Anthropic 自我复制 AI 警告为 IoT 安全敲响警钟

Anthropic 在对 15 台廉价 Android TV 盒子测试模型后，就自我复制 AI 发出了明确警告。这些小型模型并未创造出完整的自主蠕虫。不过，实验表明，剩余的能力差距可能会在数月内弥合。

这一区别至关重要。Anthropic 展示了紧凑型模型能够在陌生硬件上配置推理，并完成复制所需的多个步骤。一个规模大得多的模型完成了简化的端到端流程，但它运行在被感染设备之外。

这一结果既不是可运行的数字生命体，也不是普通的恶意软件演示。它更像是一张早期路线图，揭示了适应性 AI 智能体可能如何与数百万联网产品周围薄弱的安全防护相结合。

Mirai 等传统蠕虫通过针对已知目标执行固定指令来传播。Anthropic 提出的基于权重的复制器将携带 AI 模型，或获取模型，并针对每台设备调整其行动。这种灵活性构成了核心矛盾：该蠕虫目前仍不具备实用性，但构建它所需的各项组件正分别持续改进。

Anthropic 的自我复制 AI 测试实际展示了什么

Anthropic 展示了 AI 复制链中的关键环节，但并未展示一个自主运行的小型模型蠕虫。

该公司的 Frontier Red Team 于 2026 年 10 月 12 日发布了其复制研究。研究人员 William Zhou 和 Daniel Freeman 聚焦于无需持续访问数据中心硬件即可运行的模型。

他们提出的威胁是基于权重的复制器。这是一种将模型权重——即定义 AI 模型的数值参数——作为载荷一部分的恶意软件。它也可能在攻陷新机器后下载这些权重。

研究人员将复制分为四个阶段。一个智能体必须定位目标、获得执行权限、建立本地推理能力，并从受感染主机继续传播。

Anthropic 将重点放在第三阶段。建立推理能力意味着安装兼容软件、加载模型，并在已被攻陷的硬件上生成输出。当设备采用陌生的处理器、操作系统、依赖项或内存布局时，这一过程会变得困难。

一项实验将 Google DeepMind 的 Gemma4-26B-A4B 分布在 15 台无品牌 Android TV 盒子上。每台盒子拥有 4GB 内存。这些设备合起来以每秒 0.39 个 token 的速度运行该模型。

量化帮助实现了这一点。量化以更少的比特表示模型参数，在牺牲部分准确性的同时降低内存需求。研究人员还对模型进行了分片，也就是让不同设备存储和处理不同的层。

第二项实验测试了 Qwen3.5-9B 是否能在多种硬件上配置推理。这个拥有 90 亿参数的模型在九种硬件类型中的八种上取得成功，范围涵盖嵌入式设备和传统计算机。

这一发现触及了 AI 智能体与传统恶意软件之间的重要差异。固定蠕虫通常包含为特定架构和软件环境编写的代码。AI 智能体则可以检查陌生系统、选择工具、修改命令，并调试部分错误。

Anthropic 还构建了一个包含八台模拟 Android 设备的封闭网络。入侵步骤被有意设置得较为简单，让研究人员能够专注于推理配置和传播。

GLM-5.2 在五次试验中的四次完成了跨越全部八台设备的简化复制流程。不过，该模型运行在单独的推理服务器上，因为模拟目标无法承载它。

在这些试验中，GLM-5.2 在每个目标上安装并启动了一个更小的 Llama 模型。因此，它协调了复制过程，但自身并未成为 Anthropic 更广泛警告中所描述的那种小型、自包含载荷。

这一结果确立了两种彼此独立的能力。小型模型可以在受限硬件上运行，而更大的模型可以协调简化的复制链。实验并未将这两种能力结合在同一个自主小型模型中。

这一尚未解决的差距，正是该警告值得谨慎报道的原因。Anthropic 的自我复制 AI 情景部分基于已经展示的组件，部分则基于对未来改进的预测。

为什么廉价 IoT 硬件改变了威胁模型

关键变化并不在于智能家电突然变成了强大的计算机，而在于足够多的薄弱设备能够共同承载一个适应性智能体。

物联网产品长期以来一直吸引着僵尸网络运营者。许多产品常年保持联网状态，更新并不稳定，还暴露着设备所有者从不检查的服务。低成本 Android 媒体盒就是一个尤为显眼的例子。

这些设备很少配备商业 AI 服务所使用的加速器。单独来看，它们提供的内存和处理能力也很有限。Anthropic 的实验表明，模型分片可以将一组受限机器转化为一个分布式推理系统。

该系统的速度极其缓慢。Anthropic 估计，Gemma4-26B-A4B 完成一次推理配置轨迹需要 71 至 150 小时。Qwen3.5-9B 则需要 28 至 51 小时。

