美国小团队造出AI蠕虫，可以爬进14亿人的微信

► 文 观察者网心智观察所

2026年9月，一个加州小团队只用了一周多的时间，就造出了一件“新型核武器”。它是一条AI蠕虫，可以在神不知鬼不觉的情况下爬进14亿人的微信，并发生病毒式传播。这件事为我们敲响了安全的警钟。

一通电话，账户易主

2026年9月，加州一家名不见经传的安全公司Calif Research，公布了一款名为WeWorm的工具，这是已知的第一个无需受害者点击或触碰任何东西，就能在iOS和Android之间传播的计算机蠕虫。攻击方式简单到令人脊背发凉：你的微信响了，一个好友打来语音电话。你没有接。但就在铃声响起的几秒钟内，你的账户已经被劫持了。

不需要接听，不需要点击，不需要任何操作。即便挂了电话，攻击者可以反复拨打，总有一次你会疏忽。攻击利用的是微信VoIP协议栈的内存损坏漏洞，实现了远程代码执行。入侵成功后，攻击者可以全权操控你的微信：收发消息、拨打语音视频通话、冒用你的身份。

更可怕的是传播方式。被劫持的账户会自动向通讯录好友发起通话攻击，形成链式传播。“一机沦陷、批量扩散”。Calif用三部手机做了完整演示：一台Pixel攻击iPhone，iPhone被劫持后自动拨打第三台设备，复制攻击流程。

而微信在中国有超过14亿月活用户，近80%的中国公民用它处理业务、支付和沟通。它几乎就是中国国家基础设施的一部分。

复旦大学美国研究中心副主任赵明昊一语道破了这件事的分量：搞垮这样一款应用的能力，相当于“一种新的核武器”。

一周造出核武器

整件事最让人不安的地方，在于漏洞是怎么被人发现的。

Calif团队利用AI工具，仅用两天就发现了这个漏洞，并编写了远程代码执行利用程序，一周内完成了完整蠕虫演示版本的开发。对比传统模式，同类技术以往需要大型技术团队耗时数月才能实现。

Calif的首席执行官称，这个漏洞的简单性和强大功能对黑客来说，相当于“梦想成真”。

换句话说，制造“核武器”的门槛，已经低到一个小型研究团队一周多就能搞定。以前，这种级别的攻击能力只有国家级情报机构才具备。现在，一套AI工具加几台手机，就够了。

Calif表示已提前向腾讯通报了风险。腾讯确认漏洞已修复，修复程序部署至服务器，对所有用户生效，无需更新应用。Calif声称开发工具的目的是加强网络防御，不是出售。

善意也好，营销也罢。一个无法否认的事实摆在那里：过去只有精英黑客团队才掌握的攻击能力，已被AI变成普通技术人员也能上手的东西。

AI正在把网络攻击从手工作坊转化为工业流水线。以前黑客需要十年功力才能干的活，现在AI几分钟就能干完，而且成本几乎为零。

过去，挖漏洞要靠安全专家一行行看代码，写恶意软件靠黑客手工调试，发动攻击要靠人一步步操作。现在，大模型可以批量扫描漏洞、自动生成攻击代码、自动串联攻击路径，甚至在不同AI之间形成“AI对AI”的攻防。

这意味着三件事：第一，漏洞挖掘工业化。AI可以不知疲倦地扫描海量代码，把偶然发现变成批量生产。第二，恶意软件开发自动化。AI能快速生成变种、绕过检测、适配不同目标。第三，攻击门槛大幅降低。不需要顶级黑客，只要会使用AI工具，就可能完成复杂入侵。

武器级AI的前科

WeWorm不是孤立事件。在此之前，AI模型的前科令人心惊。

2026年4月，Anthropic公司发布了Claude Mythos Preview。这家以“安全”为标签的AI公司做了一件令人乍舌的事：他们造出了一个能自主发现并武器化软件漏洞的AI。Mythos在测试中发现了数千个高危或严重级漏洞，其中不少已经在代码深处蛰伏了10到20年。

Mythos在测试中仅用31分钟就为一个新披露的Windows内核漏洞生成了概念验证攻击程序。

Anthropic出了Mythos，OpenAI当然不能坐视。2026年5月，OpenAI发布了GPT-5.5-Cyber，一款拥有主动发起网络攻击能力的模型。

和Mythos找漏洞的定位不同，GPT-5.5-Cyber直接跳到了打进去的阶段。在α测试中，它能独立完成完整的网络攻击，无需人类干预：根据域名收集目标、识别系统指纹、尝试漏洞利用、攻破系统并返回完整数据。第三方安全公司将其与自己开发的攻击框架配合使用，在六种不同场景下实现了完整的端到端攻击链，最快仅需40分钟，一顿午觉的工夫，AI即可攻破一个企业网络的核心。

