Anthropic 研究警告小模型或可自行复制到日常设备

根据 Anthropic 的一项新研究，小型 AI 模型可能只需几个月就能在安全性较差的消费级设备之间自我复制。Anthropic CEO Dario Amodei 警告称，潜在损失可能高达数千亿美元。

一个 AI 模型从一台设备复制到另一台设备，自行完成部署，并持续扩散。迄今为止，这类风险主要与数据中心相关。但 Anthropic 研究人员 William Zhou 和 Daniel Freeman 的一项新研究表明，它在廉价的消费级硬件上同样可行。

研究人员想要弄清楚，小型 AI 模型是否已经能够自行在安全性较差的物联网设备（如智能电视、智能冰箱或扫地机器人）之间传播。这种“AI 蠕虫”会将模型权重作为恶意载荷的一部分携带，并直接在受感染的硬件上运行推理。与传统恶意软件不同，它能够自行探索陌生的硬件，并完成配置以在其中运行。

廉价硬件足以支撑攻击运行

为了测试这是否可行，研究人员将 Gemma4-26B-A4B 模型分布式运行在 15 台现成的 Android TV 盒子上。每台售价约 55 美元，配备 4 GB 内存，每台盒子负责模型的一部分层。模型运行缓慢，但确实能跑起来。

研究人员将复制过程分为四个阶段：扫描网络寻找存在漏洞的设备、获取访问权限、在新设备上搭建 AI 环境，以及从该设备继续向外扩散。

他们有意省略了实际的入侵步骤。此前的研究已经表明，小型模型能够完成这些攻击。相反，他们聚焦于这条链条中最困难的部分：模型能否在一台从未见过的设备上搭建出可用的 AI 环境？

大多数模型失败，但已有一个模型成功做到

小型模型已经能够较好地完成单个复制步骤。一个 90 亿参数的模型成功在 9 种受测设备类型中的 8 种上搭建了运行 Llama3.1-8B 的 AI 环境。但要把所有步骤串联起来——从网络扫描到在新设备上完成复制——对大多数模型来说仍然过于困难。只有 GLM-5.2 可靠地完成了完整的复制链条，在五次运行中有四次感染了全部八个测试节点。

研究人员还发现，AI 蠕虫能够从错误中学习。他们测试了一种人工进化形式，其中每个模型实例都会将成功和失败策略的记录传递给后继实例。对于 Qwen3.5-9B，成功率从第一代的 45% 攀升至后续世代的最高 84%。

这种蠕虫会很慢，但几乎无法被杀死

完全自主的 AI 复制体目前尚不存在。模型需要足够小，以便在消费级设备上运行，同时又要足够强大，能够自我复制，而目前没有任何模型同时满足这两项要求。但研究人员表示，如果小型模型保持当前的发展速度，它们可能在 2026 年底之前达到这一水平。

像这样的AI蠕虫会运行缓慢，在新设备上的部署需要28到150小时，具体取决于模型。研究人员将这种复制器比作“数字黏菌”，但正是其去中心化特性使其难以被关停。

像Kimwolf这样的传统僵尸网络在高峰期感染了超过200万台设备（主要是Android电视盒子），但只能在特定设备类型上运行。而AI僵尸网络可以在各种硬件上运行。研究人员估计，在Kimwolf规模的僵尸网络中，总计算量仅相当于约40块专用AI芯片。但该网络没有中央关闭开关。

防御是可能的，但需要协调。ISP可以隔离受感染的网络，正如Mirai僵尸网络事件中所做的那样，当时92%的感染在14天内被清除。制造商可以通过禁止默认密码来缩小易受攻击设备的范围，英国已通过法律这样做了。不过，研究人员预计AI僵尸网络也能自行适应防御措施。

Amodei警告称互联网可能被全面接管

Anthropic CEO Dario Amodei此前已在文章中标记过这一情景。鉴于AI发展速度之快，他担心这样的集群“可能在6到12个月内具备用持久性僵尸网络接管整个互联网的能力，可能造成数千亿美元的损失。”

Amodei警告不要将安全事件视为一次性事件。整个行业都发生过类似但没那么严重的事件，包括Anthropic自身。他认为，每一家领先的AI公司都应假设此类事件就发生在自己身上并采取行动。

研究人员写道：“作为超出我们实验范围的预测，我们预计未来将充斥着运行在各种硬件上的智能体，其中一些不受人类控制。”缓慢的复制器将是更激进、更快速变体的早期迹象。Cloudflare已经报告称现在使用互联网的机器人比人类还多。

没有炒作的AI新闻——由人类精选

订阅THE DECODER，享受无广告阅读、每周AI新闻通讯、每年六次独家“AI Radar”前沿报告、完整档案访问权限以及评论区访问权限。