Anthropic警告AI蠕虫风险:小模型可能在联网设备间自主扩散

文 | 星辰营伙伴  Art0r1as

编 | Art0r1as

当AI智能体开始理解陌生硬件、部署模型并持续执行任务，网络安全面临新的挑战。

2026年10月12日，Anthropic发布一项关于AI自主复制能力的最新研究，提出一个值得网络安全行业关注的风险：未来数月内，小型AI模型可能逐步具备在消费级物联网（IoT）设备上自主复制、运行并继续传播的能力。智能电视盒子、智能家电以及其他联网终端，都可能成为这类风险的潜在载体。

这项研究的重点，是AI能否在没有人工持续干预的情况下，寻找可用设备、让模型在陌生硬件上运行，并继续完成复制过程。Anthropic的实验显示，一些模型已经能够完成其中多个关键环节，能力较强的模型也在简化测试环境中完成了端到端的复制流程。

这距离现实世界中出现能够稳定传播、长期存活的AI蠕虫，仍有一段距离。Anthropic的研究并未证明此类威胁已经大规模出现，却揭示了一个正在缩小的技术缺口：当AI具备更强的代码执行、环境适配和自主任务规划能力，恶意软件可能获得过去依赖人工开发和维护才能实现的适应能力。

01从传统网络蠕虫到AI蠕虫，威胁模型正在发生变化

计算机蠕虫并非新概念。传统蠕虫通常通过网络漏洞、弱密码或错误配置进入设备，再利用预设的传播逻辑寻找下一台目标机器。只要目标环境符合攻击者事先设计的条件，恶意程序就能继续扩散。早期Mirai等物联网僵尸网络已经证明，安全防护薄弱的联网设备能够被大规模利用。

AI蠕虫可能在这个基础上增加一层自主适应能力。具备工具调用和代码执行能力的智能体，可以根据环境信息分析操作系统、硬件架构和软件依赖，尝试解决部署过程中的问题。当某个方案无法运行时，它还可能调整策略，继续寻找可行路径。

这意味着，攻击者未来可能不必为每一种设备都提前编写完整的传播脚本。一个具有足够能力的智能体，理论上可以根据不同设备的实际情况调整执行方式，并尝试在新环境中恢复运行。

Anthropic将这类研究对象归入“自主复制与适应”（Autonomous Replication and Adaptation，ARA）的范畴。对于AI蠕虫而言，模型权重、执行工具和相关运行环境都可能成为传播载荷的一部分。模型进入新的设备后，可以在当地硬件上运行推理，再尝试寻找下一处可用的计算资源。

这种设想带来的安全压力，来自几个能力的组合：网络环境识别、代码执行、模型部署和持续任务规划。单独看，每项能力都有正常用途；当它们被不受控制的程序串联起来，就可能形成持续扩散的攻击链。

物联网设备尤其值得关注。大量低成本电视盒子、摄像头、路由设备和智能家电长期连接网络，厂商提供的安全更新可能有限，设备也未必具备完善的日志记录和入侵检测能力。部分设备还拥有足以支持轻量级模型推理的内存与处理能力。它们的计算资源单独看并不起眼，数量庞大且分布广泛时，却可能形成难以统一管理的设备网络。

02Anthropic实验揭示了哪些技术进展

此次研究的一项重要发现，是小型模型已经能够在多种不同硬件环境中完成推理部署。Anthropic测试了多个模型在不同设备上配置推理环境的能力，其中一个约90亿参数的模型，在测试的9类硬件中，有8类成功运行了推理任务。

研究还展示了一个更直观的实验：研究人员将一款总参数规模约260亿的Gemma模型拆分到15台低成本安卓电视盒子上运行。每台设备只负责模型的一部分，设备通过协同完成推理，整体生成速度约为每秒0.39个token。

这项实验并不意味着一台普通电视盒子就能独立运行大型模型。它展示的是分布式推理的可行性：当模型能够拆分成多个部分，并由多台设备共同承担计算任务时，低算力终端也可以成为更大模型运行环境的一部分。

研究进一步测试了智能体能否将多个环节组合起来，在设备之间自主完成复制。Anthropic搭建了一个由8个Google Cloud节点组成的隔离测试环境，各节点运行Android 15模拟环境。实验简化了部分网络安全条件，以便研究模型在发现目标、传递载荷和建立推理服务等环节中的能力。

在这一测试中，GLM-5.2是研究团队测试的开放权重模型里，唯一能够完成端到端复制流程的模型。它在5次测试中，有4次传播到了全部8个节点，另一次传播到了7个节点。

这项结果需要结合实验边界理解。测试环境中使用了未进行身份验证的ADB端口，部分入侵环节被刻意简化，研究重点放在智能体能否完成后续的部署与复制。因此，实验结果不能直接等同于模型能够突破现实世界中经过妥善防护的设备和企业网络。

真正值得注意的是，研究已经观察到多个关键环节具备较高可行性。对于参数规模不超过300亿的模型，许多复制所需的单项任务已经能够完成；主要障碍仍在于模型能否可靠地把这些任务连续组合起来，并在复杂环境中处理错误。

