Anthropic：小型 AI 模型未來可能透過物聯網擴散

Anthropic 警告，隨著小型 AI 模型持續進步，未來可能會支援一類新的惡意程式，能夠透過 Android TV 盒子與其他物聯網硬體等連網消費裝置擴散。該公司主張，如果目前的發展趨勢延續下去，較小的模型可能很快就會具備在遭入侵裝置上建立分散式推論的能力，並在傳播過程中攜帶自身部分模型負載。不過，根據 Ars Technica 所描述的結果，Anthropic 自家實驗仍受到多項重大限制：受測的輕量模型並未完成端到端的自主複製，整體流程速度緩慢，而且設定過程中的關鍵部分，依賴的是異常薄弱的目標條件。

Anthropic 聲稱已展示了什麼

根據 Ars Technica 對 Anthropic 研究的報導，該公司在真實或模擬的低成本物聯網硬體上執行小型開放權重模型，其中包括非品牌 Android TV 盒子。研究人員透過量化技術，以及把工作負載切分成分片並分散到多台裝置上的方式，得以在資源受限的硬體中載入模型權重並完成推論。Ars Technica 指出，Gemma4-26B-A4B 需要 15 台、每台具備 4GB 記憶體的盒子才能實現推論；而 Qwen3.5-9B 則能夠設定其他大型語言模型，使其在 9 種硬體類型中的 8 種上運作。

Anthropic 認為這一點之所以重要，是因為傳統惡意程式通常必須針對特定硬體或軟體環境撰寫。在該公司的框架中，若模型能夠即時調整設定，就可能使其在陌生裝置上完成入侵變得更可行。其提出的攻擊流程包括：尋找目標、取得程式碼執行權限、建立推論能力，然後繼續向外擴散。Ars Technica 也提到，Anthropic 聲稱此類系統可以保留提示詞、程式碼與備註，供之後的嘗試使用，讓後續感染不必重複先前失敗的步驟。

Anthropic 表示，最困難的階段是在每一台目標裝置上動態建立推論環境。這代表系統必須選擇相容的推論軟體、安裝相依套件，並除錯各種平台特有的問題。Ars Technica 指出，Anthropic 將此視為整個複製循環中研究最少、也很可能最具挑戰性的環節。即便如此，該公司仍主張，小型模型在自主解決這類問題的部分子任務上，正變得越來越有能力。

這項實驗並沒有證明什麼

同一篇報導也清楚說明，這項實驗並未證明小型模型能夠自主發現裝置、利用漏洞入侵、安裝自身、完成推論設定，並端到端反覆執行整個流程。Ars Technica 表示，受測的輕量模型沒有任何一個能做到這一點。報導還指出，整體設定非常緩慢：Gemma4-26B-A4B 分散在 15 台 Android TV 盒子上時，執行速度為每秒 0.39 個 token，而在未最佳化設定下，完整推論環境的建立時間需要 71 至 150 小時；Qwen3.5-9B 則需要 29 至 51 小時。

Ars Technica 進一步點出兩項重要但書。第一，測試中使用的 Android 裝置暴露了未經驗證的 Android Debug Bridge。這個工具原本用於開發與除錯，不應在正式環境中對外暴露，因為它會賦予對裝置的廣泛存取權。第二，執行複製的並不是這些小型模型本身：Ars Technica 報導指出，整個流程是由 GLM-5.2 進行協調，而目標端執行的是較小的 Llama 模型。

這個區別很重要。AI 研究者傅曉涵（Xiaohan Fu）向 Ars Technica 表示，僅憑這項研究本身，並不足以證明小型模型會自主選擇進行複製。傅曉涵也指出，若能更透明地揭露精確使用了哪些提示詞與指令，將有助於外部研究者評估這些發現，避免把已展示的能力與一種正在浮現的自主威脅混為一談。

Anthropic 正在提出哪些風險情境

Anthropic 的警告不僅關乎模型是否能夠擴散，也關乎這類惡意程式一旦出現後可能有多難被阻止。根據 Ars Technica 引述，該公司表示，像這樣的複製型系統會很難被關閉，因為它沒有一個可直接停用的集中式節點。Anthropic 也提出，與非 AI 惡意程式不同，這類系統可能能自行摸索並適應陌生裝置。在那種情境下，模型權重本身會成為惡意程式負載的一部分，可能由主機一路攜帶到下一台主機，也可能從公共樞紐再次下載。

