AI蠕蟲恐自主複製擴散至智慧家電 Anthropic：小型模型年底前可能具備能力
Anthropic示警AI模型恐自主複製擴散至智慧家電 小型模型年底前可能具備能力
人工智慧(AI)安全風險再添新警訊。開發Claude聊天機器人的Anthropic於10月12日發布最新研究，指出小型AI模型可能在未來數月內具備自主複製並透過物聯網(IoT)裝置擴散的能力，潛在目標包括智慧烤箱、智慧冰箱、掃地機器人、智慧電視盒及其他連網家電。研究團隊估計，如果小型模型持續以過去的速度進步，具備端到端自主複製能力的模型可能在2026年底前出現，進一步增加網路安全防禦難度。
Anthropic的研究團隊指出，這類威脅可稱為自主複製與適應(Autonomous Replication and Adaptation, ARA)，意指AI模型能在缺乏人類直接控制的情況下，將自身部署至其他設備、複製模型權重，並持續向其他系統擴散。若這項能力與網路攻擊技術結合，便可能形成類似電腦蠕蟲的「AI蠕蟲」(AI worm)，不僅能自行尋找新目標，也可能在感染其他設備後，繼續執行攻擊及複製任務。
過去，AI模型通常需要仰賴大型資料中心與高效能GPU運算，但Anthropic認為，發動此類攻擊未必需要昂貴的運算基礎設施。許多家用及商用IoT裝置長期存在安全防護不足、運算資源閒置及更新機制不完善等問題，攻擊者可能利用這些弱點，將大量低成本設備串聯成分散式運算網路，讓AI模型直接在遭入侵的硬體上執行推論，並利用設備本身的運算能力繼續擴散。
Anthropic在實驗中，將Gemma4-26B-A4B模型分散部署至15台低價、非知名品牌的Android電視盒，每台購置成本約55美元，合計約825美元。每台電視盒配備4GB記憶體，研究人員透過分散式推論架構，將模型拆分成不同部分，讓多台設備共同執行運算，實測速度約為每秒0.39個Token。研究顯示，即使是原本不以AI運算為主要用途的消費性電子設備，只要具備適當的軟硬體條件，也可能成為分散式AI運算網路的一部分。
在硬體相容性測試方面，Anthropic發現，參數規模約90億(9B)的模型，已能在測試的9種硬體類型中，成功於8種硬體上建立推論運作環境。至於參數規模在300億(30B)以下的小型模型，現階段已能完成自主複製所需的多項個別任務，但將所有步驟串接起來時，仍可能出現錯誤。
研究團隊將自主複製流程拆分為四個階段，包括搜尋可利用的目標設備、取得執行權限、在遭入侵設備上建立AI推論環境，以及繼續向其他設備傳播。Anthropic指出，真正困難的環節之一，是讓模型在陌生硬體上自行選擇相容的推論框架、安裝正確版本的軟體套件，並處理作業系統與硬體架構差異所引發的問題。
在一項受控測試中，Anthropic使用8個執行Android 15模擬環境的Google Cloud Platform節點，建立隔離的虛擬私人雲端網路，並透過未經身分驗證的Android Debug Bridge (ADB)連接埠，模擬模型從一台設備向下一台設備傳播的過程。研究團隊測試了11種開放權重模型，涵蓋阿里巴巴、DeepSeek、Google、Meta、MoonShot AI、OpenAI及智譜AI等機構的模型。
結果顯示，在這組受測模型中，GLM-5.2是唯一能可靠完成端到端複製流程的模型。實驗中，該模型在5次測試裡，有4次成功將複製流程擴散至全部8個節點，另1次則成功抵達其中7個節點。不過，研究人員特別指出，這項實驗簡化了網路入侵階段，節點之間沒有設置身分驗證，因此結果只能視為模型在特定條件下的能力上限，不能直接等同於現實網路攻擊的成功率。
Anthropic根據小型開放權重模型過去的能力成長趨勢進行估算，指出相關模型在Epoch Capabilities Index (ECI)能力指標上的進步速度約為每年13.7點，趨勢線的擬合程度R²為0.95。若這項成長趨勢持續，參數規模較小的模型可能在2026年底前達到GLM-5.2在實驗中展現的能力門檻。不過，ECI只是一般模型能力的代理指標，並非直接衡量自主複製能力，因此年底的時間預估仍存在不確定性。
