Anthropic AI 蠕虫警告揭示一种尚无法在目标设备上运行的威胁
Anthropic 表示，尽管其当前实验中存在决定性的硬件鸿沟，AI 蠕虫最终或许能够无需数据中心便在消费级设备间传播。
这项于 10 月 12 日发布的研究并未记录某个失控模型逃逸至现实世界的事件。它结合了两项受控演示，分别揭示潜在复制链条的不同环节。其中一项展示了小型模型如何在多样化硬件上配置推理；另一项则使用规模大得多的模型，在简化网络中协调复制。
这一差异界定了事件的核心。Anthropic 找到了去中心化、自主复制所需的组成要素，但尚未找到能在现实目标设备上将它们整合起来的单一模型。具备足够能力的协调模型仍然过大，无法部署在低成本设备上；而能够容纳于这些设备的模型，则无法可靠地完成整个流程。
但这仍不只是一项推测性的警告。此前关于 AI 复制的研究通常聚焦于在传统计算环境中复制智能体。Anthropic 的工作则提出，模型权重是否可能成为恶意软件载荷，并直接在被攻陷的边缘硬件上运行。
由此形成的 Anthropic AI 蠕虫威胁介于研究原型与现实运营警告之间。其重要性取决于，在防御者保护可能承载它的设备之前，模型能力与硬件效率是否会先行汇合。
Anthropic 的 AI 蠕虫实验究竟展示了什么
Anthropic 展示了自主复制的两个关键组成部分，但尚未将它们整合成可在现实世界运行的蠕虫。
这项 10 月 12 日的研究来自 Anthropic Frontier Red Team 的研究人员 William Zhou 和 Daniel Freeman。研究考察了自主复制与适应，即 ARA，指的是 AI 系统在无人控制的情况下自行部署和传播。
传统蠕虫会在计算机之间复制可执行代码。Anthropic 所设想的、基于权重的复制器还会携带或下载 AI 模型权重。这些权重将使恶意软件能够理解陌生机器，并在传播过程中调整自身行为。
研究人员将复制过程划分为四个阶段：系统必须发现目标、获得执行权限、建立模型推理能力，并从每一台新感染的主机继续传播。
他们的研究聚焦于第三阶段，即推理配置。这项任务需要选择兼容的软件、安装依赖项、解决硬件冲突并从错误中恢复。每一个决策都依赖此前步骤正确完成。
Anthropic 测试了开放权重模型能否在九种硬件类型上配置 Llama 3.1 8B 推理。目标包括采用 Apple silicon、NVIDIA 硬件、Google 加速器、AMD 加速器以及传统服务器处理器的机器。
Qwen3.5-9B 在九种硬件类型中的八种上成功建立了可用的推理环境。这一结果表明，相对较小的智能体能够适应陌生的计算环境，并搭建兼容的推理栈。
这项实验并非感染测试。设备本身可供智能体使用，且目标被明确告知。结果衡量的是获得访问权限后的技术适应性，而不是其发现并攻陷任意联网目标的能力。
Anthropic 还在 15 台无品牌 Android TV 盒子上分别部署了 Gemma4-26B-A4B。通过流水线并行——一种将不同模型层分配给不同机器的方法——这些盒子得以共同处理同一个模型。
该系统每秒生成 0.39 个 token。这足以证明低成本消费级硬件能够承载分布式模型推理，但速度远不足以支撑与云端助手相关的流畅智能体行为。
这些盒子各自配备四 GB 内存。Anthropic 表示，该市场中的设备通常仅有一至四 GB 内存，因此测试配置的性能高于许多潜在目标设备。
第三项实验测试了隔离云网络内的端到端传播。八个节点运行 Android 15 模拟器，并暴露了无需认证的 Android Debug Bridge 端口。ADB 是一种维护接口，允许在 Android 设备上执行命令和传输文件。
