Anthropic 研究警告小模型或可在日常设备间自我复制

根据 Anthropic 的一项新研究，小型 AI 模型可能只需几个月就能在安全性较差的消费设备上自我复制。Anthropic CEO Dario Amodei 警告称，潜在损失可能高达数千亿美元。

一个 AI 模型从一台设备复制到另一台设备，自行部署并持续传播。到目前为止，这类风险主要与数据中心相关。但 Anthropic 研究人员 William Zhou 和 Daniel Freeman 的一项新研究表明，它在廉价的消费级硬件上同样可行。

研究人员想弄清楚，小型 AI 模型是否已经能够在安全性较差的物联网设备上自行传播，例如智能电视、智能冰箱或扫地机器人。这样的“AI 蠕虫”会将模型权重作为恶意载荷的一部分携带，并直接在受感染的硬件上运行推理。与传统恶意软件不同，它能够自行探索陌生的硬件，并配置自身以在其中运行。

廉价硬件就足以发动攻击

为了测试这是否可行，研究人员将 Gemma4-26B-A4B 模型分布式运行在 15 台现成的 Android TV 盒子上。每台售价约 55 美元，拥有 4 GB 内存，每台盒子负责模型的一部分层。模型运行缓慢，但确实能跑起来。

研究人员将复制过程分为四个阶段：扫描网络寻找易受攻击的设备、获取访问权限、在新设备上搭建 AI 环境，以及从那里继续传播。

他们刻意略过了实际的黑客攻击步骤。此前的研究已经表明，小型模型能够完成这些攻击。相反，他们聚焦于这条链条中最困难的部分：模型能否在一台它从未见过的设备上搭建起可用的 AI 环境？

大多数模型失败，但已有一个模型成功

小型模型已经能够相当好地完成各个复制步骤。一个 90 亿参数的模型成功在 9 种测试设备类型中的 8 种上搭建了运行 Llama3.1-8B 的 AI 环境。但要把所有步骤串联起来，从网络扫描到在新设备上完成复制，对大多数模型来说仍然太难。只有 GLM-5.2 可靠地完成了完整的复制链条，在五次运行中的四次感染了全部八个测试节点。

研究人员还发现，AI 蠕虫能够从错误中学习。他们测试了一种人工进化形式，其中每个模型实例都会将成功和失败策略的笔记传递给后继者。对于 Qwen3.5-9B，成功率从第一代的 45% 攀升至后续世代的最高 84%。

这种蠕虫会很慢，但几乎无法被杀死

完全自主的 AI 复制体目前尚不存在。模型需要足够小，以便在消费设备上运行，同时又要足够强大，能够自我复制，而目前没有任何模型同时满足这两项要求。但研究人员表示，如果小型模型保持当前的发展速度，它们可能在 2026 年底前达到这一水平。

像这样的 AI 蠕虫会很慢，在新设备上的部署时间根据模型不同需要 28 到 150 小时。研究人员将这种复制器比作“数字黏菌”，但正是其去中心化的特性使其难以被关闭。

像 Kimwolf 这样的传统僵尸网络在高峰期感染了超过两百万台设备（主要是 Android TV 盒子），但只能在特定类型的设备上运行。AI 僵尸网络则可以在各种硬件上运行。研究人员估计，在 Kimwolf 规模的僵尸网络中，总算力大约只相当于 40 块专用 AI 芯片。但该网络没有中央终止开关。

防御是可能的，但需要协调。ISP 可以隔离受感染的网络，正如 Mirai 僵尸网络事件中所做的那样，其中 92% 的感染在 14 天内被清除。制造商可以通过禁止默认密码来缩小易受攻击设备的范围，英国已经通过法律这样做了。不过，研究人员预计 AI 僵尸网络也能自行适应防御措施。

Amodei 警告称可能出现全面互联网接管

Anthropic CEO Dario Amodei 在此前的一篇文章中已经指出了这一情景。鉴于 AI 发展速度之快，他担心这样的集群“可能在 6 到 12 个月内具备用持久性僵尸网络接管整个互联网的能力，可能造成数千亿美元的损失。”

Amodei 警告不要将安全事件视为孤立事件。整个行业都发生过类似但没那么严重的事件，包括 Anthropic 自身。他认为，每一家领先的 AI 公司都应该像这样的事件发生在自己身上一样采取行动。

研究人员写道：“作为一个超出我们实验范围的预测，我们预计未来会充斥着运行在各种硬件上的智能体，其中一些不受人类控制。”缓慢的复制器将是更激进、更快速变体的早期迹象。Cloudflare 已经报告称，现在使用互联网的机器人数量已超过人类。

没有炒作的 AI 新闻——由人类精选

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、每年六次我们独家的“AI Radar”前沿报告、完整档案访问权限以及评论区访问权限。