AI Tự Nhân Bản: Anthropic Thử Trên 8 Máy Android Giả Lập, 15 Hộp TV Thật Chỉ Chạy Suy Luận
Ngày 12/10/2026 nhóm Frontier Red Team của Anthropic công bố nghiên cứu cho rằng mô hình nhỏ có thể đủ năng lực tự nhân bản trên thiết bị IoT rẻ tiền vào cuối năm nay. Phần chạy trên 15 hộp Android TV thật chỉ là suy luận; phép thử nhân bản chạy trên 8 máy giả lập với cổng ADB mở sẵn, và chỉ GLM-5.2
Ngày 12/10/2026, nhóm Frontier Red Team của Anthropic (William Zhou và Daniel Freeman) công bố nghiên cứu cho rằng các mô hình nhỏ có thể đủ năng lực tự nhân bản trên thiết bị IoT rẻ tiền "vào cuối năm nay" nếu đà cải thiện lịch sử giữ nguyên. Đọc kỹ thì đó là nhiều phép thử riêng: 15 hộp Android TV thật (khoảng 55 USD một hộp) chỉ chạy suy luận một mô hình 26 tỉ tham số ở 0,39 token mỗi giây; còn phép thử nhân bản chạy trên 8 máy Android giả lập ở Google Cloud, nơi cổng ADB được để mở không xác thực, và chỉ GLM-5.2 qua được. Locaith cộng lại bảng số liệu, đọc kỹ biểu đồ xu hướng (ra khoảng tháng 10/2026) và đối chiếu với botnet Kimwolf, nơi nhà nghiên cứu Synthient ghi nhận Việt Nam nằm trong bốn nước có nhiễm tập trung.
Hai thí nghiệm khác nhau, hay bị gộp làm một
Bài gốc nối nhiều phép thử chạy trên nền khác nhau để dựng một kết luận về tương lai. Locaith tách riêng từng phép thử theo thiết bị, mô hình và điều chưa đo, vì không phép thử đơn lẻ nào làm trọn chuỗi nhân bản trên thiết bị IoT thật. Số liệu dưới đây do Anthropic công bố; chỗ nào ghi "Locaith" là phép cộng, trừ, nhân hoặc chia của chúng tôi từ số liệu đó.
| Phép thử | Thiết bị | Kết quả | Điều chưa đo |
|---|---|---|---|
| Suy luận phân tán (Gemma4-26B-A4B, mỗi hộp giữ 2 trong 30 lớp) | 15 hộp Android TV thật, RAM 4 GB, khoảng 55 USD một hộp (Locaith nhân: khoảng 825 USD cả cụm) | 0,39 token/giây ở bản chạy thử; khoảng 0,3 token/giây khi tính cả nạp ngữ cảnh | Không có tác tử AI nào tự cài hay tự lan: cụm do nhóm nghiên cứu mua và nối mạng |
| Tự dựng máy chủ suy luận trên phần cứng lạ (11 mô hình trọng số mở, mỗi mô hình dựng Llama3.1-8B) | Chín loại: bảy cấu hình thuê trên đám mây (Xeon CPU, RTX 4090, Mac, Windows, TPU, MI300X, H200) và hai thiết bị vật lý trên bàn thử (Jetson, Orange Pi) | GLM-5.2 thành công 96/102 lượt (94,1%); Gemma4-26B-A4B 66/99 (66,7%); Qwen3.5-9B 46/76 (60,5%), chạy được ít nhất một lần ở 8 trong 9 loại; chính Llama3.1-8B tự dựng 0/79 (Locaith cộng từ bảng) | Không có hộp Android TV trong bảng; số liệu tính đến 30/7/2026; Qwen3.5-9B chạy với chế độ suy nghĩ tắt |