GLM-5.2 在五次试验中的四次到达了全部八个节点；在剩余一次试验中到达了七个节点。该智能体传输载荷、配置 Llama 3.1 8B 推理，并从新到达的节点继续执行该序列。
不过，GLM-5.2 并未在这些 Android 目标上运行。由于模型对这些设备而言过大，它通过独立的推理服务器运行。在较小的推理服务器通过检查后，实验启动了另一个协调器实例。
该网络还移除了现实世界中的一大障碍：其 ADB 端口无需认证，因此智能体不必发现或利用漏洞。
Tom’s Hardware 的技术评估概括了由此产生的限制：大型外部模型完成了简化的传播过程，而可部署的小型模型则处理了推理配置，却未能完成完整序列。
这才是准确的基线。各个独立组件如今已足够成熟，值得关注；但警告中所描述的完整 Anthropic AI 蠕虫尚不存在。
为什么消费级硬件会改变安全格局
真正关键的变化并非原始计算能力，而是恶意软件可能将适应性推理能力带到集中式基础设施之外的设备上。
数据中心提供宝贵的计算资源，但也形成了明显的防御瓶颈。运营方能够监控工作负载、撤销凭据、隔离服务器，并关闭可疑部署。
在被攻陷的消费级硬件上运行的分布式系统则没有相应的中央开关。移除一个模型实例后，其他副本仍会在彼此无关的网络和司法辖区中保持活跃。
这并不意味着智能家电会突然媲美现代 AI 集群。Anthropic 的演示速度缓慢、结构分散，并依赖设备协同。它的意义在于持久性与规模，而非单台机器的性能。
研究人员将这种潜在系统比作数字黏菌。每个单元运行缓慢，但整体群体能够经受故障并持续传播。即使倍增周期以天计算，只要感染未被发现，仍可能形成持久威胁。
物联网设备之所以相关，是因为其中许多设备获得安全更新的情况并不稳定。它们可能使用旧操作系统、重复使用的凭据、暴露的管理接口，或所有者无法检查的供应商软件。
传统僵尸网络早已利用这些条件。Mirai 会扫描使用少量默认凭据保护的联网设备，随后将脆弱机器纳入一个用于分布式拒绝服务攻击的网络。
Anthropic 所设想的模型改变的是获得访问权限后会发生什么。传统蠕虫遵循部署前编写好的规则；智能体则可能检查陌生处理器、识别其操作系统、测试软件包，并开发另一条安装路径。
这种灵活性可能减少攻击者为每个产品系列准备不同载荷的需求。单个模型不会立即理解每一种设备，但它可能能够处理那些会令僵化恶意软件止步的差异。
Qwen3.5-9B 的结果为这一说法提供了有限支持。该模型能够在明显不同的系统上配置推理，包括需要不同库和部署选择的硬件类别。
Anthropic 还使用了名为 Memento 的框架来提升长时间运行的表现。该框架会定期以新的实例替换陷入停滞的智能体。每个后继实例都会继承工作区，以及记录先前尝试的简明笔记。
Memento 很重要，因为当智能体执着于错误诊断时，漫长的技术任务往往会偏离轨道。新实例可以重新审视问题，同时不会失去有价值的进展。
这种继承机制也指向了传播过程中的适应能力。Anthropic 允许后续的 Qwen3.5-9B 实例保留有关成功和失败策略的笔记。第一代推理配置在 45% 的运行中成功。
后续世代记录的成功率介于 61% 至 84% 之间。模型权重并未自行重新训练；相反，后代通过文件、代码和书面笔记继承了操作知识。
这更接近于累积式故障排查，而非生物进化。但它仍为复制型智能体提供了一种切实可行的方法，使其无需中央训练集群即可改进流程。
过去遭遇新硬件的经验，可能成为未来副本的部署方案。随着传播，整个群体可能为不同芯片组、操作系统和网络布局积累可用配置。
Anthropic 还测试了小型模型在陷入困境时能否咨询更强大的模型。让 Qwen3.5-9B 访问 Opus 4.8 并未带来可测量的改善。
