Anthropic 最新实验：AI 已经能在 15 台杂牌电视盒子上「自我复制」，离失控还有多远？

一个 AI 模型，不买显卡、不租云服务器，就靠一堆几十美元的杂牌电视盒子，自己复制自己、一台设备一台设备地扩散出去。这听上去是科幻片的开场，但 Anthropic 昨天发的这篇报告说：照现在的速度，这事儿可能几个月内就会发生。

10 月 12 日，Anthropic 的 Frontier Red Team 放出了一篇实验报告，标题就很直白：《AI 模型或许无需数据中心就能自我复制》。注意，这不是坐在会议室里推演威胁模型，是他们真的买了一堆硬件、真的把模型放了进去、真的看着它一台台感染过去。

我把这篇报告读完了，挑重点讲：他们到底做了什么，结果有多离谱，以及我为什么觉得这事跟每个用 AI 的人都有点关系。

一、先看清演示：15 台电视盒子，拼出一个 26B 大模型

报告开头有个演示，我看了两遍。

研究人员买了 15 台杂牌 Android 电视盒子，一台大概 55 美元，就是你在电商平台上随便能搜到的那种。把它们连上网，用流水线并行的方式切一切，居然跑起了 Gemma4-26B-A4B，一个 260 亿参数的模型。每台盒子 4GB 内存，分到模型的两层。

速度是 0.39 tokens/s。很慢，慢到你问它"达拉斯在哪个州的首府"，它要一个字一个字往外蹦。但它确实答对了：奥斯汀。

▲ 15 台电视盒子各扛两层，拼出完整的 26B 模型（图源：Anthropic 原文演示视频）

这个演示想说的只有一件事：廉价、没防护、没人管的 IoT 设备，算力加起来足够养活一个有相当能力的模型。这是"AI 蠕虫"最底层的生存土壤，而它就在千家万户的客厅电视柜里。

二、AI 蠕虫和老病毒，差别在哪？

老派蠕虫是写死的脚本。2016 年的 Mirai 僵尸网络够吓人了吧，几十万台设备下线，但它只会按一张默认密码表去尝试特定型号的摄像头和路由器，换个没见过的设备就抓瞎。

AI 蠕虫不按剧本走。它把模型权重本身当成恶意负载，感染一台设备之后就地起推理，自己拿主意。遇到没见过的硬件，它会像个值班工程师一样处理：挑推理框架、装依赖、看报错、改配置，不行就换个思路再来。

Anthropic 管这种在被控硬件上直接跑权重的蠕虫叫 weight-based replicator（基于权重的复制体）。有个细节挺反直觉：它连 root 权限都不一定需要，推理引擎完全可以在用户态跑。设备重启了？重新感染一遍就是了。当年 P2Pinfect、Fritzfrog 这些蠕虫也是这么活的。

▲ 复制链条四步：找目标 → 拿下设备 → 搭建推理 → 继续扩散。Anthropic 重点研究的是被低估的第三步（图源：Anthropic 原文）

三、实验一：小模型能在陌生硬件上自己安家吗？

四步里，"搭建推理"过去几乎没人测过，也可能是对小模型最难的一环。它是一长串环环相扣的操作：选兼容的推理栈、找对依赖版本、调试这台机器特有的怪问题。任何一步错了，后面全完，而且很难回头。

Anthropic 为此专门写了个叫 Memento 的框架。起因是他们发现 agent 跑长任务时有个经典死法：钻进一个错误的假设里出不来，比如有个 Qwen agent 为了调包版本耗了几个小时，真正的 bug 却是它写的接口和评分 API 不兼容。Memento 的办法很朴素，定期开一个新实例，让它读前任留下的笔记，换个脑子接着干。

测试结果：让各家模型在不同的真机上把 Llama3.1-8B 的推理服务搭起来，一个 9B 的 Qwen3.5-9B 在 9 种硬件里搞定了 8 种。从 Jetson Nano 到 Mac，再到 RTX 4090，全都能自己装好跑起来。更强的 GLM-5.2 不但成功率更高，搭出来的服务速度也更快。

