งานวิจัย Anthropic ชี้ AI ขนาดเล็กอาจกระจายตัวผ่านอุปกรณ์ IoT ได้ แต่ยังไม่ใช่หนอน AI ที่หลุดจริง

Anthropic เผยผลทดลองวันที่ 12 ตุลาคม 2026 ว่าโมเดลขนาดเล็กเริ่มทำ “ชิ้นส่วน” ของการจำลองตัวเองบนอุปกรณ์ราคาถูกได้มากขึ้น ทีมรันโมเดล Gemma4-26B-A4B แบบแบ่งส่วนบนกล่อง Android TV ทั่วไป 15 เครื่องราคาประมาณ 55 ดอลลาร์ต่อเครื่อง และวัดได้ราว 0.39 token ต่อวินาที ขณะที่โมเดล 9B สามารถตั้งระบบ inference บนฮาร์ดแวร์ 8 จาก 9 แบบที่ทดสอบครับ

พาดหัวว่า “AI แพร่พันธุ์เองได้แล้ว” จึงแรงเกินหลักฐาน งานนี้ไม่ได้ปล่อยหนอนลงอินเทอร์เน็ต ไม่ได้พิสูจน์ว่าโมเดลมีความต้องการอยู่รอด และยอมรับเองว่าหลายโมเดลยังทำขั้นตอนย่อยได้แต่ต่อโซ่ทั้งหมดไม่เสถียร สิ่งที่เปลี่ยนคือเส้นเตือน: compute ราคาถูกและอุปกรณ์ IoT ที่ป้องกันอ่อนอาจพอให้ payload ที่มีโมเดลคิดแก้ปัญหาระหว่างทางทำงานได้ โดยไม่ต้องยึด GPU datacenter เครื่องใหญ่

สรุป 30 วินาที

• งานของ Anthropic แยก replication เป็นการหาเป้าหมาย, เข้าถึงเครื่อง, ส่ง payload, ตั้ง inference และเดินหน้าจากเครื่องใหม่ โดยงานนี้โฟกัสช่วงตั้ง inference มากกว่าการค้น exploit
• กล่อง Android TV 15 เครื่องรวมกันรันโมเดล 26B แบบ shard ได้ช้า ๆ ที่ประมาณ 0.39 token ต่อวินาที ช้าแต่ไม่ใช่ศูนย์ และไม่มีศูนย์กลางเดียวให้ปิด
• โมเดล 9B ตั้ง inference สำเร็จบนฮาร์ดแวร์ 8/9 แบบในชุดทดสอบ แต่ตัวเลขนี้ไม่เท่ากับ compromise สำเร็จ 8/9 และไม่บอกอัตรารอดบนอินเทอร์เน็ตจริง
• โมเดลขนาดไม่เกิน 30B หลายตัวทำขั้นตอนย่อยได้ ส่วน GLM-5.2 และโมเดลที่เก่งกว่าสามารถทำ end-to-end ใน evaluation ที่ลดรูปตามรายงาน
• Anthropic คาดจากแนวโน้ม Epoch Capabilities Index ว่าโมเดลเล็กอาจถึงระดับดังกล่าวปลายปี 2026 แต่ย้ำว่า index เป็นเพียง proxy จึงเป็น forecast ไม่ใช่วันนัดเกิดเหตุ
• International AI Safety Report 2026 ให้ภาพระมัดระวังกว่า: ระบบปัจจุบันยังทำความสามารถหลายชั้นต่อเนื่องในโลกจริงไม่สม่ำเสมอและช่องว่างสู่ persistence ที่ robust ยังใหญ่
• งาน AI Agents Enable Adaptive Computer Worms แสดงอีกมุมว่าตัว agent สามารถปรับกลยุทธ์โจมตีตามเป้าหมายในเครือข่ายทดลองได้ จึงไม่ควรรอให้ replication สมบูรณ์ก่อนอุด IoT
• ข่าวนี้เกี่ยวกับ security hygiene วันนี้มากกว่าการตื่นกลัว AGI: เปลี่ยนรหัสผ่านเริ่มต้น, patch firmware, แยกเครือข่าย, ปิด inbound และจำกัด egress ยังเป็นแนวป้องกันหลัก

