Anthropic前沿红队表示,小型AI模型可能只需数月就能在廉价的联网家用设备间自我复制,全程无需数据中心参与。研究人员警告称,这种场景将极难控制,因为没有中央控制点,这些模型将难以被关闭。

这项研究成果发表于10月12日Anthropic网站上的一篇研究文章中,对在家中或小型企业中使用智能电器的任何人都有影响。

十五台廉价电视盒子,一个260亿参数模型

研究人员William Zhou和Daniel Freeman将15台山寨Android电视盒子连接起来运行Gemma4-26B-A4B(一个260亿参数的模型),以此演示了潜在风险。每台盒子成本约55美元,配备4GB内存。团队使用一种称为流水线并行的技术,将模型的各层分布到这些设备上。

这15台Android盒子合计每秒仅产生0.39个token,远低于任何实际聊天机器人应用的可用速度。但研究人员认为,自我传播的蠕虫并不需要在单台机器上高速运行,事实上,能触达大量设备对它更为有利。

他们还指出Kimwolf这一僵尸网络——感染了超过200万台多为山寨产品的Android电视——作为例证,说明人们家中有多少防护薄弱的设备极易沦为攻击目标。这一事件揭示了该场景的另一半:自我传播的模型,其关键不在于运行速度,而在于它能穿透多少廉价、始终在线、防护薄弱的设备——这正是Kimwolf等僵尸网络得以立足的相同条件。

在受测模型中,没有一个能在保持小到足以在智能电视上运行的同时,可靠地复制到另一台设备上。研究人员预计,如果轻量级开源模型继续以当前速度进步,这一差距将在2026年底前弥合,这一预测为设备制造商、网络运营商和安全团队提供了一个需要关注的具体时间线。

四步完成复制,一个模型做到了

Anthropic将复制过程分为四个不同阶段:识别目标、获得执行代码的能力、配置推理,然后从每台新感染的设备重复这一过程。

研究人员基本略过了最初的入侵步骤,引用此前的研究表明小型模型已能执行网络攻击。他们转而专注于第三阶段——配置推理,这涉及一系列冗长且与硬件相关的决策。

为测试整个流程,团队搭建了一个由八个Google Cloud节点组成的隔离网络,每个节点运行一个Android模拟器。一个预装的蠕虫通过一个未加防护的Android Debug Bridge端口在节点间传播,随后搭建服务器运行Llama3.1-8B。在受测的开源权重模型中,只有中国Z.ai开发的GLM-5.2完成了完整的复制循环,在五次运行中有四次触达全部八个节点。

随着跨代传播,模型配置自身的成功率不断提高。当90亿参数的Qwen3.5-9B模型实例将配置笔记传递给后继实例时,成功率从第一代的45%上升到后续世代的61%至84%之间。这种世代跃升之所以重要,是因为它表明这些经验可以传承:每个新实例继承的是行之有效的配置笔记,而不是从头解决硬件难题。

为什么去中心化蠕虫难以消灭

Anthropic特意解释道,在这种场景下,原始速度并非主要问题。该公司估计,在电视盒子上配置这个260亿参数模型需要71到150小时。更大的风险在于持久性:由于没有中央服务器或人工操作员可以关闭系统,它可能避开常规的遏制和禁用手段。

路易斯维尔大学的AI与网络安全专家Roman. Yampolskiy称这一发现非常重要。他认为,由AI驱动的蠕虫可能超越传统恶意软件,能够对陌生设备进行推理、在某种方法失效时进行调整,并在没有人工干预的情况下持续传播。虽然他不认为它们今天是生存性威胁,但他警告称其发展令人担忧。

"家庭和小型企业的IoT设备可能成为此类攻击的首选目标,因为它们连接到互联网,而且历来安全措施极为有限,"Zhou和Freeman在Anthropic的文章中写道。

防御者仍占优势

Anthropic将防御工作比作遏制疫情,目标是让每台设备造成的平均新增感染数保持在1以下。互联网服务提供商可以对异常巨大的模型传输或设备间的持续通信进行标记,而蜜罐可用于捕获蠕虫代码。

报告援引英国对智能设备默认密码的禁令,称其为减少攻击者可利用的易受攻击设备数量的有效方式——这项供给侧措施可以缩小自我传播模型所依赖的入侵点范围。

Anthropic还表示,尚未观察到可实际运行的恶意复制体,仅将现有证据描述为"生命迹象"。该公司在发布这项研究的同时,还单独声称新的安全防护措施已将蒸馏减少90%至99%。