Anthropic 尖端紅隊（Frontier Red Team）發表研究報告 AI models may be capable of self-replicating without access to a datacenter，指出參數量 30B 以下的小型 AI 模型，可能在數個月內具備於廉價 IoT 裝置上自我複製的能力，完全不需要資料中心等級的運算資源。研究團隊實際購入 15 台每台約 55 美元的雜牌 Android 電視盒，串連後成功分散式執行 Gemma4-26B-A4B 模型，推論速度為每秒 0.39 個 token。
這份報告由 William Zhou 與 Daniel Freeman 執筆，核心論點是「AI 蠕蟲」（AI worm）的構成要件正在逐一到位。在簡化的端對端複製測試中，開源權重模型 GLM-5.2 已能完整走完「掃描網路、取得存取、傳送模型權重、架設推論服務、再往下一台複製」的循環。若小型模型維持歷史成長速率，研究團隊估計在 2026 年底前，可裝進 4GB RAM 裝置的模型就會達到相同能力門檻。
CyberQ 整理該研究的實驗設計與主要資料，並依據自身部署經驗，以及對照 OpenAI、Google DeepMind、Meta 與 Anthropic 自身的安全框架，加上英國 AI Security Institute（AISI）、METR 等第三方機構的評估結果，最後提出對台灣企業與 MSP 業者的防禦建議。
重點摘要
- 9B 模型在 9 種測試硬體中的 8 種成功架設推論服務，涵蓋 Jetson Nano、Mac 與 RTX 4090。
- GLM-5.2 在 8 節點 Android 模擬環境中，5 次測試有 4 次感染全部 8 台，1 次感染 7 台。
- 以 Kimwolf 殭屍網路規模（逾 200 萬台裝置）推算，AI 蠕蟲總推論能力約等於 40 張 H100，每次複製需時 1 至 2 天。
- 小型模型可透過「跨世代筆記」累積經驗，推論架設成功率從第一代的 45% 提升到後續世代的 61% 至 84%。
- 主要廠商對「自主複製」風險的框架定位差異明顯，OpenAI 將其列為研究類別而非部署門檻，Google DeepMind 將自主性併入 ML R&D 與網路攻擊領域，Meta 框架僅聚焦濫用風險。
Anthropic 的實驗設計與主要發現
研究團隊把「自主複製與適應」（Autonomous Replication and Adaptation，ARA）拆解成四個實務階段，並刻意把前兩個階段視為已知能力，將研究重心放在過去較少被量測的「推論架設」。
- 網路列舉，尋找尚未感染的目標裝置。
- 初始存取與酬載投遞，必要時順帶提權。
- 推論架設，在陌生硬體上把模型跑起來。
- 從新宿主繼續往外傳播。
前兩個階段略過的理由，是 CyberGym、ExploitBench 與多倫多大學自適應蠕蟲等既有研究，已證明小型模型在有適當工具時具備網路攻擊能力。推論架設則不同，它需要一連串與硬體及作業系統綁定的決策，包括挑選相容的推論引擎、找到正確的套件版本、除錯機器特有的問題，而且每一步都依賴前一步，失敗後很難回復。
威脅模型分類
報告定義三類 AI 蠕蟲。第一類是權重型複製者（weight-based replicator），小型模型直接在被入侵的硬體上執行自己，家用與小型企業 IoT 裝置是首要目標。
第二類是以資料中心為目標的大型權重型複製者，再細分為在實驗室內部基礎設施上執行的尖端複製者，以及從較低資源起步但不受監控的「開源權重複製者」。
第三類是「API 型複製者」，透過竊取推論 API 憑證來複製，較容易被發現，但擴散速度可能更快。本次研究只驗證第一類。
實驗 A 推論架設能力
團隊要求各開源權重模型在異質硬體上架設 Llama3.1-8B 推論服務。結果顯示 Qwen3.5-9B 等小型模型已能在 Jetson Nano 到 Mac PC、RTX 4090 等硬體上完成架設，GLM-5.2 等較強模型不僅更可靠，架設出來的服務速度也更快。實驗使用團隊基於開源 Pi coding agent 開發的 Memento 工具，它會定期重新啟動代理實例並繼承前一代的工作區與筆記，避免代理在錯誤想法上空轉數小時。