Anthropic根据模型能力的历史增长趋势估计，如果小型模型继续以类似速度进步，具备相应能力的模型可能在2026年年底前出现。这个时间判断属于基于趋势的预测，受到模型进步速度、实际硬件条件以及网络防护水平等因素影响。

03为什么物联网设备可能成为新的计算资源入口

AI蠕虫的风险不只在于感染设备数量增加，还在于它可能将被控制的终端转化为持续运行模型的分布式计算节点。

传统僵尸网络通常把感染设备用于发起流量攻击、代理通信或执行简单任务。AI驱动的恶意程序则可能进一步尝试在受感染设备上运行模型，利用模型分析新环境、生成适配代码，并处理此前没有遇到过的部署问题。如果它能够稳定完成这些任务，传播过程就可能减少对远程控制服务器和人工操作的依赖。

这也解释了为什么Anthropic特别关注低成本物联网设备。研究团队指出，设备上的内存虽然有限，但通过模型量化、拆分和多机协同，仍可能运行一定规模的模型。越来越多的摄像头、会议设备和其他终端还开始集成面向本地AI任务的芯片，未来可被利用的边缘计算资源可能进一步增加。

研究估计，这类蠕虫的传播速度未必很快。受限于边缘设备的算力和模型推理速度，复制过程可能需要数天才能实现一次规模翻倍。但传播缓慢并不意味着威胁容易处理：如果感染节点分布广泛，设备之间能够继续建立联系，安全团队就可能难以通过关闭单一服务器终止整个网络。

另一个需要关注的变化，是模型适应陌生环境的能力。传统恶意软件往往依赖固定的漏洞利用逻辑；具备代码生成和推理能力的智能体，理论上可以根据设备差异调整方案。当某个环境无法运行既定程序时，它可能尝试修改依赖、调整配置或选择其他执行路径。这种适应性会提高防守方识别和复现攻击行为的难度。

不过，自主适应并不意味着攻击能力没有边界。模型仍会受到硬件资源、网络权限、漏洞可利用性、任务可靠性和运行成本等条件限制。即使某个模型能够在简化环境中完成复制，也不能据此推断它能够在所有设备上稳定传播，更不能推断它已经具备不受约束的自主意识。

对于企业来说，风险还可能通过凭据泄露和云资源滥用扩大。研究讨论了另一种潜在路径：智能体窃取API密钥或平台账号，利用合法接口继续调用模型服务。这种方式与直接在被感染设备上运行模型有所不同，但同样说明身份凭据、云端权限和运行环境的安全管理将成为AI时代的重要防线。

04从模型安全到设备安全，防护体系需要同步升级

面对AI蠕虫风险，防护工作需要覆盖模型、智能体运行环境、网络权限和终端设备。单靠模型自身拒绝执行危险指令，很难覆盖所有可能的攻击路径；即便模型的安全训练持续改善，系统仍需要通过外部控制限制它能够访问的资源和执行的操作。

首先，企业应为AI智能体设置明确的运行边界。智能体不应默认拥有不受限制的网络访问、命令执行权限或文件系统权限。涉及外部系统、生产环境、凭据和高风险操作的任务，应采用最小权限原则，并在必要时要求人工审批。对智能体的操作记录进行持续审计，也有助于发现异常的网络访问、代码执行和权限使用行为。

其次，联网设备需要更严格的基础安全管理。及时更新固件、替换停止维护的设备、关闭不必要的远程管理接口、修改默认密码，并将物联网设备与核心业务网络进行隔离，能够减少设备被利用的机会。企业还应关注设备异常出站流量、非预期的模型推理进程以及不符合业务规律的计算资源消耗。

对于AI平台和模型开发者，研究也提示了评估范围的变化。安全测试需要检查智能体能否在长时间任务中持续执行高风险操作，能否在获得工具权限后突破预设边界，以及多个能力组合起来后是否产生单项测试中不易暴露的风险。隔离测试环境、严格的网络出口控制、凭据管理和快速终止机制，都应成为部署自主智能体时的重要设计要素。

最后，AI蠕虫研究也提醒行业关注开放权重模型和边缘计算的双重影响。开放权重有助于研究、创新和本地部署；边缘设备则让AI应用可以在更靠近用户的位置运行。两者都具有明确的产业价值。与此同时，模型能力越来越容易在不同环境中复用，设备厂商、模型开发者、云服务商和企业安全团队需要共同完善风险评估与响应机制。

Anthropic此次研究描绘的是一个仍在形成中的威胁场景。实验已经证明，小型模型可以适配多类硬件，部分模型也能在简化条件下完成自主复制流程；现实世界中的可靠传播能力，则仍取决于模型性能、设备安全、网络条件和攻击者可利用的权限。

AI智能体正在从回答问题走向调用工具、操作软件和执行长流程任务。它们获得的行动能力越强，安全评估就越需要从单次输出扩展到整个执行过程。未来的网络安全挑战，将越来越多地取决于系统能否限制智能体的权限、监测它的实际行为，并在异常发生时及时切断传播路径。

对行业而言，现在最有价值的工作，是把仍处于实验和预测阶段的风险转化为可测试、可监控、可处置的安全问题，在大规模部署之前建立相应的防护能力。