AI 蠕虫已真实存在：多伦多大学 self-replicating 攻击研究解析

三十年来，史上最危险的计算机蠕虫——Morris、Code Red、Conficker、WannaCry——都有一个共同的致命弱点：它们很蠢。它们只会一两招，一旦防御方摸清了这些招数，蠕虫就失效了。打上补丁，蠕虫就死了。

2026 年 6 月 2 日，这一假设悄然终结。多伦多大学、Vector Institute、剑桥大学和 ServiceNow 的研究人员联合在 arXiv 上发表了一篇论文，描述了一个真正可运行的 AI 驱动蠕虫——一种自复制的恶意软件，它携带一个小语言模型，能够对每个新遇到的目标进行推理，并动态生成全新的攻击策略。没有固定的漏洞利用清单，没有硬编码的载荷，只有一个自主智能体，在新机器上苏醒、观察环境、决定该做什么。

在 33 台刻意存在漏洞的主机网络上进行了 15 次隔离运行，原型平均每次识别出 31.3 个漏洞，在 23.1 台主机上获得了提升权限——约占其主动攻击主机的四分之三。本文将剖析它的工作原理、现有防御为何无法捕获它，以及 2026 年下半年安全团队需要做出哪些改变。

研究人员实际构建了什么

这篇论文由 Help Net Security 和 The Hacker News 用通俗语言报道，描述了一个具有三个特性的蠕虫，这三个特性叠加在一起，是此前任何实际部署的恶意软件都未曾结合过的：

它携带自己的大脑。 一个小型、开源的语言模型运行在蠕虫入侵的每台机器本地。没有可摧毁的命令控制服务器，没有可撤销的 API 密钥。切断网络连接，蠕虫仍能继续推理。

它能对未知目标进行推理。 蠕虫不再运行固定的漏洞利用清单，而是执行侦察、对发现进行总结、向机载模型询问如何攻击它，然后行动。关键在于，论文表明它利用了模型在训练期间从未见过的漏洞——因为蠕虫在推理过程中持续从互联网实时获取技术公告作为上下文。

它有判断力地自复制。 当它在一台主机上得手后，不会简单地复制自己。它会根据在网络上学到的知识，决定哪些相邻主机值得攻击。

正如 Fortune 所言，这"正是网络安全噩梦中的场景"。研究人员自己的措辞则更为谨慎：他们的工作提供了经验证据，证明自主网络攻击已从理论风险转变为已验证的能力。

为什么现有防御建立在了错误的威胁模型上

目前生产环境中几乎所有防御手段——基于签名的杀软、IDS/IPS 规则、EDR 行为基线，甚至很多"AI 驱动"的检测——都假设了以下两点之一：恶意软件在每次感染中行为一致，或者它会回连到一个可以识别服务器。

AI 蠕虫同时打破了这两种假设。

研究人员选择测试环境的方式让这一点更加尖锐。他们没有选择一个满是零日漏洞的网络，而是选择了一个满是公开披露但未修补漏洞以及常见配置错误的环境——这正是驱动绝大多数真实世界违规事件的同类长尾错误。AI 蠕虫不需要新的漏洞利用。它只需要在一个防御方既没有耐心也没有适应能力的世界里保持耐心和适应力。

你应该有多担心（诚实地说）

这是一个概念验证。它还没有在野外运行。研究人员只在隔离的实验室环境中，针对刻意存在漏洞的目标，在完整仪器化的条件下运行了它。真实世界部署会面临额外的摩擦：更嘈杂的网络、调优过异常检测的 EDR 产品，以及当 23 台主机在同一小时内被攻陷时肯定会注意到异常的安全人员。

但成本曲线正在朝着攻击者有利的方向剧烈移动。有三件事让这个原型在 Morris 时代蠕虫的意义上变得危险：

它运行在开源模型上。 无需特殊访问权限。随着更多能力更强的小型模型以宽松许可证发布，"蠕虫能有多聪明"的底线每个季度都在上升。

它无需数据外泄就能工作。 机载 LLM 意味着蠕虫可以完成整个攻击链，包括决策，而无需向外发送任何可识别的流量。一旦它进入内部，物理隔离也无济于事。

这项技术可以泛化。 论文实际上不是在讲一种蠕虫。它是一份配方。任何有中等工程技能和云 GPU 账单的有动机的攻击者，现在都可以复制这个架构。

这也是为什么威胁画像与 Agentjacking 等攻击形成了一种令人不安的配对——后者是攻击者劫持开发者正在使用的 AI 智能体。智能体 AI 正在同时成为目标和工具——而（小模型本地运行、工具调用、自主规划）这些相同的原语正在为这场博弈的两面提供动力。

防御者在未来 90 天真正应该做什么

对"AI 蠕虫是真的"这个问题的错误回应是：再买一个名称里带"AI"的产品。正确的回应是把那些枯燥的基础工作做得更难被跳过——因为这类蠕虫恰恰就是为发现这些漏洞而优化的。