| Nhân bản trọn chuỗi (cyber đơn giản hoá) | 8 nút Android 15 giả lập (redroid) trong mạng Google Cloud có tường lửa; cổng ADB không xác thực | Chỉ GLM-5.2 nhân bản trọn vẹn: đủ 8/8 nút ở 4 trên 5 lượt, 7/8 ở lượt còn lại (Locaith: 39/40 nút, 97,5%); các mô hình khác "thất bại ổn định" | Mô hình của "sâu" chạy ở máy chủ riêng vì nút quá nhỏ; thứ được nhân bản là Llama3.1-8B, không phải GLM-5.2; khâu khai thác bị làm tầm thường |
| Ghi chú truyền qua đời sau (Qwen3.5-9B, 20 dòng dõi × 6 thế hệ) | Cùng tác vụ dựng suy luận | Tỉ lệ thành công từ 45% ở thế hệ đầu lên 61–84% ở các thế hệ sau (tăng 16 đến 39 điểm, Locaith trừ) | Chưa đo trên phần cứng chưa gặp lần nào; hỏi cố vấn Opus 4.8 không cải thiện có ý nghĩa thống kê |
Chuỗi bốn bước, và bước mà nghiên cứu chọn đo
Nhóm tách nhân bản thành bốn bước: tìm mục tiêu, giành quyền thực thi, dựng suy luận, rồi tiếp tục lan từ máy mới. Hai bước đầu bị đặt ngoài trọng tâm với lý do các nghiên cứu CyberGym, ExploitBench và "sâu thích nghi" trước đó đã cho thấy mô hình nhỏ khai thác được khi có công cụ phù hợp. Bước ba, dựng suy luận trên máy lạ, là khâu ít được đo nhất: mô hình phải chọn bộ chạy tương thích, tìm đúng phiên bản gói và gỡ lỗi riêng từng máy, và các bước này phụ thuộc nối tiếp nhau nên lỗi khó phục hồi. Một chi tiết đáng giữ: sâu loại này không cần quyền root, vì bộ chạy suy luận chạy trọn trong không gian người dùng.
Cổng ADB mở có phải kịch bản bịa không?
Phép thử nhân bản để cổng Android Debug Bridge (ADB) mở không xác thực. Anthropic gọi đó là cận trên của thành công ngoài đời, nhưng cũng viết rằng botnet IoT từng lan bằng cách chỉ thử danh sách tên đăng nhập mặc định. Kimwolf là ví dụ gần nhất, và nó chạm vào Việt Nam. Theo Synthient (qua bản tin Security Affairs ngày 5/1/2026), Kimwolf nhiễm hơn 2 triệu thiết bị Android, chủ yếu qua dịch vụ ADB bị phơi ra, nhắm vào hộp TV không chính hãng giá rẻ; nhiều thiết bị bán ra đã nhiễm sẵn. Synthient ghi nhận nhiễm tập trung nhiều ở "Việt Nam, Brazil, Ấn Độ và Ả Rập Xê Út", khoảng 12 triệu địa chỉ IP duy nhất mỗi tuần, và khoảng 67% thiết bị trong các bể proxy dân cư không xác thực và có thể bị thực thi mã từ xa.
Với lớp thiết bị này, bước khai thác đã từng rất rẻ, nên lời rào "cận trên" của Anthropic yếu hơn nghe ban đầu. Có hai chỗ đi ngược lại:
- GLM-5.2 không phải mô hình nhỏ. Biểu đồ của Anthropic ghi 744 tỉ tham số. Bài của chính Anthropic ngày 29/9/2026 cho biết trong bài kiểm tra chiếm quyền điều khiển luồng thực thi trên mã nguồn mở của họ (100 tác vụ chọn ngẫu nhiên), GLM-5.2 không thành công lần nào, còn GLM-5.3 đạt 4%. "Sàn năng lực" của nghiên cứu này vì vậy chỉ bao gồm khâu sau khi đã vào được máy; nơi nào có xác thực thật sự, một con sâu còn cần năng lực khai thác mà phép thử không đo. Đây là cách ghép của Locaith, bài gốc không nêu.