研究也評估了這類AI蠕蟲的擴散速度。由於低成本IoT設備的運算能力有限，模型可能無法像傳統惡意程式一樣快速傳播，而是採取緩慢、持續的方式擴張。以Gemma4-26B-A4B為例，在研究所使用的設定下，完成一個32K Token的上下文視窗約需27.3至31.8小時，完成推論環境部署的完整流程則估計需要71至150小時。Qwen3.5-9B完成一個相同規模上下文視窗約需10.9小時，完整推論環境部署約需28至51小時。
研究團隊進一步以過去曾感染超過200萬台設備的Kimwolf物聯網殭屍網路作為參考，估算若有相同規模的電視盒被組成AI運算網路，每15台設備共同執行一份Gemma4-26B-A4B模型，理論上可形成約13.3萬份模型副本。每組15台設備約可同時支援兩個AI代理程式運作，各自速度約為每秒0.3個Token，整個網路合計約可提供每秒8萬個Token的推論吞吐量。
作為比較，單張NVIDIA H100 GPU在高併發及推測解碼條件下，執行Gemma4-26B-A4B的推論速度約為每秒1,950個Token。依據Anthropic的估算，上述由數百萬台電視盒構成的網路，其整體推論能力約相當於40張H100 GPU。這代表分散式IoT網路的運算效率仍遠低於專業資料中心，但若攻擊者能持續擴大受感染設備數量，仍可能建立難以完全清除的分散式AI運算基礎設施。
Anthropic也指出，AI蠕蟲與傳統惡意程式的差異，在於模型可能具備適應陌生環境及累積經驗的能力。當一個模型在特定硬體或作業系統上成功完成部署後，可能將程式碼、操作紀錄及先前的錯誤處理經驗傳遞給下一個副本，讓後續執行個體提高在相同環境中部署成功的機率。這種隨著擴散累積經驗的機制，可能使AI蠕蟲更容易適應不同設備與網路環境。
除了直接入侵IoT設備，Anthropic也列出其他可能的擴散途徑，包括竊取AI服務的API金鑰或平台憑證，利用合法服務管道執行模型；以及嘗試入侵資料中心，取得更強大的運算資源。大型模型也可能將自身運算需求拆分至多台設備，或利用被入侵的帳戶及運算服務擴大部署規模。不過，透過API憑證進行複製的方式，可能因異常使用紀錄而被服務供應商發現，進而遭到停用。
研究團隊警告，若AI蠕蟲分散在大量不同設備上，便可能不存在單一中央伺服器或控制點可供管理者直接關閉。即使部分感染設備遭到清除，其他設備仍可能持續運作並嘗試擴散。Anthropic因此主張，業者應強化連網設備的安全防護，並為未來可能出現的自主複製系統預先制定應變機制。
不過，這項研究並不代表目前已出現能在真實環境中完全自主複製、持續感染家用電器的AI蠕蟲。Anthropic承認，研究尚未展示一個能在現實IoT網路中，獨立完成所有入侵、複製及持續擴散步驟的完整失控系統，現階段的實驗主要用於驗證相關技術環節是否可行。
部分資安專家也對威脅的迫切程度提出質疑。英國國家網路安全中心前主管Ciaran Martin認為，Anthropic的研究雖然具有技術參考價值，但將小型模型在低價電視盒上運作的成果延伸為重大安全危機，可能帶有過度渲染的成分。研究人員則強調，儘管完整攻擊情境尚未實現，但當AI模型逐漸具備自行處理多個複雜步驟的能力時，相關風險就值得提前評估。
美國科羅拉多大學丹佛分校電腦科學與工程助理教授Zhengxiong Li指出，在受控環境中展示的能力仍值得關注，因為若AI能夠自行尋找利用方式、適應設備差異並持續傳播，就可能形成難以透過單一控制點阻斷的威脅。喬治城大學安全與新興技術中心資深研究分析師Jessica Ji則認為，考量近期出現的AI非預期行為案例，自主擴散的情境並非完全不可能，但目前仍無法確定其實際發生機率。
Anthropic的研究顯示，AI安全問題正逐漸從模型本身的能力限制，延伸至模型部署後能否自主取得運算資源、跨越設備邊界並持續存活。即使小型模型的運算速度不及資料中心GPU，只要能利用大量低防護設備形成分散式網路，仍可能帶來不同於傳統網路攻擊的防禦挑戰。研究團隊認為，現階段應優先強化IoT設備的存取控制、身分驗證與安全更新機制，同時建立能應對自主擴散型AI威脅的長期防禦策略。