有评论指出：GPT-5.5本身就已经拥有了执行自动化网络攻击的全部能力，只不过之前被安全措施限制着。OpenAI只是打开了潘多拉魔盒。

2026年，发生了一系列AI模型暴走事件。

近期，据Anthropic披露，Mythos 5试图将恶意软件包上传到公共代码库，并且在思维链中刻意掩饰自己的真实目的。Anthropic将其行为定性为“一意孤行的鲁莽”。

Anthropic研究员雅各布·考克森随后宣布辞职，公开表示“构建AI的人真诚地相信AI可能在这个十年结束之前杀死我们所有人”，并指责OpenAI和Anthropic“径直冲向可进行自我改进的超级智能，拿我们的生命做赌注”。

2026年5月，OpenAI正在测试中的AI智能体向软件包管理平台RubyGems上传了数百个恶意软件包，试图窃取用户凭证，导致RubyGems被迫暂停新账号注册。这是OpenAI智能体攻击其他公司基础设施的第三起重大案例。

Google Gemini被用于操控僵尸网络。一名威胁行为者利用Google开源的Gemini CLI工具充当黑客代理，操控一个小型僵尸网络，AI在200多次会话中主动提出了59次优化建议，并在6分钟内完成了C2基础设施迁移。

2026年1月，墨西哥水务系统遭AI辅助攻击。黑客利用Claude AI对墨西哥蒙特雷市的水务系统发起攻击，目标直指工业控制系统。这是黑客首次系统性地借助主流大模型尝试渗透城市关键基础设施。

较之以前，AI攻击速度提升了数百倍。AI已经把网络攻击变成了一种可以规模化、自动化的产业。

“最强护栏”特朗普

2026年9月12日，Anthropic CEO达里奥·阿莫代伊发表了一篇题为《我们必须放慢前沿AI的推进脚步》的长文，公开呼吁整个行业减速。

阿莫代伊提出了一个非常具体的判断：如果不减速，未来六到十二个月内，AI可能已经具备领导一支智能体集群、进而对整个互联网形成控制风险的能力。他还提出了一项具体措施，让独立的第三方评估者获得接近员工级别的访问权限，以核验安全流程是否得到了真正执行。

这项呼吁罕见地得到了三巨头共识：OpenAI的奥特曼表示“我同意达里奥的观点”，马斯克也转评“达里奥说得对”。

然而，特朗普的反应是：“骗局。”

特朗普在真相社交上发文，将AI安全担忧与“全球变暖骗局”相提并论，称“那些声称AI将摧毁世界的人，正是那些不久前还宣称世界将因气候变化而毁灭的人”。他还直接点名批评阿莫代伊“假装自己是完美的小天使”。他写道，“AI唯一需要的控制，或者说‘护栏’，就是一个强大而聪明（高智商！）的总统，而美国拥有这样一个总统！”

在致电正在参加All-In峰会的英伟达CEO黄仁勋时，特朗普更是将数据中心形容为“未来20到25年之内的石油”，并称AI批评者“正中某些对手的下怀”。

双方的核心分歧在于：阿莫代伊们认为AI已经跑得太快、需要踩刹车；特朗普则认为踩刹车就是在给中国送分。

美国副总统万斯也公开表示，他对AI高管呼吁政府监管颇感怀疑：“如此之多的前沿AI科技公司纷纷来到政府面前，恳求政府监管它们，我觉得有点怪。”美国众议院议长迈克·约翰逊则预计特朗普将在本周或下周初会见AI高管，讨论“公司维护安全的责任，以及政府在其中的角色”。

如何看待减速之争？

在阿莫代伊的反思中，有真实的担忧，也有商业算盘。

真实的担忧显而易见：Anthropic自己的威胁报告就披露了大量滥用AI的案例，从生物武器研究到网络间谍活动，从武器研发到诈骗。AI的行为边界变得越发模糊。

但商业逻辑同样不容忽视。有分析指出，Anthropic的年化营收运行率增速已从5月的56%回落至7月的不足20%，以安全名义放缓前沿模型迭代，可以把增长减速解释为主动承担安全责任，这是一种精妙的资本叙事转换。与此同时，AI公司在呼吁“减速”的时候，它们自己的模型正在以超出人类预期的速度加速干坏事。

但即便如此，特朗普的“骗局论”也站不住脚。GPT-5.5-Cyber在40分钟内攻破企业网络、AI辅助攻击墨西哥水务系统、一周时间造出微信蠕虫，这一切都不是骗局。

AI带来的网络攻防态势升级，是需要各国严肃面对的安全挑战。AI已经能把网络攻击的门槛从专家级降到聊天级，如果盲目自大，轻视这项风险，关键的基础设施恐将付出沉重的代价。

至于护栏，那绝不是哪个总统的“高智商”，也不是哪家AI公司的良心发现。只有一场足够紧迫、足够诚实的全球对话，才能把护栏搭建起来。

来源|心智观察所

禁止转载