Tiny Enough to Break In: Agentic Remote Access Trojans Powered by Small Language Models

想象一个这样的世界：计算机不再仅仅是像听话的机器人那样执行命令，而是开始像好奇的侦探一样独立思考。这就是智能体 AI（Agentic AI）的领域。不同于标准的程序在每次需要运行时都要等待人类点击“运行”，一个“智能体”是一个数字助手，它能够观察情况、弄清楚下一步该做什么、尝试执行，如果失败了，再尝试另一种方法——这一切都是自主完成的。现在，把这个想法缩小规模。我们谈论的不再是需要庞大的云端超级计算机来进行思考，而是小语言模型（SLM）。这些就像是能装进普通笔记本电脑甚至手机里的口袋大脑，能够在本地进行推理，而无需通过互联网向远程求助。

为什么这很重要？因为几十年来，黑客一直利用“远程访问木马”（RAT）——一种允许他们潜入计算机并进行远程控制的恶意程序。通常情况下，人类黑客必须坐在那里，阅读屏幕并输入命令，决定下一步要窃取什么或破坏什么。但如果恶意软件本身会思考呢？如果病毒能够观察它所在的计算机，意识到“嘿，这个端口是开放的”，决定尝试一个特定的技巧，看看是否奏效，如果没效，再尝试另一种技巧，而整个过程甚至不需要人类触碰键盘？这就是这篇论文提出的可怕问题：一个微小的、本地化的 AI 大脑，是否可以足够小到足以隐藏在计算机内部，同时又足够聪明到能够独自破门并接管一切？

木马之中的微型大脑

在这项研究中，来自弗吉尼亚大学的一个研究小组构建了一个数字“沙盒”——一个安全、隔离的游乐场，让他们可以在不伤害任何人的情况下测试一个疯狂的想法。他们想看看能否构建一个由小语言模型（SLM）驱动的远程访问木马（RAT）。可以把这想象成一个数字窃贼，它不需要人类主人告诉它去撬哪扇窗户；相反，它拥有一个微型的本地大脑，能够观察四周，摸清锁具，并尝试将其撬开。

为了测试这一点，他们建立了一个包含两个主要角色的实验室：一台“Kali”计算机（攻击者）和一台“Metasploitable”计算机（受害者，这是一台设计得漏洞百出的机器）。他们在攻击者一侧安装了一个名为 dolphin3-cyber-8b（一个拥有 80 亿参数的模型）的本地 AI 模型。该模型足够小，可以在常规硬件上运行，无需连接云端。AI 的任务是充当 RAT 的“大脑”。它被要求执行以下任务：

1. 观察： 扫描受害者计算机，查看哪些服务是开放的（就像检查哪些门没锁）。
2. 思考： 决定使用哪种工具进行入侵。
3. 行动： 发送命令尝试进入。
4. 反应： 如果失败了，分析错误信息，找出原因，然后尝试另一种方法。

结果：一个笨拙但前途光明的窃贼

研究人员发现他们的创造物具有一种“分裂人格”。一方面，架构是有效的。这个微型 AI 大脑成功实现了“观察、思考、行动”的完整循环，无需任何人工干预，也不需要连接互联网。它能够读取扫描结果，选择工具并执行命令。该系统的“管道结构”非常稳固。

然而另一方面，这个大脑仍然非常笨拙。当研究人员要求 AI 完成一项严格的任务清单时，它的成功率仅为 10.9%。这大约是 55 次尝试中仅有 6 次成功。

AI 在处理简单任务时表现出色。当扫描显示一个非常明显的单步门槛时（例如在端口 1524 上的特定“绑定 Shell”或端口 21 上的 FTP 服务），AI 可以直接走进去。这就像一个看到门已经敞开的窃贼，直接走进去而已。但一旦工作需要多于一步的操作——比如需要猜测密码、处理复杂的错误或在失败后更换工具——AI 就会开始踉跄。

论文强调了 AI 失败的三个主要原因：

• 幻觉（Hallucinations）： AI 有时会发明不存在的命令，或者以不符合预期的方式使用工具。
• 困惑（Confusion）： 它经常误读计算机的错误信息，将失败误认为成功。
• 固执（Stubbornness）： 当一个命令失败时，AI 不会尝试全新的策略，而是往往只是重新组织一下那个失败命令的措辞并再次尝试，从而陷入死循环。

研究人员明确指出这意味着什么：概念是可行的，但目前的技术还达不到要求。 他们明确排除了这是一种“已解决”的问题或完美武器的说法。事实上，他们指出，如果一个人类黑客只有这种成功率（10.9%），他会被立即开除。但他们提出了一个令人胆寒的转折：人类需要被支付报酬才能工作，但计算机不需要。如果你每天可以几乎零成本地运行成千上万次这个笨拙的 AI，即使只有 10% 的成功率，最终也可能导致入侵成功。

这告诉了我们关于未来的什么信息

这篇论文最重要的启示并不是说现在的 AI 是顶级黑客。而是机器已经准备就绪，尽管大脑仍在学习阶段。 解析数据、验证命令并执行命令的系统运作得非常完美。唯一限制它的是这个小型模型的推理能力。

作者认为，随着这些小型 AI 模型变得越来越好、越来越聪明，“笨拙的窃贼”将会变成“大师级神偷”。“无法做到”与“能够做到”之间的差距正在迅速缩小。对于防御者而言，论文建议我们不能再仅仅寻找特定的代码特征。相反，我们需要观察这些智能体的行为。由于研究中的 AI 会陷入循环、重复同样的错误并尝试奇怪的工具组合，这些都是安全系统应该监测到的“破绽”。

简而言之，这篇论文证明了一个微小的、本地化的 AI 可以自主进行远程访问攻击。它只是目前做得还不够好。但由于技术进步如此之快，一个微小的、具备自主思考能力的病毒可以在没有人类参与的情况下突破你的计算机，这一天可能比我们想象的要近得多。标题中的“微小（Tiny）”不仅是指体积，更是在于这些威胁正变得如何细微，从而使其更难被察觉且更容易隐藏。