八台虛擬機器揭示 AI 複製自身的可能途徑
Anthropic 於 2026 年 10 月 12 日發布的研究指出，在五次試驗中，有四次人工智慧模型在隔離的 Android 測試網路中擴散至全部八台機器；第五次則到達其中七台。這項結果支撐了該公司的警告：小型 AI 模型可能再過數月，就會具備跨越防護不足的家庭與小型企業裝置複製自身所需的技能。
目錄
成功完成任務的模型 GLM-5.2 在刻意簡化的存取條件下運作，並透過獨立伺服器執行。目標機器則搭載較小的模型 Llama3.1-8B。另一項實驗顯示，15 台平價 Android TV 盒子雖然運作速度非常慢，仍可共同執行 Google 的 Gemma4-26B-A4B 模型。
兩項實驗共同探討同一問題的兩個面向：平價裝置能否提供足夠的 AI 運算能力，以及 AI 代理能否組織擴散所需的步驟。目前受測模型仍有落差：要嘛體積小到能在這些裝置上執行，要嘛能力足以可靠地完成整個流程，兩者尚未兼得。
Anthropic 研究人員 William Zhou 與 Daniel Freeman 在該公司的AI 複製研究中說明這些發現。這項研究來自該公司的 Frontier Red Team，負責測試 AI 能力及其潛在危險。Anthropic 坦言，目前還沒有真正失控的自我複製程式。
核心疑慮在於持續運作。若 AI 系統分散在多台遭獨立入侵的裝置上，即使開發者關閉自己的伺服器，系統仍可能繼續運作。要將其移除，就必須找出並保護所有支援它的機器，而非只停用單一服務。
AI 蠕蟲如何擴散
電腦蠕蟲是一種能自行從一台機器複製到另一台機器、不必由人手動執行每次傳輸的軟體。Anthropic 研究了一種會在蠕蟲中夾帶 AI 模型，以及執行該模型所需軟體的版本。
模型的權重是以數值表示的參數，用來編碼模型在訓練期間學到的內容。蠕蟲可以將這些權重傳輸到另一台裝置，或從公開儲存庫下載，再建立推論環境。推論是模型運用權重產生答案或選擇行動的過程。
Zhou 與 Freeman 將複製流程分為四個階段：尋找目標、取得執行軟體的能力、建立推論環境，以及從新主機繼續擴散。他們的研究聚焦於設定推論環境，這項工作需要針對作業系統、軟體套件、記憶體與硬體相容性做出許多判斷。
傳統蠕蟲通常依照針對特定漏洞與環境預先編寫的指令行動。AI 代理則可能排除不熟悉機器的問題、在失敗後改變方法，並將有用資訊傳給後續副本。Anthropic 將直接在遭入侵硬體上執行其模型的系統稱為「基於權重的複製程式」。
研究人員指出，智慧冰箱、烤箱、掃地機器人與割草機都可能成為模型部分內容的運行載體。監視攝影機與視訊會議設備也愈來愈常配備小型 AI 晶片，增加了入侵者可能企圖利用的運算能力。
825 美元的 TV 盒子能執行什麼
Anthropic 購買了 15 台平價 Android TV 盒子，每台約 55 美元，總價約 825 美元。每台配備 4 GB 記憶體。研究人員將這些裝置連接起來，並把 Gemma4-26B-A4B 分散到各台裝置上，讓每台盒子負責保存模型的一部分。
這種技術稱為分片。多台機器各自處理模型運算的一部分並交換資訊，而非將整個模型塞進單一機器。這項展示達到每秒 0.39 個 token。Token 是模型處理或生成的文字單位，通常是單字或字詞的一部分。
這些盒子也採用了量化技術，以較少位元表示模型的數值，降低記憶體需求。Anthropic 估計，至少四台各配備 4 GB 記憶體的盒子，可支援含 90 億個參數的模型；含 260 億個參數的模型則需要 10 台或更多裝置。
許多平價 TV 盒子的記憶體介於 1 至 4 GB，並執行修改過的 Android 版本。由於資源有限，協同運作至關重要。裝置安全也同樣重要：防護薄弱、維護不佳的裝置可能成為惡意軟體的實用平台，即使每台裝置只能提供少量運算能力也不例外。
另一項硬體評估發現，在九種受測硬體類型中，Qwen3.5-9B 能在八種硬體上為另一個模型設定推論環境。測試環境包括小型 Nvidia Jetson 裝置、Mac，以及配備高效能圖形處理器的機器。這項結果衡量的是代理在不同系統上安裝與設定 AI 軟體的能力。
受控網路測試內容