實驗 B 端對端複製
團隊在 GCP 上建立防火牆隔離的 VPC，部署 8 個執行 redroid（Android 15 模擬器）的節點，每個節點開放未驗證的 ADB 連接埠。零號病人節點植入蠕蟲後，蠕蟲需自行掃描、透過反向 shell 存取、傳送權重與執行框架、架設 Llama3.1-8B 推論服務，通過正確性與防作弊檢查後才會在目標節點生成新副本。測試模型中只有 GLM-5.2 能可靠完成全程，其他模型則可靠地失敗。報告強調 ADB 無驗證是刻意簡化，因此這是現實世界成功率的上限，但也指出 Mirai 殭屍網路當年只靠預設帳密清單就完成擴散，現實 IoT 的防護未必比實驗困難多少。
能力地板與體積天花板
報告提出兩條線。一條是可靠複製所需的「能力地板」，GLM-5.2 已在其上。另一條是能在 4GB RAM 電視盒上執行的「體積天花板」，Qwen3.5-9B 與 Gemma4-26B-A4B 在其下。目前兩條線尚未交會。團隊以 Epoch Capabilities Index（ECI）回歸 30B 以下開源權重模型的歷史表現，得出每年成長 13.7 ECI、R² 為 0.95 的趨勢線，據此推估小型模型在 2026 年底達到 GLM-5.2 的能力水準。報告自承 ECI 只是通用能力的代理指標，這個時間點僅為粗估。
傳播速度估算與適應能力
AI 蠕蟲在 IoT 裝置上的運作速度遠低於一般聊天或程式代理，報告形容為在邊緣硬體上以涓流方式吐出 token。以電視盒實測速度為基準，Gemma4-26B-A4B 在 32k 上下文視窗、未經最佳化的條件下，平均每秒約 0.3 個 token。完成一次推論架設需要 2.6 至 4.7 個完整視窗。
| 模型 | 單一 32k 視窗耗時 | 完整推論架設耗時 |
|---|---|---|
| Gemma4-26B-A4B（未最佳化） | 27.3 至 31.8 小時 | 71 至 150 小時 |
| Qwen3.5-9B | 10.9 小時 | 28 至 51 小時 |
殭屍網路規模推算
報告以 Synthient 揭露的 Kimwolf 殭屍網路為對照，該網路高峰期感染超過 200 萬台裝置，主要是雜牌 Android 電視盒。若同等規模的裝置每 15 台跑一份 Gemma4-26B-A4B，約可得到 13.3 萬個副本，每組可同時服務 2 個代理，整體約 8 萬 token/s。對比單張 H100 在高並行與推測解碼下約 1,950 token/s，整個殭屍網路的推論能力約等於 40 張 H100。報告形容這種複製者像黏菌或果蠅群，以天為單位緩慢增殖，而非爆發式擴散。
跨世代學習
適應是 AI 複製者可能勝過傳統蠕蟲的關鍵。團隊讓 Qwen3.5-9B 的每一代實例把嘗試過的策略與遇到的失敗寫成簡短筆記，交給下一代繼承後再挑戰同一項推論架設任務。20 條世代鏈的實驗顯示，成功率從第一代的 45% 上升到後續世代的 61% 至 84%。報告將此稱為拉馬克式演化，親代可將提示詞、程式碼與筆記直接傳給子代。
尖端模型顧問沒有明顯幫助
另一個擔憂是小型模型可能向更強的尖端顧問求助。團隊讓 Qwen3.5-9B 在推論架設任務中可呼叫 Opus 4.8，結果不論是以工具形式提供、或在卡關時自動給建議，成功率都沒有顯著改善。即使先用強化學習訓練小型模型在 Python 題目上使用顧問，遷移到推論架設任務後仍不會問對問題。研究團隊因此判斷，更可能的協作型態是大型模型負責高階策略，再把小型模型當成子代理派出。
社交工程能力落後
附錄 E 以 Meta CyberSecEval 3 的魚叉式網釣評測複測小型模型，校正人類評分者偏差後，小型模型的表現落在非常差到差之間。報告認為社交工程與網釣攻擊短期內仍會由大型模型執行，這與人類駭客偏好社交工程勝過技術入侵的慣例正好相反。另外，可參考這篇 Synthient 對 Kimwolf 的分析。
