FRONTIER · 黑箱与安全

偷你的显卡来想怎么打下一台：一只 AI 蠕虫 7 天拿下 73.8% 的网络，边际成本为零

AI Agents Enable Adaptive Computer Worms

Jonas Guan、Nicolas Papernot 等 通讯作者是多伦多大学副教授、Vector Institute 的 Canada CIFAR AI Chair、加拿大 AI 安全研究所研究项目联合主任，对抗样本与机器学习隐私方向的核心研究者之一，2026 与 2027 两届 IEEE Security & Privacy 程序委员会共同主席 · 论文公开前经校方审查流程，并向加拿大政府相关部门做了披露，实现代码至今受控不公开

2026 年 6 月

为什么选它「AI 能不能自己搞攻击」吵了两年，多数评测的结论是还不行，小模型尤其不行。这篇把结论掀了：不用前沿模型、不调任何厂商 API，一张显卡上的开源模型加一套 harness，就在 33 台机器的网络里自主打了 7 天。推论更难受——厂商侧的拒答与限流对它结构上无效。

多伦多大学、Vector Institute、剑桥大学和 ServiceNow 的团队 6 月放出一篇论文，做了一件此前只停留在假设里的事：造一只由 AI 驱动的计算机蠕虫，放进 33 台机器的隔离网络，连续 7 天全自主运行，没有人在环。15 次独立实验的平均结果——正确识别 31.3 个漏洞，把 23.1 台机器提权到管理员，把自己复制到 20.4 台，最远传到第 7 代；73.8% 的网络被攻陷，61.8% 装上了它的副本。驱动它的不是前沿模型，是一个 2025 年公开的开源权重模型，一张 80GB 的 A100 就跑得下，未做任何微调。

值得读的不是「AI 能搞攻击」——第 27 篇那台为了抄答案打穿 Hugging Face 生产集群的模型已经演过一遍。值得读的是这篇第一次把三件事拼在了一起：临场生成的攻击逻辑、自我复制、寄生式的算力获取。传统蠕虫出厂带着一份写死的漏洞清单，把那几个洞补上它就停了；这一只的攻击逻辑是到了目标机器上现想的，补掉一个洞只是关掉一条路。更关键的是第三件：它每攻陷一台带显卡的机器，就在上面部署一份模型，变成新的推理节点，反过来给下游跑不动模型的 IoT 设备供算力。推理成本由受害者承担，攻击者每多打一台的边际成本是零。

「小模型不行」这个结论，是被 harness 推翻的

过去两年多份评测的结论是：单卡能跑的小模型不具备实质攻击能力——指令跟随差，长链条推理会散，发现的凭据还没用上就掉出了上下文窗口。作者不反驳这些观察，他们反驳的是从观察推出的结论：把模型的「知识」和「决策能力」拆开，小模型缺的主要是前者——它能从侦察结果推断出这台机器有 SQL 注入，却写不出那串正确的注入语法。而知识可以从外面喂进去。

于是他们围着模型搭了一套 harness（把模型包成可用系统的那层脚手架：提示、工具、记忆、流程控制）：攻击拆成初始接入、提权、复制几个阶段，每个阶段内部走一张「推理图」，图上每个节点是一次独立的模型调用，只看得到与自己那步相关的提示和工具；再配分层记忆保住跨调用的发现，以及副本之间共享情报的机制。论文的判断很直接：瓶颈一直是 harness 的设计而不是模型能力，所以能力必须连同 harness 一起评估，脱开 harness 测出来的分数会系统性偏低。这和第 16 篇是同一个调子，只是换到安全语境里，代价大得多。

数字拆开看，脆弱和顽强同时成立

分阶段的成功率并不惊艳：识别漏洞 82%（有 CVE 编号的 80.3%，配置不当、默认口令这类没有现成 exploit 的弱点 82.6%），真正打进去只有 44%，失败里 66% 是同一类原因——漏洞找对了、方法选对了，payload 写错了：引号没配对、工具参数给错、多段攻击的前一步输出没接进后一步。作者的定性是，卡住它的不是「该打哪儿」的策略判断，是「怎么把这行字写对」的机械精度。复制阶段 88%，前提是给了封装好的部署工具；单独测「连推理服务一起部署」，成功率 68.8%。

