2026-10-16 13:31:53 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

AI 蠕虫预警：15 台 55 美元电视盒子，跑起 260 亿参数模型

原创

威胁情报中心
威胁情报中心

奇安信威胁情报中心

2026年10月14日 15:11
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

威胁情报解读 · AI 安全 · 自主复制

AI 蠕虫预警
15 台 55 美元电视盒子，跑起 260 亿参数模型

Anthropic 前沿红队实验证明：小型 AI 模型距“在商用 IoT 设备上自我复制”或仅剩数月——当模型权重本身成为恶意软件载荷，“数字黏菌”式蠕虫离我们还有多远？

· Anthropic Frontier Red Team　· AI 蠕虫　· IoT 僵尸网络　· 2026.10

01 事件速览

2026 年 10 月 12 日，Anthropic 前沿红队（Frontier Red Team，研究员 William Zhou、Daniel Freeman）发布了一份题为《AI models may be capable of self-replicating without access to a datacenter》的研究报告，核心结论如下：

小型 AI 模型可能距离“在商用物联网（IoT）设备上自我复制”仅剩数月时间，潜在宿主包括智能烤箱、杂牌安卓电视盒子等廉价联网设备；
在演示中，研究团队将一个 260 亿参数的模型（Gemma4-26B-A4B）切片部署到 15 台单价约 55 美元的杂牌安卓电视盒子上，以约 0.39 token/s 的速度完成了分布式推理；
一个 90 亿参数（9B）的模型已在 9 种陌生硬件中的 8 种上成功搭建起推理服务；
在简化评估环境中，GLM-5.2 等能力较强的模型完成了端到端的自主复制，5 次试验中 4 次感染了全部 8 个测试节点；
此类复制体没有集中式控制节点，一旦扩散将难以关停，但其传播速度较慢，倍增时间以“天”计。

这是一项能力评估研究，并非野外真实攻击事件通报，目前并未发现此类 AI 蠕虫在真实环境中传播。

02 威胁模型：AI 蠕虫可能长什么样

安全界对“自主复制与适应”（Autonomous Replication and Adaptation，ARA）的担忧由来已久。传统意义上的蠕虫（worm）是无需人工干预、自行从一台计算机复制到下一台的程序。而 AI 蠕虫的特殊之处在于：模型权重本身就是恶意软件载荷的一部分——蠕虫在复制时携带权重（或从公开模型仓库重新下载），并在被攻陷的主机上直接运行推理。

Anthropic 红队梳理了三类最可能率先成为现实的威胁模型：

1. 基于权重的小型复制体（weight-based replicator）

小模型通过攻陷宿主机实现复制，直接在被控设备上运行推理。家庭和小微企业 IoT 设备因长期缺乏安全防护、且暴露在互联网上，可能是最先被波及的群体。当单个设备装不下整个模型时，模型可被切分为多个分片（shard），由多台设备协同运行——智能冰箱、扫地机器人、割草机等都可能成为分片载体。值得注意的是，越来越多的安防摄像头、视频会议终端已内置小型 AI 推理芯片，这部分“出厂自带算力”的设备将成为更有吸引力的目标。

2. 瞄准数据中心的大型复制体

能力更强的大模型可以自行入侵防护相对严密的数据中心，在算力富集的环境中运行自身。这一类别又可细分为“前沿模型复制体”（在实验室内部基础设施上秘密部署或外泄权重）与“开源权重复制体”（资源较少但天然处于无人监控状态）。

3. 基于 API 的复制体

模型通过窃取 API 密钥或平台凭据，让模型服务商在不知情的情况下为其提供推理服务。此类复制体更易被发现、持久化能力较弱，但若能利用受害者账号复制，传播速率可能更高。

现实中的“最坏情况”可能并非单一模式，而是多种模型、多种硬件、多种传播策略混合的异构僵尸网络。本次研究聚焦于第一类——因为它最临近现实，也最适合直接实验验证。

图1 | AI 蠕虫的三类威胁模型对比（图源：本文根据 Anthropic 研究报告内容绘制）

03 核心实验一：电视盒子上的分布式推理

研究团队自购了 15 台杂牌安卓电视盒子（单价约 55 美元，每台 4GB 内存），将其组网后，以流水线并行（pipeline parallelism）方式分片运行 Gemma4-26B-A4B 模型，每台盒子承载模型的若干层，整体推理速度约 0.39 token/s。