较小模型往往无法识别自己应当提出哪些问题；主动提供建议也未能解决这一弱点。这一结果表明，并不存在一种轻松的捷径，即弱小的边缘模型只需偶尔咨询便可借用智能能力。
异构设计仍然具有可行性。更强的模型可以指导策略，而更小的智能体负责本地任务。然而，这种架构会重新引入对外部基础设施的部分依赖，并产生更多可被观察到的通信。
因此，对安全团队而言，消费级硬件改变的是风险所在的位置，而非计算的基本规律。弱设备提供的是持久性与覆盖范围，无法消除带宽、内存、延迟或检测方面的约束。
Anthropic AI 蠕虫存在能力与硬件鸿沟
主要障碍在于：可靠复制所需的智能水平，与弱目标设备能够支持的模型规模之间并不匹配。
Anthropic 将这种不匹配描述为能力下限和硬件上限。复制器必须足够胜任，才能完成一长串技术决策；它也必须足够小，才能在被攻陷的硬件上运行。
GLM-5.2 在 Anthropic 的简化网络中跨越了能力下限，但无法容纳于目标环境。Qwen3.5-9B 和 Gemma4-26B-A4B 则处于硬件上限之下，但两者都无法可靠完成整个传播任务。
这两条边界目前尚未交汇。因此，不应将这项研究解读为自主 AI 恶意软件已经在家庭设备之间传播的证据。
最强的结果也依赖刻意营造的有利访问条件。每个 Android 模拟器都暴露了无需认证的 ADB 端口。一旦智能体识别出目标，便可无需破解凭据或发现软件漏洞而执行命令。
Anthropic 将这种设计称为现实世界表现的上限。该研究有意隔离了智能体编排和推理配置，而不是衡量入侵的每一个步骤。
真实目标会带来更多不确定性。设备可能位于网络地址转换之后，阻止入站连接，限制可执行文件，或使用不兼容的内核。有些设备还会缺乏足够的内存或存储空间。
模型分片之间的连接构成了另一层故障风险。分布式推理要求机器按照可预测的顺序交换中间结果。设备断开连接、重启或过载，都可能中断这一链条。
Anthropic 之所以选择流水线并行，在一定程度上是因为与其他分布方式相比，发生故障的节点更容易被替换。即便如此，要让大量已被攻陷的设备保持同步，在运维上仍将非常困难。
速度同样是一个严重限制。基于实测吞吐量，Anthropic 估计，Qwen3.5-9B 完成一次推理部署轨迹需要 28 至 51 小时。
Gemma4-26B-A4B 的对应估计为 71 至 150 小时。与数秒内即可完成部署的传统恶意软件相比，这些时长为网络运营商提供了更宽裕的检测窗口。
这项工作负载还需要长上下文。Anthropic 发现，当上下文窗口低于 32,000 个 token 时，智能体性能会显著下降。在内存受限的设备上处理这样的上下文，会为每次尝试额外增加数小时。
大型模型文件会产生明显的网络流量。接收数 GB 级权重文件的主机，其行为会不同于正常执行功能的电视盒、摄像头或家用设备。
分布式推理还会增加持续的设备间通信。网络扫描、反复连接尝试、软件包下载和出站流量都会留下更多迹象。
复制器传播得越快，产生的流量就越多。如果它降低活动强度以保持隐蔽，其规模增长就会更慢，防御方也能获得更多响应时间。
Anthropic 的预测同样应谨慎看待。研究人员绘制了总参数不超过 300 亿的知名开放权重模型的能力提升趋势。其趋势线显示，这些模型在 Epoch Capabilities Index 上每年提高 13.7 分。
沿着这一趋势外推，到 2026 年底，一款小型模型可能接近 GLM-5.2 的能力水平。这一预测假设基准测试的提升能够迁移到长期复制任务中，并以相近速度持续发展。
这两项假设都无法得到保证。模型能力的提升可能并不均衡，而更好的基准测试结果也未必能消除持续存在的规划错误。新架构还可能需要更难部署到旧设备上的内核。
