Anthropic 测试警告：小型人工智能模型正接近通过廉价设备自我复制

Anthropic 旗下 Frontier Red Team 团队在一组由 15 台低成本 Android TV 设备组成的设备群上运行了人工智能模型。这些设备的组装成本约为 825 美元。该实验旨在研究小型人工智能模型距离通过联网设备自我复制还有多远。这些硬件的运行速度为每秒 0.39 个 token，对于通常的交互而言十分缓慢，但对于无需等待用户的程序而言可能已经足够。

这项研究并不意味着 Anthropic 已构建出能够在公共互联网中自动传播的人工智能蠕虫。实验是在隔离环境中进行的，并采用了便于访问设备的简化措施和假设。不过，研究人员 William Zhou 和 Daniel Freeman 发布的结果表明，剩余的一些技术障碍可能只是暂时性的。

复制链条的四个环节

研究确定了蠕虫要复制自身所需的四项任务：找到目标、获得目标访问权限、运行推理，然后转移到另一台设备。研究人员认为，较小的模型已经展现出实施利用所需的部分能力，而在陌生硬件、操作系统和依赖环境上运行模型，则构成最大的挑战。

在测试中，Qwen3.5-9B 成功在九种硬件中的八种上配置了运行 Llama3.1-8B 模型的推理服务器，硬件包括 Jetson Nano、Mac 设备以及配备 RTX 4090 显卡的计算机。GLM-5.2 的可靠性和吞吐量更高，但体积太大，无法直接在目标设备上运行。

在受防火墙保护的 Google Cloud 环境中，八个节点运行着 Android 模拟器。GLM-5.2 在五次尝试中的四次访问了全部八个节点，在第五次尝试中访问了七个节点。GLM-5.2 运行在一台独立服务器上，而蠕虫则在目标设备上安装了一个较小的 8B 模型。此外，一个未记录在案的 Android Debug Bridge 端口保持开放，这一因素未必反映真实网络条件。

记忆提升了复制成功率

当后续副本能够读取此前尝试留下的笔记时，代理配置推理的能力有所提升。在让 Qwen3.5-9B 运行 20 个谱系、每个谱系持续六代后，成功率从第一代的 45% 提升到后续几代的 61% 至 84% 区间。

研究人员将这种方法称为“拉马克式遗传”，因为经验能够从一个副本传递到另一个副本，而无需重新训练模型。至于让 Qwen3.5-9B 向更强大的 Opus 4.8 模型寻求建议，则没有带来具有统计显著性的改善，因为较小的模型并不总是知道应当提出哪些正确问题。

这在实际中会带来什么变化？

当前的矛盾在于，能够完成整个复制过程的模型通常大到无法在被攻陷的设备上运行，而适合这些设备的小型模型又无法足够稳定地完成任务。研究人员估计，配备 4GB 内存的 TV 设备可以运行分布在四个或更多单元上的 9B 模型，以及分布在十个或更多单元上的 26B 模型。Anthropic 由 15 台设备组成的集群运行的是 Gemma4-26B-A4B 模型。

根据模型不同，在这类设备上配置一次推理可能需要 28 至 150 小时。但软件代理不需要人类般的耐心，这使得在海量设备中缓慢传播成为一种不同于传统快速攻击的可能性。

根据感染了超过 200 万台设备的 Kimwolf 网络（其中大多数是廉价 Android TV 设备），研究人员计算称，将相同数量的设备划分为每组 15 台的集群，可能产生约 13.3 万个模型副本，总速度接近每秒 8 万个 token。这种能力相当于不超过约 40 个 Nvidia H100 图形处理单元，但代价是使用由其他方拥有的设备和运行成本。

风险边界与检测方式

这些结果仍远未证明互联网上存在能够自我传播的蠕虫。测试依赖开放端口和受控环境，而研究人员关于 2026 年底的估计基于模型能力的总体趋势，并不能保证在实际复制过程中取得类似表现。

另一方面，传播要求也可能使此类软件能够被发现：在设备之间传输数 GB 大小的模型会产生网络流量，互联网服务提供商可以对其进行监控。研究指出，隔离受感染的订户可能成为第一道防线；在应对 Mirai 网络时，某家服务提供商采取措施后，曾在 14 天内清除了 92% 的感染。不过，要彻底消除副本，需要所有网络中包含受感染设备的服务提供商进行协调。