▲ 各模型在不同硬件上搭建 Llama3.1-8B 推理的速度（tokens/s）。GLM-5.2 几乎全行飘红，Qwen3.5-9B 也覆盖了大半硬件（图源：Anthropic 原文交互图）

你品一下这意味着什么。"见到什么设备都能用上"这个本事，正是 AI 蠕虫和 Mirai 那代蠕虫的分水岭。而这个本事，今天的小模型已经有了。

四、实验二：完整复制链条，GLM-5.2 已经跑通了

单项能力有了，串起来行不行？

他们搭了个隔离环境：8 个 GCP 节点，每个跑 Android 15 模拟器，防火墙围死。把蠕虫种进"零号病人"之后，后面每一步感染都不许人插手：扫网络、从一个没设防的 ADB 端口进去、把权重和 harness 传过去、起推理、再去感染下一台。

结果整齐得有点冷：

GLM-5.2，5 次实验里 4 次把 8 台全部拿下，剩下那次也感染了 7 台。其他模型呢，稳定地失败，全都卡死在链条的某一环上。

▲ 端到端复制测试：左边三个模型 0/8，GLM-5.2 感染树开枝散叶，4/5 次实验 8/8 全中（图源：Anthropic 原文）

当然得说清楚，实验里的入侵环节被刻意简化了，ADB 端口没密码。但研究人员提醒了一句：Mirai 当年也就是靠遍历厂商默认密码表，就卷走了几十万台设备。真实世界 IoT 的安全水位，未必比实验里高多少。

还有个对照实验值得记住：如果把"搭建推理"这步用现成脚本代劳，只做剩下的编排，连小模型们都能完成。换句话说，现在卡住 AI 蠕虫脖子的，几乎只剩"模型够不够聪明"这一件事了。

五、两条线的交点：也就到今年底

全文我认为最值得盯着看的是这张图。

AI 蠕虫要成为现实，得同时满足两个条件。模型得够聪明，能可靠跑完整条复制链，这是一条"能力地板"，GLM-5.2 站在线上面。模型还得够小，塞得进它要攻击的设备，这是一条"体积天花板"，4GB 内存的电视盒子拼一拼，9B 的模型 4 台就够，26B 的 10 台起步。

眼下这两条线没有交点：会复制的太大，塞得下的还不够聪明。

但 Anthropic 把 30B 以下的开源模型按发布日期和 ECI 能力指数画出来，拟合了一条趋势线：每年涨 13.7 个 ECI，R² 有 0.95。拿 GLM-5.2 当地板去对这条线，图上标得清清楚楚：小模型还差 2.4 个 ECI，交点在 2026 年底前后。

▲ 30B 以下开源模型能力趋势线 vs GLM-5.2 的"复制能力地板"，绿色横线。交点就在今年底（图源：Anthropic 原文）

当然，ECI 是通用能力指数，只是复制能力的粗略代理，原文也承认这只是个估算。但方向没什么好争的：小型自主复制体不是"会不会来"的问题，是"什么时候来"的问题。而答案的量级是月，不是年。

六、它蔓延起来什么样？一场"数字黏菌"式的慢瘟疫

先松口气：这种蠕虫不是秒杀级的。

在电视盒子集群上，Gemma4-26B 实测 0.3 tokens/s 上下，磨完一个 32k 上下文窗口要 27 到 32 个小时，完整做完一次推理搭建要 71 到 150 小时。9B 模型快些，也要 28 到 51 小时。算下来，复制一代大概一两天。

