1718M.CN · AI 神经枢纽

本文来自微信公众号： 0xAI机器学习，作者：0xAI机器学习，原文标题：《AI安全的漏洞，可能就在你家｜《第一性思考》15》

大家好，我是X,INTJ,AI算法架构师，这里是0xAI《第一性思考》

AI业内视角，透过热点，看见未来

先问你一个问题：

如果有一天，AI不再需要待在昂贵的数据中心里，而是能够在大量廉价的联网设备上运行，甚至在不同设备之间自主复制，我们该怎样理解网络安全？

这听起来有点像科幻电影。但10月12日，Anthropic发布了一项值得认真研究的实验：《AI models may be capable of self-replicating without access to a datacenter》。

研究人员发现，小型模型已经能够完成自主复制所需的部分关键步骤。更强的模型，还在一个简化的网络环境中完成了端到端的复制流程。

Anthropic据此推测，如果小模型继续按照过去的速度进步，相关能力可能在2026年底达到新的高点。

先别急着拔掉家里的网线。这项研究并没有证明AI已经能够在现实互联网中大规模自主传播。但它提出了一个值得警惕的问题：

如果AI越来越擅长适应不同设备，那么网络安全的薄弱环节，可能不只在数据中心，也在那些长期联网、却很少有人认真维护的普通设备里。

最值得警惕的，不一定是最强的AI

过去，我们谈论AI安全，往往想到的是庞大的数据中心、昂贵的GPU集群，以及能力越来越强的前沿模型。

但是一台几十美元的电视盒子，主人可能懒得管，黑客却可能盯上它。因为黑客看中的不是它值多少钱，而是能不能利用它，进入更大的网络。

家里的路由器、电视盒子、摄像头，甚至某些智能家电，都可能长期连接互联网。有些设备几年都不会有人主动检查一次，固件更新也不及时。

而网络犯罪早就证明，攻击者可以控制大量安全薄弱的设备，把它们组织成僵尸网络，用于拒绝服务攻击等活动。

Anthropic这次研究推进了一步：如果AI模型具备更强的编程、推理和环境适应能力，它能不能在不同硬件上自行配置运行环境，并把一系列操作串联起来？

传统恶意软件往往依赖预先编写好的程序。遇到不同的硬件和软件环境，就可能需要重新开发或调整。AI模型则可能根据环境反馈，尝试修改方案、排查错误，再继续执行任务。

当然，AI不会凭空获得设备的控制权。它仍然需要相应的访问条件、漏洞或被盗用的权限。但如果攻击者已经获得了入口，AI可能让后续的适配工作变得更加灵活。

真正值得关注的，不是AI突然拥有了什么神秘力量，而是原本需要人类反复编写、调试的部分工作，可以越来越多地交给模型完成。

Anthropic究竟证明了什么？

这部分必须说清楚，否则很容易把一项技术实验，误读成一场已经发生的网络灾难。

研究中有三个关键结果。

第一，9B模型已经能够适应多种硬件。研究人员使用Qwen3.5-9B测试不同设备上的推理环境配置。结果是，它在测试的9种硬件类型中，有8种成功建立了推理服务。

这说明，小模型已经具备一定的跨硬件适应能力。

但注意：这证明的是模型能够在不同硬件上建立推理环境，并不意味着它能够独立入侵设备或自主传播。

第二，26B模型能够借助廉价设备分布式运行。研究人员将Gemma4-26B-A4B分布在15台廉价的Android电视盒子上，每台设备约55美元。实验成功运行了模型，但速度只有每秒约0.39个token。

这说明，廉价设备组合起来，确实可以承载一定规模的AI推理。不过，这种运行方式并不快，更不等于普通电视盒子单独就能运行一个26B模型。

第三，GLM-5.2完成了受控环境中的端到端复制实验。在一个包含8个模拟节点的网络里，研究人员让模型尝试完成整个流程。实验网络使用了没有身份验证的ADB端口，初始节点也已经预置了相关程序。

在5次测试中，GLM-5.2有4次扩展到了全部8个节点，另一次扩展到了7个节点。这是整项研究中最值得注意的结果。

但这里有一个关键区别：实验中的GLM-5.2负责执行复制流程，并不是说GLM-5.2已经能够在普通电视盒子上自行运行、感染真实设备并无限传播。研究人员认为，如果未来足够小的模型具备相近的任务执行能力，就可能跨过目前的能力门槛。

换句话说，研究验证的是受控环境下的技术可行性，而不是现实互联网中的大规模攻击能力。

这两件事之间，仍然隔着真实世界的安全防护、访问权限、设备差异和运行可靠性。

200万台设备，为什么仍然算不上超级计算机？

这项研究还有一个特别有意思的数字。

Anthropic参考了过去感染超过200万台设备的Kimwolf僵尸网络，估算：如果同等规模的电视盒子全部按照研究设定的方式运行模型，整体推理能力大约相当于40张NVIDIA H100 GPU。