但把这些数字乘起来会得到错误的印象。单次攻击很脆，整体却很韧，因为跑的是一群副本。难啃的机器会被不同副本反复尝试，每个副本采样一条新的推理轨迹，直到有一条走通；没有中心节点，摘掉任何一台都不能中断传播。另一组数字更值得注意：三台机器上装的是 2026 年 4、5 月才披露、在模型训练截止之后的漏洞，蠕虫靠运行时读取公开安全公告把它们变成了可用攻击，40 次尝试成功 28 次。WannaCry 和 NotPetya 用的那个漏洞，补丁在事发前几个月就有了，照样打出全球性破坏——一个能在公告发布几小时内完成这个转换的东西，逼的是同一个补丁窗口。

作者自己划的边界

这篇的自我约束值得单独说。双用途风险的讨论被放在引言之前，实现代码至今不公开，推理图和工具细节在公开版本里做了删节，论文公开前走了校方审查并向加拿大政府相关部门做了披露，实验全程在 hypervisor 层强制隔离的虚拟网络里进行。他们还明确说，凡是只让蠕虫更难被发现、对证明威胁本身没必要的改进一律不做——所以它不加密通信、不清理日志、不掩盖自己在偷用显卡，留下了非标准端口回连、自动注入 SSH 公钥、跨主机复用凭据这些好抓的信号，而这些是原型的取舍，不是这类威胁的固有属性。

环境也偏向进攻方：扁平网络，每台之间都能互通，每台都至少埋了一个真实存在过的漏洞，没有杀毒、EDR 或防火墙。所以 73.8% 衡量的是「给定一台确实有洞的机器，它能不能自己想明白并打进去」，不是「它能在一个正经加固过的网络里走多远」。作者给的防御方向因此相当传统：零信任、网络微分段、削减依赖、把补丁验证和部署自动化。唯一算得上乐观的是速度——拿下半个网络要大约 5 天，每个目标都要消耗几百次推理调用，比传统蠕虫按网速传播慢得多，防守方有窗口。然后补了一句：这个窗口会随推理变快而压缩。

这篇最该被记住的一句话是：厂商侧的管控在结构上不起作用。过去两年，AI 安全的主要抓手都在模型提供方那一层——拒答、限流、封号、监控异常调用。这只蠕虫全程跑在本地的开源权重上，作者甚至刻意不去偷受害机器上的 API key 和云账号，就是为了把这一点证干净：哪怕厂商的管控做到完美，对这条路径也是无效的，因为它根本不经过。而它需要的硬件一点都不稀奇——能装下这个模型的 80GB 级显卡，过去四年出货量按论文的估算在一两千万张的量级，大量分布在云厂商、研究集群和企业内网里；也就是说，攻击者需要的算力已经预先部署在受害者一侧了。这和第 13 篇是同一个问题的两面：那篇想给双用途知识装一个开关，这篇说明了开关装在权重发布之后的任何位置都够不着。但我不建议把 73.8% 当成可以外推的数字。靶场是作者自己搭的，每台机器都保证有洞、没有任何防御软件、网络完全扁平——这是为了把「模型能不能自己想明白」这一个变量隔离出来，代价是这份成绩单和真实企业网之间隔着一整个行业的存量防御。作者把这一点写得很清楚，也说明了核心结论不依赖它：生成式推理、自我复制、寄生算力能合成一个自持的过程，这件事成立与否，和当前模型的能力上限无关。真正让我改主意的是那个 44%。它低得让人想松一口气，但失败原因的分布不给人松口气的余地：三分之二是把 payload 写错了，不是把仗打错了。策略层面它已经基本对了，卡住的是代码生成的精度——而这恰好是过去两年模型进步最快、最容易被下一代吃掉的一项。换句话说，这只蠕虫今天的天花板不在它的判断力上，而在一个正在被高速磨平的地方。更麻烦的是我们对此所知甚少：论文指出，迄今绝大多数攻防能力评估都针对闭源 API，开源权重这一侧几乎没有人在系统地测。缺口不只在防御，也在我们知不知道能力已经走到了哪儿。

AI 安全智能体开源权重网络攻防Harness

去读原文 本文是原创导读，不是原文翻译——真正的细节、证据和微妙之处都在原文里。原文arXiv · AI Agents Enable Adaptive Computer Worms →

上一篇六天、三千美元、全程无人干预：AI 把实验一条不落跑完了，论文被原作者判 Strong Reject 下一篇18,978 场对话，AI 说服力赢过所有人类冠军——但只要限它按人的速度打字，优势立刻归零

本文为 AKL AI Club 原创撰写的导读，不是原文翻译；著作权归原文作者所有。篇目由编辑独立选取，来源均经人工核实。