这项研究在一个与外界隔离的安全数字实验室中进行，旨在帮助网络安全社区为一项迫在眉睫的威胁做好准备。

研究员尼古拉斯·帕佩诺及其合作者证明，公开可访问的AI模型可以被用来驱动一种蠕虫病毒，该病毒在传播过程中会自适应调整其策略。（摄影：尼克·伊万尼申）

发布日期：2026年6月2日

作者：阿迪娜·布雷格

多伦多大学的一个研究团队发现了一类新型网络威胁，它能让黑客以更低的成本获得更强的能力和更广的覆盖范围。这种威胁可以利用免费的AI模型构建。每一台联网设备都是潜在目标。而当前的网络防御措施尚未做好准备。

该研究团队于6月2日发布了他们的成果，据信是首个证明公开可访问的AI模型可被用来驱动一种蠕虫病毒的研究，这种蠕虫在从一个设备传播到另一个设备时会自适应调整策略。它可以夺取整个网络的控制权，并劫持计算能力，使黑客能够以几乎为零的成本发动复杂的攻击。

这项在一个与外界隔离的安全数字实验室中进行的研究表明，技术高超的黑客无需尖端的AI或雄厚的资金，就能释放出能够实时学习、计算和调整策略的恶意软件——随着它在系统中扩散，它会利用每个设备中已知的漏洞。

这些发现对我们互联世界的安全性提出了深刻的担忧——从金融系统到医院，再到支撑关键服务的网络。

“在恶意行为者自己搞明白这种威胁之前，我们必须在受控的学术环境中理解它，这至关重要，”尼古拉斯·帕佩诺表示。他与他在多伦多大学及向量研究所的CleverHans实验室成员共同撰写了这项研究，他本人也是加拿大CIFAR（加拿大高等研究院）AI讲席教授。

佩普诺特——他同时也是多伦多大学应用科学与工程学院的计算机工程副教授以及文理学院的计算机科学副教授——补充说，这项研究是在经过仔细审查、删除了任何可能帮助威胁行为者的信息后才分享的，并指出众所周知，此类工作正在闭门进行中。他表示，自己感到有必要尽早公开，以便让研究人员、政策制定者和公众有机会保护自己，抵御一种从日常笔记本电脑延伸到暖通空调系统和能源电网的新兴威胁。

在发表之前，研究人员将他们的发现分享给了国家科学、安全和国防机构，并就如何负责任地发布信息征求了意见。

“我们进行这项研究的原因，是为了确保我们所有人都依赖的数字生态系统的安全——保护人们的安全。这一发现将我们推入了一个网络安全的新时代，”佩普诺特说。他是多伦多大学施瓦茨·赖斯曼技术与社会研究所的教职成员，该研究所专注于确保人工智能是负责任、包容且惠及所有人的。

“通过了解这些风险，我们现在有能力开发必要的应对措施，来检测和防御此类威胁。”

被低估的威胁

作为世界顶尖的网络安全专家之一，佩普诺特将预测最重要的安全隐患——甚至是网络安全界尚未关注到的隐患——作为其实验室的使命。

像 Anthropic 的 Claude Mythos 这样最强大的人工智能模型的崛起，引发了广泛的警觉，因为它们具有前所未有的能力来发现隐藏的安全漏洞，即便大型科技公司正在严格控制以防止滥用。

然而，佩普诺特的团队感兴趣的是那些较小、相对简单的模型的潜在滥用，这些模型任何人都可以免费下载和修改。虽然对研究人员和开发者来说很有价值，但这些“开放权重”人工智能模型可以被剥离其安全护栏，并且只要有足够的技术知识，就能被操纵来造成危害。

这种风险往往被低估，理由是这些模型缺乏造成真正破坏的能力。因此，Papernot 的团队决定在一个安全的学术环境中检验这一假设。

构建原型

蠕虫是一种数字入侵者，它在网络中爬行，将自己复制到接触到的每一台设备上——无需点击，用户也毫不知情。一旦扎根，它就能在整个系统中造成严重破坏。传统上，这类攻击遵循人类编写的固定脚本。如果遇到程序未设计破解的防御措施，攻击就会失败。网络安全专家深知这一点，并已构建了防护措施来遏制此类威胁。

对于他们基于 AI 的版本，Papernot 的团队在一个安全的封闭系统中构建了一个概念验证原型，并采取了广泛的预防措施。他们的实验在模拟数十台互联设备（包括笔记本电脑、打印机和摄像头）的环境中，模拟了 AI 驱动蠕虫的能力。