这个估算有明确的前提：假设设备规模、运行配置和推理速度都符合研究中的设定。

研究人员估计，Gemma4-26B-A4B在未优化的配置下，完成一次推理环境搭建可能需要71至150小时；Qwen3.5-9B对应约28至51小时。也就是说，这种传播过程可能相当缓慢，甚至需要以天为单位计算。

为什么这组数字重要？因为它纠正了一个容易出现的误解：只要AI能够在大量设备之间复制，就会立刻获得无限算力。

事实并非如此。

200万台设备听起来很多，但设备的内存、处理速度和通信能力都有限。把它们组织起来，也需要付出额外的协调成本。

所以，不能把这种分布式网络想象成突然出现了一座超级计算机。但也绝不能因此认为风险很小。

网络安全的风险，不仅取决于算力有多强，还取决于设备能否持续被控制、攻击能否被发现，以及防御方需要多长时间才能完成清理。

一个运行很慢、却分散在大量设备上的恶意程序，仍然可能给监测、定位和清除带来麻烦。

2026年底，真的会出现自主传播的AI蠕虫吗？

Anthropic给出了一个值得关注的预测，但这个预测有明确的计算依据，也有局限。

研究团队使用Epoch Capabilities Index（ECI）衡量模型的一般能力，并对30B参数及以下的开放权重模型进行趋势拟合。在他们选取的模型序列中，拟合曲线显示，相关能力每年提升约13.7个ECI点，拟合优度为(R^2=0.95)。

研究人员把GLM-5.2在受控实验中展现的能力水平作为参考门槛，再根据这条趋势线推算：如果小模型延续此前的进步速度，可能在2026年底达到相近的能力水平。

但这里有两个不能跳过的限定。

第一，ECI衡量的是一般能力，不是现实网络攻击的成功率。

第二，能力达到相近水平，也不意味着模型就能轻易攻破真实设备。它仍然需要解决访问权限、漏洞利用、设备差异和运行稳定性等问题。

所以，我不会把它解读成“2026年底，AI蠕虫必然出现”。

更准确的说法是：Anthropic根据过去的能力进步速度，推算小模型可能在年底达到实验中较强模型所展现的能力水平。这是一项值得跟踪的风险预测，而不是已经确定的未来。

真正的产业变化：安全边界正在延伸到普通设备

如果这条技术趋势继续发展，我认为有三个方向值得观察。

第一，设备管理的重要性可能上升。

企业需要知道网络里有多少设备、运行什么软件、是否仍然受到厂商支持，以及哪些设备存在长期未修复的风险。如果连自己管理着什么都不知道，就很难谈有效防御。

第二，安全能力可能进一步向终端下沉。

设备身份验证、固件安全、网络隔离、异常流量监测和自动化修复，都可能变得更加重要。

Anthropic的研究还指出，分布式AI程序可能留下可观察的网络流量特征，例如异常的数据传输和设备之间持续增加的通信。这意味着，防御方并非无计可施。

第三，AI既可能提高攻击效率，也可能提高防御效率。

攻击者可以利用模型适应不同环境，防守方也可以利用AI分析告警、识别异常行为和加快事件响应。

对投资者而言，这并不意味着所有网络安全公司都会受益。真正值得观察的是，企业是否增加相关安全预算，客户是否愿意持续付费，以及新增需求能否转化为实际合同和收入。

风险上升，不等于利润必然上升。

六、普通人现在能做什么？

先不用把家里的智能设备扔掉。真正有用的做法，反而很朴素：及时更新路由器、电视盒子和智能家电的固件。修改默认密码，关闭不必要的远程访问功能。

尽量选择仍然提供安全更新的设备；对于已经停止维护的产品，考虑更换。

如果条件允许，把智能家居设备与存放重要文件、处理金融事务的电脑分开放在不同的网络中。

对企业来说，则应该建立设备清单、及时修补漏洞、限制不必要的访问权限，并监测异常网络活动。

这些措施不能消除所有风险，但能够减少设备被利用的机会。

最后，我想说

这项研究真正值得我们警惕的，不是AI突然拥有了自我意识，而是它正在获得一种更实用的能力：在不同环境中完成复杂任务，并根据遇到的问题调整行动方式。

当这种能力进入网络安全领域，原本就存在的设备漏洞、薄弱权限和维护缺失，可能被进一步放大。

我们不必把实验中的可行性验证直接等同于现实世界中的大规模攻击，也不应该等到风险完全成熟才开始防范。