未来几个月，物联网安全领域可能迎来一种更难应对的威胁：能够自主复制、适应不同设备的 AI 蠕虫。

这并非危言耸听，而是 Anthropic 最新研究发出的一项预警。

研究人员发现，小型 AI 模型可能很快就具备在商用物联网设备上实现自主复制的能力。智能烤箱、低成本安卓电视盒等看似不起眼的联网设备，都可能成为这类恶意软件潜在的运行载体。与传统恶意软件相比，这类 AI 蠕虫的特殊之处，不仅在于它可能将自身复制到更多设备，还在于它有望利用 AI 的推理能力适应陌生的硬件环境，并在遭到入侵的设备上搭建模型运行所需的推理环境。如果这些能力进一步成熟，恶意软件就可能借助分散在不同设备上的计算资源持续传播，而不再完全依赖单一的中心化基础设施。

实验已经展示了其中一些关键能力：一个拥有 90 亿个参数的模型，成功在研究人员测试的 9 种硬件类型中的 8 种上运行了推理任务。在另一项受控实验中，研究人员也验证了较强模型能够完成端到端的复制过程。

对于物联网行业而言，这一预警已经提出了一个不容忽视的问题：当联网设备不仅可能成为攻击目标，还可能成为 AI 恶意软件赖以运行和传播的计算节点，我们熟悉的物联网安全防护体系，是否已经为这种变化做好了准备？

AI 蠕虫相比传统物联网僵尸病毒实现了怎样的进化？

说起物联网病毒，Mirai 可能是史上最具代表性的僵尸网络之一。它主要感染路由器、网络摄像头和数字录像机等嵌入式设备，利用这些设备的计算能力和网络带宽发动大规模分布式拒绝服务攻击（DDoS）。

Mirai 的典型传播方式相当直接，简单来说分为以下步骤：

①扫描互联网中的联网设备：寻找开放了 Telnet 远程登录服务、可以从互联网访问的设备。

②尝试使用默认或弱密码登录：许多物联网产品出厂时采用通用账户和密码，用户购买后没有修改，给了攻击者可乘之机。

③植入恶意程序：成功进入设备后，恶意程序便可以让设备加入僵尸网络，并接受攻击者的指令。

④发动 DDoS 攻击：大量被感染设备同时向指定目标发送流量，耗尽目标的网络带宽或服务处理能力，导致网站或网络服务无法正常访问。

Mirai 的危险之处，在于它可以利用大量单台价值不高、却长期联网且防护薄弱的设备，形成规模庞大的攻击网络但其存在一个明显的局限性：恶意程序通常需要提前适配目标设备，并依赖攻击者预先设计好的攻击和传播规则。如果遇到一种全新的硬件，或者操作系统、软件环境与预期不同，原有程序就可能无法运行，或者无法继续传播。

Anthropic 研究关注的是，在传统的入侵能力之外，AI 能否让恶意软件具备更强的自主适应能力。

如果 AI 模型具备足够的推理与适应能力，便可能自主分析目标设备的硬件配置、操作系统和软件环境，识别运行过程中遇到的兼容性问题，并尝试调整运行方式，在陌生设备上建立推理环境。这意味着，恶意软件的传播能力可能不再完全受限于预先编写的规则和适配范围，而是有望借助 AI 的环境理解与问题解决能力，扩展到更多类型的物联网设备。

在低成本物联网硬件上运行 AI

这项研究最引人注目的演示之一，是在 15 台低成本安卓电视盒（每个只内存只有 4GB）上运行 Gemma4-26B-A4B 模型。该模型拥有 260 亿个参数，每台电视盒的价格约为 55 美元。

常理而言，一个内存只有 4GB 的电视盒，绝对装不下一个 26B 的大模型，但是如果通过分布式推理的方式承载模型的一部分，就能成功运行。

实验结果显示，所有设备协同工作后，推理速度达到每秒 0.39 个 Token。尽管这一性能远低于现代数据中心 GPU 的水平，但该实验证明，具备一定能力的 AI 模型能够在由低成本、计算资源有限的设备组成的网络中运行。