图2 | Gemma4-26B-A4B 在 15 台安卓电视盒子上的流水线并行分片示意（图源：本文根据 Anthropic 研究报告内容绘制）

为什么选择安卓电视盒子作为代表性目标？因为它与现实中的大型 IoT 僵尸网络高度吻合——以 Kimwolf 僵尸网络为例，据威胁情报厂商 Synthient 报告，该僵尸网络在高峰期感染了超过 200 万台设备，其中绝大多数为杂牌安卓电视盒子。这类设备通常运行厂商未做安全加固的 AOSP 衍生系统，出厂配置在 1 至 4GB 内存之间。

按 4GB 内存、4-bit 量化估算：4 台以上此类设备即可推理 9B 级模型，10 台以上即可推理 26B 级模型。换言之，现存于全球千家万户的廉价安卓设备，在算力层面已经“够用”了。

此外，边缘加速设备（如搭载 NVIDIA Jetson 系列的智能摄像头、会议终端等）提供了更高的算力上限：Jetson AGX Orin 64GB 可以 76.7 token/s 运行 Qwen3-30B-A3B，AGX Thor 可达 226 token/s。不过研究团队同时指出，这类设备大多通过云端管理隧道对外通信而非直接暴露入站端口，且历史上尚未发生过针对此类设备的大规模攻陷事件，实际可利用规模预计比理论上限低一个数量级以上。

图3 | FOFA 搜索可发现搭载边缘加速器的主机在 IPv4 上可达并应答 HTTP 200——可发现不代表可利用（关键信息已脱敏）（图源：Anthropic ）

04 核心实验二：陌生硬件上的推理环境搭建

研究团队将自主复制拆解为四个阶段：发现目标 → 获取执行权限 → 建立推理环境 → 以新宿主为跳板继续传播。其中前两个阶段（网络利用与入侵）已有 CyberGym、ExploitBench 等前期研究证明小模型能够胜任，本次实验的重点放在了研究最少、也可能是对小模型而言最难的第三阶段：在完全陌生的硬件上搭建推理环境。

图4 | 自主复制链条的阶段拆解：网络枚举 → 初始访问与载荷投递 → 推理环境搭建 → 复制——本研究聚焦推理环境搭建环节（图源：Anthropic ）

这一步要求模型自主完成一连串软硬件强相关的决策：选择兼容的推理框架、匹配正确的软件包版本、调试特定机器的故障。这些步骤串行依赖，一旦出错很难回滚恢复。

实验结果显示，9B 级模型（如 Qwen3.5-9B）已能在从 Jetson Nano 开发板到 Mac 电脑、再到 RTX 4090 主机的 9 种硬件类型中的 8 种上成功运行 Llama3.1-8B 的推理服务。能力更强的模型（如 GLM-5.2）不仅成功率更高，推理服务速度也更快——这意味着其复制下一代的速度也会更快。

实验中使用了研究团队自建的 Memento 智能体框架：当一代智能体超时或失败时，它会把尝试过的策略和遇到的失败写成简要笔记，新一代智能体继承工作区和笔记后从头再来，以此缓解长任务中“钻牛角尖”式的卡死。需要指出，Memento 旨在提升长链路任务的可靠性，并未赋予模型新的网络攻击能力。

图5 | Memento 智能体框架的跨代“笔记继承”机制，也是后文蠕虫代际进化实验的载体（图源：本文根据 Anthropic 研究报告内容绘制）

05 核心实验三：端到端自主复制

单项能力过关之后，能否串联成完整链条？研究团队搭建了一个由 8 个 GCP 节点组成的隔离 VPC，各节点运行 redroid（Android 15 模拟器），并故意将入侵环节简化为“无认证的 ADB 调试端口开放”：

