根据 Anthropic 的一项新研究，小型 AI 模型可能只需几个月就能在安全性较差的消费级设备之间自我复制。Anthropic CEO Dario Amodei 警告称，潜在损失可能高达数千亿美元。
一个 AI 模型可以从一台设备复制到另一台设备，自行完成部署，并持续扩散。到目前为止，这类风险主要与数据中心相关。但 Anthropic 研究人员 William Zhou 和 Daniel Freeman 的一项新研究表明，它在廉价的消费级硬件上同样可行。
研究人员想弄清楚小型 AI 模型是否已经能够在安全性较差的 IoT 设备上自行传播，比如智能电视、智能冰箱或扫地机器人。这样的“AI 蠕虫”会把模型权重作为恶意软件载荷的一部分携带，并直接在受感染的硬件上运行推理。与传统恶意软件不同，它可以自行探索陌生的硬件，并配置自己在上面运行。
廉价硬件就足以发动这种攻击
为了测试这是否可行，研究人员将 Gemma4-26B-A4B 模型分布式运行在 15 台现成的 Android TV 盒子上。每台售价约 55 美元，配备 4 GB 内存，每台盒子负责处理模型的一部分层。模型运行缓慢，但确实能跑起来。
研究人员将复制过程拆分为四个阶段：扫描网络寻找易受攻击的设备、获取访问权限、在新设备上搭建 AI 环境，以及从那里继续扩散。
他们刻意省略了实际的入侵步骤。此前的研究已经表明，小型模型能够完成这些攻击。相反，他们把重点放在这条链条中最困难的部分：模型能否在一台它从未见过的设备上搭建起可用的 AI 环境？
大多数模型都失败了，但已经有一个模型做到了
小型模型已经能相当好地处理单个复制步骤。一个 90 亿参数的模型在 9 种受测设备类型中的 8 种上，成功搭建了运行 Llama3.1-8B 的 AI 环境。但把所有步骤串联起来，从网络扫描到在新设备上完成复制，对大多数模型来说仍然太难。只有 GLM-5.2 可靠地完成了完整的复制链，在五次运行中有四次感染了全部八个测试节点。
研究人员还发现，AI 蠕虫可以从自己的错误中学习。他们测试了一种人工进化形式，即每个模型实例把成功和失败策略的笔记传给后继者。对于 Qwen3.5-9B，成功率从第一代的 45% 攀升到后续世代的最高 84%。
这种蠕虫会很慢，但几乎无法被杀死
完全自主的 AI 复制体目前还不存在。模型需要小到能在消费级设备上运行，又要足够有能力复制自身，目前没有任何模型同时满足这两个要求。但研究人员表示，如果小型模型保持当前的发展速度，它们可能在 2026 年底前达到这一水平。
这样的 AI 蠕虫会很慢，在新设备上的部署根据模型不同需要 28 到 150 小时。研究人员将这种复制体比作“数字黏菌”，但正是其去中心化的特性让它难以被关停。
传统僵尸网络如Kimwolf，在其巅峰时期感染了超过两百万台设备（大多是 Android TV 盒子），但只能在特定设备类型上运行。AI 僵尸网络则可以在各种硬件上运行。研究人员估计，在一个规模与 Kimwolf 相当的僵尸网络中，总算力大约只相当于 40 块专用 AI 芯片。但这个网络没有中央关闭开关。
防御是可能的，但需要协调。ISP 可以隔离受感染的网络，就像Mirai 僵尸网络，其中 92% 的感染在 14 天内被清除。制造商可以通过禁止默认密码来缩小易受攻击设备的范围，英国已经通过法律这样做了。不过，研究人员预计，AI 僵尸网络也可能自行适应防御措施。
Amodei 警告称可能出现全面互联网接管
Anthropic CEO Dario Amodei 在此前的一篇文章中已经指出了这一情景。鉴于 AI 发展如此迅速，他担心这样的集群“可能在 6 到 12 个月内具备用持久性僵尸网络接管整个互联网的能力，可能造成数千亿美元的损失。”
Amodei 警告不要将安全事件视为孤立事件。整个行业都发生过类似但没那么严重的事件，包括在 Anthropic 自身。他认为，每一家领先的 AI 公司都应该像这样的事件发生在自己身上一样采取行动。
“作为一个超出我们实验范围的预测，我们预计未来会充斥着运行在各种硬件上的智能体，其中一些并不受人类控制，”研究人员写道。缓慢复制者将是更激进、更快速变体的早期迹象。Cloudflare 已经报告现在使用互联网的机器人比人类还多。