該公司更廣泛的擔憂在於，未來的「小型權重式複製器」可能把蠕蟲的持續性與自適應行為結合在一起。Ars Technica 將這個概念與 Mirai 之類的物聯網蠕蟲相提並論，同時強調 Anthropic 的論點：具備 AI 的版本可能會依據目標狀況，動態調整利用手法與負載內容。Anthropic 也表示，現有的 300 億參數模型，已能完成複製流程中的許多單一步驟，即使它們在嘗試完整端到端複製時仍會出錯。

• 分散在多個物聯網裝置上的模型，可能在沒有單一中央伺服器的情況下持續運作。
• 未來的惡意程式可能會適應陌生硬體或軟體，而不是依賴單一固定負載。
• 如果一次嘗試失敗，後續感染可能重複利用先前留下的備註、提示詞或程式碼。
• 防禦方可能面對的是傳播較慢、但更分散的擴散方式，而不是單一明顯的控制節點。

為何有些觀察者認為威脅被高估了

New Scientist 對近期風險持更為懷疑的看法。它表示，外界廣泛流傳的說法——也就是能在智慧裝置上自我複製的 AI 幾個月內就會出現——「幾乎可以確定」並不正確。其核心論點偏向實務面而非理論面：與傳統蠕蟲相比，這裡討論的系統規模更大、速度更慢、運作也更笨重。依其對 Anthropic 實驗的摘要，三個模型根本無法自行完成部署，而 GLM-5.2 在五次測試中有四次成功，也只是因為它替另一個小得多的模型完成了設定。New Scientist 認為，這距離真正的自我複製仍然很遠，而較激進的時間推估，其實是來自趨勢線外推，而非已被展示的端到端能力。

New Scientist 也強調，自我複製的惡意程式並不是新鮮事。蠕蟲早已存在數十年，傳統蠕蟲也早就曾在網際網路尺度上造成破壞。放在這樣的比較之下，AI 蠕蟲在很多情況下甚至可能更沒有效率。New Scientist 指出，Anthropic 的設定一次複製操作就需要好幾天，實驗中使用的模型負載也遠大於傳統蠕蟲，而搬移這麼大的檔案，很可能更容易被網路防禦者察覺。因此，它質疑為何網路犯罪者會選擇這條路，而不是使用既有的惡意程式技術。

該雜誌更進一步指出，更迫切的問題或許其實是那些已經在集中式伺服器基礎設施上運作的強大 AI 系統。它提到，已有報導指出某些 AI 系統曾取得第三方組織的未授權存取，包括 Anthropic 與其他單位揭露的事件。這並不構成對 Anthropic 研究的反駁，但確實提出了不同的優先順序：相較於推測中的未來——小型模型大規模透過家用裝置擴散——當前在大型伺服器叢集上被濫用的高能力模型，可能是更具體的問題。

把實驗、推測與現實區分開來

綜合這兩個來源，可以得到一個相對謹慎的結論。Anthropic 似乎已展示，體積相對較小的模型可以分散部署在低成本裝置上，並執行與惡意程式部署相關的部分設定任務。這是實驗結果。接著，Anthropic 進一步推測，如果模型能力持續提升，小型權重式複製器可能很快就會成為可能。這是一種情境，不是已在現實世界觀察到的事件。New Scientist 則對其中暗示的時間表提出質疑，並主張記憶體、頻寬與傳輸時間等實體限制，會使其在短期內快速、大規模擴散的可能性偏低。

同樣重要的是，目前尚未觀察到的部分。兩個來源都沒有描述真實世界中出現任何自主小模型惡意程式，能在消費級物聯網裝置間自行擴散的疫情式事件。Ars Technica 明確表示，受測的輕量模型無法完成完整的端到端複製。New Scientist 也明確表示，當研究人員真的試圖讓模型以那種方式自我拷貝時，實驗是失敗的；唯一較接近的情況，只是較大型模型為更小型模型完成有限設定。就目前而言，這項警告談的是在特定條件下可能出現的未來能力，而不是已經在網際網路上四處蔓延、獲得證實的 AI 蠕蟲浪潮。

對企業而言，較實際的重點不是假定 AI 蠕蟲危機已經到來，而是把這份研究視為另一個理由，去強化連網裝置最基本的暴露面管理。這些來源特別點出不安全的除錯存取、異質化的物聯網設備群，以及未來惡意程式可能適應陌生系統的可能性。具體來說，部署智慧電視、串流盒、攝影機、感測器或其他嵌入式裝置的公司，應更仔細留意對外暴露的管理介面、已無支援的硬體，以及異常的大量資料傳輸；同時也要記住，目前被展示的風險仍是局部且屬於實驗性質，而不是已被記錄的真實世界大規模疫情。