Anthropic前沿红队团队近日演示了潜在“AI蠕虫”的关键组件。研究表明，若解决实施中的核心难题，此类恶意软件理论上可在无需数据中心支持的情况下，在廉价Android电视盒及智能家电等消费设备间传播。实验证实，AI代理能在不同硬件平台上配置推理环境，并协调网络间的复制过程，但受限于当前模型能力与目标硬件性能的差距，该威胁尚未完全成型。
基于权重的复制机制
在10月12日发布的《AI模型可能具备在没有数据中心访问权限的情况下自我复制的能力》报告中，Anthropic深入审视了“基于权重的复制器”。与传统分发可执行代码不同，这类恶意软件通过在被入侵设备上部署运行推理所需的软件基础设施及AI模型权重进行传播。
测试显示，Qwen3.5-9B模型能在NVIDIA Jetson Nano、Apple Silicon Mac、Google TPU及配备RTX 4090的PC等九种测试硬件中的八种上成功建立推理服务器。此外，研究人员在15个售价约55美元的无品牌Android电视盒上运行Gemma4-26B-A4B模型，实现了每秒0.39个token的综合生成率。
跨网络协调与局限
在跨网络复制测试中，Anthropic使用了八个运行Android 15模拟器的Google Cloud节点。一个植入代理通过未认证的Android调试桥（ADB）端口在节点间传播并建立推理服务器。拥有7440亿参数、体积超1TB的GLM-5.2模型在五次试验中的四次成功完成全部八个节点的复制序列，另一次达到七个节点。
值得注意的是，未经GLM-5.2协调，其他开放权重模型均无法独立完成该序列。且GLM-5.2并未将自身复制到节点，而是在每个目标上为较小的Llama 3.1 8B模型建立推理服务器，因模拟节点无法承载更大模型。这证明目前仅有庞大且外部托管的模型能协调简化复制序列，小型模型虽能设置环境，但尚无法独立在消费硬件上实现自我复制。
性能瓶颈与未来预测
研究揭示了一个核心矛盾：能可靠完成复制的模型过大，无法在廉价设备上运行；而适配设备内存的模型又缺乏独立完成全过程的智能。Anthropic警告，这一差距正在缩小。基于Epoch Capabilities Index的历史改进趋势，公司预测到2026年底，300亿参数级别的模型或将达到所需能力水平，但这仍属假设，且效率问题亟待解决。
在效率方面，估算显示在廉价Android电视盒上为Qwen3.5-9B建立推理环境需28–51小时，Gemma4-26B-A4B则需71–150小时。相比传统蠕虫几分钟内感染数万目标的速度，AI驱动型复制器需数天才能在新主机上立足，极易被检测。同时，分发多GB模型权重产生的巨大网络流量也增加了暴露风险。
实际威胁评估
Anthropic估算，一个类似Kimwolf僵尸网络规模（峰值超200万台设备）的舰队，若每15台设备共同托管一个模型，仅能支持约13.3万个Gemma4-26B-A4B实例，提供约40个Hopper H100等效的推理容量。考虑到感染200万台设备需约6300个“代理年”，这种投入产出比并不具威慑力。
尽管存在诸多限制，研究指出的安全问题依然严峻：AI代理能提升恶意软件对陌生环境的适应性，降低针对特定目标的工程门槛。结合传统代码与AI推理的混合攻击模式，可能在无需每台设备持续运行推理引擎的情况下构成威胁。Anthropic的实验证实了自主软件配置和网络复制的可行性，但要转化为实质危害，仍需突破模型可靠性、硬件兼容性及现实世界安全控制等多重障碍。