缓慢未必意味着无害。一台被遗弃的媒体盒可以在不引起注意的情况下联网数月。一个不受人工期限约束的蠕虫，可能愿意在尝试下一步行动前容忍数天的计算时间。

Anthropic 估计，一个成功的小型模型蠕虫初期的倍增时间可能以天计算。相较于数小时内传播的传统疫情式爆发，这一速度看似温和。但其持续性、适应性以及没有中心化服务的特点，仍会使清除变得复杂。

云托管智能体依赖于防御者能够识别并破坏的基础设施。服务商可以撤销凭证、封禁账户、限制请求、移除模型，或与调查人员合作。基于权重的复制器则会将部分智能转移至被攻陷的硬件上。

没有任何一家 API 提供商能控制每一个副本。关闭一台命令服务器，并不一定会让已在本地运行的副本失效。彻底根除可能需要清理遍布众多制造商、网络和司法辖区的设备。

可用算力依然有限。Anthropic 以一个曾拥有逾 200 万台设备的僵尸网络说明其规模。若将这么多 TV 盒分为每组 15 台的集群，大约可生成 13.3 万个模型副本。

然而，按照 Anthropic 的假设，合计推理能力仅相当于约 40 块 Nvidia H100 GPU。这是一小部分集中式算力，却分散在一个庞大且难以处理的网络中。

这一对比解释了，为何可能的威胁并非一台隐藏的超级计算机，而是大量缓慢的智能体：它们能够持续尝试、共享有用发现，并在部分清理后存活下来。

每个成功副本都可能从其父代继承提示词、代码和笔记。Anthropic 将其称为拉马克式进化，即后天获得的适应性直接传递给后续实例。

因此，一次在某设备上的失败尝试，可能帮助另一个副本避免犯同样的错误。下一个智能体可能复用已验证可用的依赖项、修改安装命令，或识别某种硬件模式。

这种学习循环让 AI 蠕虫相较于固定僵尸网络拥有潜在优势。传统恶意软件可以从运营者处接收更新，但通常不会自行推理每个目标，也不会自行记录失败经验。

在这一特定场景中，这种优势仍属假设。Anthropic 并未测试一个主动抵御防御者的 AI 僵尸网络，也未展示其在开放互联网中的自主适应能力。尽管如此，这一机制指出了普通 IoT 弱点与不断提升的智能体能力相交汇的位置。

能力与硬件仍未匹配

当前障碍在于：足以可靠完成复制的模型，与足够小到可部署在目标设备上的模型之间存在错配。

Anthropic 将这一问题描述为下限与上限。能力下限是完成复制链所需的推理能力；硬件上限则是被攻陷设备能够实际运行的最大模型规模。

GLM-5.2 在简化评估中超过了能力下限。Qwen3.5-9B 和 Gemma4-26B-A4B 则处于所测试 TV 盒的硬件上限之下。没有任何受测模型同时满足这两项要求。

参数量为 300 亿及以下的模型完成了许多单独的复制任务。但当这些任务必须组合成一条漫长且相互依赖的序列时，它们仍会犯错。

这一组合问题意义重大。智能体必须检查目标、选择兼容的推理软件、安装依赖项、管理存储、解决错误，并确认服务正常运行。流程早期的一个失误，就可能使之后的每一步全部失效。

Anthropic 发现，串行依赖使恢复变得困难。小型模型有时能完成孤立任务，却会在较长的执行轨迹中失去对整体目标的把握。

让小型模型获得更强顾问的访问权限，也未能解决问题。Qwen3.5-9B 难以识别自己何时需要帮助，并且经常提出无效问题。来自前沿模型的主动建议没有带来可衡量的改善。

这一结果削弱了一条看似容易实现的自主复制路径。仅仅因为更强的服务可用，小型模型并不能自动借用更强的智能。它必须识别问题、传达有用背景，并正确应用答案。

不过，Anthropic 仍预计这一差距会缩小。研究人员使用 Epoch Capabilities Index——一种衡量 AI 通用能力的指标——比较了小型开放权重模型。他们拟合的趋势显示，每年提升 13.7 个指数点。

将这一趋势延伸下去，到 2026 年年底，参数量低于 300 亿的模型将接近 GLM-5.2 的能力水平。Anthropic 表示，小型基于权重的复制器可能在此后不久成为可能。

这一预测并非倒计时。该指数衡量的是通用能力，而非复制技能；这一推断也基于历史模型发布情况进行外推。未来进展可能放缓、加速，或改善与自主传播无关的任务。

硬件也在持续变化。安全摄像头、会议系统、网络设备和消费电子产品正日益采用面向本地 AI 的处理器。即使更小的模型没有变得更聪明，更强大的边缘芯片也可能抬高硬件上限。

