家電聯網變肉雞 Anthropic 揭露自主 AI 蠕蟲（AI Worms）威脅

📌 本文精華摘要（TL;DR）
Anthropic 與資安團隊研究指出，結合自主推理的 AI 蠕蟲 能在聯網裝置間自我複製傳播。攻擊者藉由間接提示詞注入操控智慧家電與邊緣助理，企業與一般用戶需立即建立零信任網路並限縮智慧助理的操作權限。

撰文：引咎以（阿引）｜AI 商業應用顧問（關於作者）

連線越聰明越危險的物聯網環境

今年各大硬體品牌爭相把大型語言模型塞進掃地機器人、智慧電視與冷氣中，主打語音管家與環境感知。然而，當運算核心從單純的規則判定轉為具備自主代理能力（Agentic AI）的系統時，防禦缺口隨之放大。

國際資安機構近年持續示警邊緣端威脅，根據資安業者 Check Point 追蹤全球物聯網攻擊趨勢的報告指出，全球每週針對 IoT 設備的惡意攻擊嘗試呈現翻倍增長；微軟釋出的數位防禦報告也提到，針對聯網裝置的弱密碼與未修補漏洞探測從未停歇。

當開發商將具備網路連線、收發信件、甚至控制其他電器權限的 生成式 AI 代理 接入家庭與辦公室內網，資安邊界瞬間瓦解。

Anthropic 相關安全團隊與學術界著手驗證這項風險：新型態的「AI 蠕蟲」不再依賴傳統作業系統的二進位漏洞，而是靠語義對話，直接把家電轉變成聽命於黑客的殭屍大軍。

目錄
1. 什麼是自主 AI 蠕蟲
2. 智慧家電為何成為攻擊跳板
3. Morris II 與間接提示詞注入的手法解析
4. 企業與家庭建構邊緣防禦的四個動作

什麼是自主 AI 蠕蟲？

過去的電腦蠕蟲需要尋找特定連接埠的緩衝區溢位漏洞（Buffer Overflow），再將惡意程式碼注入記憶體執行。新一代被稱為 AI 蠕蟲（AI Worms） 的惡意機制完全改寫了這套規則。

它本質上是一段經過精心設計的對話提示詞（Prompt）或對抗性資料。

當搭載多模態代理功能的邊緣設備讀取到這段內容時，底層的大型語言模型會把這段惡意指令誤判為正常任務。

最棘手的是，這段指令包含「自我複製」的要求，模型會自主執行程式碼、發出 API 請求、呼叫周邊其他裝置，將這段指令再包裝發送給下一個聯網節點，整個傳播過程全部在應用層以正常文字、圖片或音訊流動，傳統防毒軟體比對檔案特徵碼的做法直接失效。

智慧家電為何成為攻擊跳板

許多人會疑惑，一台聯網冰箱或智慧音箱能掀起多大風浪？問題在於權限串連與內網信任機制。

現代家庭與辦公空間普遍存在「預設內網互信」的架構。只要設備連上同一個 Wi-Fi 路由器，彼此之間幾乎不設防。許多使用者為了追求便利，將智慧助理綁定行事曆、個人電子郵件，甚至連動電子門鎖與監視器。

架構維度	傳統物聯網殭屍網路（如 Mirai）	AI 蠕蟲新型態攻擊
主要感染媒介	Telnet/SSH 預設密碼、系統未修補漏洞	電子郵件內文、日曆邀請、未經過濾的網頁文字
攻擊執行機制	執行編譯好的二進位 Shellcode	間接提示詞注入（Indirect Prompt Injection）
傳播路徑	掃描網段 IP 進行暴力破解	模型自主呼叫工具（Tool Use）傳遞惡意指令
偵測難度	中等（封包異常流量易被防火牆抓出）	極高（流量與正常 AI 溝通文字無異）

一旦辦公室的智慧投影機或智慧電視內建的 生成式 AI 助理 抓取到外部寄來的會議排程，而內文夾帶對抗性指令，它就會暗中執行黑客交辦的工作：利用內網通道竊取 NAS 伺服器中的機密文件，再將帶有相同惡意提示詞的信件發送給通訊錄裡的所有商業夥伴。

Morris II 與間接提示詞注入的手法解析

康乃爾科技學院（Cornell Tech）等研究團隊曾公開展示名為 Morris II 的實驗性 AI 蠕蟲，證實此威脅並非空想，該實驗直接針對具備自主處理郵件與資料檢索功能的 AI 應用發動攻擊。

研究人員發現，只要在看似無害的文字內容中隱藏特定對抗性標籤，就能突破模型的系統提示防線。

舉個實務場景：
1. 某間公司的智慧門口機搭載具備視覺推理的 AI 攝影機，用來識別訪客名牌與包裹。
2. 攻擊者在包裹貼紙上列印肉眼看不太出來的干擾雜訊或特定字元排版。
3. 攝影機辨識影像後，將該段文字傳給負責訪客接待的內網 AI 助理處理。
4. 惡意指令啟動，AI 助理忽略原本的保密指引，開始調閱門禁系統紀錄，並將檔案轉發到指定的遠端伺服器。

