗi giây. Quá chậm để làm chatbot, nhưng một con “sâu” thì không cần nhanh.
3. Nhân bản trọn vòng trên mạng giả lập. Nhóm dựng một mạng đám mây có tường lửa gồm 8 node chạy trình giả lập Android 15 (redroid), để hở cổng ADB không cần xác thực. Đây là lối vào cố tình làm cho dễ, nên tác giả coi kết quả là giới hạn trên. Chỉ duy nhất GLM-5.2 hoàn thành ổn định cả chuỗi: chiếm đủ 8/8 node trong 4/5 lần thử, lần thứ năm được 7/8. Các model open-weight khác đều thất bại. Khi bước khó nhất, tức dựng inference, được thay bằng một script viết sẵn, thì nhiều model nhỏ hơn làm nốt được phần còn lại. Trên mạng 17 node gồm hai subnet nối qua một máy trung gian, ngay cả model 3B cũng lan tới khoảng nửa số node khi bỏ qua bước khai thác lỗ hổng và bước dựng inference.
Con số đằng sau mốc “cuối năm 2026”
Mốc thời gian này đến từ một đường xu hướng, không phải từ quan sát thực tế. Tác giả chấm điểm các model từ 30 tỷ tham số trở xuống theo chỉ số Epoch Capabilities Index và thấy điểm tăng khoảng 13,7 mỗi năm (R² 0,95). Nếu GLM-5.2 là ngưỡng năng lực tối thiểu cho nhân bản trọn vòng, thì một model đủ nhỏ để chạy trên thiết bị tiêu dùng sẽ chạm ngưỡng đó vào cuối 2026. Chính tác giả nói rõ chỉ số này chỉ phản ánh rất thô kỹ năng cụ thể đang bàn.
Họ cũng thử ước lượng quy mô. Lấy botnet Kimwolf làm mốc (hãng bảo mật QiAnXin XLab đếm được khoảng 1,8 triệu TV box Android bị nhiễm hồi tháng 12/2025), họ ước tính có thể có khoảng 133.000 bản sao model, tổng cộng sinh ra chừng 80.000 token/giây, tương đương sức inference của khoảng 40 GPU H100. Mỗi lần nhân bản một model 9B mất hơn một đến hai ngày. Với Gemma4-26B-A4B trên loại phần cứng đó, chỉ riêng việc xử lý một cửa sổ ngữ cảnh 32k token đã mất 27–32 giờ, còn dựng xong inference mất 71–150 giờ. Tức là nếu có bùng phát thì nó cũng lan chậm, số lượng nhân đôi sau vài ngày.
Có thêm hai phát hiện đáng chú ý. Thứ nhất, con “sâu” có thể học qua các thế hệ: tỷ lệ dựng inference thành công của Qwen3.5-9B tăng từ 45% ở thế hệ đầu lên 61–84% ở các thế hệ sau, nhờ mỗi bản sao thừa hưởng ghi chú của bản trước. Thứ hai, cho model nhỏ hỏi ý kiến một model hàng đầu (Claude Opus 4.8) gần như không giúp gì, chủ yếu vì model nhỏ không biết đặt câu hỏi cho đúng. Tác giả đoán rằng một model lớn chỉ huy nhiều subagent nhỏ sẽ phối hợp tốt hơn. Về lừa đảo có chủ đích (spearphishing), các model nhỏ chỉ đạt mức “rất kém” đến “kém”.
Khác gì botnet truyền thống
Mirai hay Kimwolf là mã độc thông thường: mỗi loại nhắm vào một dòng thiết bị cụ thể với lỗ hổng và payload cố định. Một con “sâu” dựa trên model thì về lý thuyết có thể tự đọc hệ thống lạ, đoán ra nó là gì rồi thích nghi, giống cách coding agent tự tìm hiểu một repository mới. Đó là cốt lõi lập luận của Anthropic: “trí thông minh” giúp nó xử lý được cả phần cứng mà chưa kẻ tấn công nào viết mã cho, và khi đã rải trên hàng triệu thiết bị phân tán thì không còn một trung tâm dữ liệu hay một API key nào để tắt.
