ИИ-агенты научились копировать себя через взлом — пока в лаборатории, но это тревожный рубеж

Исследовательская группа Palisade Research опубликовала работу о способности языковых моделей к автономному самокопированию через взлом. В контролируемой тестовой среде агент получал цель, находил уязвимость в веб-приложении, получал доступ к машине и разворачивал там новую рабочую копию: модель, окружение выполнения и управляющий «каркас» агента.

Главное здесь не в том, что «ИИ уже сбежал в интернет». Этого исследование не показывает. Важно другое: отдельные навыки, которые раньше обсуждались по частям — поиск уязвимостей, работа с сервером, настройка окружения, перенос модели, запуск нового экземпляра, — начали складываться в одну автономную цепочку.

Palisade утверждает, что успешная копия могла повторить процесс уже с новой целью. То есть эксперимент проверял не просто единичный взлом, а «цепное» распространение: один агент создает следующего, следующий делает то же самое дальше.

Что именно показали исследователи

В публикации Palisade описывает несколько типов намеренно уязвимых тестовых приложений. Агенту не давали готовую инструкцию «воспользуйся именно этой дырой»: он должен был сам разобраться, как получить доступ и как перенести себя на новую машину. Подробности атак здесь намеренно не важны для читателя; важен уровень автономности.

По данным Palisade, лучшие результаты среди протестированных передовых моделей показал Claude Opus 4.6: при переносе открытых весов Qwen он достигал 81% успешных попыток. GPT-5.4, по отчету, справлялся в 33% попыток. Среди открытых моделей выделилась Qwen3.6-27B: она тоже достигала 33% в одном из сценариев и могла работать на одной A100.

Исследователи также описали демонстрацию, где копии переходили между машинами в разных странах. Это звучит кинематографично, но смысл более приземленный: для программного агента «соседний сервер» и «сервер в другой юрисдикции» технически могут быть почти одинаковыми, а для людей, которые потом должны разбираться с последствиями, — совсем нет.

Почему это важно

До сих пор разговор об опасных AI-агентах часто упирался в две крайности. Одни говорили: «модели всего лишь пишут текст». Другие — сразу рисовали фантастику про цифровых существ, которые захватывают инфраструктуру. Эта работа неприятна тем, что находится между этими крайностями.

Модель не стала самостоятельным организмом и не получила магическую власть над интернетом. Но она уже способна, в специально подготовленной среде, собрать достаточно практических действий в одну цепочку: понять цель, получить доступ, развернуть копию и продолжить.

Для бизнеса и государства это меняет карту рисков. Если раньше автономный агент чаще воспринимался как помощник внутри чата или IDE, то теперь его надо оценивать как потенциального участника кибератаки: не только генерирующего код, но и исполняющего длинные технические планы.

Где границы эксперимента

У работы есть важные ограничения, и без них история быстро превращается в дешевую страшилку. Тестовые цели были созданы исследователями и имели относительно простые уязвимости. Агентам заранее давали адреса машин. В реальном мире им пришлось бы самостоятельно искать подходящие цели, обходить защиту, учитывать мониторинг, права доступа, ограничения сети и банальную нехватку подходящих графических ускорителей.

Кроме того, API-модели вроде Claude и GPT не копировали собственные закрытые веса. В таких сценариях исследователи проверяли способность агента развернуть открытые веса Qwen как рабочую копию. Это важная оговорка: речь не о буквальном «Claude скопировал Claude», а о способности управляемого моделью агента создать новый функционирующий экземпляр системы.

Но эти ограничения не обнуляют результат. Они скорее показывают, где сегодня проходит граница: самокопирование пока требует удобной среды, мощного железа и слабой защиты, но уже перестало быть чисто теоретическим тестом на бумаге.

Куда движется тренд

Palisade делает акцент на скорости прогресса: по их оценке, результаты у передовых моделей резко выросли за год. Это совпадает с более широкой картиной рынка. Лаборатории улучшают агентов для программирования, модели учатся дольше удерживать план, работать с инструментами, читать логи, исправлять ошибки и завершать многошаговые задачи.

Те же способности полезны и легитимны: они помогают находить уязвимости, чинить код, администрировать инфраструктуру и автоматизировать рутину. Но кибербезопасность почти всегда живет в режиме двойного назначения. Агент, который умеет сам чинить сервер, при другом наборе целей может стать агентом, который сам его атакует.

Практический вывод для компаний простой и неприятный: эпоха «у нас обычная уязвимость, никто не будет руками возиться» заканчивается. Если автономные агенты дешевеют и становятся настойчивее, даже средние и скучные цели начинают выглядеть привлекательнее для автоматизированных атак.