威廉·周，丹尼尔·弗里曼 我们的实验表明，小型人工智能模型可能在数月内具有在商业物联网设备上自我复制的能力，比如智能烤箱和无牌安卓电视盒。这种复制器将难以关闭，因为没有集中式的关闭点——尽管它可能会较慢（数天的翻倍时间）。与非人工智能恶意软件不同，它还能够自行识别不熟悉的设备。在我们的评估中，一个9B参数的模型在我们测试的9种硬件类型中成功在8种上运行推理。30B参数及以下的模型今天已经可以完成许多复制过程中个体步骤，尽管在端到端合成时会出错。在我们的简化评估中，GLM-5.2及更强的模型能够实现端到端复制。如果小型模型以历史速度改进，它们将在今年年底之前达到这一能力水平。小型基于权重的复制器可能会在不久后变得可行。引言 不断改善的人工智能能力使得一个长期关注的问题变得越来越现实：自主复制和适应（ARA），即一个模型在没有人类控制的情况下自行部署和传播。在网络安全领域，蠕虫是一个能够从一台计算机复制到另一台计算机的程序，无需人工输入。先前的研究已经表明，人工智能代理可以像蠕虫一样：扫描它们的网络，执行利用程序，并将模型权重复制到目标机器，跨越GPU集群。这种“人工智能蠕虫”在繁殖时可以携带其模型权重（或从公共中心重新下载它们），然后直接在被攻陷的硬件上运行推理。实际上，这些权重将成为恶意软件载荷的一部分。数据中心的GPU无疑会成为这种恶意软件的一个明确的高价值目标。但昂贵的加速器并不是绝对必要的。在这篇博文中，我们展示了一个由物联网设备组成的分布式僵尸网络——这些设备便宜且通常防御不足——也可以提供足够的计算能力来运行一个有能力的模型。我们在15个便宜的无牌安卓电视盒（每个约55美元）上运行Gemma4-26B-A4B，这些设备被购买并联网在一起，运算速度为每秒0.39个令牌。下面的每个块显示一个物理电视盒，当模型运行时，它持有模型的两个层。运行Gemma4-26B-A4B的15台智能电视盒的分布式推理舰队。 当然，展示一个自主蠕虫如何在弱机器网络中自我传播还有许多其他步骤。为了本博文的目的，我们将复制链分解为几个步骤。对于这项研究，我们将自主复制分解为四个实际阶段：寻找目标，获取执行，建立推理和继续从新主机传播。我们在很大程度上忽略了复制过程中的网络利用元素（上述前两个阶段），因为早期的论文CyberGym、ExploitBench和自适应蠕虫已经表明，小模型在具备适当工具的情况下能够进行网络利用。但复制过程中一个较少被测量的部分涉及在被攻陷的设备上设置推理，这是我们在这里关注的内容。在这篇文章中，我们首先列出我们认为最有可能实现的威胁模型。然后，我们测试小模型是否能够在不熟悉的硬件上建立推理，以及它们是否能够在一组机器之间链接完整的复制周期。之后，我们估计这种蠕虫传播的速度，并测试它在复制时是否能够学习和适应。最后，我们总结了人工智能蠕虫与前人工智能恶意软件的不同之处，以及针对这些复制器的简要防御建议。威胁建模 在这篇博文中，我们关注人工智能蠕虫可能传播的一个方式：通过攻陷其宿主机器进行复制的小型模型。 但人工智能蠕虫可能尝试的其他几种方法包括：它们可以窃取访问权限以启动宿主（例如，API密钥或平台凭证）或通过合法工作（如数字自由职业）支付推理费用。我们认为目前最接近实现的威胁模型包括以下几种：一个小模型，通过宿主攻击进行复制。在这篇文章中，我们将直接在被攻陷硬件上运行模型的自主蠕虫称为基于权重的复制器。家用和小型商业物联网设备可能是此类攻击的首要目标，因为它们连接到互联网，并且历史上安全措施非常薄弱。一个太大以至于无法放入一个设备的模型可以被拆分成多个部分，或碎片，这些碎片在相互通信的不同机器上运行，以共同运行该模型。可以运行显著模型碎片的设备包括智能冰箱、智能烤箱、自动吸尘器和割草机。越来越多的家用和商业设备，例如安全摄像头和视频会议设备，现在出货时内置了小型人工智能芯片，旨在在设备本身上运行人工智能模型。