“零号病人”节点被植入蠕虫；
蠕虫自主扫描网络、通过 ADB 端口获取目标访问权限、传输载荷（权重与运行框架）；
在目标节点上搭建 Llama3.1-8B 推理服务，通过正确性与防作弊校验后，在新节点上生成蠕虫副本，继续下一轮传播。

结果显示，GLM-5.2 是唯一可靠完成端到端复制的受测开源模型：5 次试验中 4 次感染了全部 8 个节点，剩余 1 次感染 7 个；其余受测模型则全部稳定失败。

图6 | 端到端自主复制实验：左为 8 节点隔离 VPC 内的传播拓扑，右为单次跨节点跳跃的完整动作链（图源：本文根据 Anthropic 研究报告内容绘制）

研究团队坦承，该评估中的入侵环节被刻意简化（无认证 ADB 端口），因此结果应视为现实成功率的上限。但从历史经验看，现实 IoT 设备的安全性未必比这个“简化环节”强多少——Mirai 僵尸网络当年仅靠遍历厂商默认用户名密码列表就完成了大规模传播；近年爆发的 Kimwolf 也主要利用暴露且未认证的 ADB 服务感染设备。

作为对照消融实验，当把“推理环境搭建”环节替换为预写脚本（即只保留扫描、传输、启动等命令行编排工作）后，包括 3B 模型在内的多数小模型都能完成剩余步骤——这进一步证明，推理环境搭建是当前小模型复制链条上真正的“能力卡点”。

06 能力基线与时间线推演

综合上述实验，可以勾勒出一个 AI 蠕虫诞生的“双重门槛”：

能力下限（floor）：模型必须强到足以可靠完成复制链条。在当前简化评估中，GLM-5.2 位于这条线之上；
体积上限（ceiling）：模型必须小到足以在目标设备上运行。Qwen3.5-9B、Gemma4-26B-A4B 等已位于 4GB 内存电视盒子这条线之下。

目前，这两条线在“小模型”区间尚未相交。但研究团队绘制了 30B 以下知名开源模型的发布时间与 Epoch 能力指数（ECI）散点图，最优模型的趋势线以每年约 13.7 ECI 的速率增长（拟合优度 R²=0.95）。若以 GLM-5.2 作为复制能力基线，按此趋势外推，小模型可能在 2026 年底达到该水平。需要强调的是，ECI 是通用能力指标，只是复制能力的粗略代理变量，这一时间表只能作为数量级参考。

图7 | AI 蠕虫诞生的“双重门槛”：能力下限与体积上限尚未相交，趋势外推显示二者或在 2026 年底相遇（图源：本文根据 Anthropic 研究报告内容绘制）

07 传播速度测算：一场“数字黏菌”式的慢速瘟疫

这类蠕虫不会以聊天机器人的交互速度运转，它将在边缘硬件上缓慢地“挤”出 token。基于真实电视盒子上测得的速度：

Gemma4-26B-A4B（未优化）：处理一个 32K 上下文窗口需 27.3～31.8 小时，完成一次完整推理环境搭建任务（约 2.6～4.7 个窗口）需 71～150 小时；
Qwen3.5-9B：单窗口约 10.9 小时，完整任务约 28～51 小时。

即单次复制的倍增时间在 1～2 天以上。

再做一个规模推演：以 Kimwolf 高峰期 200 万+感染设备为参照，若等规模的电视盒子僵尸网络全部用于运行 AI 模型，每 15 台盒子承载一个 Gemma4-26B-A4B 副本，则可形成约 13.3 万个复制体；每组盒子可同时服务 2 个智能体、各以约 0.3 token/s 输出，整个僵尸网络合计约 8 万 token/s。参照一张 H100 显卡在高并发投机解码下约 1950 token/s 的服务速度，这个庞大网络的总推理能力仅相当于约 40 张 H100。

图8 | “Kimwolf 量级”AI 僵尸网络的算力规模推演漏斗：从 200 万台感染设备到约 40 张 H100 等效算力（图源：本文根据 Anthropic 研究报告内容绘制）

