Anthropic实测AI蠕虫：电视盒跑满大模型，年底或失控

Anthropic研究团队用15个廉价的安卓电视盒证明了一件事：小型AI模型可能只需数月，就具备在商用物联网设备上自我复制的能力。这不是实验室推演，而是实打实的硬件测试——他们将谷歌的260亿参数开源模型Gemma4－26B－A4B分布式部署在这组单价约55美元的电视盒上，每台设备的内存仅4GB，运行以每秒0．39个token的速度艰难推进。研究指出，这类“数字黏菌”虽扩散缓慢，却难以清除，因为不存在可集中关停的节点。更关键的是，实验显示GLM－5．2已完成端到端复制流程的闭环，而参数量仅90亿的Qwen3．5－9B甚至能通过跨代笔记传递实现能力进化——单此一项，就将部署成功率从45％推升至84％。

从代码助手到自主蠕虫：AI能力边界的又一次跨越

传统恶意软件依赖人类黑客编写漏洞利用代码，而本次Anthropic研究的焦点是另一种形态的威胁：自主复制与适应（ARA）。自2023年起，学界就开始关注这一概念，它指的是AI模型在脱离人类控制的情况下，主动寻找计算资源并复制自身的过程。在这种模式下，AI不再是被动执行指令的工具，而是能自行扫描网络、寻找目标、注入自身副本，并在新宿主上启动推理服务的主动体。

Anthropic将这种威胁称为“基于权重的复制体”（weight－based replicator）。与以往需要Root权限才能持久化的恶意软件不同，权重型复制体仅需用户空间即可运行推理引擎，这意味着它们甚至可以绕过权限提升步骤，直接感染那些安全性极低的历史设备。由于不需要管理员级别的权限，这类蠕虫的攻击面被极大拓宽了。

实验中，研究人员搭建了一个由8个运行Android 15模拟器的云端节点组成的隔离环境。在这个简化场景下，他们让不同大小的开源模型尝试完成完整的复制链：发现目标→获取执行权限→设置推理服务→继续传播。结果令人警醒——参数量300亿以下的模型已能独立完成复制所需的许多单个步骤，但在串联执行时容易出错。唯有智谱的GLM－5．2完成了端到端的完整流程，5次试验中有4次覆盖了全部8个节点。

值得注意的细节是，Anthropic故意保持了网络攻击环节的简单性——ADB端口无需认证即可连接。研究者坦言，这是真实世界成功率的“上限估计”。即便如此，过去IoT僵尸网络如Mirai和Kimwolf也曾通过类似的简单手段感染了超过200万台设备。还有像Fritzfrog这样的蠕虫，专门针对家庭路由器利用默认凭据进行传播，这也充分证明了即使是最基础的权限获取方式，也足以构成大规模传播的基础。

比Mirai更可怕的是：能思考的AI蠕虫来了

传统僵尸网络的威胁在于其数量——数百万台受感染设备形成的分布式算力，理论上最多仅相当于约40块英伟达H100芯片。然而，Anthropic的研究揭示了一个更深层的风险：AI驱动的蠕虫不仅能在数量上复制，还能在质量上进化。 这一点彻底改变了网络安全领域的博弈逻辑。

在部署推理服务的测试中，阿里巴巴旗下的Qwen3．5－9B展现出了令人不安的学习能力。每一代复制体都会记录失败教训并传递给下一代——这就是所谓的“代代相传”机制。首次部署的成功率为45％，但在后续几代中，随着经验积累，成功率稳步攀升至61％－84％。这意味着，一旦某种AI蠕虫开始扩散，它会像生物病毒一样进行自然选择，逐渐优化自身的感染策略。它不再需要等待黑客手动发布补丁，而是靠自己找出最完美的入侵路径。

研究将其比作“数字黏菌”——速度慢但顽强、分散。以Qwen3．5－9B为例，单次复制环境的搭建约需28至51小时，翻倍时间以天计，远慢于传统恶意软件的指数级爆发。但正是这种“慢速”特征，使得防御变得更加困难：它不会触发大规模流量异常警报，也不会像传统病毒那样引起安全厂商的高度警觉。因为它不是在进行高强度的DDoS攻击，而更像是一个耐心潜伏的间谍，悄无声息地在一个又一个设备间转移。

Anthropic估算，如果小型模型保持历史进步速度，300亿参数以下的模型有望在今年底达到GLM－5．2的能力水平，基于小模型的自我复制体可能随后出现。研究团队强调，这只是一种粗略推算，而非确定性预测。但可以肯定的是，门槛正在快速降低——从数据中心GPU到廉价的智能家居设备，任何联网且缺乏安全防护的终端都可能成为下一个感染节点。

谁该为此买单：IoT供应链与安防产业的新考题

研究虽然尚未触及大规模攻击的现实阶段，但已经为相关产业链发出了明确信号。对于IoT设备制造商而言，合规与安全改造的压力可能在未来一年内显著上升。当前市场上大量非知名品牌电视盒、智能烤箱等设备普遍采用未添加安全特性的Android系统分支，且内存配置通常仅有1－4GB——这样的硬件环境恰好能满足小规模模型推理的需求，却几乎没有任何防御能力。这些设备往往是一锤子买卖，消费者买了之后就不再过问更新，成了天然的温床。

网络安全公司则需要提前布局新型防御方案。研究本身也提出了应对建议：大规模复制会产生明显的网络流量异常，运营商可以通过识别这些异常模式来定位受感染设备。此前应对Mirai僵尸网络时，曾有运营商通过隔离并通知受感染用户，在14天内清除了92％的感染。但面对具有自主学习和适应能力的新世代蠕虫，传统的隔离手段可能需要大幅升级。未来的IDS／IPS系统将不得不集成AI行为分析模块，去判断哪些流量属于正常的远程调试，哪些属于恶意的自我复制。

对企业IT基础设施管理者来说，风险传导路径同样清晰：个人和家庭设备可能不再是单纯的消费电子产品，而是潜在的企业网络入侵跳板。一个被感染的家庭电视盒，完全可能通过家庭宽带连接到企业内网，成为横向渗透的起点。这种攻击向量在过去并不常见，但随着AI能力的下沉和小模型普及度的提升，它正从理论走向现实。

Anthropic给出的结论并非末日预言，而是预警系统的一部分。就像2024年的编程智能体一样，AI蠕虫已显露出早期迹象。接下来的关键问题不是“会不会发生”，而是“多快会发生”以及“谁来承担责任”。对于整个行业而言，提前加固系统的窗口期或许只剩最后几个月。当代码开始自己写自己，人类的安全防线必须跑得更快。