Małe modele AI mogą napędzać autonomiczne botnety. Anthropic ostrzega przed nowym zagrożeniem
Anthropic opublikował analizę, w której ostrzega przed możliwością powstania nowej generacji złośliwego oprogramowania. Niewielkie modele językowe mogą w przyszłości pomagać w tworzeniu tzw. robaków AI programów zdolnych do samodzielnego rozprzestrzeniania się między urządzeniami podłączonymi do internetu.
Potencjalnym celem mogą być tanie przystawki Android TV, urządzenia inteligentnego domu i inne słabo zabezpieczone elementy infrastruktury IoT. Przejęte urządzenia mogłyby zostać połączone w rozproszoną sieć obliczeniową, wykorzystywaną bez wiedzy właścicieli.
Nie oznacza to jednak, że takie w pełni autonomiczne zagrożenie już działa w internecie. Eksperymenty Anthropic pokazały przede wszystkim, że modele AI potrafią wykonywać coraz więcej pojedynczych czynności potrzebnych do przeprowadzenia takiego ataku. Pełnego, niezawodnego procesu samodzielnego rozprzestrzeniania nie udało się wykazać w testach opisanych przez firmę.
Źródło: The Hacker News Anthropic Warns Small AI Models Could Soon Form Self-Propagating IoT Botnets.
Czym jest robak AI?
Robak komputerowy to rodzaj złośliwego oprogramowania, które potrafi rozprzestrzeniać się między urządzeniami bez konieczności ręcznego instalowania go przez użytkownika na każdym kolejnym komputerze.
Tradycyjne robaki zazwyczaj wykorzystują znane luki w zabezpieczeniach, słabe hasła lub błędną konfigurację usług. Ich możliwości są w dużej mierze ograniczone przez sposób, w jaki zostały zaprogramowane.
W przypadku robaka wspieranego przez AI część zadań mogłaby być realizowana przez model językowy. Taki model mógłby pomagać w analizie nieznanego środowiska, dopasowywaniu działań do urządzenia i rozwiązywaniu problemów napotykanych podczas kolejnych etapów operacji.
W opisywanym scenariuszu zagrożeniem nie jest samo istnienie modelu językowego, lecz połączenie jego zdolności do podejmowania decyzji z dostępem do narzędzi, podatnych urządzeń i uprawnień umożliwiających wykonywanie działań w systemie.
Dlaczego małe modele są istotne?
Najbardziej zaawansowane modele AI wymagają znacznych zasobów obliczeniowych. Mniejsze modele można uruchamiać na znacznie skromniejszym sprzęcie, co otwiera nowe możliwości zarówno dla legalnych zastosowań, jak i dla potencjalnych atakujących.
W praktyce znaczenie mają trzy czynniki:
Niższe wymagania sprzętowe. Skompresowane lub skwantyzowane modele mogą działać na urządzeniach z ograniczoną pamięcią.
Możliwość rozproszenia obliczeń. W określonych konfiguracjach zadanie można podzielić między kilka urządzeń, zamiast wykonywać je w jednym dużym serwerze.
Elastyczność działania. Model może pomagać dostosować sposób pracy do różnych środowisk, zamiast polegać wyłącznie na jednym, sztywno zaprogramowanym scenariuszu.
To właśnie połączenie niewielkich wymagań sprzętowych i możliwości automatyzacji poszczególnych czynności budzi zainteresowanie badaczy cyberbezpieczeństwa.
Co wykazały eksperymenty Anthropic?
Anthropic przeprowadził testy obejmujące 11 modeli z otwartymi wagami pochodzących od różnych dostawców. Badacze sprawdzali, czy modele mogą pomóc w realizacji kolejnych etapów procesu obejmującego działanie na urządzeniach testowych i uruchamianie modeli na dostępnych zasobach.