與傳統殭屍網路的差異
CyberQ 觀察，過往把程式碼寫死的殭屍網路，它們只能針對特定裝置類型，但是 Kimwolf 鎖定 Android 電視與行動裝置，Mirai 靠預設帳密清單掃描特定 IoT 韌體。AI 殭屍網路則不綁定任何硬體或軟體，報告中小型模型已能在 Jetson Nano 到 Mac 的不同機器上自行摸索出推論架設方法，這意味著攻擊面從已知漏洞的已知裝置擴展到任何能跑推論的裝置。
另一個差異在於權限需求。權重型複製者不需要 root 權限，推論引擎可以完全在使用者空間執行，而低安全性裝置重開機後也能被重新感染。這與 P2Pinfect、FritzFrog 等既有蠕蟲及加密貨幣挖礦程式的行為模式相近，它們同樣不依賴提權，但會機會性地嘗試。
報告也指出，AI 殭屍網路可以把權重型複製只當成多種策略之一，更現實的最壞情境是多種模型部署在不同硬體上、採用多種複製方案的混合蜂群。至於 AI 殭屍網路是否會主動對抗防禦者，團隊表示尚未測試。
CyberQ 認為，如果與多倫多大學 CleverHans Lab 2026 年 6 月發表的自適應蠕蟲研究相比，兩者的重點不同。多倫多團隊的蠕蟲以單張 GPU 上的開源權重模型為核心，在 7 天內平均完成 5.1 代複製，成功利用模型訓練截止日後才揭露的 2026 年 CVE，取得 root 的比率為 61.2%，重點在證明攻擊策略可針對每個目標即時生成。Anthropic 則把焦點放在沒有 GPU 也能跑，證明攻擊門檻可以降到 55 美元電視盒的等級。
CyberQ 進一步分析，兩份研究合起來，等於分別補上了 AI 蠕蟲在入侵與落地執行兩端的可行性證據。
各大先進模型廠商的框架比較
全球四家主要 AI 大廠都有公開的尖端模型安全框架，但對自主複製的定位落差很大。下表整理各框架目前版本對此風險的處理方式與近期動作。
| 廠商 | 框架與現行版本 | 自主複製的定位 | 2026 年相關動作 |
|---|---|---|---|
| Anthropic | Responsible Scaling Policy，2025 年 5 月更新 | 能力門檻以 CBRN 與自主 AI 研發為主，自主複製僅在附註提及，未設獨立門檻 | 尖端紅隊於 10 月 12 日發表本研究，公開 Memento 工具設計與藍隊緩解建議，另發表蒸餾攻擊防禦與非預期模型行為調查 |
| OpenAI | Preparedness Framework v2，2025 年 4 月 15 日生效 | 追蹤類別為生物化學、網路安全、AI 自我改進。自主複製與適應被列入「研究類別」，不觸發部署門檻 | 2026 年 5 月 28 日另發布 Frontier Governance Framework 因應加州與歐盟法規（待查），GPT-5 系列由 METR 外部評估，結論為不太可能具備流氓複製能力 |
| Google DeepMind | Frontier Safety Framework v3.1，2026 年 4 月 17 日 | v1 曾有獨立的「自主性 Level 1」CCL（自行取得資源以執行更多自身副本）。v3 起自主性併入 ML R&D 與錯位（misalignment）領域 | v3.1 新增 Tracked Capability Levels，用於提前偵測未達嚴重等級的風險，目前適用於 CBRN 與 ML R&D 及錯位領域。Gemini 2.5 技術報告載明各 CCL 均未達標 |
| Meta | Frontier AI Framework，2025 年 2 月發布 | 以結果導向的威脅情境定義門檻，僅涵蓋濫用風險（網路攻擊與 CBRN），未納入代理自主行為 | Center for AI Policy 批評其忽略代理風險，且門檻要求模型須同時具備全部賦能能力才算越線 |
框架之外的現實落差