1. 弥合"公开披露但未修补"的差距。 这个蠕虫和接下来十个类似的蠕虫，其生死取决于 CVE 发布公告与你fleet 打上补丁之间的时间差。测量这个差距。缩小它。如果你最高风险的主机运行的是超过 30 天未跟上上游的版本，你就是这篇论文的目标读者。

2. 无情地做网络分段。 33 主机测试环境被攻陷，部分原因是横向移动太便宜。真实网络应该让每次东西向跳跃都代价高昂。子网间默认拒绝，服务间零信任，假设任何单个工作负载都可能被攻陷。

3. 停止单独依赖出口模式检测。 机载 LLM 是打破基于签名和 C2 检测的部分。要更多地依赖进程行为异常——合法进程的意外子进程、新奇的执行链、脚本化侦察模式——而不是"它是否联系了已知恶意 IP"。

4. 审查任何可能悄悄运行小型本地模型的地方。 在你的 fleet 中任何运行未认证容器工作负载、不受信任计算或具有出站网络的 shell 的地方——这些都是 AI 蠕虫想要进入的房间。如果你不知道自己在"哪些主机可以悄无声息地运行 4B 参数模型"方面的攻击面，那就去弄清楚。

5. 把新场景加入桌面推演。 大多数 IR 手册假设蠕虫 = 一个特定二进制文件、一个特定 CVE、一次特定清理。进行一次桌面推演，其中"二进制文件"在每台主机上都不同，CVE 列表部分是未知的，并且没有外部 C2 可以阻止。一个小时内你就会看到差距所在。

这对开发者和 AI 构建者意味着什么

如果你正在用 AI 智能体构建应用——无论是内部自动化、客户面向的助手，还是编码智能体——这项研究带着一个更尖锐的第二条信息：正是那些让智能体有用的模式，在它们失控时也会变得危险。

多伦多大学的蠕虫没有发明任何新的原语。它组合了 AI 工具世界三年来一直在让它们变得更容易获取的原语：可随处运行的小型模型、工具调用、网页访问、持久本地内存、自主规划循环。开发者构建有用智能体时使用的同一套工具，在错误的手中，就是构建此类蠕虫的工具。

这意味着智能体构建者应该将沙箱化、能力范围限定和出站操作审计日志作为一等特性，而不是事后考虑。如果你的智能体框架无法回答"这个智能体被允许执行的最小操作集是什么，以及它执行这些操作时记录了什么"，那你就是在不具备将它们约束住所需纪律的情况下，使用了与蠕虫相同的原语。

这篇 30 分钟的智能体 AI 网络安全概述是关于使多伦多大学蠕虫成为可能的那场更广泛转变——无论进攻还是防守——的一个有用的入门材料。

常见问题

多伦多大学的 AI 蠕虫在野外吗？ 不在。发布的原型只在对刻意存在漏洞的目标进行受控、隔离的实验室环境中运行。研究人员没有发布蠕虫代码。然而架构已经公开，任何具备中等技能的进攻团队都可以实现类似的版本。

为什么 AI 蠕虫比传统蠕虫更难阻止？ 三个原因：它在每个主机上生成唯一载荷，因此签名无法匹配；它不需要外部命令控制服务器，因为模型在本地运行；它可以通过摄取实时安全公告来攻击其底层模型在训练期间从未见过的漏洞。

杀软能捕获它吗？ 传统基于签名的杀软无法捕获，因为蠕虫每次感染都会重写自己。行为 EDR 有更大机会，尤其是当调优用于检测异常进程树和侦察模式而不是已知 IoC 时。但蠕虫被专门设计为每个目标使用不同的技术链，这也削弱了行为基线。

物理隔离能防御 AI 蠕虫吗？ 物理隔离可以防止来自开放互联网的初始入口，但一旦蠕虫进入内部（通过 USB、供应链、内部人员等），机载模型意味着它可以继续运行和传播，而无需联系任何外部服务器。物理隔离是必要条件，但不是充分条件。

小型安全团队首先应该做什么？ 修复蠕虫赖以生存的基础问题：缩短公开披露漏洞的补丁窗口，分割内部网络使东西向移动代价高昂，确保你的 EDR 在对行为异常（而不仅仅是已知指标）发出警报。这三个步骤比购买任何新产品都能更有效地遏制这类威胁。

多伦多大学的论文不是一个末日公告。它是一个里程碑。它标志着安全行业可以停止争论自主 AI 网络攻击是否在理论上是可能的，开始去衡量运行它的成本下降速度有多快。

防御者还剩一个真正的优势，而且不是 AI。是那些枯燥而昂贵的修补更快、分段更紧、记录更多的工作。蠕虫变聪明了。基础没变。