Anthropic 研究警告小模型可能 soon 在日常设备间自我复制，Amodei 警告潜在损失达数千亿美元

Anthropic 的一项新研究表明，小型 AI 模型可能只需几个月就能在防护薄弱的消费设备之间自我复制。Anthropic CEO Dario Amodei 警告潜在损失可能高达数千亿美元。

一个 AI 模型从设备复制到设备，自行搭建环境，并不断传播。到目前为止，这类风险主要与数据中心相关。但 Anthropic 研究员 William Zhou 和 Daniel Freeman 的一项新研究表明，它在廉价消费硬件上同样可能实现。

研究人员想弄清楚小型 AI 模型是否已经能够在防护薄弱的物联网设备（如智能电视、智能冰箱或扫地机器人）上自主传播。这样的“AI 蠕虫”会将其模型权重作为恶意软件载荷的一部分，并在被攻陷的硬件上直接运行推理。与传统恶意软件不同，它可以自主探索陌生的硬件，并自行配置以在其中运行。

廉价硬件就足以运行这种攻击

为了测试这是否可行，研究人员将 Gemma4-26B-A4B 模型分布在 15 台现成的 Android TV 盒子上运行。每台价格约 55 美元，配备 4 GB 内存，每个盒子处理模型层的一部分。模型运行缓慢，但确实可行。

研究人员将复制过程分为四个阶段：扫描网络寻找易受攻击的设备、获取访问权限、在新设备上搭建 AI 环境，并从那里继续传播。

他们刻意省略了实际的入侵步骤。早前的研究已经表明，小型模型能够完成这些攻击。相反，他们聚焦于整个链条中最困难的部分：模型能否在一台从未见过的设备上搭建出可用的 AI 环境？

大多数模型都失败了，但有一个已经做到

小型模型已经能较好地完成单个复制步骤。一个 90 亿参数的模型在 9 种受测设备类型中的 8 种上成功搭建了运行 Llama3.1-8B 的 AI 环境。但将所有步骤串联起来——从网络扫描到在新设备上完成一份副本——对大多数模型来说仍然过于困难。只有 GLM-5.2 可靠地完成了完整的复制链条，在五次运行中的四次感染了全部八个测试节点。

研究人员还发现，AI 蠕虫可以从错误中学习。他们测试了一种人工进化形式，每个模型实例将成功和失败策略的记录传递给其后继者。对于 Qwen3.5-9B，成功率从第一代的 45% 攀升到后续世代的高达 84%。

这种蠕虫会很慢，但几乎无法消灭

完全自主的 AI 复制体尚不存在。模型需要小到能在消费设备上运行，又要足够强大以完成自我复制，目前没有模型能同时满足这两个条件。但研究人员表示，如果小型模型继续以当前速度改进，它们可能在 2026 年底之前达到这一水平。

这样的 AI 蠕虫速度会很慢，根据模型的不同，在新设备上完成设置需要 28 到 150 小时。研究人员将这种复制体比作一种“数字黏菌”，但其去中心化的特性正是它难以被关闭的原因。

像 Kimwolf 这样的传统僵尸网络在巅峰时期感染了超过两百万台设备（大多是 Android 电视盒子），但只能在特定设备类型上运行。而 AI 僵尸网络可以在各种硬件上运行。研究人员估计，一个规模与 Kimwolf 相当的僵尸网络，其总算力仅相当于大约 40 颗专用 AI 芯片。但这个网络将没有中央关闭开关。

防御是可能的，但需要协调。互联网服务提供商可以隔离受感染的网络，就像 Mirai 僵尸网络事件中那样，92% 的感染在 14 天内被清除。制造商可以通过禁止默认密码来减少易受攻击设备的数量，正如英国已经通过法律所做的那样。不过研究人员预计，AI 僵尸网络也可能自行适应防御措施。

Amodei 警告互联网可能被全面接管

Anthropic CEO Dario Amodei 在早前的一篇文章中就已经指出了这一场景。鉴于 AI 发展的速度之快，他担心这样的群体“可能在 6 到 12 个月内就能够用一个持久存在的僵尸网络接管整个互联网， potentially 造成数千亿美元的损失。”

Amodei 警告不要把安全事件当作一次性事件。类似但严重程度较低的事件已经在整个行业发生过，包括 Anthropic 自己。他认为，每家领先的 AI 公司都应该表现得好像这种事件已经在自己身上发生过一样。

“作为一项超越我们实验的预测，我们预期未来将充斥着运行在各类硬件上的智能体，其中一些并不受人类控制，”研究人员写道。缓慢的复制体将是更激进、更快速变体出现的早期信号。Cloudflare 已经报告现在使用互联网的机器人比人类更多。

AI News Without the Hype – Curated by Humans

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、每年六期独家“AI Radar”前沿报告、完整档案访问权限以及评论区的访问权限。