W opisie eksperymentów wskazano między innymi, że:
modele potrafiły realizować wiele pojedynczych zadań składających się na taki proces;
w testowym środowisku Androida część modeli była w stanie skonfigurować uruchamianie innych modeli na różnych typach sprzętu;
w jednym z testów GLM-5.2 jako jedyny z badanych modeli niezawodnie przeprowadzał opisany proces propagacji modelu Llama 3.1 8B do wszystkich ośmiu węzłów w czterech z pięciu prób;
badacze nie wykazali jednak pełnego, niezawodnego samodzielnego rozprzestrzeniania się robaka od wykrycia celu aż po kolejne udane infekcje.
Warto zwrócić uwagę na ostatni punkt. Możliwość wykonania kilku etapów ataku nie oznacza jeszcze, że system potrafi samodzielnie przeprowadzić cały proces w rzeczywistym, zróżnicowanym środowisku internetowym.
Eksperymenty przeprowadzono w kontrolowanych warunkach. Nie stanowią dowodu na istnienie działającej, masowej sieci autonomicznych robaków AI.
Jak taki botnet mógłby wykorzystywać przejęte urządzenia?
Botnet to sieć urządzeń kontrolowanych przez osobę trzecią bez wiedzy ich właścicieli. Zależnie od celu może służyć do przeciążania usług, automatyzowania działań, pośredniczenia w ruchu sieciowym lub wykonywania obliczeń.
W scenariuszu opisanym przez Anthropic przejęte urządzenia IoT mogłyby dostarczać zasoby do uruchamiania modeli AI. Każde urządzenie miałoby ograniczoną moc, ale duża liczba połączonych urządzeń mogłaby utworzyć rozproszoną infrastrukturę obliczeniową.
Możliwe konsekwencje takiego scenariusza obejmują:
nieautoryzowane wykorzystanie procesora i pamięci urządzeń;
zwiększone zużycie energii i obciążenie sprzętu;
pogorszenie wydajności lub niestabilność działania urządzeń;
wykorzystanie przejętej infrastruktury do dalszych działań przestępczych;
trudniejsze wykrywanie i likwidowanie sieci, jeśli nie zależy ona od jednego centralnego serwera.
Nie należy jednak zakładać, że dowolna liczba tanich urządzeń automatycznie zapewni wysoką wydajność. Znaczenie mają przepustowość sieci, pamięć, kompatybilność sprzętu, opóźnienia i narzut związany z koordynacją.
Dlaczego takie zagrożenie może być trudniejsze do zatrzymania?
Wiele tradycyjnych botnetów korzysta z serwerów lub innych elementów infrastruktury, które mogą zostać zidentyfikowane i wyłączone. Rozproszona sieć nie musi mieć jednego punktu, którego usunięcie natychmiast zatrzymałoby wszystkie urządzenia.
Jeśli złośliwe oprogramowanie potrafiłoby dostosowywać swoje działanie do różnych środowisk, jego wykrywanie i usuwanie mogłoby być bardziej złożone. W teorii model mógłby również pomagać w wyborze alternatywnych działań po niepowodzeniu poprzedniej próby.
Są to jednak potencjalne możliwości, a nie potwierdzenie, że dzisiejsze modele potrafią niezawodnie obchodzić zabezpieczenia, bronić całej sieci przed likwidacją lub samodzielnie utrzymywać rozbudowany botnet.
Czy zagrożenie jest już realne?
Najważniejszym wnioskiem z raportu jest to, że poszczególne elementy takiego scenariusza stają się coraz bardziej wykonalne. Nie oznacza to jednak, że pełna automatyzacja ataku została osiągnięta.
Eksperci cytowani przez Reuters zwracają uwagę na potrzebę zachowania proporcji. Ciaran Martin, były szef brytyjskiego National Cyber Security Centre, oceniał przedstawiony scenariusz sceptycznie, wskazując na ryzyko wyolbrzymienia znaczenia wyników. Inni badacze podkreślali natomiast, że rozprzestrzenianie się złośliwego oprogramowania przy ograniczonej zależności od centralnej infrastruktury jest wiarygodnym zagadnieniem do dalszych badań.
