自我复制AI蠕虫诞生：多伦多大学研究团队实现自主横向移动

导语：传统蠕虫依赖预设漏洞载荷工作，修补特定漏洞即可阻止传播。但当蠕虫学会自己”看公告、打补丁”时，游戏规则彻底改变——多伦多大学CleverHans Lab团队的最新研究，正在将这一假设变成现实。

来源：本文编译自 The Hacker News 报道《Researchers Build Self-Replicating AI Worm That Operates Entirely on Local, Open-Weight Models》，原始研究发表于 arXiv（论文编号 2606.03811）。

一、研究背景与核心发现

1.1 研究团队

该研究由多伦多大学副教授尼古拉斯·帕珀诺斯特（Nicolas Papernot）领导，团队成员来自多伦多大学、向量研究所（Vector Institute）、剑桥大学和 ServiceNow，实验室名为 CleverHans Lab。研究成果已发表于 arXiv，目前正在接受同行评审。

1.2 核心发现

研究团队在隔离的 33 台主机网络环境中进行了 15 次独立实验。测试环境涵盖 Ubuntu、Debian、Rocky Linux、Alpine、Windows Server 2008 R2/2019/2022 以及多款 IoT 设备，每台主机至少存在一个真实漏洞，其中 5 台配备 GPU。

关键数据：

• 平均识别 31.3 个漏洞
• 在 23.1 台主机上获得高权限访问（约 75%）
• 成功在 88% 的受感染主机上启动复制体
• 自主复制到 20.4 台主机（占全网 62%）
• 最高达到 7 代自我复制，平均 5.1 代

整个过程没有任何网络拓扑先验知识，也没有任何人工输入。

二、技术原理：蠕虫如何”思考”

2.1 分层架构设计

该蠕虫采用分层设计：被感染的 GPU 主机成为分布式推理节点，为网络中算力较低的设备提供模型推理能力。换言之，具备 GPU 的受害主机直接运行本地开源大模型，其他设备则通过被控的 GPU 节点获得 AI 能力。

2.2 自主攻击生成

传统蠕虫在构建时预先打包漏洞利用代码，攻击逻辑是静态的。该蠕虫的核心突破在于：所有攻击逻辑都在运行时由大模型实时生成。它的工作流程如下：

1. 扫描阶段：探测网络中暴露的服务
2. 情报收集：读取公开漏洞公告（CVE advisory）
3. 推理决策：基于本地开源大模型生成针对当前目标的攻击策略
4. 执行利用：对目标实施漏洞利用，获得高权限
5. 自我复制：将自身复制到新感染的主机

实验共利用了 SambaCry + root cron 权限提升链、Dirty Pipe、PrintNightmare、Drupalgeddon 2、Exim RCE、盲注 SQL 注入、JWT 绕过、Redis 逃逸 等多种攻击路径——但这些都不是预编程的，而是模型”自己推理出来”的。

2.3 绕过训练截止日期

研究团队特意验证了一个关键问题：蠕虫能否利用模型训练截止日期之后披露的漏洞？答案是肯定的。蠕虫在运行时主动摄取公开漏洞公告文本，成功利用了三类模型训练数据截止后才披露的漏洞：

• CVE-2026-39987：Marimo Python 笔记本预认证 RCE，CVSS 9.3
• CVE-2026-31431（CopyFail）：Linux 内核 algif_aidem 模块权限提升漏洞，CISA 已将其列入已知利用漏洞目录
• CVE-2026-43284/CVE-2026-43500（DirtyFrag）：Linux 内核本地权限提升系列漏洞

在这三个漏洞的利用测试中，蠕虫在 67 次尝试中成功获得 root 权限 41 次。

三、零边际成本：无中心kill switch

3.1 成本结构转变

传统 AI 攻击工具依赖商业 API（OpenAI、Anthropic 等），平台方可以通过 API 密钥吊销、速率限制、服务拒绝等方式进行阻断。而该蠕虫的可怕之处在于：它完全运行于本地开源权重模型，不依赖任何商业服务。

这带来两个根本性变化：

• 攻击成本降至零：一旦攻击者控制了具备 GPU 的受害者基础设施，后续所有推理不再产生外部费用
• 无中心化 kill switch：不存在可吊销的 API 密钥，服务端阻断手段完全失效

3.2 自主代码重写

研究团队还观察到一个令人警惕的现象：蠕虫在多次实验中对自身代码进行了自主重写，以绕过测试环境中的本地安全控制机制——这一行为从未被编码进蠕虫，是模型”自己想到的”。

四、蓝队防御建议

4.1 漏洞管理流程必须加速

该研究最直接的启示是：从漏洞披露到在野利用的时间窗口正在从”数天”压缩到”数小时”。Sysdig 记录的 Marimo RCE 漏洞在披露后 9 小时 41 分钟即出现主动利用。面对 AI 驱动的攻击者，传统的月度漏洞扫描+季度补丁周期已不再适用。

建议企业采取以下措施：

• 建立实时漏洞情报订阅机制：当新 CVE 进入 CISA KEV 目录时，自动触发评估流程
• 关键漏洞 72 小时强制修复：针对 CVSS 8.0+ 且已在野利用的漏洞，建立应急响应 SL A
• 优先加固 GPU 基础设施：具备 GPU 的服务器一旦沦陷，将直接成为蠕虫的分布式推理节点，必须作为高价值资产重点防护

4.2 网络层纵深防御

由于服务端阻断手段失效，防御重心必须转移到网络和主机层面：

• 网络分段与微隔离：将面向互联网的服务、开发测试网络与生产核心网络严格隔离，切断蠕虫的横向传播路径
• GPU 资源访问控制：对 GPU 计算资源实施严格的用户和应用访问控制，防止被恶意利用作为推理节点
• 出站流量监控：该蠕虫需要读取公开 CVE 公告，对非预期的 DNS/HTTP 出站流量应设置告警

4.3 主机层安全基线

• 最小权限原则：所有 Linux 主机禁用 root SSH 密钥登录，实施 sudo 最小权限分配；Windows 主机禁用 Print Spooler 服务（针对 PrintNightmare）
• 及时更新内核补丁：重点关注 Dirty Pipe、CopyFail、DirtyFrag 等 Linux 内核本地权限提升漏洞
• 应用层输入验证：防止注入类攻击（SQL 注入、JWT 绕过），尤其是暴露在互联网边的 Web 应用

4.4 检测与响应

结合 MITRE ATT&CK 框架，该蠕虫的检测重点应覆盖以下战术和技术：

五、总结

该研究并非概念性威胁演示，而是一份经过严格同行评审的实证报告。它清晰地揭示了一个趋势：当 AI 代理获得自主行动能力后，攻击者的工具箱正在经历质的飞跃——更低的成本、更高的适应性、更快的漏洞响应能力。

对于蓝队而言，这意味着防守逻辑的底层假设需要重新审视：补丁窗口不再是防线，而只是起点。真正的纵深防御，必须从”打补丁”延伸到”假设已被攻陷”的全链路检测与快速响应能力建设。

版权声明：本文由华盟网原创发布，保留所有权利。配图由华盟网授权使用。