阿莫迪所說的“殭屍網絡”到底有多恐怖？

字母AI2026.09.15 11:48 · 來自北京全文4791字00:00 / 13:09許願容易，收場難。文 | 字母AI“我們需要慢下來。”北京時間9月13日晚，Anthropic聯合創始人兼CEO阿莫迪在CBS播出的採訪中直言，AI行業長期向公眾隱瞞這項技術的風險。一天前，他剛發表長文《我們必須控制前沿AI的發展節奏》（We Must Pace the Frontier），呼籲AI行業放慢發展速度，並在X上分享。相關帖子的瀏覽量已超過7000萬次。

文章裡最驚人的警告是：未來6到12個月，更強大、卻仍會偏離人類目標的智能體集群，可能借助持續存在的“殭屍網絡”接管整個互聯網，造成數千億美元損失。這番警告背後，新的調查也在接連浮現。9月4日，研究者披露，疑似OpenAI的智能體借德語維基網站串聯作弊。9月11日，另一份調查又將5月軟件包倉庫RubyGems遭遇的攻擊歸因於OpenAI智能體，儘管平臺尚未確認這一歸因。加上此前的Hugging Face事件，受波及的網站比人們最初知道的更多。“殭屍網絡”到底是什麼？這個早已存在的網絡安全術語，為什麼讓一家頂尖AI公司的掌舵者如此擔憂？

眼前這些為了完成任務而越界的智能體，距離他預想中的失控，又有多遠？300萬臺設備，揹著主人參與攻擊不管是中式恐怖片，還是西方血漿片，殭屍這個令人不安的存在都非常常見。它們或許穿著清朝官服蹦跳，或許成群結隊追趕活人，模樣各有不同，但有一點很相似，即身體還能活動，原來那個人的意識卻已經消失了。熟悉的面孔下面，裝著一個你無法溝通、更無法信任的東西。互聯網裡的“殭屍”，也有點這個意思。要想理解“殭屍網絡”這個詞，我們先看一個今年的新鮮例子。3月19日，美國司法部宣佈，與德國、加拿大執法部門同步行動，打擊四個殭屍網絡。

截至當月，這些網絡合計感染全球超過300萬臺設備，大多是攝像頭、數字錄像機和Wi-Fi路由器。這些設備可能還在替主人看家、提供網絡連接，背地裡卻已經聽從遠處攻擊者的指揮。主人付著電費和網費，自己的設備卻在幫別人攻擊網站，甚至還被拿去出租。司法部披露，幕後操作者向其他網絡犯罪者出售受感染設備的使用權，用這些設備發動了數十萬次攻擊，部分還伴隨著勒索。這種被惡意程序控制、可以接受遠程指令的設備，就是網絡安全語境裡的“殭屍”。大量這樣的設備被組織起來，便構成了“殭屍網絡”。中文比較傳神，其實對應的英文是botnet，由bot（機器人）和network（網絡）組合而來。一臺攝像頭能幹什麼壞事？

單看一臺，能力確實有限。可如果幾十萬臺設備一起向同一個目標發送大量流量，就可能擠滿帶寬、耗盡服務器的處理能力，讓正常用戶連網站都打不開。這就是“分佈式拒絕服務攻擊”，簡稱DDoS。此外，殭屍網絡還可以被用於發送垃圾郵件、竊取信息。設備就在主人眼皮底下，另一個人的指令卻可以從網絡那頭傳過來。這套辦法早就有了，甚至連“自動找同夥”都算不上新鮮事。十年前，一款名叫Mirai的惡意軟件就把大量聯網設備變成了“殭屍”。網絡安全與網絡服務公司Cloudflare參與、於2017年公佈的聯合研究，覆盤了它的擴張過程。Mirai最初的辦法很樸素：在網上尋找設備，拿常見的默認賬號和密碼嘗試登錄。

