Anthropic研究警示可跨物联网设备自主复制的AI病毒

人工智能的飞速发展不仅为互联网带来空前机遇，也让网络安全面临全新的威胁。近日，Anthropic的前沿红队（Frontier Red Team，负责对前沿AI进行安全压力测试的团队）发布最新研究成果，向公众警告了AI蠕虫病毒基于物联网的跨设备感染潜能。

权重复制实现自我演化

AI蠕虫之所以比传统蠕虫更具威胁，原因之一在于其具备“自主适应与演化”能力。传统的僵尸网络通常依赖硬编码的特定攻击脚本，而当前研究表明，AI蠕虫可能采取一种被称为权重型复制器（Weight-based replicators）的方式，传播模型权重及相关推理基础设施而非攻击代码，以期让模型在新的设备上运行，并通过模型能力进一步寻找和感染下一个目标。这样的传播方式将使AI蠕虫具备强大的自适应能力，能够自行探索并适应陌生的硬件与软件环境。且由于权重型复制器无需系统的根权限，只需在用户态运行推理引擎即可实现存活与传播，因此这种病毒将难以根除，即便设备重启也可被再次感染。

研究团队利用专为防止Agent陷入错误调试死循环而设计的 Memento 框架进行了多代传播实验。实验表明，AI蠕虫可以实现“拉马克式演化”（Lamarckian Evolution）——父代模型在尝试搭建推理环境时，会将尝试过的策略、失败记录与调试笔记传递给子代模型。在连续6代的笔记继承测试中，Qwen3.5-9B在未知硬件上的推理搭建成功率从第一代的45%显著提升至后续世代的61%~84%。

分布式推理实现低成本自我复制

长期以来，业界普遍认为AI模型的自主复制与运行高度依赖大型数据中心及高端GPU算力35。然而，Anthropic的最新研究打破了这一固有认知。研究团队购买了15台单价仅约55美元、配备4GB内存的市售山寨安卓机顶盒，并将它们连接成网络。通过管道并行（Pipeline Parallelism）技术，团队将拥有260亿参数的轻量级模型Gemma4-26B-A4B 切分部署在这15台电视盒上，每台设备仅承担模型的部分图层，成功实现了0.39 tokens/秒的分布式推理。这意味着使用AI蠕虫的攻击者不需要昂贵的GPU集群，各种常见的廉价物联网设备，如路由器、摄像头、机顶盒、智能家电等，都可能成为宿主。这些设备通常固件老旧、默认密码普遍、缺乏集中管理，一旦被规模化占用，攻击者等于免费获得了一个分布式算力池，可以据此开展更大规模的攻击。

由于边缘设备算力有限，AI蠕虫的传播过程表现为低速、持久的“滴流”状态。例如，在电视盒集群上运行Gemma4-26B-A4B完成一次完整的推理搭建轨迹需71至150小时。研究人员将其形象地比喻为“数字黏菌”或“果蝇群”，虽然单个节点运行缓慢，但由于没有中央控制节点，极难被彻底关停与消灭。

小模型预计2026年底跨越自复制临界点

为了评估AI模型自主完成复制全过程的能力，研究团队将自主复制分解为寻找目标、获取执行权限、搭建推理环境以及持续传播四个阶段。其中，“推理环境搭建”（Inference Setup）因涉及长序列的硬件与操作系统调试，被认为是小模型最难攻克的环节。在对包括Xeon CPU、RTX 4090、Mac、Windows、TPU、MI300X、H200以及Jetson Nano和Orange Pi等9种异构硬件环境的评估中，参数量仅90亿的Qwen3.5-9B成功在8种硬件上完成了推理环境的自动搭建；性能更强的GLM-5.2模型则展现出极高的成功率与吞吐量。在包含8个节点的封闭虚拟私有云（VPC）模拟测试中，研究人员将模型放入未授权的ADB端口环境中测试其端到端自主传播能力。结果显示，在测试的开源模型中，仅GLM-5.2成功实现了100%的端到端自复制与全网络扩散（在5次试验中有4次覆盖全部8个节点）。研究团队引入Epoch Capabilities Index（ECI，Epoch能力指数）评估发现，符合“自复制能力门槛”的GLM-5.2模型ECI约为151.8。根据开源小模型（<=30B）历史能力年均增长13.7ECI的演进趋势，研究预测到2026年底，小参数模型将正式跨越这一能力门槛，具备完全自主复制的能力。

如何阻断AI病毒的蔓延

虽然AI病毒可能成为新的网络安全威胁，但防御方研究团队也已提出了多项针对性举措以应对该隐患。

1.  流量异常检测：权重型复制器在跨设备传输数GB大小的模型权重以及进行分布式推理的过程中，设备间会产生不寻常的高频通信，从而在互联网服务提供商的流量监控中留下明显的异常特征。防御者可借此部署蜜罐（Honeypot，故意设置以吸引攻击的诱饵系统）捕获其代码与权重。

2.  网络隔离与清扫：参考僵尸网络的治理经验，互联网服务提供商通过检测证据对感染用户的网络进行隔离（限制仅能访问修复白名单），可在14天内清除92%的感染。

3.  硬件源头硬化与立法：推动设备出厂安全标准。AI蠕虫更容易入侵缺乏安全管理、直接采取初始密码的硬件，而升级相应的安全防护措施即可大大提高入侵门槛。未来相关机构可以立法禁止智能设备使用出厂默认密码，从源头上缩减受攻击面。

Anthropic团队在报告结尾指出，虽然目前尚未发现完全脱控的自主AI复制器，但AI模型已展现出自我复制的“生命迹象”。随着边缘硬件算力的不断增长与小模型能力的持续飞跃，未来的网络空间中必将出现大量不在人类直接控制下的AI Agent。研究人员呼吁，安全界应加快系统硬化步伐，不仅要防范低速蔓延的“数字黏菌”，更要为未来可能出现的更高速度、针对数据中心或具备API窃取能力的高威胁AI蠕虫做好全面防御准备。

参考文献：ZHOU W, FREEMAN D（Anthropic）. AI models may be capable of self-replicating without access to a datacenter [EB/OL]. (2026-10-12). https://www.anthropic.com/research/self-replicating-ai. [2026-10-26]