把恶意程序拆进15台电视，Anthropic为何警告AI蠕虫？

如果一台智能电视被恶意程序感染，你会紧张吗？Anthropic的进攻性研究团队给出的答案是：真正值得紧张的，是这种程序能把自己拆成碎片，分散藏在十几台电视里，靠每台设备出一点算力继续运转。

这支内部测试团队本周公布了一份报告，描述了一种新的、可落地的威胁。他们造出的恶意AI程序能通过联网的智能电视自主传播，也能在其他普通设备内部做同样的事。通常跑AI的机器需要相当可观的算力，但研究者说，他们的程序把自身的各个部分分散到15台电视上，每台贡献一点算力，整体依然能工作。

这个设定很容易让人想到《哈利·波特》里装着伏地魔灵魂碎片的魂器。让一些专业人士警觉的另一点是：智能电视和大量物联网设备的普遍安全水平很弱，即便集中力量去修，也很难修好。

曾主导Meta AI安全工作的Joshua Saxe说：“这就像此前的每一波网络攻击一样，是值得担心的事。我们需要减轻可能的影响。”他补充说，自己现在担心的是网络安全圈的人没有足够认真地对待这类真实风险。

这类“AI蠕虫”的破坏力可能大得惊人。自我复制、不需要诱骗人类就能传播的计算机病毒被称为蠕虫，早前的蠕虫制造过互联网历史上最严重的几场灾难。

这份历史清单包括1988年的Morris蠕虫——它出现在主流消费互联网之前，一名研究生释放的程序利用各种软件缺陷和弱密码快速自我复制，导致大量被感染的机器慢到停摆。2000年代末，美国和以色列用隐蔽的Stuxnet把蠕虫带入国际间谍活动，破坏了伊朗的核离心机。俄罗斯的NotPetya和归因于朝鲜的WannaCry等蠕虫，在全球造成了数百亿美元量级的损失。

世界上许多破坏性最强的蠕虫，依赖的都是设备主人没有打补丁的已知漏洞，有时补丁已经发布数月。Anthropic团队预测，他们这类蠕虫可以用同样的方式运作，而且更难阻止，因为智能设备收到补丁的频率低于手机和笔记本电脑。他们进一步推测，AI蠕虫可以通过研究新披露的漏洞，持续适应其他类型的硬件。

AI蠕虫与典型复制型病毒的区别在于，AI模型能在运行中学习。OpenAI早期安全专家、现经营AI安全初创公司RunSybil的Ariel Herbert-Voss说，现有的网络安全基础设施没有为这类威胁的扩散做好准备。“我们需要让安全团队具备更强的能力。我们需要给他们更多资源去解决问题。”

蠕虫也可能被用于善意目的。前美国国家安全局副局长、曾在拜登政府担任国家网络主管的Chris Inglis提出这一可能。他在数字消息中说：“AI蠕虫是否可行，过去六个月里的几起突破性事件已经给出了答案。更好的问题是，我们将如何运用它们、反制它们，或者把它们与其他新兴技术结合起来。”

Anthropic的研究者表示，一个成功的AI蠕虫需要在更弱的设备上具备比现在更强的能力，但他们补充说，当前的趋势会让这在年底前变得可行。这项研究之前几个月，多伦多大学的专家发表过一篇论文，其程序感染了一台全尺寸计算机，并能比电视蠕虫更快地传播到同类机器上。共同作者、多伦多大学博士生Jonas Guan说：“相关能力一直在非常快速地发展。”

Guan和其他专家也表示，从实际角度看，AI蠕虫不该排在任何人AI恐惧清单的首位。Guan说，Anthropic这个版本移动得非常慢，而且蠕虫的行为可预测、可检测，能在多个层面被阻断。专家说，基本的安全卫生习惯，包括强密码和双因素认证，就能挡住大多数蠕虫和其他黑客行为。

安全公司SentinelOne研究副总裁Juan Andres Guerrero-Saade的评价更直接：“这件事没有任何真正可行或有影响力的地方。这是很巧的炫技式黑客行为，却被大幅放大，服务于那些荒谬的末日叙事——暗示模型有自己的心智和意志。”

Anthropic没有回应采访请求。

在华盛顿之外，AI和安全领域的许多人认为，政府对AI的更强监管现在必不可少。但国会议员提出的法案彼此冲突，白宫到目前为止只设立了一个小型审查委员会。

安全研究者和普通人都在掂量AI公司发出恐惧预测背后的动机：从信奉近乎宗教的信念，到寻求立法排除竞争对手或省钱，再到为旧金山AI巨头们预期的数万亿美元公开估值造势。

本月在旧金山筹办AI安全会议Unprompted的Gadi Evron说：“说这里面很多是营销，这话没错，但现实比任何公关都大。无论实验室在做什么宣称，他们警告得都不够。我们需要明白，没有人能阻止这场AI风暴。”