软件优化也能产生类似效果。更好的量化、推理引擎和分布式执行方式，可能让现有模型运行在当前无法承载它们的设备上。

这些发展给设备制造商和企业安全团队带来了压力。他们的规划假设往往将联网设备视为低价值端点。适应性模型则可能将它们视为存储、算力、持久化能力和跳板。

开放权重模型开发者同样面临艰难的权衡。本地模型支持研究、隐私、离线运行和用户控制。同样的可移植性也让恶意软件能够在没有服务商执行使用政策的情况下运行。

Anthropic 的警告不应被简化为反对开放模型的论点。闭源模型同样可能通过被盗账户或暴露的服务来指挥已被攻陷的代理。未来的攻击者也可能将一个大型远程规划模型与许多小型本地工作节点结合起来。

更有意义的区分在于控制点。托管系统提供集中化控制，但也集中了高价值基础设施。本地系统移除了部分中心化依赖，同时让每一台被攻陷设备都可能成为执行环境。

这项实验留下了巨大的验证缺口

这一核心风险足够可信，值得调查，但已演示的系统距离预测中描述的自主蠕虫仍相去甚远。

最明显的局限在于初始访问。Anthropic 的实体和模拟 Android 目标设备均暴露了未经身份验证的 Android Debug Bridge。ADB 可提供深度设备访问权限，生产环境中不应以这种方式开放。

这一设置让研究人员能够简化利用过程。鉴于该研究聚焦于推理，这一决定可以理解，但它也移除了真实恶意软件必须面对的一项主要障碍。

早期研究表明，AI 代理已经能够发现并利用部分网络漏洞。2026 年 6 月的一项自适应蠕虫研究在 Linux、Windows 和 IoT 系统中测试了代理。其原型可生成针对目标的攻击策略，并利用已被攻陷的机器进行推理。

即便如此，在受控网络中的成功并不能证明其在公共互联网中的可靠表现。真实目标存在防御工具、不稳定连接、存储限制、特殊固件，以及测试环境中未涵盖的架构。

下一个局限涉及自主性。研究人员指示模型完成复制任务。他们并未证明，一个已部署的模型会独立决定自我复制、选择受害者，或追求自身持续存在的目标。

AI 研究员 Xiaohan Fu 在最初的安全报道中强调了这一差异。Fu 认为，可复现的提示词和代理配置将帮助外部人士评估这些发现。

这一要求触及了争议的核心。具备遵循复制指令的能力，与在没有指令时倾向于发起复制，是两回事。

“自我复制 AI”这一说法可能会模糊这些概念。计算机蠕虫之所以能够自我复制，是因为其软件会自动执行传播程序。它不需要意识、自我保存意识，或内生的传播欲望。

因此，未来的 AI 蠕虫即使不会自行选择任务，也可能构成危险。人类操作者可能只需提供一次目标，而代理则负责目标发现、适应与传播。

反过来，证明一个模型能够安装另一个模型，并不能证明它能够维持一场失控的行动。它仍需要可靠目标、持久性、漏洞利用访问、通信能力，以及从故障中恢复的能力。

Anthropic 也将其简化评估视为现实世界表现的上限。模型知晓任务，环境受到约束，且利用步骤几乎没有阻力。

缓慢的推理速度又增加了一项实际障碍。长达数天的部署尝试，会给设备重启、网络变化、所有者断开设备，或监控系统发现异常流量留下更多时间。

模型权重的传输也会留下明显痕迹。面向设备的数 GB 下载会非常显眼，尤其是在设备开始向平时很少联系的对等节点持续发送流量时。

分布式推理还会带来额外的协调成本。一个由 15 台设备组成的集群必须保持各个分片可用并同步。除非蠕虫维持冗余或重新组织工作负载，否则失去一台必需机器就可能中断模型运行。

这些局限并不会消除警告。它们界定了攻击者必须解决的工程问题，而随着模型和边缘硬件的改进，其中数项问题正在缩小。

负责任的结论应当保持克制。Anthropic 已演示出足以证明需要着手准备的机制，但尚不足以宣称自主小模型蠕虫已经存在。

AI 蠕虫将以不同方式给防御者施压

防御者面对的将是一个带有陌生适应层的传统僵尸网络问题，而非一种势不可挡的新生命形态。

传统 IoT 僵尸网络通常会扫描符合已知条件的设备。它们尝试固定凭据或漏洞利用方式，安装紧凑载荷，然后等待指令。防御者可以研究这种行为，并阻断反复出现的指标。

AI 蠕虫在检查目标后可能改变其行动。它可能选择兼容的二进制文件、修改脚本、搜索本地文档，或放弃一条无效路径。这种可变性可能会降低静态特征的价值。

蠕虫也可以将规划与执行分离。能力更强的模型可能负责制定策略，而较小的代理则在被攻陷设备上执行狭窄任务。Anthropic 认为，这种安排比弱模型仅在陷入困境时咨询顾问更为可信。