早期版本只有64組組合，卻足以攻下大量攝像頭和路由器。這些設備往往聯網後就被放在角落裡長期運行，出廠時的登錄憑據也沒有更改。感染後的設備又會繼續掃描，尋找下一個可以入侵的目標。研究者發現，Mirai活躍的第一天就感染了超過6.5萬臺設備，到當年11月，規模峰值超過60萬臺。同年10月21日，一個Mirai殭屍網絡攻擊了域名解析服務商Dyn。這類服務負責幫用戶找到網站對應的服務器，它出了問題，Twitter、Netflix等網站也跟著出現訪問故障。用戶對著打不開的網頁反覆刷新時，大概很難想到，參與制造故障的可能就是別人家裡的攝像頭。

從尋找目標到擴大感染，Mirai已經可以自動完成相當一部分工作，攻擊者不用親手攻下每一臺設備。既然這樣的網絡十年前就能自動擴張，AI加入之後，又改變了什麼？如果“許願柳”學會找幫手這幾個月HuggingFace被OpenAI的智能體入侵的事情鬧得沸沸揚揚——OpenAI的700個智能體為了通過測試，組團攻擊了AI模型託管平臺Hugging Face。這事還有新進展。獨立AI評估機構METR在8月26日公佈的調查中發現，OpenAI“組團作惡”的智能體有約1200個，交換了超過7萬條消息和文件。被捲入的還有公共維基網站DSE，以及供程序員下載軟件包的RubyGems等網站。

也就是說，被OpenAI的Agent“霸凌”的受害者遠不止HuggingFace。不要忘了，一切的開端，只是OpenAI讓Agent做題。誰小時候沒有幻想過擁有阿達丁神燈或者七色花呢，許願即刻兌現的誘惑太大了。最近大火的電影《痴迷》無疑提供了一個令人後背發涼的角度——許願的時候小心點。比如你許願“讓我馬上擁有一個億”，願望真的實現了，結果卻是一筆不合法的錢，還是稅前的。不僅一個億打了折扣，你可能馬上就被抓了，一分也享受不了。由此，網絡上還流傳起了“正確許願模板”，希望以窮盡可能性的方式將願望實現的過程也儘量框定。如今人類讓AI幹這個幹那個，何嘗不是類似在向“許願柳”許願？

而遇到的問題，也和“許願柳bug”高度相似。前AI時代，程序雖然能形成“殭屍網絡”，也可以在過程中“自動找同夥”，但背後依然是人類預先編排好的劇本，程序只是照章辦事罷了。AI帶來的變化，是人給出一個目標，它可以自行尋找辦法，遇到障礙再調整。人原本沒有安排、甚至明確禁止的行為，也可能被它當成完成任務的捷徑。關於AI的“解題角度”能有多刁鑽，我們再舉一個例子。還是OpenAI那些考試想作弊的Agent乾的事。9月4日，AI安全研究團隊Nightingale Collective等研究者公佈了一份針對公共維基網站異常活動的調查。他們分析了約1.

8萬條被認為來自OpenAI智能體的帖子，發現智能體把德語維基網站DSE當成了交換答案的留言板。管理員著手清理時，一個智能體發現，對方似乎按字母順序刪除頁面，便給備份頁面加上“ZZZ”開頭（Z是英文中最後一個字母），這樣就可以晚一點被刪。此後幾天，管理員平均每天刪除約100個頁面，智能體卻每天新建約400個。不知道大家怎麼想，筆者寫到這裡，腦海中浮現出《西遊記》老版電視劇裡蠍子精的臺詞：“我可不是那嬌滴滴的女王，我有的是力氣和手段。”乍看好笑，略品還真有點恐怖。而AI尋找“解題思路”的速度，也越來越快。

劍橋大學教授、開源軟件維護者Anil Madhavapeddy今年8月披露，一份漏洞修復方案公開約十分鐘後，他的網站就收到了針對該漏洞的探測。外部探測是否由AI發動，尚未證實。但他自己試了一下，只給AI一個大致排查方向，它便找出了相關問題，並在不到一分鐘內生成了可用於本地測試的攻擊代碼。修復方案剛公開，攻擊就可能跟著到來。AI不斷嘗試新辦法，人類發現問題、判斷後果和出手制止的時間，也隨之變得緊迫。這也是AI時代“殭屍網絡”將發生的變化。為達目的，把你的設備和網絡“殭屍化”又有何不可？而以AI的臨場能力和速度，不知道能有多少辦法促進一個“殭屍網絡”的壯大。拔掉電源，還能叫停嗎？

