Anthropic 的 Frontier Red Team 表示，小型 AI 模型可能距離在廉價、連網的家用裝置間自我複製只剩數個月，且過程中完全不需要資料中心。研究人員警告，這種情境將非常難以控制，因為這類模型在沒有任何中央權威點的情況下將難以關閉。

這項研究於 10 月 12 日發表在 Anthropic 的網站，對任何在家中或小型企業使用智慧家電的人都具有影響。

十五台廉價電視盒，一個 260 億參數模型

研究人員 William Zhou 與 Daniel Freeman 將 15 台雜牌 Android 電視盒串連起來執行 Gemma4-26B-A4B（一個擁有 260 億參數的模型），以示範潛在風險。每台盒子成本約 55 美元，配備 4GB 記憶體。團隊運用稱為管線並行（pipeline parallelism）的技術，將模型層分散到各裝置上。

這 15 台 Android 盒子合計每秒僅產出 0.39 個 token，對任何實際的聊天機器人用途而言都太慢。不過研究人員主張，自我散播的蠕蟲不需要在單一機器上高速運作，實際上觸及大量置反而更有利。

他們也指出 Kimwolf——一個感染了超過 200 萬台多為雜牌 Android 電視的殭屍網路——作為例子，說明人們家中存在多少防護薄弱、容易成為目標的裝置。這起事件點出了此情境的另一面：自我散播模型的關鍵不在於執行速度，而在於它能滲透多少廉價、恆常上線、防護薄弱的裝置——正是讓 Kimwolf 這類殭屍網路得以立足的相同條件。

在受測模型中，沒有任何一個能在保持小到足以在智慧電視上執行的同時，可靠地複製到另一台裝置上。研究人員預期，如果輕量級開源模型持續以目前的速度進步，這個差距將在 2026 年底前消失——這項預測為裝置製造商、網路營運商與安全團隊提供了一個具體的關注時間點。

四個步驟的複製流程，以及一個成功的模型

Anthropic 將複製過程分為四個不同階段：識別目標、取得執行程式碼的能力、設定推論，然後從每台新感染的裝置重複此過程。

研究人員大致擱置了最初的駭入步驟，引用先前的研究指出小型模型已能執行網路攻擊。他們轉而聚焦於第三階段——設定推論，這涉及一連串冗長且與硬體相關的決策。

為了測試整個流程，團隊建立了由八個 Google Cloud 節點組成的隔離網路，每個節點各執行一個 Android 模擬器。一隻預載的蠕蟲透過未設防的 Android Debug Bridge 連接埠在節點間散播，接著架設伺服器來執行 Llama3.1-8B。在受測的開放權重模型中，只有中國 Z.ai 開發的 GLM-5.2 完成了完整的複製循環，在五次執行中有四次觸及了全部八個節點。

這些模型在跨世代散播時，自我設定的成功率越來越高。當 90 億參數的 Qwen3.5-9B 模型實例將設定筆記傳遞給後繼者時，成功率從第一代的 45% 提升到後續世代的 61% 至 84% 之間。個世代躍進之所以重要，是因為它顯示相關訣竅可以傳承：每個新實例繼承了可行的設定筆記，而不必從零開始解決硬體難題。

為什麼去中心化蠕蟲難以消滅

Anthropic 特別解釋，在這種情境下，原始速度並非主要問題。該公司估計，在這些電視盒上設定 26B 模型將耗時 71 至 150 小時。更大的風險在於持續性：由於沒有中央伺服器或人為操作者可將系統關閉，它可能躲過一般用於圍堵與停用的方法。

路易斯維爾大學（University of Louisville）AI 與網路安全專家 Roman V. Yampolskiy 稱這些發現非常重要。他認為，AI 驅動的蠕蟲可能超越傳統惡意軟體，能夠推論陌生裝置、在方法失敗時進行調整，並在無人干預下持續散播。雖然他認為它們如今並非存在性威脅，但他警告其發展令人擔憂。

「家庭與小型企業的 IoT 裝置可能是這類攻擊的首要目標，因為它們連上網際網路，而且歷來只有極少的安全防護措施，」Zhou 與 Freeman 在 Anthropic 的文章中寫道。

防禦方仍具優勢

Anthropic 將防禦工作比作圍堵疫情，目標是讓每台裝置造成的平均新感染數保持在 1 以下。網路供應商可以標記異常龐大的模型傳輸或裝置間的持續通訊，而蜜罐（honeypot）則可用來擷取蠕蟲的程式碼。

報告引用英國禁止智慧型裝置使用預設密碼的規定，作為減少攻擊者可利用的易受攻擊裝置數量的有效方法——這是一項縮小自我散播模型所依賴的入侵點池的供給面措施。

Anthropic 也表示，目前尚未觀察到可運作的流氓複製者，並將現有證據僅描述為「生命跡象」。該公司在發表這項研究的同時，另聲稱新的防護措施已將蒸餾減少了 90% 至 99%。