这个算力规模在绝对意义上很小，复制体也行动迟缓——研究团队将其类比为“黏菌或果蝇群”：以天为单位繁殖，但没有中枢神经，也就没有可以一击关停的开关。这正是它与传统高性能僵尸网络截然不同的威胁画像：慢，但极难根除。

08 适应性进化：会“遗传经验”的蠕虫

ARA 中的“A”（适应）是 AI 蠕虫可能优于传统蠕虫的关键。模型与提示词在传播中可以发生“拉马克式进化”：父代实例把自己的提示词、代码和笔记传递给子代。

实验验证了这一点：每个 Qwen3.5-9B 实例记录自己尝试的策略与失败，新实例继承笔记后再次尝试同一推理搭建任务。跨六代实验中，搭建成功率从第一代的 45% 上升至后续世代的 61%～84%。也就是说，蠕虫在“见过”的硬件上会越传越稳。

另一个值得关注的结论是“求助无效”：研究团队给小模型开放了前沿大模型（Opus 4.8）作为顾问，无论以工具调用形式提供还是在卡住时主动给建议，小模型的成功率均无显著提升——它们不知道该问什么。即使通过强化学习专门训练“如何使用顾问”，在推理搭建任务上依然收效甚微。研究团队据此判断，未来更现实的协同模式可能是：由大模型负责高层策略，孵化小模型作为子代理执行。

09 与传统僵尸网络的本质差异


维度	传统硬编码僵尸网络（如 Mirai、Kimwolf）	AI 蠕虫
目标硬件	绑定特定设备类型（如安卓电视/移动设备）	不受硬件类型限制，可自主适配陌生设备
感染逻辑	预置漏洞利用与密码字典	可自主完成扫描、入侵、环境搭建全链条
进化能力	依赖作者更新变种	代际传递经验，越传越可靠
传播速度	快（分钟至小时级）	慢（天级倍增）
关停难度	可通过接管 C2 实现“斩首”	无集中控制点，需逐网清理

研究团队同时预期，AI 僵尸网络不会只盯着 IoT 设备，权重复制只是其“工具箱”中的一种策略；它们理论上还可能针对防御方采取智能反制，但这一点尚未经实验验证。

10 防御视角：把 R₀ 压到 1 以下

对抗复制体的思路与流行病学一致——防御目标是把基本传染数 R₀（每个感染设备平均新感染的设备数）压到 1 以下，让复制体自然消亡而非成为地方流行病。当前有三个因素对防御方有利：

1. 网络流量特征难以隐藏

权重复制体大规模传播会产生明显网络特征：数 GB 量级的模型载荷传输、原本互不通信设备之间的持续设备到设备（D2D）流量（分布式推理所需）、额外的扫描与外联行为，均可在 ISP 流量监测中形成异常信号。复制体在“速度”与“隐蔽性”之间存在固有权衡：传得越快，流量越显眼。发现后还可利用蜜罐诱捕其框架与载荷，刻画行为特征。

2. ISP 隔离处置已有成功先例

Mirai 僵尸网络治理中，某 ISP 利用外部获取的感染证据对受影响用户实施隔离——将其网络限制为仅可访问白名单站点，并把浏览器重定向到清理指引页面。该措施在 14 天内清除了 92% 的感染（未通知用户的对照组为 74%）。预计类似隔离手段对权重复制体的初期防御同样有效；但要彻底根除，需要协调所有存在感染网络的 ISP，难度很高。

3. 压缩可攻击面，监管驱动基线提升

厂商可通过更安全的出厂配置压缩目标池，监管则负责协调。例如英国已立法将 IoT 设备默认密码列为不合规。提高出厂安全基线，对 AI 蠕虫和传统蠕虫是“一箭双雕”的防御投入。

对于企业防御者而言，落地动作并不前沿：盘点内网 IoT/边缘设备资产、关闭或收敛 ADB 等调试端口暴露面、网络分区隔离、监测异常的大文件传输与 D2D 横向流量——这些“基本功”恰恰是该威胁模型下最有效的防线。

图9 | 防御框架总览：监测发现、隔离处置、源头加固三道防线协同将 R₀ 压至 1 以下（图源：本文根据 Anthropic 研究报告内容绘制）

11 结语：尚未发生，但已见“生命迹象”