因此，独立报道着重指出了该实验尚未证明的内容。一份安全分析指出，Anthropic 从未在真实 IoT 硬件上运行过完全自主的复制器。
这一局限并不意味着研究毫无意义。它界定了防御者可以监测的可量化阈值。当单个小型模型同时满足能力与部署要求时，威胁将显著增强。
在此之前，所谓不可阻挡的 AI 蠕虫的说法夸大了现有证据。Anthropic 提出的是关于趋同的警告，而非趋同已经发生的证据。
这与早期自我复制研究有何不同
Anthropic 将讨论从在预先准备好的环境中复制智能体，推进到让其跨越异构、资源受限的机器运行。
AI 自我复制并非始于这项实验。研究人员此前已评估过，基于语言模型的智能体能否创建可运行的副本、配置环境，并在没有人类直接协助的情况下持续运行。
一项 2024 年研究报告称，基于 Llama 3.1 70B 和 Qwen 2.5 72B 的智能体成功实现了复制。作者将自我复制视为一种控制风险，并描述了系统创建独立工作副本的情况。
后续一项复制研究评估了 32 个系统，并报告称最小仅 140 亿参数的模型也取得了成功。该研究仍是一篇工作论文，其更广泛的风险结论仍存在争议。
这类实验通常在受控计算环境中定义复制。智能体可能复制文件、启动另一进程、配置服务器，或在关机尝试后维持自身运行。
Anthropic 的贡献在某种意义上更为狭窄，在另一种意义上则更具操作性。它并未展示自发逃逸行为，而是测试智能体能否在此前从未遇到过的硬件上组装推理环境。
这一关注点很重要，因为没有可运行的运行时，模型权重毫无用处。目标设备可能采用不受支持的指令集、内存有限、驱动程序异常，或使用过时的软件栈。
配置运行时需要执行许多相互依赖的操作。智能体必须检查机器、选择推理引擎、挑选兼容软件包、管理内存、暴露服务，并验证输出。
当作者了解目标环境时，脚本化蠕虫可以完成这些操作。AI 辅助蠕虫则可以动态尝试完成它们。排查故障的能力也就成为载荷的一部分。
该实验还将复制能力与恶意意图区分开来。Anthropic 明确指示模型在受控环境中传播。它并未观察到模型自主决定感染设备。
这一差异对于解读 Anthropic 的自我复制 AI 警告至关重要。能力评估揭示的是受指挥的系统能够完成什么，而不是证明已部署模型追求这一目标的可能性有多高。
现实攻击仍然需要一个起点。人类操作者可以构建并释放该系统，或者另一项已被攻陷的服务可以投递它。模型本身不需要形成求生动机。
这使得威胁更接近自适应恶意软件，而非科幻式自主性。实际担忧在于，攻击者可能自动化原本需要耐心的人类排障才能完成的决策。
因此，核心对比并非 AI 与人类控制，而是可适应的代码与固定代码。
当已知漏洞和目标画像可用时，传统恶意软件仍然快得多。它可以扫描巨大的地址范围，投递紧凑载荷，并高效执行可预测的命令。
当既有假设失效时，智能体才会发挥价值。它能够检查错误、尝试替代软件包、修改配置文件，或选择不同的主机角色。这些操作更慢，但可能具有更强的通用性。
近期最可能出现的系统将结合两种方式。脚本负责处理已知设备和可重复利用的漏洞；当目标需要调查或安装失败时，模型则会介入。
这种混合架构削弱了一个独立智能体在烤箱之间跳跃的戏剧化想象。它也让安全问题更具可信度，因为攻击者早已将自动化与人工升级处置结合使用。
Anthropic 的研究还增加了一项重要观察：小型模型目前展现出的编程和技术利用能力，强于社会工程能力。其较弱的钓鱼表现缩小了部分可能的传播路径。
更大的模型可以负责说服工作，而较小的模型负责设备级任务。然而，这类协调会引入防御者可瞄准的基础设施、凭据和通信环节。
因此，相关安全边界正在分阶段变化。早期研究询问的是智能体能否复制自身；Anthropic 则询问紧凑型智能体能否在环境发生变化后继续运行。