这一点至关重要——因为如果 AI 必须依赖昂贵的数据中心 GPU 才能运行，攻击者就需要争夺稀缺且容易被监控的计算资源。但如果一个足够小的模型能够在智能摄像头、电视盒、智能家电等低成本设备上运行，攻击者理论上就有机会利用大量分散的设备来提供计算能力。

研究人员还进一步评估了 AI 智能体能否完成一个完整的复制周期，包括发现目标设备、传输软件，以及建立可正常运行的推理环境。

在一项涉及 8 个安卓模拟节点的受控实验中，GLM-5.2 在 5 次试验中的 4 次成功传播至全部 8 个目标节点，在剩余的一次试验中则到达了 7 个节点。

不过，这项研究仍存在一个重要局限：研究人员有意简化了初始入侵阶段，通过一个无需身份验证的接口提供访问权限。此外，规模较大的模型运行在独立的推理基础设施上，而非直接运行于目标设备之中。因此，这些实验结果并不能证明，能够完全自主运行的 AI 蠕虫已经可以在现实世界的物联网网络中传播。

Anthropic 估计，如果当前的技术进步趋势持续，到 2026 年底，小型模型可能达到实现这一能力所需的门槛。不过，这一预测基于 AI 整体能力的发展趋势，而非已经发现了能够实际运行、自我复制并传播的物联网威胁。

对边缘 AI 与物联网安全企业的启示

随着越来越多的联网产品开始集成本地 AI 处理能力，这项研究的发现尤其值得关注。智能摄像头、视频会议系统、工业网关及其他边缘设备，正越来越多地搭载能够执行机器学习任务的处理器。

Anthropic 的实验并未证明这些产品类别本身就存在安全漏洞。不过，对于试图获取分布式推理资源的攻击者而言，设备本地计算能力的提升，可能使遭到入侵的设备更具利用价值。

对于物联网设备制造商和系统集成商而言，这意味着设备安全需要关注一个新的维度：除了防范数据窃取、远程控制和服务中断，还需要防止计算资源被用于未经授权的 AI 工作负载。一个实际的应对方向，是进一步重视网络行为，将其作为识别设备是否遭到入侵的重要依据。分布式 AI 推理需要参与设备之间进行通信，而模型权重的传输也可能产生大量网络流量。Anthropic 指出，这些流量特征可能为威胁检测提供线索。此外，安全默认配置、网络监控以及对受感染系统进行隔离等既有安全措施，仍然具有重要作用。

这里还存在一个架构层面的权衡：将推理任务分散到大量低成本设备上，可以降低对集中式基础设施的依赖，但也会产生相应的设备间通信需求，从而使恶意活动有可能被监测和识别。因此，对于网络连接服务提供商和企业物联网运营商而言，监控异常的设备间通信，以及非预期的数据传输，可以成为传统终端安全防护的有益补充。

对物联网安全企业而言，这一趋势可能推动安全产品从传统的漏洞扫描、特征识别和网络流量监测，向更全面的设备行为分析与自动化响应发展。当恶意程序能够尝试适应陌生环境时，仅依赖已知攻击特征可能不够，安全系统还需要识别异常资源占用、设备间通信和非授权程序运行等行为，并及时采取隔离、修复等措施。AI 也有望用于辅助告警分析和安全运营，但必须配合严格的权限控制与操作审计，避免自动化处置引发新的风险。

归根结底，应当将 Anthropic 的研究视为一项早期预警，而不是现实中已经出现 AI 自主传播恶意软件大规模暴发的证据。实验表明，实现相关能力所面临的一些关键技术障碍正在逐渐降低，但能否在真实环境中可靠地完成自主复制，目前仍未得到证实。

对行业而言，更务实的做法不是夸大新威胁，而是借此补齐设备管理、网络隔离和应急响应等基础能力，为未来可能出现的攻击方式提前做好准备