Anthropic 內部負責測試模型風險的紅隊 Frontier Red Team 日前發表研究報告，指實驗顯示小型 AI 模型可能在數月內具備能力，於智能焗爐、雜牌 Android TV 盒等商用物聯網（IoT）裝置上自我複製，變成毋須人手操作、帶同模型本身逐部裝置擴散的「AI 蠕蟲」。Anthropic 承認現時未有模型能可靠做到，亦未出現完全失控的複製體，但指這類複製體一旦出現，會因為沒有可以關掉的中央節點而難以關閉。報告反映防護薄弱的廉價聯網裝置，可能成為 AI 攻擊的運算資源。
現時未有模型做得到，年底前或達門檻
這份報告屬能力評估及推算，並非已發生的攻擊事件。Anthropic 表示，30B（300 億）參數或以下的模型現時已可完成複製過程中不少個別步驟，只是把步驟首尾串連時會出錯，所以現時沒有模型既夠細小、又有能力在受測的電視盒上可靠地自我複製。
「數月內」的說法來自對模型進步速度的推算。在 Anthropic 的簡化測試中，受測的開放權重模型只有大型模型 GLM-5.2 完成整個複製流程，即端對端複製。Anthropic 估計，小型模型若按過往速度進步，今年底前會追上 GLM-5.2 的能力水平，小型的權重式複製體其後不久可能出現；團隊亦提醒，推算所用的 Epoch Capabilities Index 只是整體能力指標，時間屬粗略估計。
這在現階段並非關乎存亡的威脅，但發展趨勢令人憂慮。
AI 蠕蟲帶同模型權重，可自行摸索陌生裝置
蠕蟲（worm）是毋須人手操作、自行由一部電腦複製到另一部的程式。AI 蠕蟲的分別在於複製時帶同模型權重（model weights，即 AI 模型經訓練得出的參數檔案）及運行推理所需的軟件，或由公開平台重新下載權重，然後直接在被入侵的硬件上運行，權重等於成為惡意程式酬載（payload）的一部分。Anthropic 稱這類程式為 weight-based replicator。
Anthropic 把自主複製分為 4 個階段：尋找目標、取得執行權限、建立推理環境，以及由新主機繼續擴散。報告引用早前研究，指小型模型已有能力掃描網絡及利用漏洞，取得合適工具時尤其如此，所以今次實驗基本上略過首 2 個階段，集中量度較少人研究的一環，即模型能否在被入侵裝置上自行架設推理環境。
AI 蠕蟲與傳統惡意程式的另一分別是適應力。曾感染超過 200 萬部裝置、主要是雜牌 Android TV 的殭屍網絡（botnet）Kimwolf，把攻擊方法寫死在程式內，只針對單一類裝置；Anthropic 指 AI 蠕蟲則可自行摸索不熟悉的裝置，上述學者亦認為它會在方法失敗時調整，並在沒有人操作下繼續擴散。Anthropic 報告指，小型模型 Qwen3.5-9B 每一代副本把筆記留給下一代後，架設推理的成功率由第一代的 45% 升至其後的 61% 至 84%，向更強的顧問模型求助則沒有顯著改善。
15 部 55 美元電視盒已能合力運行模型
為驗證廉價裝置的運算力是否足夠，Anthropic 買入 15 部雜牌 Android TV 盒，每部約 55 美元（約港幣 HK$430），15 部合共約 825 美元（約港幣 HK$6,435），連成網絡後把 Gemma4-26B-A4B 模型分散到各盒運行，速度為每秒 0.39 個 token。另一個 9B（90 億）參數模型 Qwen3.5-9B 則在 9 類受測硬件中的 8 類成功架設推理環境。
端對端複製的測試條件則簡化得多。Anthropic 在 8 個運行 Android 15 模擬器的 Google Cloud 節點上，讓蠕蟲經毋須認證的 ADB 埠（Android 的除錯介面）逐個節點擴散。GLM-5.2 在 5 次測試中有 4 次覆蓋全部 8 個節點，餘下 1 次到達 7 個；惟 GLM-5.2 本身在另一部推理伺服器運行，在各節點架設的是較小的 Llama 3.1 8B，並非複製自己，Anthropic 亦形容這個結果是現實成功率的上限。
數據中心固然是高價值目標，研究人員卻認為家庭及小型企業的 IoT 裝置可能首當其衝，因為它們連接互聯網，保安措施向來薄弱，智能電視、雪櫃、焗爐及剪草機都屬此類。以 Kimwolf 的規模推算，Anthropic 估計每 15 部裝置合組一個模型，可支撐約 133,000 個 Gemma4-26B-A4B 副本，合共每秒約 80,000 個 token，最多約等於 40 張 H100 GPU 的推理能力，團隊形容這個運算量很小。
沒有中央節點難以關閉，但擴散慢且易被偵測
Anthropic 形容這類複製體「難以關閉」，原因是模型在被入侵裝置本地運行，沒有可以關掉的中央節點。Yampolskiy 亦指出，一旦自主複製結合強大的入侵、持續潛伏及策略推理能力，背後可能沒有單一伺服器或機構控制，要關閉就困難得多。
代價是速度。Anthropic 表示這類複製體可能擴散得很慢，倍增時間以日計；按電視盒的實測速度估算，Qwen3.5-9B 架設推理環境約需 28 至 51 小時，Gemma4-26B-A4B 更要 71 至 150 小時。相比之下，傳統惡意程式在目標符合預設時數秒內便可執行酬載，傳統蠕蟲數分鐘就能擴散到數以萬計的目標。
擴散過程亦難以隱藏，因為搬運數 GB 的模型權重及維持分散式推理，會在裝置之間產生大量流量。Anthropic 因此以疫情比喻防禦，目標是把每宗感染的傳播率壓到 1 以下，方法包括流量監測、蜜罐（honeypot）及由互聯網供應商（ISP）隔離受感染裝置。報告引用 IoT 殭屍網絡 Mirai 的個案：有 ISP 隔離並通知受感染用戶後，92% 感染在 14 日內清除，沒有通知的則為 74%。
企業 IT 團隊要盤點聯網裝置並分隔網段
與今次研究最直接相關的，是 IT Manager、資訊保安主管，以及在門市、會議室或辦公室使用聯網裝置的中小企。辦公室的電視盒、智能電視及智能家電若連接互聯網而防護薄弱，同樣可能被用作運算資源或入侵跳板。IT 團隊可先盤點這類裝置，尤其是雜牌、已沒有更新支援的型號。
實驗中蠕蟲的擴散途徑是毋須認證的 ADB 埠，所以下一步是檢查裝置有否開放毋須認證的管理或除錯埠，並把 IoT 裝置與業務系統分隔到不同網段。這類蠕蟲要搬運數 GB 權重，又要持續在裝置之間通訊，內部網絡監測可把 IoT 裝置之間出現異常大流量列為警示條件。採購新裝置時，亦可向供應商查詢保安更新年期，以及除錯介面是否預設關閉。
AI 蠕蟲尚未成真，擴散速度亦遠遜傳統惡意程式，但它何時跨過門檻，按 Anthropic 的推算取決於小型模型的進步速度。在此之前先處理好廉價聯網裝置，是企業現階段最實際的準備。
來源：Anthropic