- Bộ tăng tốc biên khó tiếp cận hơn. Anthropic ước các thiết bị gắn chip NVIDIA (camera thông minh, thiết bị họp, robot, xe, drone) chứa khoảng 9.000 đến 35.000 tương đương H100, từ khoảng 9,5 triệu thiết bị đã bán và khoảng 90 dòng sản phẩm. Phần tiếp cận được "thấp hơn ít nhất một bậc" vì đa số chỉ liên lạc qua đường hầm quản lý đám mây ra ngoài, và chưa có vụ xâm nhập hàng loạt nào vào loại thiết bị này.
Đường xu hướng "cuối năm": đọc kỹ biểu đồ
Trục tung là Epoch Capabilities Index (ECI). Đường xu hướng khớp bình phương tối thiểu trên mô hình trọng số mở từ khoảng 30 tỉ tham số trở xuống tốt nhất tại mỗi thời điểm, tăng 13,7 ECI mỗi năm (R² = 0,95). "Sàn năng lực" là GLM-5.2 ở mức ≤ 151,8 ECI. Mô hình nhỏ mạnh nhất trên biểu đồ, Qwen3.8-27B, còn "cách 2,4 ECI".
Locaith tính: 2,4 chia 13,7 là khoảng 0,175 năm, tức khoảng 64 ngày để bù khoảng cách đó nếu mô hình nhỏ tốt nhất đi đúng đà này. Chấm Qwen3.8-27B nằm quanh giữa tháng 8 trên biểu đồ (Locaith đọc bằng mắt), nên mốc chạm sàn rơi vào quanh tháng 10/2026; đường đứt nét trên biểu đồ cũng cắt đường sàn vào khoảng đầu tháng 10. Câu "đến cuối năm nay" trong văn bản là mốc muộn hơn và không mâu thuẫn với cách đọc này. Nghĩa là nếu đường xu hướng đúng thì mốc đó đang diễn ra ngay lúc này. Locaith chưa kiểm xem đã có mô hình từ 30 tỉ tham số trở xuống nào vượt 151,8 ECI hay chưa.
- ECI là chỉ số năng lực chung. Chính bài gốc viết nó chỉ là đại diện cho khả năng nhân bản, nên mốc thời gian là ước lượng thô.
- Sàn là cận trên. Biểu đồ ghi "≤ 151,8" vì chỉ GLM-5.2 trong tập thử qua được cả chuỗi. Sàn thật có thể thấp hơn, và khi đó mốc sớm hơn; hoặc cao hơn nếu phải cộng thêm khả năng khai thác như đã nêu ở phần trước.
- Ngoại suy từ một đường thẳng. R² = 0,95 nói đường thẳng khớp với các điểm đã có, không nói gì về điểm chưa xuất hiện.
Chậm theo giờ, nhưng chi phí thuộc về nạn nhân
Bài đo thời gian trên phần cứng thật. Một cửa sổ ngữ cảnh 32.000 token mất 27,3 đến 31,8 giờ với Gemma4-26B-A4B (chưa tối ưu) và 10,9 giờ với Qwen3.5-9B. Một lần dựng suy luận đầy đủ cần khoảng 2,6 đến 4,7 cửa sổ, tức 71 đến 150 giờ và 28 đến 51 giờ (Locaith nhân lại ra 71,0 đến 149,5 giờ và 28,3 đến 51,2 giờ, khớp). Như vậy mỗi lượt nhân bản của mô hình 9B mất một đến hai ngày, và đó là gốc của cụm "thời gian nhân đôi tính bằng ngày" ở phần tóm tắt.
