AI 能不能像電腦蠕蟲一樣，自行找到下一台裝置、把自己複製過去，而且不需要龐大的資料中心？Anthropic 前沿紅隊（Frontier Red Team）在 10/12 發布研究，在模擬的 Android 裝置網路中測試開放權重模型的自我複製能力，其中 GLM-5.2 在 5 次試驗中有 4 次擴散到全部 8 個節點。Anthropic 推估，若小模型維持過往的進步速度，今年底就可能具備同等能力。
研究一發布，科技媒體《The Register》就質疑實驗環境是刻意留下漏洞的特製節點。雙方對威脅多快到來看法不同，卻都把焦點放在同一道防線上：那些防護薄弱的廉價 IoT 裝置。AI 蠕蟲離現實還有多遠？企業和裝置製造商現在又該先補哪些洞？
便宜電視盒就能跑模型，AI 已在模擬環境中自我複製
Anthropic 這次想回答的問題是：AI 能否不靠資料中心，在廉價的 IoT 裝置上自我複製？研究者認為，這種複製器一旦出現，由於沒有可以一鍵切斷的中央控制點，一旦出現將很難清除。
首先是確認便宜的硬體能否運行 AI 模型。研究團隊把 Gemma4-26B-A4B 模型分散到 15 台、每台約 55 美元的白牌 Android 電視盒上執行，速度為每秒 0.39 個 token。速度雖然很慢，但證明了串起廉價裝置就能運行模型。另一項測試中，9B（90 億參數）模型在 9 種測試硬體中，成功在 8 種上自行架起推論環境。
核心實驗則是在模擬環境中進行。研究團隊在 Google Cloud 上建置一個以防火牆隔離的網路，內含 8 個執行 Android 15 模擬器（redroid）的節點，測試 AI 能否從一台裝置出發，自行完成整個複製流程、擴散到其他節點。結果，受測的開放權重模型中，只有 GLM-5.2 能在簡化條件下完成端到端傳播流程，5 次試驗中有 4 次擴散到全部 8 個節點。不過，實驗是由 GLM-5.2 負責操作、在目標節點部署 Llama3.1-8B 推論服務，並由測試系統啟動下一份 Agent，尚不代表 8B 小模型已能獨立完成自我複製。研究者據此推論，若未來 8B 等級的小模型具備 GLM-5.2 的能力，就能自行完成擴散。
至於參數在 300 億（30B）以下的小模型，已經能完成複製流程中的許多個別步驟，但要串成完整流程時，仍然會出錯。
Anthropic 推估年底到位，也自己揭露成功率只是上限
小模型什麼時候能補上這一步？Anthropic 以研究機構 Epoch 的通用能力指數（ECI）推算：小模型的 ECI 每年約提升 13.7，若維持這個速度，今年底就能達到這次實驗的複製能力水準。不過研究者也說明，ECI 只是複製能力的代理指標，不能直接畫上等號。
研究團隊也主動揭露實驗的限制。實驗中，裝置的 ADB 埠（Android Debug Bridge，用來除錯與遠端操作 Android 裝置的連線埠）沒有設驗證機制，因此結果只代表真實世界成功率的上限。但研究者也認為這樣的簡化未必脫離現實：過去的 IoT 殭屍網路，光靠逐一嘗試廠商預設的帳號密碼就能擴散。
即使真的出現，這類 AI 蠕蟲也不會是閃電戰。以 9B 模型而言，每完成一次複製要 1 到 2 天以上，研究者把它比喻成「以天為單位繁殖的黏菌或果蠅群」。Anthropic 進一步假設，就算以去年底曝光的 Android 殭屍網路 Kimwolf，感染逾 200 萬台裝置的規模來估算，整個網路的推論能力最多也只相當於約 40 顆 H100 GPU。這顯示即使掌握大量廉價裝置，也不代表能取得強大的 AI 運算效能。
研究者形容，AI 蠕蟲已經出現「初步跡象」，但也承認目前還沒有完整的失控複製器。
同類漏洞普遍存在於超過 200 萬台受感染裝置，多數開啟未驗證 ADB
《The Register》記者 Brandon Vigliarolo 則對研究提出質疑。他指出，複製實驗用的節點，是為這個專案特別建置、刻意對攻擊開放的；而且結論還得建立在「GLM-5.2 的能力可以壓縮進 Llama3.1-8B 這類小模型」等假設上。
Vigliarolo 也比較了傳播速度：2016 年的 Mirai 殭屍網路，大約一小時規模就翻倍，Anthropic 估計 AI 蠕蟲則需要數天。加上模型檔案龐大、會占用大量頻寬，反而容易暴露來源。
不過，AI 蠕蟲尚未成形，不代表這些裝置是安全的。根據《The Hacker News》今年 1 月引述資安公司 Synthient 的研究，Kimwolf 殭屍網路已感染逾 200 萬台 Android 裝置，包括非官方 Android 系統的智慧電視與機上盒。這個殭屍網路由中國資安公司奇安信 XLab 在 2025 年 12 月首度公開。
其中，至少 67% 的受感染裝置未經驗證、且預設開啟 ADB，正是 Anthropic 實驗中刻意留下、用來簡化入侵步驟的同一類入口。這些裝置還疑似在購入時，就已預裝了代理服務商的軟體開發套件（SDK）。遭到控制後，它們被用來販售住宅代理頻寬、出租 DDoS 攻擊能力，相關基礎設施也被用來對郵件（IMAP）伺服器與熱門網站發動憑證填充攻擊（credential stuffing，用外洩的帳號密碼大量嘗試登入）。
怎麼防範？Anthropic 借用流行病學的概念，把防禦目標設為讓 R₀（每台受感染裝置平均再感染的裝置數）降到 1 以下。新感染的裝置可能要接收好幾 GB 的模型檔案，這會在網路業者（ISP）的流量監控中留下異常特徵；而在 Mirai 事件中，根據一項 2019 年的研究，荷蘭一家 ISP 將受感染用戶隔離並通知後，14 天內清除了 92% 的 Mirai 感染，未通知的用戶最多只有 74% 的清除率。於法規層面，若 IoT 裝置使用預設密碼，在英國市場屬於不適法。
《The Hacker News》在 1 月的報導中即建議，企業應封鎖或限制開著未驗證 ADB 的裝置。《The Register》也在文末指出，基本的資安措施，就能讓未來的 AI 殭屍網路更難得逞。
這不代表 AI 蠕蟲的風險可以忽略，Anthropic 的推估仍有待時間驗證。但無論威脅何時到來，關閉不必要的除錯埠、淘汰出廠預設密碼，都是企業 IT 部門和裝置製造商現在就能動手的事。
【推薦閱讀】
＊本文開放合作夥伴轉載，資料來源：Anthropic、《The Register》、《The Hacker News》，首圖來源：Unsplash
