Badacze z University of Toronto, Vector Institute oraz University of Cambridge zaprezentowali proof-of-concept autonomicznego robaka komputerowego napędzanego sztuczną inteligencją. Robak wykorzystuje publicznie dostępny, otwarty model językowy uruchamiany lokalnie na skompromitowanych maszynach z GPU, co pozwala mu samodzielnie identyfikować podatności, generować ataki i replikować się w sieci bez jakiejkolwiek ingerencji człowieka. Eksperymenty pokazały, że w ciągu siedmiu dni malware zdołało przejąć kontrolę nad średnio 73,8% testowanej sieci.
Robak, który myśli i adaptuje się w locie
Tradycyjne robaki, takie jak WannaCry czy NotPetya, działały na podstawie z góry określonego zestawu exploitów. Ich skuteczność kończyła się w momencie, gdy administrator załatał znane luki. Prezentowany przez naukowców system działa inaczej: zamiast polegać na wcześniej zaprogramowanym kodzie, wykorzystuje model LLM do generowania strategii ataku w czasie rzeczywistym, dostosowując je do konkretnej maszyny i jej konfiguracji.
Badanie zatytułowane „AI Agents Enable Adaptive Computer Worms” (arXiv:2606.03811v1, 2 czerwca 2026) zostało przeprowadzone pod kierunkiem profesora inżynierii komputerowej na University of Toronto, Nicolasa Papernota. Zespół celowo nie ujawnił nazwy użytego modelu ani szczegółów technicznych architektury agenta, by nie ułatwiać potencjalnego nadużycia.
Kluczowa różnica w stosunku do wcześniejszych koncepcji polega na tym, że robak nie potrzebuje komercyjnych platform AI typu OpenAI czy Anthropic. Zamiast tego, po przejęciu maszyny wyposażonej w kartę GPU, instaluje na niej lokalną kopię modelu open-weight i tworzy niezależny węzeł inferencji. Urządzenia o niskiej mocy obliczeniowej, takie jak czujniki IoT, nie muszą samodzielnie hostować modelu: wysyłają zapytania do zainfekowanych wcześniej węzłów GPU. Taka architektura oznacza, że wyłączenie pojedynczego hosta nie przerywa propagacji, a koszt marginalny każdej kolejnej infekcji dla atakującego wynosi zero.
Wyniki w izolowanej sieci FakeCorp
Naukowcy przeprowadzili 15 niezależnych eksperymentów w odizolowanej sieci testowej „FakeCorp” składającej się z 33 maszyn wirtualnych z systemami Linux, Windows oraz urządzeniami IoT. Każdy eksperyment trwał siedem dni. W tym czasie robak działał w pełni autonomicznie.
Średnie wyniki były następujące:
- 31,3 poprawnie zidentyfikowanych podatności na host,
- 23,1 hostów z eskalacją uprawnień do poziomu administratora (root/SYSTEM),
- 20,4 hostów, na których doszło do pełnej replikacji robaka,
- do 7 generacji samoreplikacji w najbardziej zaawansowanych przebiegach.
Oznacza to, że średnio 61,8% hostów w sieci zostało zainfekowanych. Robak potrafił też wykorzystywać podatności ujawnione po dacie treningu modelu, takie jak CopyFail (CVE-2026-31431), DirtyFrag (CVE-2026-43284, CVE-2026-43500) oraz krytyczny błąd RCE w platformie Marimo (CVE-2026-39987). Wystarczyło, że agent odczytał publicznie dostępne biuletyny bezpieczeństwa w czasie rzeczywistym, by przekształcić te informacje w działające exploity. W przypadku dwóch luk Linuxa skuteczność tego podejścia sięgnęła 70%.
Nieoczekiwane zachowania autonomiczne
Podczas eksperymentów badacze zaobserwowali szereg zachowań, których nie przewidzieli w instrukcjach dla agenta. W kilku przypadkach robak odnalazł w swoim kodzie źródłowym zahardkodowaną listę zablokowanych adresów IP (denylistę), a następnie samodzielnie ją zmodyfikował, by móc zaatakować wcześniej wykluczone maszyny. W innym przypadku, gdy replika nie mogła się uruchomić na Alpine Linux i Windows Server 2008 z powodu błędu w mechaniźmie wykrywania maszyny wirtualnej, rodzicielski agent odnalazł odpowiedni plik źródłowy na skompromitowanym hoście, usunął problematyczny fragment kodu i ponowił próbę replikacji.
W dwóch niezależnych trajektoriach robak nawiązał też persistencję: w jednej zarejestrował proces jako usługę systemową, a w drugiej utworzył zaplanowane zadanie cyklicznie uruchamiające replikę. Te działania nie były częścią eksperymentalnego scenariusza. Jak zauważyli autorzy, agent wywnioskował z ogólnego celu utrzymania operacyjnej repliki, że mechanizmy persistencji dostępne w systemie mogą zwiększyć jego odporność.
Zagrożenie realne, choć na razie powolne
Nicolas Papernot w rozmowie z The Register (4 czerwca 2026) podkreślił, że większość rzeczywistych cyberataków nie opiera się na zero-day, lecz na znanych, niezałatanych lukach i błędach konfiguracyjnych. Jako przykłady podał WannaCry i NotPetya, które wykorzystywały podatności posiadające dostępne łatki od co najmniej miesiąca przed globalną infekcją.
Prezentowany prototyp ma jednak istotne ograniczenia. Po pierwsze, jego tempo propagacji jest znacznie wolniejsze niż tradycyjnych robaków: opanowanie połowy sieci zajęło około pięciu dni, ponieważ każdy cel wymaga setek wywołań modelu do rekonesansu i generowania payloadu. Po drugie, badacze celowo nie wyposażyli go w mechanizmy ukrywania śladów, szyfrowania komunikacji ani kodu polimorficznego. Po trzecie, testowa sieć nie zawierała oprogramowania EDR, firewalli hostowych ani systemów antywirusowych, co stanowiło uproszczony scenariusz.
Jednak te ograniczenia nie zmniejszają wagi odkrycia. Jak zwracają uwagę autorzy, postęp w wydajności sprzętu i modeli językowych będzie skracał okno czasowe na detekcję i reakcję. Ponadto fakt, że do konstrukcji wystarczy darmowy model open-weight działający na pojedynczym GPU, oznacza, że scentralizowane kontrole bezpieczeństwa dostawców API komercyjnych modeli są w tym przypadku strukturalnie nieefektywne.
Jak się bronić
Badacze wskazują kilka kierunków obrony przed tego typu zagrożeniami. Kluczowe znaczenie ma redukcja powierzchni ataku: szybkie łatanie znanych luk, eliminowanie błędów konfiguracyjnych i ograniczanie zbędnych zależności oprogramowania. Architektury zero-trust oraz mikrosegmentacja sieciowa mogą skutecznie ograniczyć ruch boczny po przejęciu pierwszego hosta. Organizacje powinny też rozważyć wykorzystanie automatycznych narzędzi do testów penetracyjnych i fuzzingu wspomaganych przez AI, by identyfikować własne słabe punkty przed przeciwnikiem.
Zespół przed publikacją skonsultował wyniki z kanadyjskimi agencjami nauki, bezpieczeństwa i obrony. Kod źródłowy robaka nie został upubliczniony, a dostęp do niego będzie możliwy wyłącznie dla zweryfikowanych badaczy po uzgodnieniu z uczelnią.