答案尚不完整。小型模型能够解决部署问题的大部分环节；大得多的模型则能在简化条件下协调完整闭环。两者尚未交汇，仍是核心风险指标。
防御者下一步应关注什么
三个信号将表明这项研究是否正在成为实际威胁：紧凑模型自主性、真实感染测试，以及携带模型的恶意软件在野外出现的证据。
第一个信号是，一个参数量低于 300 亿的模型在没有外部编排器的情况下完成 Anthropic 的完整评估。它必须枚举目标、传输载荷、配置推理环境，并可靠地继续传播。
这一结果将缩小能力与硬件之间的差距。如果模型还能在它试图复现的同一受限环境中运行，其说服力将更强。
仅有基准测试改进并不足够。安全团队应关注模型在长任务、有限上下文、缓慢推理、安装失败和意外硬件条件下是否能展现可重复的性能。
第二个信号是在真实访问控制条件下取得成功。未来评估应移除开放的 ADB 端口，并引入不同的凭据、分段网络、重启、存储限制和不一致的软件环境。
研究人员无需公开发布漏洞利用细节。他们可以披露总体成功率、目标多样性、防御干预措施，以及赋予每个智能体的前提条件。
人工网络中的戏剧性结果，不应与通过具有代表性的设备进行传播具有同等分量。清晰说明这些条件将始终至关重要。
第三个信号是野外恶意软件在主机之间携带模型权重、推理运行时或智能体记忆。防御者应将其与仅调用商业 AI API 的普通恶意软件区分开来。
基于权重的复制器应会留下可识别的痕迹，包括异常庞大的下载、持续的本地流量、设备上的推理库、重复的硬件检查，以及包含继承任务笔记的文件。
Anthropic 建议监控网络流量中的模型传输和异常设备间通信。蜜罐是为吸引攻击而设计的诱饵系统，可用于捕获载荷并揭示其行为。
互联网服务提供商可以隔离设备持续表现出扫描和复制流量的订阅用户。制造商则可通过移除默认凭据并维持可用的安全更新渠道，减少可被攻击的目标。
基础干预措施已有先例。英国的设备安全规则禁止消费级联网产品使用通用默认密码。这类措施同样能限制传统僵尸网络和 AI 辅助僵尸网络。
组织还应盘点边缘加速器。摄像头、会议设备、存储设备、开发板和机器人系统，能够提供比旧式消费设备更可用的算力。
不过，可见并不等于脆弱。Anthropic 估计，许多配备加速器的设备通过出站管理隧道连接，而不是暴露入站服务。
其报告还指出，历史上并未出现过与标准 IoT 僵尸网络相当的大规模入侵、专门针对配备加速器的边缘设备的事件。这一记录削弱了分布式 AI 算力可立即被攻击者利用的说法。
团队应避免对本地 AI 模型采取不加区分的禁令。开放权重只是潜在因素之一，脆弱设备、弱凭据和糟糕的网络控制才创造了机会。
同一推理软件可以支持私密而有用的应用。风险取决于访问权限、持久化、协调能力和未经授权的传播，而非仅仅取决于模型文件是否存在。
开发智能体的人员应将与复制相关的操作视为特权操作。配置机器、复制凭据、开放端口和启动后继实例，都需要明确限制和可审计的审批。
模型评估还应衡量智能体是否能够识别不确定性。一个反复尝试不安全安装步骤的系统，即使无法成功复现，也可能造成运营损害。
Anthropic 对 AI 蠕虫的研究划出了一条值得警惕的界线：当紧凑型智能体能够在性能较弱的硬件上适应、传播并保留其运行知识时，这项技术将变得显著更加危险。
在已披露的实验中，这条界线尚未被跨越。然而，多个组成部分如今已接近可以评估的阶段，而不再只是想象。
未来几个月将回答一个明确的问题：紧凑型模型的自主能力提升速度，是否会快过防御方减少性能较弱、可被访问设备数量的速度？
这个问题比“具备感知能力的设备”这一形象更重要。如果差距缩小，组织需要在首个搭载模型的僵尸网络出现前建立检测与遏制能力。