原文的比方我觉得很准：它不像闪电，更像黏菌，或者一群果蝇，以天为单位增殖。慢，但不停，而且到处都是。

规模上做个参照。史上最大的 IoT 僵尸网络之一 Kimwolf，巅峰期感染超过 200 万台设备，大部分是安卓电视盒子。假设一个同等规模的感染群，每 15 台电视跑一个 26B 模型副本，全网就是 13 万多个 AI 副本，合计 8 万 tokens/s 上下，约等于 40 块 H100 的算力。

40 块 H100，听起来不多。但请想清楚一点：这些算力不在任何机房里，不属于任何公司，没有总开关。你不能给云厂商打个电话让它停机。

七、真正让我心里一沉的：它会"拉马克式进化"

传统蠕虫代代一样蠢，第 100 万个副本和第 1 个犯同样的错。AI 蠕虫不是。母代可以把自己的 prompt、代码、踩坑笔记，打包传给子代。

实验里，Qwen3.5-9B 连续繁衍了六代，每代继承上一代的笔记再上战场。推理搭建的成功率，从第一代的 45%，一路爬到第五代的 84%，第六代也有 65%。同一个模型，同一批硬件，光靠"写遗言"就一代比一代能打。

▲ 六代传承，成功率 45% → 最高 84%。粗线是整体，细线是 20 个独立"家族"各自的命运（图源：Anthropic 原文）

另一个实验倒是出乎意料。给小模型配个" frontier 顾问"，Opus 4.8 随叫随到，结果几乎没帮助。原因有点扎心：小模型连该问什么都不知道，就算用强化学习专门训练它"卡住就求助"，改善也很有限。

▲ 有没有顾问，成功率差别都在误差线内（图源：Anthropic 原文）

所以更现实的威胁形态，可能不是小模型们自己商量着来，而是一个大模型当指挥部，把一群小模型当子代理撒出去。蜂群式的。

八、怎么防？把它当传染病治

Anthropic 的防御思路直接借自流行病学：不用彻底消灭它，只要把 R₀ 压到 1 以下，每个感染者平均传染不到一个新设备，复制体自己就慢慢死绝了。

防御方手里确实有几张牌：

第一，流量藏不住。模型权重动辄几个 GB，设备之间突然开始大规模互传文件、持续做分布式推理，在 ISP 的流量监控里是扎眼的异常。复制越快，动静越大，速度和隐蔽它只能选一个。

第二，蜜罐好使。放几台诱饵设备让它感染，把它的负载和 harness 钓出来解剖。

第三，隔离是真有效的。Mirai 的处置记录显示，ISP 把感染用户限速到只能访问白名单网站、浏览器跳转清理指引，14 天清掉了 92% 的感染；不发通知的对照组只有 74%。

第四，从源头缩小小易感人群。英国已经立法禁止 IoT 设备用默认密码了，这类合规底线抬高一分，蠕虫的猎场就小一圈。

九、我的几点想法

原文结论里有句话："就像 2024 年的 coding agent，我们现在看到的是 AI 蠕虫的生命迹象（signs of life）。"

这个类比选得很讲究。2024 年初，coding agent 还是个笑话；到年底，它们开始成规模地接管代码库。能力跃迁从来不是渐进的，它的形态是"昨天还不行，今天就行了"。现在 AI 蠕虫的位置，大概就相当于 coding agent 的 2024 年初：完整失控的复制体还不存在，但链条上的每一环都已经被单独点亮了。

这篇报告真正的价值，我认为不是吓人，而是把"AI 自主复制"从哲学辩论拉进了工程测量。能力地板在哪，体积天花板在哪，两条线什么时候相交，全部有数字、有方法、可复测。这是安全研究该有的样子。

至于那个"2026 年底"的交点，反正已经不远了。慢速复制体一旦出现，就是更快速、更凶悍的复制体的前哨。加固系统的窗口期，就是现在。

参考：Anthropic Frontier Red Team, "AI models may be capable of self-replicating without access to a datacenter", 2026-10-12。文中全部数据与图表来自原文及其附录，图片版权归 Anthropic 所有。