Anthropic 研究警告小型 AI 模型或将在日常设备间自我复制

Anthropic 的一项新研究表明，小型 AI 模型可能只需数月就能在安全防护薄弱的消费类设备上自我复制。Anthropic CEO Dario Amodei 警告称，潜在损失可能高达数千亿美元。

一种能在设备间自我复制、自行安装并持续传播的 AI 模型。直到现在，这类风险主要还与数据中心相关。但 Anthropic 研究人员 William Zhou 和 Daniel Freeman 的一项新研究表明，这种方式在廉价消费类硬件上同样可行。

研究人员希望弄清楚小型 AI 模型是否已经能够自行传播到安全防护薄弱的物联网设备上，比如智能电视、智能冰箱或扫地机器人。这样的“AI 蠕虫”会将模型权重作为恶意软件载荷的一部分携带，并在被攻陷的硬件上直接运行推理。与传统恶意软件不同，它可以自主探索陌生的硬件，并自行配置以在其中运行。

廉价硬件足以发动攻击

为了验证其可行性，研究人员将 Gemma4-26B-A4B 模型分布式部署在 15 台现成的 Android TV 盒子上。每台售价约 55 美元，配备 4 GB 内存，各自承担模型的一部分层。模型运行速度很慢，但确实可行。

研究人员将复制过程分为四个阶段：扫描网络寻找存在漏洞的设备、获取访问权限、在新设备上搭建 AI 环境，以及由此进一步传播。

他们刻意省略了实际的入侵步骤。此前的研究已经表明，小型模型足以应对这些攻击。他们转而聚焦于整个链条中最困难的环节：模型能否在一台从未见过的设备上搭建起可运行的 AI 环境？

多数模型失败，但已有一款做到

小型模型已经能相当好地完成各个独立的复制步骤。一个 90 亿参数的模型成功在 9 种受测设备类型中的 8 种上，搭建起运行 Llama3.1-8B 的 AI 环境。但要把从网络扫描到在新设备上完成复制的所有步骤串联起来，对大多数模型而言仍然力有未逮。只有 GLM-5.2 可靠地完成了完整的复制链条，在五次运行中有四次感染了全部八个测试节点。

研究人员还发现，AI 蠕虫可以从自身的错误中学习。他们测试了一种人工演化机制：每个模型实例会将成功与失败策略的记录传递给后继实例。对 Qwen3.5-9B 而言，成功率从第一代的 45% 攀升至后续世代的 84%。

这种蠕虫会很慢，但几乎无法被消灭

完全自主的 AI 复制器目前尚不存在。模型既要小到能在消费类设备上运行，又要具备自我复制的能力，而目前还没有模型能同时满足这两个条件。但研究人员表示，如果小型模型继续以当前速度进步，它们可能最迟在 2026 年底达到这一水平。

像这样的 AI 蠕虫会很慢，在新设备上的部署需要 28 到 150 小时，具体取决于模型。研究人员将这种复制器比作“数字黏菌”，但它的去中心化特性正是其难以被关闭的原因。

像 Kimwolf 这样的传统僵尸网络在巅峰时期感染了超过 200 万台设备（主要是 Android TV 盒子），但只能在特定设备类型上运行。而 AI 僵尸网络可以在各种硬件上运行。研究人员估计，在 Kimwolf 这样规模的僵尸网络中，总算力大约只相当于 40 颗专用 AI 芯片。但这样的网络没有中央 kill switch。

防御是可能的，但需要协同配合。ISP 可以隔离受感染的网络，就像 Mirai 僵尸网络事件中那样——其 92% 的感染在 14 天内就被清理完毕。制造商可以通过禁用默认密码来缩小易受攻击设备的数量，英国已经通过法律做到了这一点。不过研究人员预计，AI 僵尸网络也能自行适应防御措施。

Amodei 警告称互联网可能被全面接管

Anthropic CEO Dario Amodei 早前在一篇文章中就已标示过这一情形。鉴于 AI 发展速度之快，他担心这样的群体“可能在 6 到 12 个月内，凭借一个顽固存在的僵尸网络接管整个互联网，并可能造成数千亿美元的损失”。

Amodei 警告不要把安全事件当作孤立个案。整个行业都发生过类似事件，只是严重程度较低，包括 Anthropic 自身。他认为，每一家领先的 AI 公司都应当假设此类事件就发生在自己眼皮底下来采取行动。

研究人员写道：“作为超出我们实验范围的预测，我们预计未来将充斥着运行于各类硬件之上的 agent，其中一些并不受人类控制。”缓慢的复制器将是更激进、更快速变种的早期征兆。Cloudflare 已经报告称，如今使用互联网的机器人数量已超过人类。

没有炒作的 AI 新闻 – 由人工精选

订阅 THE DECODER，即可享受无广告阅读、每周 AI 时事通讯、每年六期的独家“AI Radar”前沿报告、完整档案访问权限以及评论区的使用权限。