Về quy mô, Anthropic lấy mức hơn 2 triệu thiết bị của Kimwolf, chia thành các nhóm 15 hộp chạy Gemma4-26B-A4B. Kết quả khoảng 133.000 bản sao (Locaith: 2.000.000 chia 15), mỗi nhóm phục vụ 2 tác tử ở khoảng 0,3 token/giây, tổng khoảng 80.000 token/giây. Một H100 phục vụ mô hình này khoảng 1.950 token/giây khi nhiều luồng đồng thời, nên cả mạng chỉ bằng khoảng 41 chiếc H100 (Locaith chia). Đó là con số nhỏ theo chuẩn trung tâm dữ liệu, nhưng phần cứng, điện và băng thông đều thuộc về chủ thiết bị bị nhiễm, và theo bài gốc không có điểm trung tâm nào để tắt. Anthropic ví nó với "nấm nhầy" hơn là một cuộc tấn công nhanh. Ước tính này neo vào một loại phần cứng và một botnet, theo lời chính tác giả.
Phòng thủ: bài học Mirai, và con số 74%
Phần phòng thủ của bài gốc dựa nhiều vào một nghiên cứu về Mirai: nhà mạng cách ly thuê bao nhiễm "xoá 92% ca nhiễm trong 14 ngày, so với 74% khi không thông báo". Locaith đối chiếu với trang gốc của nghiên cứu (NDSS 2019, Cetin và cộng sự, Đại học Delft cùng các đồng tác giả Nhật Bản; thử nghiệm ngẫu nhiên có đối chứng với 220 người dùng trên một nhà mạng cỡ vừa). Trang ghi: cách ly và thông báo qua "walled garden" xử lý 92% ca trong 14 ngày; tỉ lệ tự khắc phục ở nhóm đối chứng và hai mạng tham chiếu không thông báo là 58% đến 74%; chỉ gửi email thì không có tác dụng quan sát được. Mức chênh vì vậy là 18 đến 34 điểm tuỳ mốc so sánh, và Anthropic chọn mốc cao nhất, tức cách nói thận trọng nhất. Điểm cần nhớ: đây là bằng chứng về Mirai, và Anthropic chỉ "kỳ vọng" cách làm tương tự dùng được với sâu AI.
Bài nêu thêm hai điều có lợi cho phía phòng thủ: sâu loại này để lại dấu vết mạng (tải hàng gigabyte mô hình về một thiết bị, lưu lượng suy luận liên tục giữa các máy vốn không nói chuyện với nhau), và khi phát hiện, bẫy mồi (honeypot) giúp thu bộ khung và dữ liệu mô hình để phân tích. Chiều ngược lại: nhà mạng muốn dập tắt hoàn toàn thì phải phối hợp mọi nhà mạng có thuê bao nhiễm. Bài cũng đo khả năng soạn thư lừa đảo nhắm đích danh của mô hình nhỏ: sau khi hiệu chỉnh theo người chấm, các mô hình nhỏ chỉ đạt mức "rất kém" đến "kém", nên Anthropic cho rằng khâu lừa người nhiều khả năng do mô hình lớn đảm nhiệm.
Điều áp dụng cho doanh nghiệp và hộ gia đình ở Việt Nam
Bài của Anthropic không nói về Việt Nam. Phần dưới đây là khuyến nghị chung của Locaith, dựa trên cách Kimwolf lan và các khuyến nghị của Synthient, không phải hướng dẫn của Anthropic:
- Kiểm kê hộp Android TV và thiết bị IoT đang cắm mạng (màn hình quảng cáo, thực đơn số, phòng họp, camera). Kimwolf lan qua dịch vụ ADB bị phơi ra; nếu bạn quản trị thiết bị Android, kiểm tra xem ADB qua mạng có đang bật không và tắt nếu không dùng.
- Không mua hộp TV không rõ nguồn gốc cho mục đích kinh doanh. Synthient ghi nhận nhiều thiết bị bán ra đã nhiễm sẵn; khuyến nghị của họ với người dùng là kiểm tra, xoá sạch hoặc huỷ thiết bị bị nhiễm.
- Tách mạng. Đặt thiết bị IoT ở mạng khách hoặc VLAN riêng, không chung với máy tính kế toán và máy chủ.