Phần phụ lục nêu một điểm ít ồn ào hơn nhưng có thể quan trọng hơn về lâu dài: phần cứng AI biên (edge) đang mạnh lên nhanh. Tác giả dẫn ví dụ Jetson AGX Orin 64GB chạy Qwen3-30B-A3B ở 76,7 token/giây, và ước tính khoảng 9,5 triệu bộ tăng tốc edge đang được dùng ngoài thực tế cộng lại tương đương 9.000–35.000 GPU H100. Họ nhấn mạnh chỉ một phần nhỏ trong số đó truy cập được và có lỗ hổng, và bản thân các chip này không phải là lỗ hổng.
Những lý do để dè dặt
- Bước khó nhất đã bị làm cho dễ. Cổng ADB mở toang không cần xác thực là lỗ hổng mà hacker thật vẫn khai thác, nhưng thí nghiệm gần như không nói gì về khả năng xâm nhập thiết bị đã vá lỗi hoặc cấu hình đúng.
- Một model, một mạng giả lập. Nhân bản trọn vòng mới được chứng minh bởi đúng một model cỡ trung trong phòng thí nghiệm đám mây, chưa phải trên thiết bị tiêu dùng thật ngoài đời. Chưa ai ghi nhận một con sâu AI tự hành nào.
- Ngoại suy. Mốc “cuối 2026” dựa vào một chỉ số năng lực chung để đoán một kỹ năng rất hẹp. Có thể sớm hơn, cũng có thể muộn hơn.
- Lợi ích riêng. Đến nay báo chí chỉ trích dẫn Anthropic. Một phòng lab hàng đầu cảnh báo rằng model open-weight cỡ nhỏ nguy hiểm thì cũng khớp với lập trường chính sách của họ, nên rất cần các nhóm độc lập lặp lại thí nghiệm.
Ý nghĩa với ngành IT
Với lập trình viên và đội vận hành, các bài học không mới, chỉ là gấp hơn. Nhà sản xuất thiết bị cần mặc định an toàn: không để hở cổng debug, không dùng mật khẩu mặc định (Anh đã coi mật khẩu IoT mặc định là vi phạm quy định), và cập nhật phải có chữ ký số. Nhà mạng có thể theo dõi đúng dấu vết mà loại mối nguy này khó che giấu: những lần truyền trọng số nặng nhiều gigabyte và lưu lượng kéo dài giữa các thiết bị với nhau. Bài viết dẫn lại thời Mirai: nhà mạng cách ly thiết bị và báo cho khách hàng thì 92% ca nhiễm được xử lý trong 14 ngày, so với 74% nếu không báo. Honeypot (thiết bị mồi) cũng có thể bắt được harness và trọng số của con sâu để phân tích.
Điểm rút ra rộng hơn là biến số cần theo dõi giờ là năng lực agent, chứ không phải kích thước model. Kỹ năng được đo ở đây, tức là đáp xuống một máy lạ và làm cho phần mềm chạy được, cũng chính là thứ ta vẫn khen ở các coding agent. Như cách Anthropic đặt vấn đề: cần gia cố hệ thống ngay từ bây giờ, đồng thời chuẩn bị cho một thế giới mà một số agent cứ thế chạy tiếp ngoài tầm kiểm soát của bất kỳ ai.
Nguồn
- Anthropic Frontier Red Team — AI models may be capable of self-replicating without access to a datacenter
- CBS News — “AI worms” may soon be able to self-replicate and infect smart devices, Anthropic says
- Ynet News — Self-replicating AI could spread through smart TVs and ovens within months, Anthropic warns
- Fox News — Anthropic warns self-replicating AI could spread across home devices
- The Hacker News — Kimwolf botnet hijacks 1.8 million Android TVs