Anthropic 於 10 月 12 日發布研究，警告小型人工智慧（AI）模型可能在數月內具備於物聯網（IoT）裝置上自我複製的能力，潛在目標包括智慧烤箱與非品牌 Android 電視盒。Anthropic 指出，這類模型可能形成自主擴散的蠕蟲式殭屍網路（botnet），由於沒有可集中關閉的單一節點，將難以阻斷。不過，研究也強調，目前尚未出現完整的流氓複製體。
模型權重成為惡意程式的一部分
Anthropic 說明，這類「AI 蠕蟲」可在擴散時攜帶模型權重（model weights），或從公開模型庫重新下載，並直接在遭入侵的硬體上執行推論（inference），使模型權重本身成為惡意程式酬載的一部分。如果模型太大，無法放入單一裝置，也可以切分成小區塊，分散到多台機器共同運作。先前已有研究證實，AI 代理能掃描網路、執行漏洞利用程式，並將模型權重複製到 GPU 叢集中的目標機器。
Anthropic 列出三種可能的擴散方式：
- 第一種是權重型複製體（weight-based replicators）：入侵主機並在上面執行模型，因此安全控管薄弱的 IoT 裝置可能成為目標。
- 第二種是鎖定資料中心等運算資源充足的環境，建立不受監控的流氓部署（rogue deployments）。
- 第三種則是竊取 AI 服務供應商的 API 金鑰或平台憑證，以執行自身複本；這種方式較不持久，也更容易被發現。
15 台電視盒跑起 260 億參數模型
Anthropic 研究人員 William Zhou 與 Daniel Freeman，將 Google 的 Gemma4-26B-A4B（約 260 億參數）分散部署在 15 台自行購買、每台約 55 美元的非品牌 Android 電視盒上，推論速度為每秒 0.39 個詞元（token）。研究人員認為，這顯示低價 IoT 裝置也能承載具一定能力的模型。
Anthropic 以曾感染逾 200 萬台裝置、且受害裝置多為非品牌 Android 電視盒的 Kimwolf 殭屍網路為例推估，若同等規模的電視盒每 15 台組成一組來執行該模型，約可形成 13.3 萬組複本，整體算力最高相當於約 40 張 H100 GPU，形成一套緩慢且分散式的系統。
GLM-5.2 是唯一能完整複製的模型
據外媒報導，Anthropic 測試了來自阿里巴巴、DeepSeek、Google、Meta、Moonshot AI、OpenAI 與智譜 AI（Zhipu AI，又稱 Z.ai）的 11 款開放權重（open-weights）模型。約 90 億參數的 Qwen3.5-9B，能在 9 種受測硬體中的 8 種建立推論環境。在由 8 個節點組成的模擬網路中，只有 GLM-5.2 能將 Llama3.1-8B 傳播出去：5 次測試中，4 次感染全部 8 個節點，另 1 次感染 7 個；這些節點執行的是 redroid Android 模擬器。
Anthropic 指出，目前 300 億參數以下的模型已能完成許多單一步驟，但在串接完整流程時仍會出錯。若小型模型依照過去的進步速度持續發展，預計今年底可望達到 GLM-5.2 的水準。
屬能力上限測試，專家認為威脅尚不迫切
實驗採用最有利於攻擊的條件：目標裝置開放未經驗證的 Android 偵錯橋（ADB）連接埠，測試則在雲端模擬環境中進行。因此，這項研究測試的是模型能力上限，並非駭客實際會採用的攻擊方式。Anthropic 也指出，過去 Mirai 殭屍網路只靠預設帳號密碼就能擴散，真實世界的攻擊難度未必高出許多。
營運技術（OT）與 IoT 資安業者 Viakoo 副總裁 John Gallagher 向外媒表示，透過低頻寬連線傳送數 GB 的模型權重，或將其寫入容量有限的快閃儲存空間，仍有相當大的實務障礙，因此這種攻擊手法不會立即普及。
擴散緩慢，防守方仍有應對空間
Anthropic 估算，在受測硬體上，Qwen3.5-9B 完成一次推論環境設定約需 28 至 51 小時，Gemma4-26B-A4B 則需 71 至 150 小時，複本倍增以天計。Anthropic 表示：「我們尚未見到完整的流氓複製體。」不過，AI 代理完成複製鏈中個別步驟的能力持續提升，研究人員建議：
- 監測數 GB 大小的模型傳輸，以及裝置間的異常流量。
- 透過誘捕設備（honeypot）蒐集樣本並分析其行為。
- 請網際網路服務供應商（ISP）隔離受感染用戶，並通知當事人。以 Mirai 為例，通知後 14 天內有 92% 的感染裝置遭清除；未通知時則為 74%。
- 設備廠商應採用更安全的預設設定。
本文轉載自 TheHackerNews、BleepingComputer、DarkReading。