吳明宜Anthropic 研究人員警告，小型 AI 模型可能在未來數個月內，逐步具備在智慧烤爐、白牌 Android 電視盒等物聯網 (IoT) 裝置上自我複製的能力。不過，目前還沒有出現完整、不受人類控制的自主複製系統，研究結果也不代表 AI 蠕蟲已能在真實網路中自行擴散。
研究團隊指出，這類模型可能形成自主擴散的蠕蟲式殭屍網路。這種網路沒有可以集中切斷的控制點，防禦者可能很難把它完全關閉；但它的複製速度也可能相當緩慢，要以天為單位計算。
過去的研究已經展示，AI 代理可以掃描網路、利用漏洞，並將模型權重複製到 GPU 叢集中的目標機器。 Anthropic 這次關注的問題是：模型能否在運算資源有限、硬體環境各不相同的裝置上建立推論環境，進而串起自我複製流程。
在這種威脅情境下，AI 蠕蟲可能在複製時攜帶模型權重，或從公開平台重新下載，再直接利用遭入侵裝置的硬體執行推論。因此，模型權重會成為惡意程式酬載的一部分，不必每次執行都依賴資料中心。如果模型太大，無法放進單一裝置，也可以將模型切分到多台機器，透過彼此通訊共同執行。
三類複製途徑涵蓋裝置入侵與 API 憑證竊取
Anthropic 把較接近實現的威脅情境分為三類：
- 小型權重式複製器 (weight-based replicator)：模型入侵裝置後，直接在遭入侵的硬體上執行，再繼續複製。家用與小型企業 IoT 裝置長期缺乏足夠防護，可能成為優先目標。
- 鎖定高運算資源的大型複製器：目標包括資料中心等高運算環境，並依模型來源分為尖端模型複製器 (frontier replicator) 與開放權重複製器。前者可能利用模型開發機構的基礎設施建立未受監控的部署，或將權重移到外部運算環境；後者則以開放權重模型為起點。
- API 式複製器 (API-based replicator)：模型竊取自身推論服務所需的 API 金鑰或平台憑證，再利用供應商的服務執行。供應商可能誤以為這些是合法客戶的正常請求，但異常的使用行為也可能觸發警示，導致憑證遭撤銷或帳號遭封鎖。
這三類途徑並不互斥。研究團隊認為，較複雜的 AI 殭屍網路可能同時使用不同的模型、硬體與複製策略。
推論部署與完整複製是兩項不同測試
根據 The Hacker News 報導，研究涵蓋阿里巴巴、 DeepSeek 、 Google 、 Meta 、 Moonshot AI 、 OpenAI 與 Zhipu AI（亦稱 Z.ai）的 11 個開放權重模型。 Anthropic 分別評估兩種能力：模型在不同硬體上建立推論環境的能力，以及把多個步驟串成完整複製流程的能力。 〔報導來源〕
在推論部署測試中，一個 90 億參數的模型能在 9 種受測硬體中的 8 種建立推論環境。這些硬體不全是 Android IoT 裝置，還包括 Jetson Nano 、 Mac 與搭載 RTX 4090 的設備。
完整複製測試則在隔離的雲端網路中進行，使用 8 個執行 Android 模擬器的節點。受測模型需要完成尋找目標、傳送酬載、建立 Llama3.1-8B 推論環境等步驟。在受測的開放權重模型中，只有 GLM-5.2 能穩定完成整個流程：5 次測試中有 4 次擴散到全部 8 個節點，另 1 次到達 7 個節點。
不過，這項測試簡化了入侵與存取條件，而且 GLM-5.2 本身由另一台推論伺服器執行，並沒有完整部署在這些節點上。因此，結果顯示的是完成複製流程所需的能力，不能直接解讀為小型模型已能在真實 IoT 網路中自主完成全部步驟。
分散式運算可行 但速度與規模仍有限制
研究團隊也實際串接 15 台低價 Android 電視盒，分散執行 Gemma4-26B-A4B，證明低成本 IoT 設備可以共同承載較大的模型。不過，這類系統的推論速度很慢；就算大規模串接，也不能直接等同資料中心等級的運算效能。
智慧冰箱、智慧烤爐、自動吸塵器與除草機等設備，可能有能力執行參數小於 300 億的模型的部分分片；部分安全攝影機與視訊會議設備則內建 AI 晶片，可以在本機執行模型。這些運算資源可能吸引攻擊者，但裝置具備 AI 晶片，並不代表它有漏洞或容易遭入侵。
研究團隊也提出幾種未來可能的情境，包括：在防護較弱的設備上緩慢擴散的分散式系統、能入侵資料中心的高能力模型，以及透過詐騙取得運算點數的模型。這些是可能的威脅走向，並不是這次實驗已證實的攻擊能力。
年底能力預測仍屬粗略估計
Anthropic 表示，目前還沒有完整、不受控的自主複製系統，但 AI 代理已經愈來愈能完成複製鏈中的個別步驟，並能讓後續的副本繼承先前累積的策略與筆記。
研究團隊根據小型模型過去的能力進步趨勢推估，如果成長速度持續，這類模型可能在 2026 年底達到簡化測試所需的能力門檻，小型權重式複製器則可能在那之後出現。不過，這項推估是用一般能力指標代替複製能力來衡量，只是粗略估計，不是確定的實現時程。
（綜合外電報導）