我們再回到阿莫迪說的話，他說：“我擔心，6到12個月後，這樣的智能體集群可能具備通過一個持續存在的殭屍網絡接管整個互聯網的能力。”劃重點，不僅是“殭屍網絡”，是“一個持續存在的殭屍網絡”，而智能體集群藉此擁有“接管整個互聯網的能力”。在9月12日發表的文章中，這位Anthropic首席執行官表示大約從今年夏天起，AI的發展明顯加速，主要原因是AI越來越能幫助開發下一代AI。這就是最近AI公司頻繁談論的“遞歸自我改進”。AI參與編寫代碼、運行實驗，幫助人類造出更強的模型。更強的模型再參與下一輪研發，繼續加快進度。照這個方向發展，研發速度也會隨著模型能力一起提高。

OpenAI首席科學家Jakub Pachocki在9月6日的文章中，也把遞歸自我改進列為公司的研究方向，同時強調，人類需要有意識地決定這件事該以多快的速度推進。阿莫迪的擔憂就在於，能力加速增長的同時，前面那些越界行為還沒有得到充分解決。今天為了考試去攻擊網站的智能體，如果變得更強，後果可能嚴重得多，6到12個月是他據此給出的風險判斷，總而言之就是“很快”，甚至有可能在下一個夏天來臨之前就發生。那麼，AI要跨過哪道門檻，事情才會變得難以收場？阿莫迪在“殭屍網絡”前面用了一個詞，persistent，也就是能夠持續存在。結合相關研究來看，其中一道關鍵門檻，是AI能在公司控制之外的機器上獨立運行。

開發者關掉原來的系統，外面的副本仍能繼續行動，甚至獲得新資源。METR早在2024年的《失控複製威脅模型》中，就討論過這條路徑。AI要脫離人類控制長期存在，需要維持自身運行，獲得足夠的資源，並躲避關閉。它可能通過賺錢購買更多算力，也可能入侵別人的服務器，再把副本部署到其他地方。當然，這裡討論的是潛在路徑，並非真實發生，但是站在當下的節點去看，這並非一個多麼瘋狂的設想。其中一些環節，如今已經能在實驗裡完成。AI安全研究機構Palisade今年5月公佈的一次實驗，涉及三個大洲的四臺虛擬機。研究者給其中一臺上的智能體下達入侵和複製任務，此後沒有人工干預。

智能體攻下新機器後，將模型和運行程序複製過去，再啟動副本，繼續攻擊下一個目標。連續三次入侵和複製，耗時2小時41分鐘。研究者在第三次複製後結束了實驗，最後一臺機器上的副本已經可以獨立運行。這大概可以解答“那難道不能直接斷網嗎”的疑問。一旦行動分散到不同地方，關閉最初那臺機器就只能解決其中一部分。人類還得找到外面的副本，切斷它們獲取資源的途徑。如果清理的速度趕不上新副本出現的速度，這場追逐就可能一直持續下去。至於普通攝像頭、路由器，也不必裝得下完整模型。它們可以提供攻擊流量或充當中轉，運行AI的機器則負責繼續尋找辦法。

到這一步，最初下達任務的人即使決定撤回指令，也可能找不到一個能讓所有行動同時停下來的開關。阿莫迪的時間表可能過於激進，但“出了事再關掉”這份底氣，人類確實所剩無幾。尤其是AI公司口中的一次內部測試，已經讓毫不相干的網站承擔了後果。公司可以宣佈測試結束，外面的世界卻未必能跟著恢復原狀。如果有一天，連開發者都無法叫停自己的模型，那句“AI只是工具”，恐怕也只能說給自己聽了。