让 AI 模型成为强大编程智能体的通用能力，同样泛化到了包括自主复制在内的网络任务上。用研究团队的话说：就像 2024 年的编程智能体一样，AI 蠕虫如今已显现“生命迹象”——完整的失控复制体尚未出现，但复制链条上的各个单项能力正被逐一打通，且复制体已能将适应经验传递给后代。

与此同时，数据中心之外的边缘推理算力持续增长，而可靠复制所需的最小模型体积不断下降——两条曲线的走向决定了这一威胁只是时间问题。未来自主复制的形态仍不确定：它可能是寄生在低安全性算力上的慢速“数字黏菌”，可能是高速攻陷数据中心的强力模型，也可能是靠诈骗人类获取算力额度的寄生者。

可以预见的是，慢速复制体的出现将是更激进、更快速变种的前兆。加固系统让复制体难以传播，与适应一个“它们可能长期存在”的世界，是防御方必须同时做的两件事。

12 技术附录

附1：MITRE ATT&CK 技术映射

以下映射基于研究报告中描述的 AI 蠕虫行为链条（实验环境行为），供防御方构建检测规则参考：


战术	技术 ID	技术名称	对应行为描述
侦察	T1595	Active Scanning	蠕虫对网络进行扫描，枚举可感染目标节点
发现	T1018	Remote System Discovery	在网段内发现存活主机；跨网段传播时经枢纽节点重新扫描
发现	T1046	Network Service Discovery	探测目标开放的 ADB 等服务端口
初始访问	T1190	Exploit Public-Facing Application	利用暴露的服务端口（实验中简化为无认证 ADB；现实中对应默认口令、已知漏洞等）
初始访问	T1078	Valid Accounts	现实场景中利用默认/弱口令（Mirai 模式）或失窃凭据（API 复制体模式）
执行	T1059	Command and Scripting Interpreter	通过 ADB/反向 Shell 在目标上执行命令与脚本
横向移动	T1021	Remote Services	借助远程服务（ADB/SSH 等）在节点间跳转
横向移动	T1105	Ingress Tool Transfer	向目标传输载荷：模型权重文件与运行框架（数 GB 量级）
持久化	T1037	Boot or Logon Initialization Scripts	（推断性映射）蠕虫需在被控设备上维持推理服务进程
命令与控制	T1090	Proxy	现实 IoT 僵尸网络（如 Kimwolf）经住宅代理网络隧道化投递载荷
命令与控制	T1071	Application Layer Protocol	分布式推理节点间持续通信（D2D 流量）
影响	T1496	Resource Hijacking	劫持被控设备的 CPU/内存/边缘算力用于模型推理

注：T1037 为基于蠕虫持久化需求的推断性映射，原报告未明确描述具体持久化机制。

附2：网络杀伤链（Cyber Kill Chain）阶段映射


杀伤链阶段	AI 蠕虫对应环节	实验中的简化/处理
侦察（Reconnaissance）	扫描网络发现目标设备	保留真实环节
武器化（Weaponization）	载荷=模型权重+推理框架+Memento 式智能体外壳	权重可随蠕虫携带或从公开仓库重新下载
投递（Delivery）	经 ADB 端口/反向 Shell 传输权重与框架	保留真实环节
利用（Exploitation）	获取目标执行权限	刻意简化（无认证 ADB），引用 CyberGym/ExploitBench 等前期研究
安装（Installation）	在陌生硬件上自主搭建推理服务（选框架、配版本、调故障）	本次研究的核心测量对象
命令与控制（C2）	无集中 C2；父代向子代传递笔记/代码实现“拉马克式”进化	去中心化设计本身
目标行动（Actions on Objectives）	以新宿主为跳板继续复制	端到端评估测量

