AI 蠕虫是一种能自行传播的程序，它依靠 AI 模型而不仅是写死的代码，来发现新系统、进入系统并继续扩散。这一设想在研究领域早已有之，但 Anthropic 于 2026 年 10 月 12 日发布的实验让它重新受到关注。研究认为，小型 AI 模型可能再过几个月，就有能力在智能电视盒这类便宜、防护薄弱的 IoT 设备之间自我复制。
蠕虫、AI 蠕虫，以及目前研究过的两种形态
传统计算机蠕虫不需要用户点击，就能从一台机器复制到另一台。研究人员提出过两种差别较大的“AI 蠕虫”：
- 靠提示词传播的蠕虫。2024 年，来自 Technion 和 Intuit 的研究人员发表了 Morris II。在实验室环境里，一段能自我复制的提示词被 AI 邮件助手当作上下文存储和检索，再被写进新邮件，由此在助手之间传播。整个过程没有转移任何模型权重，利用的是应用之间传递文本的方式。
- 靠权重复制的蠕虫。Anthropic 2026 年 10 月的研究关注的是一种 AI Agent：它随身携带模型，把模型装到已被入侵的设备上运行，让被感染的硬件为下一次传播提供算力。
Anthropic 的研究测了什么
研究人员把复制过程拆成四步：寻找目标、获得执行权限、搭建推理环境（让模型跑起来），以及从新主机继续传播。研究重点放在推理环境这一步，入侵环节则参考了此前的研究。主要结果包括：
- 一个 26B 参数的开源权重模型（Gemma4-26B-A4B）分布式运行在 15 台杂牌 Android 电视盒上，每台约 55 美元，速度为每秒 0.39 个 token。
- 一个 9B 模型在测试的 9 类硬件中，有 8 类成功搭建了模型服务器。
- 在隔离云网络里 8 个模拟 Android 节点上做的简化测试中，GLM-5.2 是参测开源权重模型里唯一能稳定跑通全流程的：5 次测试中 4 次扩散到全部 8 个节点，另 1 次到达 7 个。
- Anthropic 依据一项通用能力指数的趋势推算，小型模型可能在 2026 年底前达到 GLM-5.2 的水平，并表示这只是粗略估计。
研究没有证明什么
局限和结论同样关键。在全流程测试中，“入侵”这一步被有意简化：设备开放了不需要身份验证的 Android 调试端口（ADB），Anthropic 称结果只能视为现实成功率的上限。参测模型在每个节点上部署的是一个标准的较小模型（Llama3.1-8B），并没有复制自己的权重。Anthropic 表示，目前还没有完整的失控复制程序；能在这类设备上运行的模型规模，与自我复制所需的能力，暂时还没有交汇。速度估算也显示传播会很慢：测试中，9B 模型在电视盒级硬件上完成部署约需 28 至 51 小时。部分媒体报道援引的安全人士也对威胁的紧迫程度提出了疑问。
对企业意味着什么
这项研究建立在一个老问题之上：很多联网设备出厂默认配置薄弱、开放了多余的服务，而且很少更新。Anthropic 以 Mirai 等过去的僵尸网络为例，它们正是靠厂商默认的用户名和密码传播的。研究还指出，分散在大量设备上的复制程序，可能没有一个可以统一关停的点。在企业环境里，涉及的设备可能包括网络摄像头、会议室终端、NAS、门店或大堂的智能电视以及楼宇传感器。AI 工具用到的 API 密钥是 Anthropic 提到的另一条途径，被盗的凭证可以让复制程序在付费服务上运行。
现在就能做的几件事
- 摸清设备家底。登记每台联网设备的负责人、固件版本和可访问范围。
- 改掉默认密码，关闭调试服务。修改出厂密码，没有明确需要就关闭 ADB 等远程调试功能。
- 划分网络。按照零信任原则，把 IoT 设备放到独立网段，屏蔽不必要的设备间流量。
- 更新或淘汰。定期升级固件，对已停止更新的设备安排替换。
- 关注流量特征。Anthropic 指出，靠权重复制的蠕虫很可能留下异常迹象，比如小型设备下载数 GB 的文件，或设备之间出现持续流量。
- 保护 AI 密钥和 Agent 权限。用密钥管理工具保存并定期轮换 API 密钥，为管理和云账号开启 MFA，只给 AI Agent 完成任务所需的权限。
示例（仅作说明）：某小型办公室有两台网络摄像头、一块会议室屏幕和一台 NAS，与员工笔记本共用同一个 Wi-Fi。把这些设备移到独立网段、修改默认密码，并在出现大量异常传输时告警，就能同时缩小传统僵尸网络和未来 AI 驱动攻击的攻击面。这是假设场景，并非具体客户案例。
如果需要系统检查设备、云配置和 AI 工作流，可以了解我们的网络安全与合规服务。
常见问题
现在家里或办公室的设备上已经有 AI 蠕虫在传播吗？
Anthropic 的研究没有报告这种情况。它表示目前还没有完整的失控复制程序，端到端测试是在隔离网络中、用简化且无需验证的访问方式完成的。
“2026 年底”是确定的预测吗？
不是。Anthropic 依据一项通用能力指数的趋势推算，并说明该指数只是复制能力的替代指标，时间只是粗略估计。
Morris II 和 Anthropic 的研究有什么区别？
Morris II 利用提示词注入，以文本形式在 AI 邮件助手之间传播；Anthropic 研究的是在被入侵硬件上安装并运行模型的 Agent。