Anthropic 测试 AI 自我复制：现在的小模型还做不到，按趋势年底可能追上

先说结论：目前还没有能在网上自己到处复制的 AI。

Anthropic 在一个简化过的实验环境里测了一批开源模型，能完整走完“传到新机器、把模型装好跑起来、再传下一台”整个流程的只有智谱的 GLM-5.2，它太大，塞不进电视盒子这类小设备；塞得进去的小模型都没做到。

按小模型过去的进步速度，Anthropic 估计今年年底就会有小模型达到 GLM-5.2 在这项测试里的水平，之后可能出现能在廉价联网设备上自我复制的 AI。

这项研究是 Anthropic 前沿红队（Frontier Red Team，专门评估模型危险能力的团队）10 月 12 日发布的。

【AI 自我复制是什么意思】

电脑蠕虫是一种不用人操作、自己从一台机器复制到下一台的恶意程序。Anthropic 担心的是 AI 版本的蠕虫：把模型权重（模型本体文件）当成病毒的一部分带着走，每占领一台设备，就在上面把模型跑起来，再由这个模型去找下一个目标。

它和传统病毒的区别在于能自己摸索陌生设备。传统僵尸网络（被黑客控制的大批设备）一般只针对某一类设备写死攻击代码，AI 蠕虫碰到没见过的硬件，可以自己查、自己试。它也没有一个中心开关，很难一次性关掉。

【离真能用还差多远】

Anthropic 把复制拆成四步：找目标、拿到执行权限、在新设备上把模型跑起来、从新设备继续传播。前两步属于黑客攻击，已有其他研究表明小模型能做，这次没有重点测。

重点测的是第三步。在陌生机器上让模型跑起来，要挑对推理软件、装对版本、排查这台机器特有的问题，一步卡住后面全卡住。

测试中，90 亿参数的 Qwen3.5-9B 在 9 类硬件里的 8 类上成功搭起了推理服务。这 9 类硬件大多是云服务器，从 Mac、RTX 4090 到数据中心显卡都有，另有两块实体小开发板，没有电视盒子。

然后是完整流程。研究团队搭了 8 台运行模拟安卓系统的云服务器，放一只蠕虫进去，看它能不能自己扫描网络、连上别的机器、把文件传过去、搭好推理服务、再继续传。

Qwen3.5-9B、Gemma4-26B-A4B 等模型每次都一台也没传成；GLM-5.2 在 5 次测试里有 4 次传遍 8 台，1 次传到 7 台。

这个结果有三个前提。

第一，入侵环节被简化到几乎没有难度：这些机器的 ADB 端口（安卓的调试接口）不设密码，连上就能操作，Anthropic 自己说这是现实成功率的上限。不过它也提到，当年的 Mirai 僵尸网络就是靠挨个试厂商默认用户名和密码传开的，现实中很多联网设备的防护未必比这强多少。

第二，蠕虫的“大脑”GLM-5.2 并不在被感染的机器上运行，而是放在另一台服务器上，因为这些机器跑不动这么大的模型。它在每台机器上搭起来的是更小的 Llama3.1-8B。实验想说明的是：如果一个 80 亿参数的小模型有 GLM-5.2 的本事，它就能把自己装到新机器上。

第三，“年底追上”是根据一个通用能力指数（ECI）的趋势线推算的。通用能力只能间接反映复制能力，Anthropic 也说这只是粗略估计。

【为什么盯上电视盒子】

模型要自己跑起来，得有能跑模型的设备。数据中心防护严，家用和小企业的联网设备便宜、常年在线、安全措施少，是更容易下手的目标。Anthropic 举的典型是白牌安卓电视盒子：这类盒子多用安卓开源代码改的系统，厂商不额外加安全功能，内存 1 到 4GB。此前的 Kimwolf 僵尸网络就感染了 200 多万台设备，主要是这类盒子。

一台盒子跑不动模型，可以把模型切成几段，分给多台盒子接力计算。Anthropic 买了 15 台约 55 美元、4GB 内存的白牌安卓电视盒子，把 Gemma4-26B-A4B 拆开分到上面，跑出了每秒 0.39 个 Token。

这个演示是研究人员自己部署的，用来说明这类设备凑在一起算力够用。文中还提到，智能冰箱、智能烤箱、扫地机器人、割草机也能分担一段模型，自带 AI 芯片的监控摄像头、视频会议设备会更有吸引力。

【真出现了会怎样】

传得慢。按电视盒子上的实测速度，Qwen3.5-9B 完成一次推理环境搭建要 28 到 51 小时，Gemma4-26B-A4B 要 71 到 150 小时。Anthropic 算了一笔账：如果像 Kimwolf 那样感染 200 万台盒子，每 15 台跑一份 Gemma4-26B-A4B，大约有 13.3 万个副本，总算力最多相当于 40 块 H100 显卡。它把这种蠕虫比作黏菌或果蝇群，数量翻一倍要好几天。

会积累经验。实验让 Qwen3.5-9B 每一代把试过的办法和踩过的坑写成笔记传给下一代，搭建成功率从第一代的 45% 升到后几代的 61% 到 84%。给小模型配一个 Opus 4.8 当顾问则没有明显帮助，小模型不知道该问什么。

防得住一部分。大量设备互传几个 GB 的模型文件、设备之间持续高流量通信，在运营商的流量监控里会很显眼，传得越快越容易暴露。当年清理 Mirai 时，有运营商把被感染用户的网络隔离起来并通知他们处理，14 天清掉了 92% 的感染，不通知的只清掉 74%。

Anthropic 认为类似做法对 AI 蠕虫也有效，但要彻底清除，得每家有感染的运营商都配合。设备厂商可以从源头减少目标，比如在英国市场，联网设备用默认密码已经不合规。

原文没有给普通用户的具体建议。从文中描述的攻击途径推断，家里来路不明的廉价电视盒子、没改过默认密码的联网设备，是最值得留意的。