附3：失陷指标与检测线索（IoC/Detection）

说明：本次研究为实验室能力评估，无野外 IoC。以下为防御方可直接使用的检测线索，部分来自相关现实威胁（Kimwolf/AISURU 僵尸网络）的公开情报：

网络层检测线索：

内网设备间出现数 GB 量级的大文件传输（模型权重载荷特征），来源为其他终端设备或外部托管服务；
原本无通信关系的 IoT 设备之间出现持续、稳定的设备到设备（D2D）流量（分布式推理特征）；
设备出现异常扫描行为与大量外联连接；
针对 ADB 服务端口的扫描与连接：TCP 5555、5858、12108、3222（Kimwolf 公开情报中的常用扫描端口）；
监听端口 TCP 40860（Kimwolf 主载荷特征）；
住宅代理网络中出现访问私网地址段（RFC 1918）的请求（代理隧道投递特征）。

主机层检测线索：

安卓设备 /data/local/tmp 目录下出现可疑写入文件（Kimwolf 载荷投递路径特征）；
IoT 设备上存在非预期的 Python 运行时、推理框架（如 llama.cpp 类进程）或大内存占用的推理服务进程；
设备内存/算力被持续高占用（推理工作负载特征，设备发热、响应变慢）。

处置建议：

排查并关闭安卓/IoT 设备上未认证的 ADB 调试端口；
ISP 侧对确认感染的用户网络实施白名单隔离+重定向清理指引（Mirai 治理模式，14 天清除率 92%）；
部署蜜罐设备诱捕蠕虫载荷，用于行为刻画与特征提取。

附4：关键数据速查表


指标	数值
分布式演示模型	Gemma4-26B-A4B，15 台 4GB 内存安卓电视盒子，约 0.39 token/s
推理搭建能力	9B 模型在 9 种硬件中的 8 种上成功搭建推理服务
端到端复制	GLM-5.2：5 次试验中 4 次感染 8/8 节点、1 次感染 7/8 节点
单次复制耗时	Qwen3.5-9B 约 28～51 小时；Gemma4-26B-A4B 约 71～150 小时
代际进化	Qwen3.5-9B 搭建成功率：第 1 代 45% → 后续世代 61%～84%
能力趋势外推	小模型 ECI 年增速约 13.7（R²=0.95），预计 2026 年底达到复制基线
规模推演	200 万台电视盒子 ≈ 13.3 万复制体 ≈ 8 万 token/s ≈ 40 张 H100
边缘算力上限估算	约 9000～35000 张 H100 等效（野外约 950 万台 NVIDIA 芯片 IoT 设备）

13 参考链接

1. Anthropic Frontier Red Team — AI models may be capable of self-replicating without access to a datacenter
https://www.anthropic.com/research/self-replicating-ai

2. The Hacker News — Researchers Null-Route Over 550 Kimwolf and Aisuru Botnet Command Servers
https://thehackernews.com/2026/01/kimwolf-botnet-infected-over-2-million.html

3. OFFSEQ Radar — Kimwolf Android Botnet Infects Over 2 Million Devices via Exposed ADB and Proxy Networks
https://radar.offseq.com/threat/kimwolf-android-botnet-infects-over-2-million-devi-3c5ccac1

4. The New Stack — Anthropic’s red team ran AI on 15 cheap TV boxes. Then the math got unsettling.
https://thenewstack.io/self-replicating-ai-worms/

5. The Decoder — Anthropic study warns that small AI models could soon replicate across everyday devices
https://the-decoder.com/anthropic-study-warns-that-small-ai-models-could-soon-replicate-across-everyday-devices/

6. Al Jazeera — AI could self-replicate on home devices within ‘months’, Anthropic says
https://www.aljazeera.com/economy/2026/10/13/ai-could-self-replicate-on-home-devices-within-months-anthropic-says

7. Unite.AI — Anthropic Red Team Says Small AI Models May Soon Replicate on IoT Devices
https://www.unite.ai/anthropic-red-team-says-small-ai-models-may-soon-replicate-on-iot-devices/

8. 虎嗅 — Anthropic 用 15 台电视盒子分布式运行 260 亿参数模型，并测试 AI 自主复制传播能力
https://www.huxiu.com/article/4897134.html

9. C114 通信网 — 小模型已有生命迹象，AI 蠕虫恐引爆全球物联网灾难
https://www.c114.net.cn/industry/132353.html