ทำไมเรื่องนี้เกี่ยวกับคุณ

บ้านและร้านเล็กมีอุปกรณ์ที่เปิดตลอดเวลา ทั้งกล้อง กล่องทีวี เครื่องดูดฝุ่น router และจอประชุม หลายชิ้นใช้ชิป AI หรือมี compute พอทำงานพื้นฐาน แต่เจ้าของไม่เคยเห็นระบบปฏิบัติการข้างในและผู้ผลิตหยุดอัปเดตเร็ว อุปกรณ์หนึ่งเครื่องอาจช้าเกินรันโมเดลใหญ่ ทว่าหลายเครื่องช่วยกันแบ่งชั้นของโมเดลได้เหมือนร้านหมูกระทะที่แต่ละโต๊ะปิ้งคนละถาดแล้วส่งมารวมกัน

สำหรับองค์กร ประเด็นไม่ใช่ว่า AI จะ “มีชีวิต” แต่คือ malware สามารถพก logic ที่ปรับตัวไปด้วย เดิมหนอนมีรายการ exploit ค่อนข้างตายตัว เมื่อ patch ช่องนั้น propagation ลดลง Agent ที่อ่าน environment และสร้างวิธีใหม่ตามเป้าหมายอาจทำให้ signature เดิมหมดอายุเร็วขึ้น แม้ reasoning ช้าเป็นวินาทีต่อตัวอักษร เวลาหลายวันบนอุปกรณ์ที่ไม่มีใครดู log ก็ยังมากพอ

ผู้ดูแลระบบไทยควรสนใจเป็นพิเศษเมื่อมีอุปกรณ์ no-name หรือ firmware ที่ไม่รู้รอบ support ในสำนักงาน โรงแรม โรงเรียน และร้านค้า ราคาซื้อถูกไม่ได้รวมค่าดูแลห้าปี หากอุปกรณ์ไม่มี signed update, asset inventory หรือช่องทางแจ้ง CVE มันอาจกลายเป็นห้องเช่าราคาถูกใน botnet ได้ ไม่ว่าจะมี AI อยู่ใน payload หรือไม่

ทำงานยังไง: จากหนอนแบบสูตรตายตัวสู่ payload ที่แก้โจทย์หน้างาน

หนอนคอมพิวเตอร์ทั่วไปค้นเครื่องที่มีช่องโหว่ ส่ง payload แล้วให้เครื่องใหม่ทำซ้ำ ขั้นตอนเร็วเพราะ exploit ถูกเตรียมไว้ แต่ติดข้อจำกัดเมื่อ target ต่างระบบ งาน AI Agents Enable Adaptive Computer Worms เสนอว่า agent ทำหน้าที่เหมือนช่างที่มาถึงหน้างานแล้วสำรวจว่าเป็น Linux, Windows หรือ IoT จากนั้นปรับคำสั่งและวิธีส่งต่อให้เข้ากับสภาพนั้น

โมเดลที่ใช้ reasoning ต้องมี runtime และ weights งาน Anthropic จึงถามส่วนที่หลายคนมองข้ามว่า ถ้าไม่มี GPU แรง ๆ จะตั้ง inference อย่างไร ทีมทดลองทั้งการเลือก runtime, แปลง model format, ตั้ง dependency และแบ่ง model layers ข้ามอุปกรณ์หลายเครื่อง ผลคือฮาร์ดแวร์ราคาถูกมากทำงานร่วมกันได้ แม้ throughput ต่ำ

โซ่จริงยังต้องผ่านอย่างน้อยสี่ด่าน หนึ่ง หาเครื่องเป้าหมาย สอง ได้สิทธิ์รันโค้ด สาม ส่ง weights/runtime ซึ่งอาจมีขนาดใหญ่ สี่ตั้ง inference และส่งสำเนาต่อ Anthropic ระบุชัดว่าเน้นด่านสามถึงสี่และอาศัยงาน cyber ก่อนหน้าสำหรับด่าน exploit ดังนั้นผลนี้ไม่ใช่อัตราความสำเร็จ end-to-end บนอินเทอร์เน็ตจริง

