AI 蠕蟲是一種會自行擴散的程式，它依靠 AI 模型而不只是固定程式碼，去尋找新系統、進入系統並繼續傳播。這個概念在研究界並不新鮮，但 Anthropic 在 2026 年 10 月 12 日發表的實驗再次引起關注。研究指出，小型 AI 模型或許再過數個月，便有能力在智能電視盒等價格低廉、防護薄弱的 IoT 裝置之間自我複製。
蠕蟲、AI 蠕蟲，以及目前研究過的兩種類型
傳統電腦蠕蟲毋須用戶點擊，便能由一部機器複製到下一部。研究人員就「AI 版」蠕蟲提出過兩種頗為不同的形式：
- 以提示詞傳播的蠕蟲。2024 年，來自 Technion 和 Intuit 的研究人員發表了 Morris II。在實驗室環境中，一段會自我複製的提示詞被 AI 電郵助理當作上下文儲存和讀取，再被複製到新的電郵裏，從而在助理之間擴散。過程中沒有搬動任何模型權重，攻擊利用的是應用程式之間傳遞文字的方式。
- 以權重複製的蠕蟲。Anthropic 2026 年 10 月的研究關注的是一種 AI Agent：它攜帶模型，把模型安裝到已被入侵的裝置上運行，讓受感染的硬件為下一次擴散提供運算力。
Anthropic 的研究測試了甚麼
研究人員把複製過程分為四個階段：尋找目標、取得執行權限、建立推論環境（讓模型運行起來），以及由新主機繼續擴散。他們主要研究推論環境這一步，入侵階段則引用了較早的研究。報告中的發現包括：
- 一個 26B 參數的開放權重模型（Gemma4-26B-A4B）分散運行於 15 部非知名品牌 Android 電視盒上，每部約 55 美元，速度為每秒 0.39 個 token。
- 一個 9B 模型在測試的 9 種硬件中，有 8 種成功建立模型伺服器。
- 在隔離雲端網絡中的 8 個模擬 Android 節點上進行的簡化測試裏，GLM-5.2 是受測開放權重模型中唯一能穩定完成整個流程的模型：5 次測試中有 4 次擴散至全部 8 個節點，另一次到達 7 個。
- Anthropic 根據一項通用能力指數的趨勢推算，小型模型可能在 2026 年底前達到 GLM-5.2 的水平，並稱這只是粗略估計。
研究沒有證明甚麼
研究的限制與標題同樣重要。在完整流程測試中，「入侵」一步被刻意簡化：裝置開放了沒有身分驗證的 Android 除錯連接埠（ADB），Anthropic 形容結果只是現實成功率的上限。受測模型在每個節點上部署的是一個標準的較小模型（Llama3.1-8B），而不是複製自身權重。Anthropic 表示，目前尚未出現完整的失控複製程式；能在這類裝置上運行的模型規模，與自我複製所需的能力水平，暫時仍未重疊。其速度估算亦顯示擴散會相當緩慢：在測試中，9B 模型在電視盒級硬件上完成部署約需 28 至 51 小時。部分媒體報道引述的資安人士亦質疑威脅是否如此迫切。
對企業有甚麼影響
這項研究建基於一個老問題：不少連網裝置出廠時預設設定薄弱、開放不必要的服務，而且甚少更新。Anthropic 以 Mirai 等過往的殭屍網絡為例，它們正是利用廠商預設的用戶名稱和密碼擴散。研究亦指出，分散在大量裝置上的複製程式，可能沒有單一的關閉點。在企業環境中，相關設備可包括 IP 攝影機、會議室設備、NAS、店舖或大堂的智能電視，以及樓宇感應器。AI 工具使用的 API 金鑰是 Anthropic 提到的另一條途徑，被盜的憑證可讓複製程式在付費服務上運行。
現在可以採取的實際步驟
- 建立裝置清單。列出每部連網裝置、負責人、韌體版本和可連接的範圍。
- 移除預設密碼，關閉除錯服務。更改出廠密碼，除非確有需要，否則停用 ADB 等遠端除錯功能。
- 劃分網絡。按 零信任原則，把 IoT 裝置放在獨立網段，並封鎖不必要的裝置間流量。
- 更新或汰換。定期修補韌體，並為不再獲得更新的裝置安排更換。
- 留意流量模式。Anthropic 指出，以權重複製的蠕蟲很可能留下異常跡象，例如小型裝置下載數 GB 的檔案，或裝置之間出現持續流量。
- 保護 AI 金鑰與 Agent 權限。以密鑰管理工具保存並定期輪換 API 金鑰，在管理及雲端帳戶啟用 MFA，並只給 AI Agent 完成任務所需的權限。
示例（僅作說明）：一間小型辦公室的兩部 IP 攝影機、會議室屏幕和 NAS 與員工手提電腦共用同一個 Wi-Fi。把這些裝置移到獨立網段、更改預設密碼，並在出現大量異常傳輸時發出警示，便能同時縮小傳統殭屍網絡和未來 AI 驅動攻擊的入侵面。此為假設情境，並非任何客戶個案。
如需系統地檢視裝置、雲端設定和 AI 工作流程，可參考我們的網絡安全與合規服務。
常見問題
現時家居或辦公室裝置上已有 AI 蠕蟲在擴散嗎？
Anthropic 的研究沒有報告這種情況。它表示目前尚未有完整的失控複製程式，而端到端測試是在隔離網絡中、以簡化且無需驗證的存取方式進行。
「2026 年底」是確定的預測嗎？
不是。Anthropic 以一項通用能力指數的趨勢作推算，並說明該指數只是複製能力的代理指標，時間只屬粗略估計。
Morris II 與 Anthropic 的研究有何分別？
Morris II 利用提示詞注入，以文字形式在 AI 電郵助理之間擴散；Anthropic 研究的則是在被入侵硬件上安裝並運行模型的 Agent。