Anthropic 的 Frontier Red Team 最近发表的研究显示，小型人工智能模型可能在数月内便能复制并在不安全的设备上扩散，从而形成缓慢但难以根除的自主机器人网络。人工智能公司并不陌生于利用其产品的末日潜力进行市场推广，但在这种情况下，Engadget 所访问的专家普遍同意，小型人工智能模型在不久的将来可能具备自我复制的能力。然而，它们所构成的实际威胁可能并没有看起来那么新颖。
EquiStamp 的首席执行官 Chris Canal 表示：“这可能比我原本预测的时间稍早。我本预测明年夏季会是我真正担心这一问题的时期。”他补充道：“Anthropic 很可能拥有我无法接触到的前沿研究信息，因此他们的预测可能更准确。”
Canal 将模型进步的速度归因于 Anthropic 及其他前沿实验室的员工正在使用自己的人工智能工具进行机器学习研究。乔治亚理工学院网络安全与隐私学院教授 Michael Bailey 说：“我认为自我复制的模型在未来是可能实现的。我认为它们是真实存在的，我们将会看到它们。”不过，他表示这些模型的具体形式和影响仍然是完全开放的问题。Bailey 自 2000 年代初以来一直在研究互联网蠕虫，最近则研究机器人网络。
他在 2017 年共同撰写了《Understanding the Mirai Botnet》，该研究被 Anthropic 引用作其自身研究的一部分。Mirai 使一群网络犯罪分子能够创建一个大型物联网设备机器人网络，随后用来对 SONY 的 PlayStation Network 进行 DDoS 攻击，最终影响了美国最大的 DNS 供应商之一 Dyn，导致 2016 年互联网大部分瘫痪，许多美国和部分欧洲的用户无法上网。
小型人工智能模型的自我复制能力将成为未来的威胁
这次攻击的财务损失相当可观，SONY 估计其净收入损失约达 270 万美元。Bailey 表示：“Mirai 展示了可以使用日常设备如电缆路由器和 IP 镜头组成这些机器人网络，并使其具备实用性。我们曾认为这些设备对于对手并无用处，无论是作为目标还是作为发动攻击的计算来源。事实上，它们在这方面非常有效。”十年之后，Anthropic 认为人工智能蠕虫可能代表 Mirai 和其他硬编码机器人网络（如 Kimwolf）的重要演变，因为它们能够自行识别不熟悉的设备。
Bailey 说，适应性本身并不新颖，Mirai 已经能在不同架构的“异构”设备上运作。然而，这种适应性是有限的：每种新架构至少需要人工进行重新编译恶意软件。Bailey 指出，人工智能自动化这一工作的前景才是新的，尽管他认为 Anthropic 的示范并不“引人注目”。
因此，Bailey 建议更强大的人工智能模型将“重新分配”创建机器人网络的工作。Bailey 说：“它不会做新的事情，而是将改变攻击者和防御者之间的经济学。”虽然 Anthropic 展示了一个模型可以在设备之间跳跃并在每个设备上设置推理，但这是在一个模拟的网络中进行的，其中涉及的“利用”相对简单。此外，Bailey 对 Anthropic 的自我复制声明表示异议。
他表示：“这种描述有些不准确，因为它们正在进行分片等操作。这并不是坏事，但并不意味着它就像蠕虫或病毒那样进行完全的传播。”相反，Bailey 认为，现实中的人工智能机器人网络可能更像是一种安装器，一种在设备上获取立足点并安装其他代码的恶意软件。这种机器人网络不会将自己完整地复制到每一台受感染的机器上，而是会安装一个小型协调工具，该工具从网络中的其他部分接受指令。
Bailey 说：“恶意软件本身自我复制，就像现有的互联网蠕虫一样，我会将我的代码的精确副本复制到新的架构上并开始运行新的代理，这并不是这里所发生的事情。”他还指出，蠕虫可以是多形态的，意味着它们可以改变自己的签名和行为。要让人工智能机器人网络做到这一点，需要重新训练自己的模型，而这一点 Anthropic 并未尝试。距离近似的，Anthropic 显示了模型的副本可以向其后继者传递信息，并在设置推理的过程中变得更加出色。
正如任何来自人工智能实验室的警告一样，值得问的是，Anthropic 是否发布这项研究作为一种市场推广，特别是在该公司在此后不久正式提交 IPO 之际。Canal 表示：“我认为更有可能的是，这些公司担心其他人工智能公司会不负责任。他们意识到他们被激励去制作最佳模型并更快地将其推向市场，以便能占有市场份额，而他们知道其他公司也有同样的激励。”
无论这种新型威胁向量是否真的是一种蠕虫，以及它实际上可能在未来的时间框架如何，Anthropic 自身的建议来减轻其危害却显得出乎意料地老套。它建议互联网服务提供商通知客户其设备被感染，然后限制他们的网络访问至一个安全网站的短列表，这一策略在 Mirai 期间得到了良好效果。该公司还建议监管作为潜在解决方案，指向英国，该国现在禁止物联网设备上易于猜测的默认密码，这一做法根据 PSTI 法案实施。
对此，Bailey 认为对人工智能蠕虫的适当反应“看起来更像是我们在系统安全领域长期以来所做的，而不是某种特别独特于人工智能领域的东西。”事实上，根据 Canal 的说法，对于一个开放权重模型而言，增加防护措施以防止其作为蠕虫行动将是困难的。他表示：“有很多想法，但到目前为止没有什么是稳健的。”在与非营利 AI 安全研究机构 FAR.AI 的合作中，EquiStamp 发现“基本上任何你在 Google 上搜索的去除模型防护措施的策略都是有效的。”
但正如 Bailey 指出，“即使是行为不当的代理，若面对强化的设备也会遇到困难。”如果从 Anthropic 的研究中有一个重点，他表示，那就是我们始终未能记住过去所学到的所有安全教训。在人工智能蠕虫的时代，安全可能看起来与现在相似。“这看起来像是关注修补这些设备、关注隔离、关注良好的密码和良好卫生的问题。”Bailey 说。这些解决方案易于描述，但实施起来却极其困难，但如果人工智能确实使这类攻击变得更为普遍，我们可能别无选择。