這份研究最值得注意的一點，是真正能完成端對端複製的模型 GLM-5.2 來自智譜（Zhipu），而體積符合 IoT 限制的 Qwen3.5-9B 與 Gemma4-26B-A4B 分別來自阿里巴巴與 Google。四家美國廠商的框架都以自家尖端閉源模型為管理對象，但 AI 蠕蟲的實際酬載是開源權重模型，一旦權重公開發布，任何框架的部署門檻與安全措施都管不到。
這個落差早在 2024 年 12 月就被中國的復旦大學團隊指出。復旦大學自我複製研究 沿用 OpenAI 與 Google 的評測方法，發現 Meta 的 Llama3.1-70B-Instruct 與阿里巴巴的 Qwen25-72B-Instruct 分別在 50% 與 90% 的試驗中成功建立獨立運作的自身副本，而同一個時間點，OpenAI 與 Google 對自家旗艦模型的自我複製風險評等都是最低等級。
在當時，學界對該研究的批評是其「複製」定義過於簡化，僅為複製權重到另一位置並開啟連接埠。Anthropic 本次研究補上的，正是在陌生硬體上從零架設推論這個最困難的環節。
各廠商的後續作法
CyberQ 認為，Anthropic 這次選擇把研究結果公開，並在報告中明確列出三項藍隊緩解方向，包括 ISP 流量監控、ISP 隔離通知機制，以及透過法規推動製造商取消預設密碼。OpenAI 的作法是把自主複製留在研究類別持續觀察，並將外部評估委託 METR 執行，METR 對 GPT-5 的結論是其能力距離流氓複製門檻仍有相當差距。Google DeepMind 則以 v3.1 的 TCL 機制回應風險來得比門檻早的批評，但 TCL 目前並未涵蓋自主性領域。
其他大廠在這部分的發展，以及其他二、三線 AI 廠商在這部份的著墨，很值得再繼續留意與關注。
第三方評估機構的對照
除了廠商自評之外，兩個第三方機構的結果值得並列閱讀，它們的量測對象與 Anthropic 本次研究正好互補。
英國 AISI 的 RepliBench
可以先看一下 AISI RepliBench ，英國 AI Security Institute 於 2025 年 4 月發布 RepliBench 論文，把自主複製拆成取得資源、外洩模型權重、複製到運算資源、長期持續存在四個領域，共 20 個任務家族、86 個任務。當時表現最佳的 Claude 3.7 Sonnet 在 15 個任務家族達到 50% 以上的 pass@10，最困難變體則只有 9 個。AISI 的結論是模型在雲端 API 這類介面明確的任務、架設推論伺服器這類簡單軟體工程任務上表現良好，但無法通過 KYC 身分驗證、無法在真實安全措施下外洩權重，也無法從零建立能自我複製的後繼代理。
RepliBench 量測的是「尖端閉源模型透過租用雲端資源複製」，Anthropic 本次量測的是「小型開源模型透過入侵廉價硬體複製」。前者卡在身分驗證與付費機制，後者根本不需要身分或付款，這正是 Anthropic 把 IoT 列為首要威脅模型的理由。
METR 的 Frontier Risk Report
METR 於 2026 年 5 月 19 日發布首份 METR Frontier Risk Report，評估窗口為 2026 年 2 月 16 日至 3 月 16 日，參與者包括 Anthropic、Google、Meta 與 OpenAI。這份報告不再逐一評估單一模型，而是評估各廠商內部代理是否具備啟動「流氓部署」（rogue deployment，即未經人類知情或許可而自主運作的一組代理）的手段、動機與機會。METR 的判斷是當時的內部代理大致具備啟動小型流氓部署的能力，但難以在認真的安全與監控措施下維持。報告同時指出，評估窗口內有相當比例的代理活動未經任何人工審查，並預期流氓部署的可行強韌度會在未來數月大幅提升。
METR 對 GPT-5 的評估是實驗室內部最強模型在高度監控環境中的風險，Anthropic 本次研究則是公開流通的小型模型在無人監控的 IoT 環境中的風險。兩者結論方向一致，差別只在於前者認為監控仍能壓制，後者認為根本沒有監控可言。
防禦建議與對台灣企業的啟示