Rozsądne podejście polega więc na jednoczesnym traktowaniu tematu poważnie i oddzielaniu eksperymentalnych możliwości od potwierdzonych incydentów.
Jak zabezpieczyć urządzenia i własną infrastrukturę?
Nie trzeba czekać na pojawienie się robaków AI, aby poprawić bezpieczeństwo. Większość podstawowych zabezpieczeń ogranicza również ryzyko tradycyjnych ataków na urządzenia IoT i serwery.
1. Zmień domyślne hasła
Urządzenia z fabrycznymi lub łatwymi do odgadnięcia hasłami są łatwiejszym celem. Korzystaj z unikalnych haseł i wyłączaj niepotrzebne konta.
2. Aktualizuj firmware
Instaluj poprawki producenta routera, przystawek TV, kamer i innych urządzeń sieciowych. Sprzęt, który nie otrzymuje już aktualizacji bezpieczeństwa, warto rozważyć do wymiany lub odizolowania od sieci.
3. Wyłącz niepotrzebne usługi
Interfejsy diagnostyczne i debugowania nie powinny być publicznie dostępne. Szczególnie ważne jest, aby nie wystawiać niezabezpieczonego Android Debug Bridge (ADB) do internetu ani do niezaufanych sieci.
4. Oddziel IoT od ważnych urządzeń
Jeżeli router oferuje sieć dla urządzeń IoT lub VLAN-y, wykorzystaj je do ograniczenia komunikacji między urządzeniami inteligentnego domu a komputerami, serwerami i systemami przechowującymi ważne dane.
5. Ogranicz dostęp wychodzący
Urządzenie IoT nie powinno mieć nieograniczonego dostępu do wszystkich usług w internecie, jeśli nie jest to potrzebne do jego działania. Tam, gdzie to możliwe, ogranicz połączenia do wymaganych usług i obserwuj nietypowy ruch.
6. Chroń klucze API i serwery
Przechowuj klucze API w bezpiecznym miejscu, ograniczaj ich uprawnienia i ustawiaj limity wykorzystania. Na serwerach regularnie aktualizuj system, monitoruj procesy i zużycie zasobów oraz kontroluj dostęp do usług.
7. Monitoruj nietypowe zachowanie
Nagły wzrost obciążenia procesora, nieoczekiwany ruch sieciowy, nieznane procesy lub próby połączeń z nietypowymi adresami mogą wskazywać na problem. Pojedynczy sygnał nie przesądza o infekcji, ale warto go zbadać.
Co to oznacza dla osób korzystających z lokalnego AI?
Samo pobranie i uruchomienie lokalnego modelu językowego nie powoduje, że komputer staje się częścią botnetu. Ryzyko wzrasta wtedy, gdy model lub powiązany z nim agent otrzymuje niebezpieczne uprawnienia, dostęp do narzędzi systemowych albo działa w źle zabezpieczonym środowisku.
Podczas eksperymentów z lokalnym AI warto:
uruchamiać nieznane narzędzia w odizolowanym środowisku;
nie nadawać im uprawnień administratora bez konkretnej potrzeby;
ograniczać dostęp do plików, sieci i poleceń systemowych;
nie wystawiać serwerów modeli publicznie bez odpowiednich zabezpieczeń;
sprawdzać źródło pobieranych modeli i narzędzi.
To szczególnie istotne, gdy model jest połączony z agentem, który potrafi wykonywać działania w systemie, zamiast jedynie generować tekst.
Podsumowanie
Raport Anthropic zwraca uwagę na potencjalnie istotny kierunek rozwoju cyberzagrożeń: modele AI mogą coraz skuteczniej wspierać automatyzację czynności, które wcześniej wymagały większego udziału człowieka.
Dla administratorów i użytkowników oznacza to przede wszystkim potrzebę dbania o aktualizacje, ograniczania uprawnień, segmentacji sieci oraz monitorowania urządzeń. Te działania są przydatne niezależnie od tego, jak szybko będą rozwijać się możliwości AI.