Anthropic示警AI模型恐自主拷贝扩散至智能家电 小型模型年底前可能具备能力

人工智能(AI)安全风险再添新警讯。开发Claude聊天机器人的Anthropic于10月12日发布最新研究，指出小型AI模型可能在未来数月内具备自主拷贝并通过物联网(IoT)设备扩散的能力，潜在目标包括智能烤箱、智能冰箱、扫地机器人、智能电视盒及其他连网家电。研究团队估计，如果小型模型持续以过去的速度进步，具备端到端自主拷贝能力的模型可能在2026年底前出现，进一步增加网络安全防御难度。

Anthropic的研究团队指出，这类威胁可称为自主拷贝与适应(Autonomous Replication and Adaptation, ARA)，意指AI模型能在缺乏人类直接控制的情况下，将自身部署至其他设备、拷贝模型权重，并持续向其他系统扩散。若这项能力与网络攻击技术结合，便可能形成类似电脑蠕虫的「AI蠕虫」(AI worm)，不仅能自行寻找新目标，也可能在感染其他设备后，继续运行攻击及拷贝任务。

过去，AI模型通常需要仰赖大型数据中心与高性能GPU运算，但Anthropic认为，发动此类攻击未必需要昂贵的运算基础设施。许多家用及商用IoT设备长期存在安全防护不足、运算资源闲置及更新机制不完善等问题，攻击者可能利用这些弱点，将大量低成本设备串联成分布式运算网络，让AI模型直接在遭入侵的硬件上运行推论，并利用设备本身的运算能力继续扩散。

Anthropic在实验中，将Gemma4-26B-A4B模型分散部署至15台低价、非知名品牌的Android电视盒，每台购置成本约55美元，合计约825美元。每台电视盒配备4GB内存，研究人员通过分布式推论架构，将模型拆分成不同部分，让多台设备共同运行运算，实测速度约为每秒0.39个Token。研究显示，即使是原本不以AI运算为主要用途的消费性电子设备，只要具备适当的软硬件条件，也可能成为分布式AI运算网络的一部分。

在硬件兼容性测试方面，Anthropic发现，参数规模约90亿(9B)的模型，已能在测试的9种硬件类型中，成功于8种硬件上创建推论运作环境。至于参数规模在300亿(30B)以下的小型模型，现阶段已能完成自主拷贝所需的多项个别任务，但将所有步骤串接起来时，仍可能出现错误。

研究团队将自主拷贝流程拆分为四个阶段，包括搜索可利用的目标设备、取得运行权限、在遭入侵设备上创建AI推论环境，以及继续向其他设备传播。Anthropic指出，真正困难的环节之一，是让模型在陌生硬件上自行选择兼容的推论框架、安装正确版本的软件套件，并处理操作系统与硬件架构差异所引发的问题。

在一项受控测试中，Anthropic使用8个运行Android 15仿真环境的Google Cloud Platform节点，创建隔离的虚拟私人云端网络，并通过未经身分验证的Android Debug Bridge (ADB)连接端口，仿真模型从一台设备向下一台设备传播的过程。研究团队测试了11种开放权重模型，涵盖阿里巴巴、DeepSeek、Google、Meta、MoonShot AI、OpenAI及智谱AI等机构的模型。

结果显示，在这组受测模型中，GLM-5.2是唯一能可靠完成端到端拷贝流程的模型。实验中，该模型在5次测试里，有4次成功将拷贝流程扩散至全部8个节点，另1次则成功抵达其中7个节点。不过，研究人员特别指出，这项实验简化了网络入侵阶段，节点之间没有设置身分验证，因此结果只能视为模型在特定条件下的能力上限，不能直接等同于现实网络攻击的成功率。

Anthropic根据小型开放权重模型过去的能力成长趋势进行估算，指出相关模型在Epoch Capabilities Index (ECI)能力指针上的进步速度约为每年13.7点，趋势线的拟合程度R²为0.95。若这项成长趋势持续，参数规模较小的模型可能在2026年底前达到GLM-5.2在实验中展现的能力门槛。不过，ECI只是一般模型能力的代理指针，并非直接衡量自主拷贝能力，因此年底的时间预估仍存在不确定性。

