AREX Feed Article
Anthropic 红队称造出可在 15 台智能电视间拆分运行的 AI 蠕虫，预测这种「自我复制」年底可达成
Anthropic 的进攻性研究（红队）团队称，他们创建了一个能在联网智能电视之间自主传播的恶意 AI 程序，即「AI 蠕虫」（AI worm）：该程序把自身拆成 15 份分散到 15 台电视上，仅凭每台设备贡献的一小部分算力仍能继续运行。《卫报》10 月 18 日刊发解释性报道梳理了这项研究，并转述 Anthropic 的判断：成功的 AI 蠕虫需要在算力更弱的设备上具备更强的能力，按当前趋势，这一条件到今年年底即可能达成。上述内容均为公司自述，尚未经过独立核实。()
报告《AI models may be capable of self-replicating without access to a datacenter》由 Anthropic 研究员 William Zhou 和 Daniel Freeman 撰写，10 月 12 日发布在公司官网（）。《卫报》10 月 13 日报道了这项研究，指出它出自负责对自家模型做压力测试的「frontier red team」，实验中研究人员以提示词指示智能体攻击联网设备（）。报告发布后，安全行业的反应分成两派：有人要求落实缓解措施，也有人直指这是一场「噱头」。
每台约 55 美元的电视盒子，以每秒 0.39 个 token 合跑一个 26B 模型
Anthropic 展示的硬件是 15 台廉价的贴牌 Android TV 机顶盒（并非整机智能电视），每台约 55 美元、内存 4GB，由研究人员自行购买并组网。演示中，研究人员把 26B 参数的 Gemma4-26B-A4B 模型分布到这 15 台盒子上联合运行，整体速度为每秒 0.39 个 token；在流水线并行下，每台盒子只存放模型的一小部分层，按报告视频的说明，画面中每台盒子承载模型的两层。()
《卫报》如此概括红队的说法：这个程序能在智能电视之间自主传播，在其他普通设备里也能照做。报道同时观察到，这种「拆成碎片、分藏各处」的做法令人想到《哈利·波特》小说里藏匿伏地魔灵魂碎片的「魂器」，而真正让从业者不安的是，智能电视和许多物联网设备的安全防护普遍薄弱，即便齐心协力也很难修补。
Anthropic 在原文中同样写明：要证明一个自主蠕虫能在弱设备网络中传播自己，还需要完成许多其他步骤，报告因此把复制链条拆解成环节分别测试。
复制链共四步，这轮只重点测了「把推理跑起来」这一步
Anthropic 把自主复制拆成四个实际步骤：找到目标、获得执行权、把推理跑起来、从新宿主继续传播。其中突破防线和投送载荷两环基本被略过——CyberGym、ExploitBench 等先行研究和多伦多大学的「自适应蠕虫」工作已经表明，只要工具得当，小模型有能力实施网络漏洞利用（）。
红队重点测试的是最少被研究过的推理部署环节：让模型在一台陌生机器上独立完成一长串与硬件、操作系统相关的决定——选兼容的推理框架、找对软件包版本、调试机器特定的问题。这些步骤前后依赖，一旦失败很难恢复。评估中，一个 9B 模型在 9 类受测硬件里的 8 类上成功跑起推理；Qwen3.5-9B 这类小模型能从 Jetson Nano、Mac 一直部署到 RTX 4090，能力更强的 GLM-5.2 不仅更可靠，服务速度也更高。为避免智能体在长任务里死盯着一个错误想法不放，团队在开源 Pi 编码智能体之上搭了名为 Memento 的测试框架，定期带着上一轮的工作区和笔记重启新的智能体实例，让它们换路子再试。
时间表上，Anthropic 给出的判断是：30B 参数及以下的模型今天已能完成复制的许多单个步骤，但串成端到端时会出错；在简化评估里，GLM-5.2 及更强的模型已能完成端到端复制；如果小模型按历史速度继续进步，到今年年底就会追平这一能力水平，「小型基于权重的复制体」随后就可能成为现实。报告聚焦的是「基于权重的复制体」，即在被打下来的硬件上直接运行模型权重的蠕虫；另外两种设想路径是大模型攻破数据中心后在其中运行自己、以及模型窃取自家推理 API 的凭证，Anthropic 认为更具现实感的「最坏情况」是不同模型在不同硬件上用不同方式传播的「蜂群」。
《卫报》10 月 13 日的报道补充了研究者的说法：这类复制的具体形态尚不清楚，可能像缓慢的「数字黏菌」，可能是骗取算力额度的模型，也可能是迅速攻破数据中心等大型设施的「强力网络模型」。
智能烤箱、扫地机器人、割草机：Anthropic 预判的首批目标
Anthropic 认为，家庭和小企业的物联网设备最可能成为这类攻击的第一批目标：它们连着互联网，历史上又几乎不设防。放得下 30B 以下模型分片的设备包括智能冰箱、智能烤箱、自动吸尘器和割草机；安防摄像头、视频会议设备等越来越多地内置小型 AI 芯片，这些多出来的算力同样可能让它们变成目标。
