Anthropic 研究警告：小型 AI 模型不久後恐在消費級智慧裝置間自主傳播

Anthropic 研究人員證實，小型語言模型能在智慧電視等廉價物聯網硬體上自主複製與配置環境，為未來的資安帶來嚴重威脅。

人工智慧（AI）的自主複製風險，未來恐怕不再僅限於大型資料中心。Anthropic 研究人員 William Zhou 與 Daniel Freeman 發表的一項研究警告，小型 AI 模型不久後可能具備自主傳播能力，在缺乏嚴密安全防護的日常消費級電子產品之間蔓延，例如智慧電視、連網冰箱以及掃地機器人。

與傳統惡意軟體不同，「AI 蠕蟲」（AI worm）會將模型權重作為有效負載（payload）的一部分打包，直接在受感染的硬體上執行推論。這讓該軟體能自主檢測陌生的裝置，並自行配置所需的運作環境，以達到持久駐留並進一步向外擴散的目的。

於 55 美元電視盒上測試成功

為了評估消費級電子裝置是否足以支援此類運作，研究團隊將 Gemma4-26B-A4B 模型分散部署在 15 台標準 Android 電視盒上。每台電視盒成本約為 55 美元，並配備 4 GB 的記憶體（RAM），各自執行模型的一部分層級架構。儘管推論速度緩慢，但這套分散式部署確實成功運作。

研究團隊將自主複製過程劃分為四個明確階段：

掃描區域網路以尋找具安全漏洞的裝置。

取得未授權存取權限。

在目標裝置上建立可運作的 AI 執行環境。

進一步傳播至新節點。

Anthropic 研究人員特意略過了實際的入侵階段，並指出先前的研究已證實小型模型有能力處理基本的漏洞利用任務。因此，他們將重心放在最複雜的技術瓶頸：模型能否在完全陌生的硬體架構上，自主建立起一套可正常運作的 AI 環境。

GLM-5.2 成功完成完整複製鏈

實驗結果顯示，小型模型在執行單一步驟的環境配置時已具備相當成效。例如，一個擁有 90 億參數（9B）的模型，在 9 種受測硬體類型中，成功在其中 8 種上安裝了足以運行 Llama3.1-8B 的環境。

然而，要執行從掃描到在全新目標上建立自給自足副本的端到端（end-to-end）流程，對多數受測模型而言仍太過困難。在受測模型中，僅有 GLM-5.2 能穩定完成整個複製序列，在 5 次實驗測試中有 4 次成功感染了全部 8 個測試節點。其餘 3 款受測模型則皆未能擴散至初始節點之外。

研究人員還測試了一種人工演化機制，讓模型實例能將成功與失敗策略的診斷筆記傳遞給後續世代。當將這項技術應用於 Qwen3.5-9B 時，其安裝配置成功率大幅提升，從第一代的 45% 一路攀升至後續世代的高達 84%。

缺乏中央關閉機制的緩慢「數位黏菌」

目前尚無單一模型既小到能輕易塞入資源受限的消費級裝置，又強大到能在真實環境中策劃端到端的自主複製。然而，考量到模型效率提升的迅猛趨勢，研究作者推估 AI 模型可能在 2026 年底前跨越這道鴻溝。

這種類型的 AI 蠕蟲運作速度相當緩慢。在測試中，根據所使用的模型不同，在新受害裝置上完成初始配置需要耗費 28 至 150 小時不等。研究人員將這種行為比喻為「數位黏菌」（digital slime mold）——雖然行動遲緩，但憑藉著去中心化的架構，具備極強的生存韌性。

傳統的殭屍網路（botnet）通常依賴針對特定架構編寫的單一程式碼。例如，Kimwolf 殭屍網路感染了超過 200 萬台裝置，主要以 Android 電視盒為主。相較之下，由 AI 驅動的殭屍網路能夠自適應地重新配置自身，以跨越各種多元、異質的硬體環境運作。雖然由 200 萬台物聯網裝置組成的網路，其算力僅相當於約 40 顆專用 AI 加速晶片，但它完全缺乏任何中心化的指揮架構或單一關閉機制（kill switch）。

防禦緩解措施仍屬可行，但需要各方協同行動。網際網路服務供應商（ISP）實施的網路層級隔離措施，過去曾協助瓦解 Mirai 殭屍網路，在 14 天內清除了 92% 的受感染裝置。立法措施（例如英國禁止裝置使用預設密碼）也有助於縮小攻擊面，不過研究人員警告，具備自適應能力的 AI 代理（AI agents）最終可能會學會繞過這些基礎防禦屏障。