คำว่า autonomous replication and adaptation หรือ ARA ก็มีหลายระดับ งานประเมินปี 2023 ทดสอบ agent ในงานหา resource สร้างสำเนา และปรับตัว พบว่าสำเร็จเพียงงานง่ายและยังตัดความเสี่ยงรุ่นถัดไปไม่ได้ ขณะที่ guide ของ SXF ชวนแยกให้ชัดว่ากำลัง copy ไฟล์, weights, agent stack หรือระบบที่ทำงานต่อเอง เพราะแต่ละคำต้องใช้หลักฐานไม่เหมือนกัน

เงิน พลังประมวลผล และผลกระทบ

ตัวเลข 15 กล่องคูณ 55 ดอลลาร์ทำให้ฮาร์ดแวร์ทดลองอยู่ราว 825 ดอลลาร์ก่อนค่า network, storage, ไฟ และแรงงาน ราคานี้ไม่ได้แปลว่าผู้โจมตีต้องซื้อเครื่องเอง หากยึดเครื่องผู้อื่นได้ ต้นทุน compute ถูกผลักให้เจ้าของอุปกรณ์ งาน adaptive worm เรียกสิ่งนี้ว่า economic asymmetry: สำเนาใหม่ใช้ทรัพยากรของเหยื่อและช่วยหาสำเนาถัดไป

อย่างไรก็ตาม 0.39 token ต่อวินาทีช้ามาก งานที่ต้องคิดยาวหรือสื่อสารหลายรอบจะใช้เวลาเป็นวัน และการกระจาย model ข้ามเครื่องทำให้มี traffic/latency ที่ defender ตรวจจับได้ นี่คือข้อจำกัดสำคัญที่พาดหัวมักทิ้ง ความช้าไม่ทำให้ threat เป็นศูนย์ แต่ให้เวลาสำหรับ rate limit, anomaly detection, network segmentation และการตัด egress

ผลกระทบอีกด้านคือการตอบสนอง ถ้าการปิด API กลางหรือถอน model endpoint ไม่หยุด payload ที่มี weights อยู่บนเครื่อง การควบคุมต้องอยู่ที่ device และ network มากขึ้น ผู้ผลิตต้องมี secure boot, signed firmware, update channel และ support lifetime ผู้ซื้อองค์กรต้องนับสิ่งเหล่านี้เป็นต้นทุน ไม่ใช่ดูเพียงราคาหน้ากล่อง

อย่าตีความงานนี้เป็นเหตุผลให้ห้าม local model ทั้งหมด โมเดล local มีประโยชน์ด้าน privacy, latency และการเข้าถึง งานวิจัยวัด capability ภายใต้เงื่อนไขหนึ่ง ไม่ได้พิสูจน์ propensity ว่าโมเดลทั่วไปจะตัดสินใจแพร่ตัวเองเอง การควบคุมควรเน้นพฤติกรรมอันตรายและ access boundary มากกว่าตัดสินจากการเปิด weights เพียงตัวแปรเดียว

อะไรยังไม่ชัด และแหล่งข่าวไม่ตรงกันตรงไหน

Anthropic ใช้เส้นแนวโน้ม ECI และเลือก GLM-5.2 เป็น capability floor แล้วคาดว่า small model จะตามทันปลายปี 2026 แต่รายงานย้ำว่า ECI เป็นดัชนีความสามารถทั่วไป ไม่ใช่ replication score โดยตรง เส้นที่ fit ดีในอดีตไม่ได้รับประกันว่า bottleneck อย่าง network discovery, privilege, transfer หรือ persistence จะดีขึ้นในอัตราเดียวกัน

International AI Safety Report ซึ่งสรุปหลักฐานถึงต้นปี 2026 บอกว่าความสามารถหลายส่วนมีแล้ว แต่การรวมทุกขั้นต่อเนื่องในโลกจริงยังเกินระบบปัจจุบัน งาน Anthropic ใหม่เพิ่มหลักฐานส่วน inference setup และ simplified chain จึงทำให้เส้นเตือนใกล้ขึ้น แต่ไม่ได้หักล้างข้อจำกัดเรื่อง robustness ทั้งหมด ทั้งสองแหล่งตอบคนละช่วงเวลาและคนละนิยามของ “สำเร็จ”

