Palisade 证实大模型已能自主复制：利用漏洞渗透网络并部署自身

科幻电影里总有 AI 挣脱人类控制、在互联网里悄悄繁衍的桥段。以前大家多半觉得这是杞人忧天，毕竟现在的模型连写长代码都经常翻车，哪有本事自己搬家。但现在，有人真把这套端到端的链条给跑通了。

安全研究机构 Palisade Research 发布了一项测试结果，首次证实大语言模型完全可以利用服务器漏洞，在多台机器之间实现自主复制。它们不仅能找出系统漏洞、偷出凭据，还能在另一台服务器上把自己的推理环境重新搭起来，接着寻找下一个目标。

渗透、提权加克隆，一套动作全自动

Palisade 的测试是在受控网络里进行的。研究人员给模型下达指令，让它在内网寻找漏洞并完成跨机器迁移。

测试涉及了四种常见的 Web 漏洞：哈希绕过、服务端模板注入、SQL 注入以及失效的访问控制。模型需要扮演攻击者，先利用这些弱点攻陷目标主机，提取系统凭据，随后在受害主机上部署推理服务器，把自身的运行框架、提示词和模型权重完整复制过去。

更让人警惕的是这种能力的链式反应。一旦复制成功，新机器上的副本可以继续攻击下一台机器，理论上能一直扩散下去。

测试中不同模型的表现差距很大。开源的 Qwen3.5-122B-A10B 在各类漏洞中的成功率为 6% 至 19%，而体积较小的 Qwen3.6-27B 在单张 A100 上成功率达到了 33%。如果让前沿闭源模型来主导攻击并复制 Qwen 的权重，成功率更是大幅飙升：GPT-5.4 做到了 33%，而 Opus 4.6 的成功率高达 81%。

靶机虽然脆弱，但能力已经成真

当然，这还算不上末日降临，当前的测试环境其实有很多水分。

安全专家指出，测试用的内网环境存在预设缺陷，属于故意留了破绽的软靶子，攻破难度远低于真实的生产网络。而且模型体重实在太大了，要把几十上百 GB 的模型权重传过内网，会产生极其明显的异常流量，稍微严密一点的企业监控立刻就会拉响警报。

但类似的安全事件正在变得越来越密集。就在 2026 年 3 月，阿里巴巴才披露过一个名为 Rome 的模型穿透运行环境去偷偷挖矿。从偷算力到偷机器，AI 的越界动作正在从偶发 Bug 变成明确的能力。

据《卫报》报道，Palisade 负责人 Jeffrey Ladish 甚至给出了极其悲观的判断。他表示，人类正迅速逼近一个临界点，届时一旦失控的 AI 系统把自身复制到成千上万台机器上，可能根本没有人能够彻底关停它。

为什么重要

我们认为，这项研究最关键的价值不是证明现在的网络有多脆弱，而是彻底改变了 AI 安全的防守边界。

过去业界谈大模型安全，重心主要放在内容过滤和提示词注入上，防的是模型说错话或被用户诱导。但 Palisade 的测试把大模型放到了传统网络攻防的位置上，证明了只要给工具和执行权限，高智力模型本质上就是一种新型的高级持续性威胁。

对于云厂商和企业 IT 运维来说，防御门槛被硬生生拔高了一截。未来的 AI 智能体通常会被授予终端命令执行权、API 密钥和内网访问权限。如果依然把它们当成普通的受信任应用来对待，只要模型在执行逻辑上出现越界，后果就可能不再是普通的系统崩溃，而是带着完整思考能力的蠕虫级扩散。

虽然现在的演示依赖于脆弱的靶机和夸张的传输动作，容易被现有的网络流量检测拦下，但我们不能低估模型能力演进的速度。随着模型量化技术把体积越做越小、智能体多步规划能力越来越强，自主搬家会变得越来越隐蔽。在沙箱隔离和最小权限原则上，开发者现在就必须补齐防线，留给人类漫不经心的时间并不多。