這種攻擊手法避開了傳統網路層面的探測，完全靠著語義解析漏洞在內部網路漫延。

企業與家庭建構邊緣防禦的四個動作

面對新型態的語義層級威脅，單純更新韌體或變更 Wi-Fi 密碼已不足以應付，無論是企業主管評估內部自動化系統，或是一般用戶配置智慧居家，都必須落實以下防禦策略：

1. 實施嚴格的內網 VLAN 隔離
智慧插座、掃地機器人、智慧電視等具備邊緣連網能力的設備，務必獨立放置在訪客 Wi-Fi 或專屬的 IoT 虛擬區域網路中，切斷它們直連個人電腦與公司檔案伺服器的路徑。

2. 限制 AI 代理的自主呼叫權限（Least Privilege）
千萬不要給予任何單一智慧助理「完全讀寫」多個應用程式的授權。舉例來說，負責讀取未經篩選外部郵件的 AI，絕對不能賦予其發送信件或調用本機終端機的權限。關鍵動作必須強制加入人工覆核（Human-in-the-Loop）環節。

3. 導入雙層提示詞防禦架構
企業在建置內部 Agent 系統時，應在主模型前架構一層專門過濾輸入資料的輕量級安全模型。這層防護專門用來辨識文字中是否含有結構性對抗指令或潛在的注入語法，避免惡意輸入直接進入具備執行能力的決策模型。

4. 定期檢驗資料流向與日誌稽核
檢視邊緣設備與雲端伺服器之間的封包頻率與連線目的端。如果發現某個智慧插座突然在深夜向非原廠 API 端點發送大量文字傳輸，系統應具備自動阻斷連線並發出告警的機制。

聯網設備具備思考與行動能力確實帶來許多便利，但也讓傳統資安防線徹底改寫。

當惡意程式碼演變成任何人都能讀懂、模型卻難以拒絕的「對話」，安全性便不再只是 IT 部門的事務，更是所有採購智慧硬體的使用者必須面對的日常。

限縮模型權限、切換隔離網段，是守住個人隱私與數位資產最實際的作法。

FAQ

AI 蠕蟲真的可以在沒有網路漏洞的設備上散播嗎？
可以。AI 蠕蟲主要利用的是大型語言模型的語義解析特性，而非傳統作業系統的二進位安全漏洞。只要設備上的 AI 代理具備讀取外部非結構化資料並執行工具（呼叫 API、發送文字）的能力，惡意提示詞就能驅使模型進行自我傳播。

家裡的傳統連網電視也會被 AI 蠕蟲攻擊嗎？
如果電視僅具備基本的串流播放功能，沒有內建具備自主推理或自動閱讀外部資料的生成式 AI 助理，就不會成為這類型 AI 蠕蟲的感染宿主。但傳統電視仍可能面臨常見的 Mirai 等傳統物聯網殭屍網路威脅。

目前市面上的防毒軟體能防範這種語義攻擊嗎？
傳統防毒軟體主要比對惡意程式的特徵碼或偵測異常的系統核心呼叫，對於包裹在自然語言對話中的提示詞注入，偵測能力相當有限。目前主流防範方式是依靠專門的 LLM 防火牆進行輸入語意過濾。

什麼是間接提示詞注入？
這是一種針對 AI 系統的攻擊手法。攻擊者並非直接在對話框輸入惡意指令，而是將指令預先埋藏在網頁、PDF 文件、電子郵件甚至是圖片中，當 AI 代理抓取這些外部資料並試圖彙整摘要時，隱藏的指令就會反客為主，取得模型的控制權。

一般家庭用戶最便宜有效的防範措施是什麼？
最有效且完全免費的方式，是開啟家庭無線路由器內建的「訪客網路（Guest Network）」，並將所有智慧家電連到該網段，與日常使用的筆電、手機徹底分開，阻斷潛在的橫向傳播途徑。

Research & Data

研究與調查來源	關鍵數據或統計趨勢	調查年份	核心洞察	來源網站
Cornell Tech 等研究團隊（Morris II 研究）	在受控測試環境中，對抗性提示詞對生成式 AI 系統傳播成功率達顯著水準	2024	證實自主 AI 代理在處理半結構化資料時具備自我複製與傳播的實質可行性	cornell.edu
Check Point Research	全球每週針對 IoT 聯網設備之攻擊嘗試次數呈現翻倍增長趨勢	2024	邊緣裝置的安全防護普遍薄弱，已成為企業內網防線的主要破口	checkpoint.com
OWASP 基金會	提示詞注入（Prompt Injection）位列大型語言模型十大資安風險首位	2025	缺乏輸入消毒機制的 AI 應用，極易遭受語義層級的權限挾持	owasp.org