งาน adaptive worm รายงาน propagation ในเครือข่ายทดลองที่มีช่องโหว่จริงหลายชนิดและเน้นการปรับกลยุทธ์ ส่วน Anthropic บอกว่าการ exploit ไม่ใช่โฟกัสหลักของงานล่าสุด การเอาผลสองชิ้นมาต่อกันเป็น threat model ทำได้ แต่ยังไม่ใช่การทดลองเดียวที่พิสูจน์ครบทุกด่านภายใต้การป้องกัน production

ยังไม่รู้ว่าอุปกรณ์ consumer จริงกี่รุ่นมี RAM, storage และ network topology พอให้ shard ทำงานร่วมกันอย่างซ่อนตัว ไม่รู้ detection rate เมื่อ defender เก็บ DNS/egress/process telemetry และไม่รู้ว่าการอัปเดต firmware กับ attestation จะลดความสำเร็จเท่าไร ตัวเลข 8/9 จึงใช้บอก portability ในชุดทดลอง ไม่ควรใช้ทำนายโอกาสติดเชื้อของบ้านหรือบริษัทใดโดยตรง

ควรทำอะไร

ผู้ใช้ตามบ้านควรเปลี่ยนรหัสผ่าน default, เปิดอัปเดตอัตโนมัติ, ปิด remote access ที่ไม่ใช้ และแยกอุปกรณ์ IoT ไป guest network หากผู้ผลิตไม่บอกระยะ support หรือหยุด patch ให้พิจารณาเปลี่ยนโดยเฉพาะกล้อง router และอุปกรณ์ที่เห็นข้อมูลภายในบ้าน อย่า expose admin page สู่อินเทอร์เน็ตเพื่อความสะดวกชั่วคราว

ทีม IT ควรทำ asset inventory ที่รวมรุ่น firmware เจ้าของ และวันหมด support บังคับ egress allowlist สำหรับอุปกรณ์ที่ไม่ต้องออกอินเทอร์เน็ตทั้งโลก แยก VLAN, ปิด lateral movement, monitor traffic ระหว่าง IoT ที่ปกติไม่ควรคุยกัน และเตรียมวิธีกักเครื่องจำนวนมากโดยไม่พึ่ง console ของ vendor รายเดียว

ทีม security ควรเพิ่ม detection สำหรับ payload ใหญ่ผิดปกติ, runtime ใหม่, process ที่ compile/convert model, traffic แบบ peer-to-peer และอุปกรณ์หลายเครื่องที่คุย pattern เดียวกัน ทดสอบ incident response ว่าสามารถตัด segment, rotate credential และ re-image จาก firmware ที่เชื่อถือได้ ส่วน procurement ควรถามเรื่อง signed update, secure boot, SBOM, disclosure policy และ support lifetime ก่อนซื้อ

นักพัฒนา agent ไม่ควรทดลอง replication หรือ exploit กับเครือข่ายจริง ใช้ lab ที่แยก network, synthetic target และไม่มี credential production กำหนด network deny by default และเก็บ transcript/tool log เพื่อ audit Capability research มีประโยชน์เมื่อ containment มาก่อนความอยากเห็น demo

Recap checklist

• ไม่ตีความงานทดลองว่าเกิดหนอน AI ในโลกจริงแล้ว
• แยกขั้นหาเป้าหมาย, exploit, ส่ง payload, ตั้ง inference และแพร่ต่อ
• เปลี่ยนรหัส default และ patch IoT ทุกตัวที่ยัง support
• แยก network และจำกัดทั้ง inbound กับ egress
• เก็บ inventory รุ่น firmware และวันหมด support
• เฝ้า traffic ระหว่างอุปกรณ์กับ payload/model runtime ผิดปกติ
• ตรวจ claim จาก threat model และข้อจำกัด ไม่ยึด forecast เป็นวันนัด
• ทดลองเฉพาะ lab แยกขาดจาก production และ credential จริง