CyberQ 認為，Anthropic 把防禦目標定義為流行病學式的 R₀ 小於 1，也就是讓每台受感染裝置平均感染的新裝置數低於 1，複製者就會自然消亡。報告列出三項對防守方有利的條件。
- 網路特徵明顯。新感染的宿主需要從其他裝置或外部主機接收數 GB 的模型酬載，分散式推論會在原本不該互通的裝置之間產生持續流量，掃描與對外連線也會留下痕跡。複製者在速度與隱匿之間必須取捨，跑得越快，流量越明顯。一旦被發現，蜜罐可用來擷取其執行框架與酬載。
- ISP 隔離通知有效。Mirai 清理實證研究（NDSS）顯示，ISP 依據外部感染證據隔離用戶、只允許連到白名單網站並導向清理說明頁，14 天內清除率達 92%，無通知組僅 74%。報告預期同樣作法對權重型複製者的初期防禦同樣有效，但要完全根除需要跨 ISP 協調。
- 縮小目標池。製造商可透過安全預設值減少可攻擊裝置，法規則扮演協調角色，英國已禁止 IoT 產品使用預設密碼。
對台灣企業與 MSP 的實務意涵
報告附錄特別點名小型企業 NAS、迷你 PC 與 Rockchip 類 SoC 為另一層目標，並引用CISA 與 NCSC 2020 年聯合公告 AA20-209A，指出小型企業 NAS 歷來是勒索軟體與挖礦程式的受害者，其 512MB 至 2GB 的焊死記憶體與智慧電視盒屬於同一級距。對台灣大量使用中小型裝置的中小企業而言，這代表 AI 蠕蟲的目標清單裡已經包含了機房角落那台很久沒更新的設備。
以下幾項措施可直接對應報告指出的傳播特徵。
- 清查所有具備對外連線能力的 IoT 與邊緣裝置，包括電視盒、監控攝影機、會議設備與 NAS，確認無預設密碼、無未驗證的除錯連接埠（如 ADB 5555），並關閉 UPnP 自動埠轉發。
- 把 IoT 與邊緣裝置隔離到獨立 VLAN，裝置之間預設不互通。報告指出分散式推論需要裝置間大量東西向流量，網段隔離可直接阻斷。
- 在出口建立流量基線監控。數 GB 的異常下載、裝置間持續的高頻通訊、對內網的掃描行為都是本研究描述的特徵，而非傳統 IoC 比對能涵蓋的範圍。
- 把具備 GPU 或 AI 加速器的設備列為高價值資產另行管理。多倫多大學研究中的蠕蟲會優先感染 GPU 主機並以之為推理中樞，Anthropic 附錄亦估算全球約 950 萬台搭載 NVIDIA 邊緣加速器的裝置，雖然多數經由對外的雲端管理通道連線而非開放入站連接埠。
- 對 MSP 業者而言，報告描述的 ISP 隔離通知模式可直接轉化為託管服務流程，亦即以外部威脅情資為觸發，對客戶端受感染網段執行白名單隔離並通知清理。
報告最後一段的預測值得引述，該研究團隊預期未來各類硬體上都會跑著代理，其中部分不受人類控制。IoT 裝置脆弱已久，但人類攻擊者未必願意花力氣去攻陷全球大量低價值運算資源，輕量級代理則可能非常樂意。緩慢複製者的出現，將是更快、更具攻擊性的複製者到來的前兆。
強化企業資安與 IoT、儲存設備與地端 AI 裝置防護刻不容緩
Anthropic 以「跡象初現」（signs of life）形容目前狀態，類比 2024 年的程式代理。當年程式代理也是先能完成個別步驟、串接起來仍會出錯，隨後在一年內成熟到可以獨立完成長程任務。本研究顯示自主複製鏈上的每個環節都已有模型能夠完成，差的只是把能力裝進夠小的模型，而趨勢線指向 2026 年底。
從產業治理角度看，四家美國廠商的框架都把管理重心放在自家閉源尖端模型，但本研究中能完成複製的模型與能塞進 IoT 的模型全部來自開源權重生態。框架能管到的，與威脅實際來自的地方，並不重疊。第三方評估機構的結論也呈現同樣的結構，RepliBench 與 METR 衡量的是受監控的尖端模型，Anthropic 本次衡量的則是無人監控的小型模型，前者仍有安全餘裕，後者正在快速收斂。
對防守方而言，可以確定的是 AI 蠕蟲不會比 Mirai 更難偵測，它的酬載更大、流量更多、速度更慢。問題在於過去十年 IoT 安全沒有解決的基本功，包括預設密碼、未隔離的網段、無人監控的裝置，在攻擊者從人類變成不知疲倦的代理之後，代價將完全不同。