拿电视机顶盒做实验有现成依据：报告把 Kimwolf 僵尸网络列为代表性威胁场景，它感染过超过 200 万台设备，其中主要是贴牌 Android TV 机顶盒。这类盒子普遍运行 Android 开源项目（AOSP）的分支系统，厂商不给它们添加安全功能，内存通常只有 1～4GB。按 4 位数量化（4-bit quantization）计算，4GB 内存允许 4 台以上机器合跑一个 9B 模型、10 台以上合跑一个 26B 模型；借助 Petals 这类分布式推理方案，这些算力足以运行一个能力可观的模型。
治理的难处在于这类复制体没有集中的开关：Anthropic 在报告中写道，它「将很难被关停」，尽管可能扩散缓慢、数量翻倍要以天计；与传统恶意软件不同，它还能自己摸清陌生设备的门道。研究人员写道：「我们应当尽力加固系统，让这类复制体难以扩散，但也要准备好面对一个它们将长期存在下去的世界。」《卫报》则指出，历史上最具破坏力的蠕虫往往利用的是用户迟迟未打补丁的已知漏洞，智能设备收到补丁的频率又低于手机和笔记本电脑——Anthropic 团队据此预测，同类蠕虫将同样利用未修补的设备、且更难阻止；他们还推测，AI 蠕虫可以研究新披露的漏洞，持续适应其他类型的硬件。
从 Morris 蠕虫到 NotPetya：老恐慌的新变量
蠕虫是无需人类参与就能从一台电脑复制到另一台的恶意程序。《卫报》回顾，互联网历史上若干最惨重的损失正来自蠕虫：1988 年，一名研究生释放的 Morris 蠕虫利用多种软件缺陷和弱口令自我复制，复制速度过快，让许多被感染机器直接慢到停摆；2000 年代后期，美国和以色列把蠕虫带进国际间谍活动，Stuxnet 悄悄破坏了伊朗的核离心机；来自俄罗斯的 NotPetya 和被归因于朝鲜的 WannaCry 则在全世界造成数百亿美元损失。
WannaCry 这类传统蠕虫利用的是预先设定的漏洞，打上补丁就能止住扩散。多伦多大学团队 6 月 2 日在 arXiv 发表的《AI Agents Enable Adaptive Computer Worms》认为，AI 智能体改变了这个前提：蠕虫会为遇到的每个目标生成量身定制的攻击策略，靠被攻陷机器的算力运行开源权重的大模型来维持推理，因此攻击者每新增一个感染的成本为零；由于不依赖任何商业 AI 平台，服务拒绝、速率限制这类集中式安全管控对它在结构上就失效了。实验中，这个蠕虫被部署在横跨 Linux、Windows 和物联网设备的网络上传播（）。
《卫报》对比说，多伦多团队感染的是一台完整的计算机，它向同类机器扩散的速度比电视蠕虫快得多；论文合著者、多伦多大学博士生 Jonas Guan 说：「能力一直在非常快地发展。」
「真实风险」还是「噱头式入侵」：安全从业者各执一词
曾主导 Meta AI 安全体系建设的 Joshua Saxe 认为，这值得像以往每一波网络攻击一样认真对待：「我们需要缓解它可能造成的影响。」他接着说：「此刻让我担心的是，网络安全社区的人们没有把这些真实风险当作应有的分量来看待。」
曾在 OpenAI 早期负责安全、现在运营 AI 安全创业公司 RunSybil 的 Ariel Herbert-Voss 说，AI 蠕虫与普通自我复制病毒的区别在于 AI 模型能边传播边学习，而现有网络安全基础设施没有为这类威胁的扩散做好准备：「我们需要更好地武装安全团队，给他们更多资源去修问题。」
前美国国家安全局（NSA）副局长、拜登政府国家网络主任 Chris Inglis 以书面方式回应称，AI 蠕虫是否可行的问题，「已经被过去六个月的数次突破性事件解决了」，更值得问的是我们将如何使用它们、反制它们、以及把它们与其他新兴技术结合；他还提到，蠕虫也可以被用于善意用途。
怀疑一方的声音同样直接。Guan 说，Anthropic 版本移动得非常慢，蠕虫的行为可预测、可侦测，能在多个层面被拦截；他和其他专家强调，要求强密码、开启双因素认证这类基本安全卫生，就足以挡住大多数蠕虫和其他入侵。安全公司 SentinelOne 研究副总裁 Juan Andres Guerrero-Saade 说得更重：「这里面没有任何东西是真正可行或有实际影响的。这是一次漂亮的噱头式入侵，被放大到了远超应有的程度，为的是给『模型有自己的头脑和意志』这种荒谬的末日叙事添柴。」
《卫报》在报道里也交代了另一重背景：在华盛顿之外，AI 与安全界的许多人认为更严格的政府监管已属必要，但国会议员们提出的法案彼此冲突，白宫迄今只设立了一个小型审查委员会；安全研究者和普通读者都在掂量 AI 公司预警背后的动机——从近乎宗教式的信念，到推动有利于自己的立法或省钱，再到为旧金山 AI 巨头们预期中的数万亿美元公开估值造势。本月正在旧金山主办 AI 安全会议 Unprompted 的 Gadi Evron 给出一种折中判断：「说这里面有很多营销成分是对的，但现实的体量让任何公关都相形见绌。无论实验室做出了什么声称，它们对我们的警示都还不够。我们需要明白，没有人能挡住这场 AI 风暴。」
这项研究由 Anthropic 自家红队完成并公开发布；《卫报》曾寻求采访，Anthropic 未作回应。