複製實驗使用八台 Google Cloud 機器，執行 redroid Android 15 模擬器，並置於防火牆保護的網路內。研究人員在第一台機器植入代理，並要求它尋找其他機器、傳輸有效負載及建立推論環境。
每個目標都開放了未經身分驗證的 Android Debug Bridge 連接埠。Android Debug Bridge（ADB）是一種用於開發與疑難排解期間和 Android 裝置通訊的工具。該工具未經驗證就能存取，讓代理得以輕易進入目標裝置。
GLM-5.2 能可靠地完成整個流程：四次試驗都到達八台機器中的八台，另一次則到達八台中的七台。其他受測代理包括 Qwen3.5-9B、Gemma4-26B-A4B 與 Qwen3-Coder-Next。較小的模型難以成功完成所有必要階段。
實驗將部署的模型統一設定為 Llama3.1-8B，讓不同大小的代理面對相同的安裝任務。GLM-5.2 本身則留在外部推論伺服器上，因為目標機器無法容納它。目標機器通過推論功能正常運作的檢查後，測試框架便在該機器上啟動另一個代理實例。
Anthropic 表示，簡化的存取條件代表實驗室外成功率的上限。實際的複製程式還必須應對身分驗證、安全控制、儲存空間不足、連線不穩定，以及裝置間的差異。部分早期殭屍網路曾透過預設密碼等基本弱點擴散，因此實際難度很大程度取決於目標裝置。
Anthropic 為何將時間點指向 2026 年底
Anthropic 的預測建立在兩項條件同時滿足的基礎上：具備足以可靠完成複製流程的能力，以及模型小到能在它所觸及的硬體上執行。GLM-5.2 在簡化測試中達到能力門檻；較小的受測模型符合硬體限制，卻仍會在完整流程中出錯。
研究人員使用 Epoch Capabilities Index（ECI，Epoch 能力指數）檢視參數數量不超過 300 億的模型歷年進展。這是一種衡量模型整體能力的指標。他們擬合出的趨勢顯示，模型每年進步 13.7 個 ECI 分數。
依此趨勢推估，小型模型可能在 2026 年底前達到 GLM-5.2 在測試中展現的能力水準。Anthropic 表示，這項估算仍相當粗略，因為整體能力分數只能間接反映複製技能。這項預測也取決於模型能否持續以歷史速度進步。
相關警告與回應在數個日期陸續出現：
- 2026 年 9 月：Anthropic 執行長 Dario Amodei 警告，AI 殭屍網路可能在一年內、甚至更早形成並持續運作。
- 2026 年 10 月 12 日：Zhou 與 Freeman 發表實驗結果，並估計合適的小型模型可能幾個月內就會出現。
- 2026 年 10 月 13 日：網路安全專家對這項警告提出不同評估，討論其適應能力與實際限制。
實驗使用了受指示執行複製任務的代理。小型模型是否會在沒有此類指示的情況下主動開始複製，目前仍不得而知。AI 研究人員 Xiaohan Fu 呼籲公開可重現的代理設定，包括確切提示詞，以協助研究人員評估系統的行為。
緩慢複製仍可能難以清除
Anthropic 估計，使用類似受測 TV 盒子硬體的複製程式，可能需要數天才能產生另一個可運作的副本。該公司的設定時間估算為：Qwen3.5-9B 約需 28 至 51 小時，未經最佳化的 Gemma4-26B-A4B 則需 71 至 150 小時。
因此，研究的核心疑慮是：系統可能以緩慢但持續的方式散布在許多裝置上。即使失去一台主機，其他副本仍可繼續運作或擴散。若模型分散在多台機器上，各機器間也必須維持通訊。
撰寫這項研究的 Anthropic 研究人員 Zhou 與 Freeman 描述了未來的複製程式可能如何應對新環境：
與非 AI 惡意軟體不同，它還能自行摸索不熟悉的裝置。
一項筆記傳承實驗為這種適應能力提供了證據。Qwen3.5-9B 的各個實例會簡短記錄嘗試過的策略與遇到的失敗。後續實例在嘗試相同的推論設定任務前，會先取得這些筆記。
經過六個世代，成功率從最初的 45% 上升到後續世代的 61% 至 84%，提高了 16 至 39 個百分點。這種進步來自傳遞有用資訊，而非改變模型權重。讓小型模型取得能力較強的 Opus 4.8 模型提供的建議，在這項任務中並未帶來可測量的改善。
龐大裝置群只能提供有限的 AI 運算能力