研究人员的工作表明，开放权重 AI 模型可被用于设计一种更为复杂的威胁——它能够侦察每个目标，定制攻击方式，并在克隆到下一台机器之前控制当前设备。这种蠕虫在深入网络的过程中还会收集信息，每一次入侵都会暴露出可用于解锁另一台机器的密码和薄弱点。而且由于它能自适应，没有任何单一的防御措施可以阻止它。

这种蠕虫以受害者的资源为代价来扩展其影响力。一旦嵌入某台机器，AI 蠕虫就会窃取处理能力来支撑其推理并发动下一次攻击。这些盗用的算力推动了它的传播，实际上消除了每次新感染的成本。

“黑客通常必须优先选择最高价值的目标，因为时间和计算资源有限，”Papernot 说。“但现在，一旦蠕虫被释放，成本将几乎降至零。”

与之前关于通过 AI 应用传播的蠕虫的研究不同，研究人员的原型代表了一种可以在 AI 系统之外运作、攻击底层软件的威胁，从而使更广泛的设备面临风险。

“每一台连接到互联网的设备——笔记本电脑、摄像头、智能恒温器以及所有其他设备——都会成为潜在目标，即便不是为了获取其存储的数据，也会被用作攻击更有价值目标的跳板。”

网络威胁的新纪元

尽管这项研究表明，AI 蠕虫不需要昂贵的模型或计算能力，但构建一个仍然需要专业技术知识。即便如此，Papernot 怀疑防御的窗口期正在迅速关闭——而网络安全界尚未为即将到来的情况做好准备。

与功能强大且受到严密保护的 Mythos 不同，该原型无法根除未知的弱点。但在不受控制的环境中，该蠕虫可以获取互联网访问权限，扫描并利用关于新发现漏洞的警告通知，从而领先于旨在阻止它们的软件补丁。

其中一些问题可以通过软件更新来修复。但另一些则是人为错误，例如弱密码和草率的 IT 设置，这些无法通过推送补丁来解决。这意味着黑客不需要最先进的 AI 模型就能造成前所未有的破坏。

“在一个互联互通的世界里，没有哪个系统能免受这种威胁，”Papernot 说。“分享这些发现是激励研究人员、行业领袖和政策制定者迅速采取行动的第一步。”

每一台设备都是下一次攻击的潜在信息来源，因此锁定你自己的设备会使整个网络更难被攻破。Papernot 敦促 IT 专业人员加强任何可能使系统暴露的安全设置。用户也需要尽自己的一份力。

“在保障我们安全方面，每个人都扮演着角色，”Papernot 说。

这意味着要养成良好的安全习惯：保持设备已打补丁且处于最新状态。使用强密码。启用多因素身份验证。

“我们再也承受不起在软件更新上点击‘忽略’的代价了，”他说。“你关上的每一扇门都少了一条入侵途径，所以花几分钟重启一下是值得的。”

博士生 Jonas Guan（左）、Nick (Hengrui) Jia（中）和多伦多大学副教授 Nicolas Papernot（摄影：Nick Iwanyshyn）

为防御而披露

对于佩普诺特而言，发表这些研究成果本身就是一种防御行为，而学术界在开展此类防御方面具有得天独厚的优势。

他指出了名誉大学教授杰弗里·辛顿（Geoffrey Hinton）开创的先例，辛顿因引领人工智能革命而获得诺贝尔奖。“杰弗里一直积极发声，强调学术研究在塑造人工智能监管决策方面所发挥的作用。学术界、工业界和政府之间的这种集体动员，正是我们应对此次发现的、由人工智能驱动的计算机蠕虫这一新威胁所需要的。”

在网络安全研究中，在受控环境中构建概念验证原型，以更好地理解新兴威胁并评估针对这些威胁的防御措施，是一种成熟的做法。在学术环境中开展此类研究，能够确保研究的独立性、维护伦理和安全标准，并接受审查与监督，最终惠及更广泛的社区。

佩普诺特感谢他的合著者与合作者乔纳斯·关（Jonas Guan）、汤姆·布兰查德（Tom Blanchard）、汉娜·福斯特（Hanna Foerster）、贾恒睿（Hengrui Jia）和加布里埃尔·黄（Gabriel Huang）帮助揭示了这一威胁。

他的实验室已经在紧锣密鼓地开发应对措施。他表示，多伦多大学是开展这项工作的理想之地。“多伦多大学拥有深厚的AI专业知识、多学科人才、安全的研究环境、基础设施以及机构规模，这对于解决此类重大问题至关重要，”他说，“而解决这个问题的方案，将涉及增加各种规模的开源AI模型的可获取性，以及来自创造最强大模型的公司的透明度。”

“我们已准备好与世界其他地区合作，寻找解决方案，共同构建一个更安全的未来。”