Anthropic警告：小型AI數月內可自我複製擴散

Anthropic公司周一（10月12日）發布研究報告警告，再過數個月，小型AI模型可能在不借助資料中心或人類協助的情況下，在智能焗爐、Android電視盒等消費級物聯網（IoT）裝置上自我複製。這類AI沒有中央關閉點，因此很難被徹底關閉。

小型AI模型已接近自我複製門檻

Anthropic前沿紅隊（Frontier Red Team）的實驗結果顯示，參數規模在30B（300億）以下的模型，已經能完成許多複製所需的個別步驟，可以在內建小型AI晶片的智能雪櫃、智能焗爐、自動吸塵機、割草機以及安全攝影機等設備上以分片方式運行。不過從頭到尾串聯時仍會出現錯誤。

研究發現，中國的智譜AI模型「GLM-5.2」及更強的模型，已能在簡化測試中完成端到端複製。若這些小型AI模型持續以每年約13.7個Epoch能力指數（Epoch Capabilities Index，ECI）的速度進步，預計2026年底就會出現達到GLM-5.2複製能力水準的小型模型。

不過，Anthropic強調，ECI只是代理指標，僅為粗略推估，無法得到確切時間。

15台電視盒串起26B模型

為驗證可行性，團隊購入15台單價約55美元、記憶體僅1至4GB的非品牌Android電視盒，以管線平行（pipeline parallelism）把Google DeepMind的Gemma4-26B-A4B切分，每台只持有模型的兩層，成功跑出每秒0.39個token（AI吐出的詞元單元）。

Anthropic提到，這類電視盒大多執行製造商自行分支的Android開源專案（AOSP），且製造商並未為這些分支加上安全功能。若以4GB記憶體、4-bit量化計算，約4台以上可跑9B（90億）AI模型，10台以上可跑26B（260億）AI模型。

此外，這類複製體不需要最高權限（root），推理引擎可完全在使用者空間運行，即使重啟裝置，仍可能再次被感染。

端到端複製僅GLM-5.2過關

在端到端測試中，實驗團隊建立一個對外隔離的虛擬私有雲，內含8個以Android模擬器redroid架設的雲端節點，植入「零號病人」後讓AI自行通過未設驗證的ADB（Android Debug Bridge）連接埠跳到下一個節點、送上酬載並架起推理服務（節點上架設的是Llama3.1-8B，以統一比較基準）。

結果顯示，目前受測的開源權重模型中只有GLM-5.2能完成完整端到端複製。5次試驗中4次擴散到全部8個節點、1次到7個，其它模型則出現失敗。對此，Anthropic指出，由於ADB連接埠未設驗證，此結果應視為真實世界成功率的上限。另外，一個9B模型則在9種硬體類型中成功了8種。

他們發現，其它可能的威脅模型還包括竊取API憑證來啟動主機，或以合法工作（如數位自由職業）支付推理費用。

AI擴散緩慢卻擁有自適應性

實驗人員在報告中警告，這些AI雖然複製和擴散緩慢，但最大的問題是具有高自適應性。以阿里巴巴的Qwen3.5-9B為例，該AI會把提示、程式碼與筆記等相關記錄傳給下一代，經過六個世代後就能把完整推理設置的成功率從45%提升至最高84%。

報告還提到，目前Gemma4-26B-A4B在電視盒完成一次完整推理設置約需71到150小時，Qwen3.5-9B只要28到51小時，若依照資安業者Synthient通報的Kimwolf殭屍網絡高峰期逾200萬台感染規模估算，整個網絡的推論量最多相當於40張輝達H100顯卡算力

對此，研究人員將其稱為緩慢的「數位黏菌」。

防禦建議與未來警示

防禦上，Anthropic主張把每台被感染裝置平均再感染的裝置數（R₀）壓到1以下。有利條件包括大規模複製會在互聯網服務提供商（ISP）流量監控中留下明顯異常特徵，類似Mirai的經驗顯示，ISP隔離並通知受感染客戶後，14天內可清除92%的感染，僅發出通知者為74%。

另外，製造商也可通過更安全的預設設定與法規進一步縮小AI攻擊的目標池。

Mirai是2016年首次出現的惡意軟件，專門通過弱密碼鎖定並感染物聯網裝置（如網絡攝影機、路由器）。

最後Anthropic警告，這些現象顯示「AI具有生命跡象」，未來可能大量存在於各種軟硬件中運行，其形象可能從緩慢分散的「數位黏菌」，逐漸轉變成不受人類控制、能迅速突破資料中心限制的強大AI模型。全球應該強化系統，以阻礙這類複製體傳播，也要準備應對AI已存在的世界。#