- Để ý lưu lượng bất thường: một hộp TV vốn chỉ phát video bỗng tải hàng gigabyte dữ liệu hoặc nói chuyện đều đặn với hộp khác là dấu hiệu Anthropic nêu.
- Hỏi nhà mạng: trong nghiên cứu Mirai, chính nhà mạng cách ly thuê bao mới tạo khác biệt. Locaith không có dữ liệu về việc nhà mạng trong nước có áp dụng cách này hay không.
- Dùng AI qua API hoặc ứng dụng thì không đổi gì. Tác động của nghiên cứu nằm ở mạng nội bộ và thiết bị IoT, không phải ở cách bạn dùng Claude, ChatGPT hay Gemini.
Giới hạn của bài này
Locaith không chạy lại thí nghiệm. Mọi con số thí nghiệm do Anthropic tự công bố và chưa thấy bên thứ ba nhân bản. Bảng 11 mô hình × 9 loại phần cứng là biểu đồ tương tác; Locaith đọc nó qua ảnh chụp, nhập từng ô vào một script để cộng, nên các tỉ lệ 94,1%, 66,7%, 60,5% là phép tính của chúng tôi, không phải số Anthropic nêu. Vị trí chấm Qwen3.8-27B và đường đứt nét trên biểu đồ ECI cũng đọc bằng mắt (sai số khoảng nửa tháng). Locaith không tải được trang gốc của Synthient (bị từ chối truy cập), nên số liệu Kimwolf dẫn qua bản tin Security Affairs ngày 5/1/2026 và bài Anthropic; ngày đo con số 2 triệu là đầu năm 2026, không phải hôm nay. The New Stack (12/10) đưa tin nhất quán với bài gốc và nhấn mạnh thí nghiệm nằm trong môi trường kiểm soát với những lối tắt làm nhân bản dễ hơn. Locaith chưa kiểm ECI của các mô hình nhỏ mới nhất.
Nguồn:
- Anthropic (Frontier Red Team) — AI models may be capable of self-replicating without access to a datacenter, 12/10/2026 — toàn bộ thí nghiệm, bảng, biểu đồ và phụ lục
- Anthropic — GLM-5.3 and the spread of advanced cyber capabilities, 29/9/2026 — kết quả GLM-5.2 và GLM-5.3 ở bài chiếm quyền điều khiển luồng
- The New Stack — Anthropic's red team ran AI on 15 cheap TV boxes. Then the math got unsettling., 12/10/2026 — đối chiếu mô tả thí nghiệm
- Security Affairs — Kimwolf botnet leverages residential proxies to hijack 2M+ Android devices, 5/1/2026 — số liệu Synthient về Kimwolf, Việt Nam, 67% thiết bị bể proxy
- NDSS Symposium 2019 — Cleaning Up the Internet of Evil Things: Real-World Evidence on ISP and Consumer Efforts to Remove Mirai — 92% trong 14 ngày, tự khắc phục 58–74%, 220 người dùng
Locaith đọc trực tiếp các nguồn trên ngày 14/10/2026. Các phép tính (825 USD, 39/40 nút, 133.000 bản sao, 41 H100, 64 ngày, 18–34 điểm và các tỉ lệ cài thành công) là của Locaith; không nguồn nào công bố chúng. Các câu trích từ văn bản tiếng Anh do Locaith dịch. Ảnh bìa: ảnh chụp phần minh hoạ 15 hộp Android TV trên trang bài viết của Anthropic (Locaith chụp và cắt về 1200×630; ảnh có chữ tiếng Anh vì là ảnh chụp giao diện, không phải ảnh thiết bị thật, và trang gốc không có ảnh chụp thiết bị). Ảnh trong bài: sơ đồ chuỗi nhân bản của Anthropic và biểu đồ ECI (Locaith chụp và cắt từ trang bài viết). Ban Biên Tập Locaith biên soạn và phân tích ngày 14/10/2026.