Anthropic 红队称，小型 AI 模型或将在不久后于物联网设备上自我复制

Anthropic 前沿红队于 2026 年 10 月 12 日发表了研究，指出小型 AI 模型或许只需数月就能在商用物联网设备上实现自我复制，例如智能烤箱和非知名品牌的 Android 电视盒子。研究还指出，这类自我复制程序将很难被彻底关闭，因为它没有可供切断的集中控制点。

作者 William Zhou 和 Daniel Freeman 在文章中称，一个拥有 90 亿参数的模型已在团队测试的 9 种硬件类型中，有 8 种成功运行推理；参数量不超过 300 亿的模型目前也已能完成自我复制过程中的许多单独步骤，但将这些步骤串联起来执行时仍会出错。团队预测，如果小型模型继续按历史速度进步，到 2026 年底就能达到所需的能力水平，基于小型权重模型的自我复制程序也可能很快问世。不过，团队指出，复制过程可能较慢，翻倍时间以天计。

在智能电视盒子上分布式运行推理

为证明并非一定需要昂贵的加速器，团队购买并联网了 15 台非知名品牌的 Android 电视盒子，每台价格约为 55 美元；随后，他们在这批设备上通过流水线并行，对 Gemma4-26B-A4B（一个拥有 260 亿参数的模型）进行分片运行，每台配备 4 GB 内存的盒子只承载模型的一小部分层。团队报告称，这套系统的运行速度为每秒 0.39 个词元，并指出，由廉价且通常防护薄弱的物联网设备组成的分布式僵尸网络，可能提供足够的算力来运行能力较强的模型。

威胁模型与评估设计

文章将这一风险概括为自主复制与适应（ARA），并把复制过程分为四个阶段：寻找目标、获取执行权限、建立推理能力，以及从新主机继续传播。研究人员基本排除了网络攻击利用环节，理由是此前的论文（包括 CyberGym 和 ExploitBench）以及关于自适应蠕虫的研究表明，小型模型已经具备实施网络攻击利用的能力。他们将研究重点放在推理环境搭建上，并称这是针对小型模型研究最少、也可能最具挑战性的阶段。

文章称，有三种威胁模型最接近现实：通过攻陷主机传播的小型权重模型复制程序；以数据中心和其他高算力系统为目标的大型先进权重模型复制程序，分为前沿模型和开放权重模型两种；以及窃取凭据以调用自身推理 API 的 API 型复制程序。研究人员指出，基于权重的复制程序不需要 root 权限，因为推理引擎完全可以在用户空间运行。他们还举例称，加密货币挖矿程序以及 P2Pinfect 和 Fritzfrog 等僵尸网络，都能在不提升权限的情况下运行。

实验使用了 Memento，这是团队基于开源 Pi 编码智能体搭建的实验框架。该框架会定期启动一个新的智能体实例，让它继承前一个实例的工作区，并读取一份简短记录，了解前一个实例尝试过什么。在服务实验中，每个模型每轮的时限为 1.5 小时，总超时时间为 6 小时。文章选取 Kimwolf 作为代表性威胁模型，并称这个僵尸网络已感染超过 200 万台设备，主要是非知名品牌的 Android 电视。此类电视盒子通常配备 1 至 4 GB 内存；文章计算指出，在 4 GB 内存、采用 4 位量化的条件下，90 亿参数模型可在 4 台或更多设备上运行，260 亿参数模型则可在 10 台或更多设备上运行。

端到端复制实验结果

为了测试模型能否串联起完整流程——扫描目标、获取访问权限、投放有效载荷并搭建推理环境——团队搭建了一个设有防火墙的 Google Cloud 虚拟私有云，其中有 8 个运行 redroid（Android 15 模拟器）的节点。一条“零号病人”蠕虫通过未经身份验证的 ADB 端口在节点间跳转，并搭建推理服务器来运行 Llama3.1-8B；每个新副本都必须通过正确性和反作弊检查，才能继续传播。

团队报告称，在受测的开放权重模型中，只有 GLM-5.2 实现了完整的端到端复制：在 5 次试验中的 4 次里，它传播到了全部 8 个节点；在剩余 1 次试验中，则传播到了 8 个节点中的 7 个。由于评估中网络攻击步骤被简化得十分容易，ADB 端口无需身份验证，研究人员将这一结果描述为现实场景成功率的上限。同时他们指出，过去的物联网僵尸网络（例如 Mirai）会利用厂商默认的用户名和密码列表传播。