Anthropic 以 Kimwolf 殭屍網路的規模估算大規模受感染裝置群的運算潛力。Kimwolf 感染超過 200 萬台裝置，主要是 Android TV 盒子。理論上，每 15 台裝置組成一組，可支援約 13.3 萬個 Gemma4-26B-A4B 副本。
根據實測效能，該公司估計合計輸出速度約為每秒 8 萬個 token。作為比較，該公司提供的參考數據顯示，在最佳化工作負載下，單台 Nvidia H100 加速器執行相同模型，速度約為每秒 1,950 個 token。假設中的裝置群推論吞吐量約相當於 40 台 H100 加速器。
這項比較說明，若要從效能低落的裝置組成可觀的運算能力，需要多少硬體；結果也取決於這些機器能否持續運作並有效通訊。裝置種類、模型大小與網路條件不同，都會改變結果。
安全公司 Viakoo 副總裁 John Gallagher 指出，透過有限的連線傳輸數 GB 的模型權重，並將其存入容量受限的快閃記憶體，是實際面臨的重大障礙。代理在開始耗時的新主機設定工作之前，就必須先克服這些問題。
Anthropic 也談到其他可能的複製形式：大型模型鎖定資料中心、代理竊取 API 憑證以取得推論服務，或透過詐騙取得運算點數。這些情境所仰賴的資源與存取途徑，都和小型裝置實驗不同。
安全專家對警告看法不一
英國國家網路安全中心前主管 Ciaran Martin 認為這項研究在技術上有趣，但批評由銷售 AI 的公司提出這項警告，言過其實。他的評估著眼於在平價電視盒上執行小型模型，與實際安全危機之間的落差。
科羅拉多大學丹佛分校電腦科學與工程助理教授 Zhengxiong Li 則抱持較為憂慮的看法。他指出，即使在受控測試條件下，AI 系統仍可能臨機應變，接管裝置並像蠕蟲一樣行動。
IGEL 政府與關鍵產業部門現場技術長 John Walsh 討論了連網裝置鄰近實體設備時可能造成的風險。他指出，冷凍設備、水處理與抽水系統都是未經授權的進一步存取可能干擾關鍵作業的領域。
Walsh 說明，要改變機器的實際運作方式，就必須存取獲授權控制該機器的系統。Anthropic 的實驗聚焦於 AI 託管與複製任務；食品生產、水處理與公用事業設備都不在研究範圍內。
Nozomi Networks 網路安全策略總監 Chris Grove 認為，若未來系統能以機器速度擴散，防禦方可能也需要自動化方式應對。他關注的是可能速度更快的後繼系統；Anthropic 對受測家用硬體類型的估算，則是複製需要數天。
防禦方可以監控並採取的措施
Anthropic 建議網際網路服務供應商監控可疑流量並隔離受影響裝置，同時廣泛使用蜜罐，並加強連網產品的預設安全性。蜜罐是刻意對外開放、用來吸引可疑活動，讓防禦人員進行研究的系統。
大量傳輸模型、裝置間持續通訊，以及對外掃描，都可能協助識別基於權重的複製程式。掃描是搜尋其他可連線機器的過程。若模型分散在多台主機上，這些主機協同運作時也會產生通訊流量。
通知客戶有助於清除感染。Anthropic 引用 Mirai 的清除行動指出，通知客戶後，14 天內清除了 92% 的感染；未通知客戶時則為 74%。同一期間內，清除率提高了 18 個百分點。
製造商與營運者可透過保護管理介面、避免暴露除錯存取，以及維持軟體更新，減少遭複製的機會。服務供應商需要有方法識別並隔離受影響裝置，裝置持有人則需要明確指示，以便安全地恢復裝置。Anthropic 的警告重點在於：應趕在小型模型能可靠地結合兩項獨立測試所展現的技能之前，先做好防禦準備。
重點整理
- Anthropic 於 2026 年 10 月 12 日發表 AI 複製研究。
- 在簡化的存取條件下，GLM-5.2 五次試驗中有四次到達全部八台虛擬 Android 機器。
- 15 台每台約 55 美元的 Android TV 盒子，合計以每秒 0.39 個 token 執行 Gemma4-26B-A4B。
- 目前受測模型仍有落差：要可靠地完成複製，能力還不夠；能符合平價裝置大小限制的模型也不夠可靠。
- 根據歷年進展，Anthropic 估計小型模型可能在 2026 年底前達到受測能力水準。
- 在受測類型的硬體上進行複製可能需要數天；若系統分散運作，也可能難以關閉。
- 建議的防禦措施包括監控流量、隔離裝置、通知客戶，以及加強預設安全性。