研究也评估了这类AI蠕虫的扩散速度。由于低成本IoT设备的运算能力有限，模型可能无法像传统恶意程序一样快速传播，而是采取缓慢、持续的方式扩张。以Gemma4-26B-A4B为例，在研究所使用的设置下，完成一个32K Token的上下文窗口约需27.3至31.8小时，完成推论环境部署的完整流程则估计需要71至150小时。Qwen3.5-9B完成一个相同规模上下文窗口约需10.9小时，完整推论环境部署约需28至51小时。

研究团队进一步以过去曾感染超过200万台设备的Kimwolf物联网僵尸网络作为参考，估算若有相同规模的电视盒被组成AI运算网络，每15台设备共同运行一份Gemma4-26B-A4B模型，理论上可形成约13.3万份模型副本。每组15台设备约可同时支持两个AI代理程序运作，各自速度约为每秒0.3个Token，整个网络合计约可提供每秒8万个Token的推论吞吐量。

作为比较，单张NVIDIA H100 GPU在高并发及推测解码条件下，运行Gemma4-26B-A4B的推论速度约为每秒1,950个Token。依据Anthropic的估算，上述由数百万台电视盒构成的网络，其整体推论能力约相当于40张H100 GPU。这代表分布式IoT网络的运算效率仍远低于专业数据中心，但若攻击者能持续扩大受感染设备数量，仍可能创建难以完全清除的分布式AI运算基础设施。

Anthropic也指出，AI蠕虫与传统恶意程序的差异，在于模型可能具备适应陌生环境及累积经验的能力。当一个模型在特定硬件或操作系统上成功完成部署后，可能将代码、操作纪录及先前的错误处理经验传递给下一个副本，让后续运行个体提高在相同环境中部署成功的几率。这种随着扩散累积经验的机制，可能使AI蠕虫更容易适应不同设备与网络环境。

除了直接入侵IoT设备，Anthropic也列出其他可能的扩散途径，包括窃取AI服务的API密钥或平台凭证，利用合法服务管道运行模型；以及尝试入侵数据中心，取得更强大的运算资源。大型模型也可能将自身运算需求拆分至多台设备，或利用被入侵的帐户及运算服务扩大部署规模。不过，通过API凭证进行拷贝的方式，可能因异常使用纪录而被服务供应商发现，进而遭到停用。

研究团队警告，若AI蠕虫分散在大量不同设备上，便可能不存在单一中央服务器或控制点可供管理者直接关闭。即使部分感染设备遭到清除，其他设备仍可能持续运作并尝试扩散。Anthropic因此主张，业者应强化连网设备的安全防护，并为未来可能出现的自主拷贝系统预先制定应变机制。

不过，这项研究并不代表目前已出现能在真实环境中完全自主拷贝、持续感染家用电器的AI蠕虫。Anthropic承认，研究尚未展示一个能在现实IoT网络中，独立完成所有入侵、拷贝及持续扩散步骤的完整失控系统，现阶段的实验主要用于验证相关技术环节是否可行。

部分资安专家也对威胁的迫切程度提出质疑。英国国家网络安全中心前主管Ciaran Martin认为，Anthropic的研究虽然具有技术参考价值，但将小型模型在低价电视盒上运作的成果延伸为重大安全危机，可能带有过度渲染的成分。研究人员则强调，尽管完整攻击情境尚未实现，但当AI模型逐渐具备自行处理多个复杂步骤的能力时，相关风险就值得提前评估。

美国科罗拉多大学丹佛分校计算机科学与工程助理教授Zhengxiong Li指出，在受控环境中展示的能力仍值得关注，因为若AI能够自行寻找利用方式、适应设备差异并持续传播，就可能形成难以通过单一控制点阻断的威胁。乔治城大学安全与新兴技术中心资深研究分析师Jessica Ji则认为，考量近期出现的AI非预期行为案例，自主扩散的情境并非完全不可能，但目前仍无法确定其实际发生几率。

Anthropic的研究显示，AI安全问题正逐渐从模型本身的能力限制，延伸至模型部署后能否自主取得运算资源、跨越设备边界并持续存活。即使小型模型的运算速度不及数据中心GPU，只要能利用大量低防护设备形成分布式网络，仍可能带来不同于传统网络攻击的防御挑战。研究团队认为，现阶段应优先强化IoT设备的访问控制、身分验证与安全更新机制，同时创建能应对自主扩散型AI威胁的长期防御策略。