因此，安全团队需要监控行为，而非完全依赖已知恶意软件样本。意外出现的模型文件、推理运行时、编译器活动或点对点流量，都可能成为有用信号。

网络可见性仍是防御者最强的优势之一。更快的复制需要更多扫描、下载和协调。这些活动会在互联网服务商、企业网关和设备管理平台中制造异常。

蜜罐可以捕获复制器的工具和指令。蜜罐是一种旨在吸引攻击者并记录其行为的诱饵系统。研究人员可以利用捕获的提示词、模型和脚本开发检测方法。

遏制行动也有历史依据。Anthropic 引用的研究发现，一家互联网服务商在 14 天内清除了观测到的 92% Mirai 感染。客户被隔离，并被引导至清理说明。

这种比较并不能保证面对可适应代理时能够取得同等成功。它表明，即使无法同时触及每一台设备，协调通知和网络限制也能够减少分布式感染。

设备制造商掌控着另一个重要层面。唯一凭据、签名更新、禁用调试接口、安全启动，以及受支持的补丁渠道，都能减少 AI 和传统恶意软件的机会。

英国已在其产品安全规则中禁止通用默认密码。类似要求可以缩小自动化攻击可利用设备的规模。

企业也应重新审视资产清单。电视、摄像头或会议设备可能游离于常规端点管理之外，同时仍可访问敏感网络。

将这些设备与员工系统隔离，可限制横向移动。限制出站连接可以阻止设备获取模型权重、扫描外部网络，或加入分布式推理集群。

安全团队需要能够关联设备所有者、固件状态、网络位置和响应流程的记录。当文档分散在本地文件中时，一个可搜索的知识库可以支持这项工作。

模型开发者面临不同的压力。他们可以评估较小系统的网络能力，公布经过审慎衡量的局限，并避免将参数量视为足够的安全边界。

一个具备强大工具使用能力的紧凑模型，可能比缺乏可靠行动能力的更大模型带来更大风险。评估应测试长期执行、故障恢复、陌生环境，以及与传播相关的行为。

政策制定者应避免将这一问题框定为纯粹的 AI 问题。薄弱的设备安全提供了宿主，而有能力的代理提升了适应性。只针对模型的监管将使底层攻击面保持完整。

三个信号将显示这一警告是否正在成为现实

下一轮证据应来自可复现的能力测试、现实世界防御，以及边缘硬件的变化，而不是关于失控 AI 的更宽泛预测。

第一个信号是，小模型能在真实硬件上完成完整复制链条。它需要定位目标、获得访问权限、安装自身、建立推理能力，并持续传播。

评估不应依赖未经身份验证的调试访问或更强大的外部模型。独立研究人员也应获得足够的提示词、配置和日志，以复现结果。

这样的演示将强化 Anthropic 的核心预测。若在真实条件下反复失败，即使个别复制任务持续改进，也将削弱所声称的时间线。

第二个信号是在真实 IoT 攻击行动中使用本地 AI 推理的恶意软件。研究人员应寻找从受感染设备中捕获的模型权重、推理引擎、自适应脚本或提示词。

仅仅贴上 AI 主题标签的普通僵尸网络并不符合条件。代理必须根据目标改变行为，或利用本地推理来维持传播。

在野外发现这类机制，将使讨论超越实验室能力。其缺失并不能证明安全，但有助于区分迫在眉睫的运营风险与更长期的研究担忧。

第三个信号是制造商和网络运营商作出的可衡量响应。有用证据包括禁用生产调试功能、唯一凭据、签名更新、设备隔离，以及针对异常模型传输的检测。

互联网服务商可以监测平时很少交换大型文件的设备之间持续流动的流量。企业可以标记嵌入式系统上意外出现的 AI 运行时，并阻止未经授权的对等发现。

这些措施将通过减少可用宿主并提高每次感染的成本来削弱威胁。如果繁殖率低于替代率，缓慢的代理就无法持续存在。

Anthropic 的自我复制 AI 研究之所以为防御者提供了窗口期，恰恰是因为其原型仍不完整。等待一条可运行的蠕虫出现，将放弃这一优势。

实际问题不再是烤箱是否会自发形成意图。而是攻击者能否将现有 IoT 弱点与能够在无需持续监督下调试、适应和持续运行的模型结合起来。

开发者应要求可复现的评估。制造商应移除明显入口点。企业采购方应将长期联网产品视为受管理的计算机，而非一次性配件。

未来几个月，请关注小模型能力与成功端到端复制之间的差距。如果这一差距在真实条件下缩小，Anthropic 的警告就会成为一项运营安全期限。