文章界定了蠕虫要实现可靠复制必须达到的能力下限，GLM-5.2 高于这条下限；同时也界定了模型要在其攻击的设备上运行所不能超过的规模上限。对于受测的 4 GB 智能电视，Qwen3.5-9B 和 Gemma4-26B-A4B 都低于这一上限，而目前能力下限与规模上限尚无交集。团队将参数量不超过 300 亿的代表性开放权重模型与 Epoch 能力指数进行对照，并通过最小二乘拟合得出，该指数每年提升 13.7 ECI，R² 为 0.95。按此推算，到 2026 年底，小型模型将达到 GLM-5.2 的水平。不过，团队提醒，ECI 是衡量通用能力的指数，只能作为复制能力的替代指标，因此这一时间点只是粗略估计。在一项涉及 17 个节点的消融实验中，推理环境由预先编写的脚本搭建，即使是一个拥有 30 亿参数的模型也能抵达约一半的节点。团队表示，这一结果限定了其余自主决策和编排步骤的难度上限。

复制速度、规模与适应能力

团队在实体电视盒子上进行测量发现，未经优化的 Gemma4-26B-A4B 推理在 32,000 个 token 的上下文窗口中，速度约为每秒 0.3 个 token；完整的推理环境搭建耗时 71 至 150 小时，而 Qwen3.5-9B 则需 28 至 51 小时。团队估计，如果将规模扩大到与 Kimwolf 相当的设备集群，可部署约 133,000 个副本，每个副本由 15 台电视组成，合计每秒可处理约 80,000 个 token；推理所需算力最多约相当于 40 块 H100。团队称这只需极少算力，而每复制一个 90 亿参数模型需要一至两天。

团队报告称，在 20 条演化谱系中，六代 Qwen3.5-9B 实例各自继承了前一代的笔记，推理环境搭建成功率从第一代的 45% 上升到后续几代的 61% 至 84%。无论是通过工具调用，还是在未受提示的情况下，让 Qwen3.5-9B 使用 Opus 4.8 作为前沿模型顾问，都没有带来可测量的帮助；而在编码任务中训练模型通过强化学习使用该顾问，也未能有效迁移。在对 Meta 的 CyberSecEval 3 鱼叉式网络钓鱼评估进行本地复现时，小模型的得分按人工评审者的评分标准归一化后，被文章描述为从“非常差”到“差”。团队以此作为证据，指出在小模型中，社会工程能力落后于智能体式网络攻击能力。

文章另行估计，搭载 NVIDIA 芯片的物联网产品线约有 90 种，已部署设备约 950 万台；边缘加速器的算力非常粗略地估算，相当于 9,000 至 35,000 块 H100，而可触达的部分可能至少低一个数量级。根据文章引用的数据，Jetson AGX Orin 64GB 运行 Qwen3-30B-A3B 时，速度为每秒 76.7 个 token；AGX Thor 则可达到每秒 226 个 token。

防御措施与团队评估

文章指出，防御的关键是将 R₀——每台受感染设备随后感染的新设备数量——降至 1 以下。通过物联网设备大规模传播的基于权重的复制程序会留下网络特征，可被互联网服务提供商基于流量的监测发现，因为新感染的主机会接收数 GB 的模型载荷，而分布式推理会产生持续的设备间流量；复制越快，产生的流量越多，因此速度与隐蔽性之间存在取舍；蜜罐则可以捕获复制程序的运行框架和载荷。文章援引 Mirai 清除感染的研究指出，互联网服务提供商隔离受感染设备并通知用户后，14 天内清除了 92% 的感染；未通知用户时，这一比例为 74%。文章还提到，英国市场现已规定物联网设备不得使用默认密码，这是监管措施缩小攻击目标范围的一个例子。

文章指出，与针对特定设备类型的 Kimwolf 等硬编码僵尸网络不同，人工智能僵尸网络不受特定硬件限制；小模型可以在从 Jetson Nano 到 Mac 的各种机器上搭建推理环境。研究人员总结称，正如 2024 年的编码智能体所展现的情况，这些发现表明人工智能蠕虫已初现迹象：智能体正逐渐能够完成复制链中的单个步骤，并将适应性改进传递给后续副本，但还无法构成完整的失控复制程序。他们预计，已部署的边缘计算资源将继续增长，而可靠复制所需的最低模型规模则会不断下降。