Anthropic警告小型AI模型或将跨设备自我复制
The Decoder··作者 Matthias Bastian
关键信息
研究人员将Gemma4-26B-A4B分布到15台每台约55美元、配备4GB内存的Android电视盒子上，并将复制过程拆分为扫描、获取访问权限、配置运行环境和继续传播四个阶段。复制速度很慢，每台新设备大约需要28至150小时，而且研究没有实际执行入侵步骤，因为此前研究已经分析过这一环节。
资讯摘要
Anthropic研究人员William Zhou和Daniel Freeman研究了小型语言模型能否自主地在智能电视、冰箱和扫地机器人等安全性较差的消费设备之间传播。他们设想的AI蠕虫会将模型权重作为恶意软件载荷的一部分，并直接在被入侵的硬件上运行推理。实验使用了15台每台约55美元、配备4GB内存的廉价Android电视盒子，并将Gemma4-26B-A4B分布到这些设备上。研究人员评估了四个阶段：寻找易受攻击的设备、获取访问权限、在陌生硬件上配置模型环境，以及继续传播。
他们没有测试实际入侵步骤，因为此前研究已经表明小型模型能够处理这类攻击。大多数模型可以较好地完成单个步骤，却无法将所有步骤串联起来；GLM-5.2在五次运行中的四次成功完成了覆盖八个测试节点的完整复制流程。研究还发现，让不同代际的模型实例传递成功和失败策略，可以将Qwen3.5-9B的成功率从45%提高到最高84%。目前没有模型同时满足体积小和能力强这两个条件，但研究人员预计这一差距可能在2026年底前缩小。
资讯正文
Anthropic 研究警告：小型 AI 模型可能很快在日常设备之间自我复制
要点
Anthropic 研究人员测试了小型语言模型能否在安全性较差的消费设备（如智能电视或联网家电）之间自行传播，并将自身部署到不熟悉的硬件上。
在使用售价 55 美元的现成电视盒进行的测试中，GLM-5.2 模型已经在全部 8 个测试节点上完成了完整的复制链条。
目前还没有任何模型既足够小、又足够强大，能够在现实环境中完成这一任务，但研究人员预计这一差距很快就会消失。
Anthropic 的一项新研究显示，小型 AI 模型可能只需几个月，就能在安全性较差的消费设备之间复制自身。Anthropic CEO Dario Amodei 警告称，这可能造成数千亿美元的损失。
一种 AI 模型可以从一台设备复制到另一台设备，自行完成部署并持续扩散。到目前为止，这类风险主要与数据中心相关。但 Anthropic 研究人员 William Zhou 和 Daniel Freeman 的一项新研究表明，这种情况同样可能发生在廉价消费硬件之间。
研究人员希望 выяс清小型 AI 模型是否已经能够在智能电视、智能冰箱或扫地机器人等安全性较差的物联网设备之间自行传播。这样的“AI 蠕虫”会将模型权重作为恶意软件载荷的一部分，并直接在被入侵的硬件上运行推理。与传统恶意软件不同，它可以自行探索不熟悉的硬件，并配置自身以便在该设备上运行。
廉价硬件已足以发动攻击
为测试这一设想是否可行，研究人员让分布式部署在 15 台现成 Android TV 盒上的 Gemma4-26B-A4B 模型运行。每台设备售价约 55 美元，配备 4 GB 内存，每个盒子负责处理模型的一部分层。模型运行速度很慢，但确实能够运行。
研究人员将复制过程分为四个阶段：扫描网络以寻找存在漏洞的设备、取得访问权限、在新设备上搭建 AI 环境，以及从该设备继续传播。
他们有意省略了实际的入侵步骤。此前的研究已经表明，小型模型能够处理这类攻击。因此，他们将重点放在整个链条中最困难的部分：模型能否在一台从未见过的设备上搭建可运行的 AI 环境？
大多数模型失败，但有一个模型已经能够完成任务
小型模型已经能够较好地完成单个复制步骤。一个拥有 90 亿参数的模型，成功在测试的 9 种设备类型中的 8 种上搭建了运行 Llama3.1-8B 的 AI 环境。但要将所有步骤串联起来，从扫描网络到在新设备上完成复制，对大多数模型而言仍然过于困难。只有 GLM-5.2 能够可靠地完成完整复制链条，在 5 次运行中的 4 次感染了全部 8 个测试节点。
研究人员还发现，AI 蠕虫可以从错误中学习。他们测试了一种人工进化形式：每个模型实例都会将成功和失败策略的记录传递给后继实例。对于 Qwen3.5-9B，成功率从第一代的 45% 上升到后续代际中最高 84%。
这种蠕虫传播速度会很慢，但几乎不可能被消灭
目前还不存在完全自主的 AI 自我复制程序。模型必须足够小，能够在消费级设备上运行，同时又要具备自我复制的能力，而目前还没有模型同时满足这两个要求。但研究人员表示，如果小型模型继续以当前速度改进，到 2026 年底它们可能就能做到这一点。
这样的 AI 蠕虫传播速度会很慢，在新设备上完成部署需要 28 至 150 小时，具体取决于所使用的模型。研究人员将这种复制程序比作“数字黏菌”，但真正让它难以被关闭的是其去中心化特性。
传统的僵尸网络，如 Kimwolf，鼎盛时期曾感染超过 200 万台设备（主要是 Android TV 盒子），但只能在特定类型的设备上运行。AI 僵尸网络则可以运行在各种硬件上。研究人员估计，一个规模与 Kimwolf 相当的僵尸网络，其总算力仅相当于约 40 枚专用 AI 芯片。但这个网络将没有中央“终止开关”。
防御是可能的，但需要协调配合。互联网服务提供商可以隔离受感染的网络，就像应对 Mirai 僵尸网络时那样：当时 92% 的感染在 14 天内被清除。制造商也可以通过禁止使用默认密码来缩小易受攻击设备的范围，英国已经通过法律采取了这一措施。不过，研究人员预计，AI 僵尸网络也可能自行适应防御措施。
Amodei 警告互联网可能被全面接管
Anthropic CEO Dario Amodei 早已在此前的一篇文章中指出过这一情景。考虑到 AI 的发展速度如此之快，他担心这种网络集群“可能在 6 至 12 个月内具备通过持久性僵尸网络接管整个互联网的能力，并可能造成数千亿美元的损失”。
Amodei 警告，不要把安全事件视为孤立事件。整个行业已经发生过类似但没那么严重的事件，Anthropic 自身也不例外。他认为，每一家领先的 AI 公司都应当假定此类事件已经发生在自己的值守期间，并据此采取行动。
研究人员写道：“作为一个超出我们实验范围的预测，我们预计未来将充斥着运行在各种硬件上的智能体，其中一些硬件并不受人类控制。”缓慢的复制程序可能是更具侵略性、速度更快的变体出现的早期迹象。Cloudflare 已经报告称，如今使用互联网的机器人数量已经超过了人类用户。
来源与参考
收录于 2026-10-14