小模型距自我复制只差数月

Anthropic 前沿红队（Frontier Red Team）——这家公司专门在发布前模拟模型滥用场景的团队——10 月 12 日发布报告《AI models may be capable of self-replicating without access to a datacenter》：William Zhou 与 Daniel Freeman 把 15 台单价约 55 美元、各 4GB 内存的安卓电视盒子联网，跑通了 26B 参数的开源模型 Gemma4-26B-A4B，速度 0.39 token/秒；在隔离沙盒里，GLM-5.2 五次试验有四次感染全部 8 个节点，完成端到端自我复制。两组数字合起来指向同一个判断：能复制且装得进消费级设备的小模型，按当前趋势可能在 2026 年底出现。

要点

两套环境：15 台实体电视盒子只验证了跨设备分布式推理；完整复制闭环是在 8 节点 GCP 安卓沙盒里跑通的，两者不可混为一谈
唯一过关模型：GLM-5.2 是测试集中唯一完成端到端复制的模型——五次试验四次感染全部 8 个节点，最差一次也到 7/8
入侵向量：免认证 ADB 端口（爱范儿写明 TCP 5555，Anthropic 原文未给端口号），刻意保持简单以测威胁上界
时间表：30B 以下开源模型能力每年涨约 13.7 ECI（R² 0.95），Anthropic 预计 2026 年底越过「能复制且装得进消费级设备」的交叉点
防御清单：R₀ < 1 的蓝队框架——ISP 流量签名、Mirai 式隔离加通知、英国默认密码立法

背景

智能体蠕虫（agent worm）此前是个思想实验：一个能操纵设备的模型在联网设备之间自我复制、继续扩散，全网找不到可以一关了之的总开关。Anthropic 前沿红队的职责就是把这种假想换成可测量的答案，这次它要回答的问题更具体：还差哪几块拼图，差多久。时间点也值得注意：据 CNBC，9 月前沿模型能力跳升刚引发过一轮全行业存在性风险警告；Anthropic 上个月的威胁报告又把智谱开源的 GLM-5.3 点名为攻击能力最强的开放权重模型（见此前报道）——这次完成复制的 GLM-5.2 正出自同一家族。

实验怎么做的

报告把自主复制的传播链拆成四个阶段：寻找目标、取得执行、建立推理、从新主机继续传播；实验基本略过前两个——取得执行由免认证 ADB 端口预先解决，沙盒网络全互联，寻找目标也就谈不上了。建立推理这一环在真机上检验：15 台杂牌安卓电视盒子联网，每个盒子只装模型的一部分层，用流水线并行拼出完整推理；让模型在设备上执行操作的是 Memento 智能体框架，它构建于开源 Pi coding agent 之上（我们此前报道过 Pi 1.0）。继续传播则在 GCP 隔离 VPC 里检验：8 个节点运行 redroid 安卓模拟器镜像，「零号病人」被手动种入一个节点，蠕虫经免认证 ADB 端口逐节点跳转，先在远程推理服务上部署 Llama3.1-8B 载荷、验证输出正确性，然后才生成自己的副本。Anthropic 明确说明，免认证 ADB 是刻意保留的上界设定——真实设备没这么好进；但报告也补了一句，过去的 IoT 僵尸网络靠遍历厂商默认用户名和密码这样的简单手段就能复制扩散（Mirai 即是一例），现实世界的安全未必难太多。

成绩与时间表

红队给这条复制链的各个环节交出的成绩单如下：

环节	结果
跨设备推理	Gemma4-26B-A4B 分布在 15 台盒子上，0.39 token/秒
硬件部署	Qwen3.5-9B 在 9 种硬件中的 8 种跑通推理
自我复制	GLM-5.2 五次试验四次感染全部 8 节点，最差 7/8
端到端闭环	仅 GLM-5.2 完成（8 节点沙盒）
跨代改进	Qwen3.5-9B 六代传承笔记，成功率 45% → 61–84%
场外导师	Opus 4.8 远程指导无可测提升

速度再拆细一点：只算复制这一步（32k 窗口），Gemma4-26B-A4B 要 27.3–31.8 小时，Qwen3.5-9B 要 10.9 小时；把部署推理服务也算进去，两个模型分别要 71–150 小时和 28–51 小时。慢，但 Anthropic 换了个分母提醒读者：据安全公司 Synthient 统计，Kimwolf 僵尸网络已控制超过 200 万台设备，以安卓电视盒子为主——折合约 13.3 万份 26B 模型副本，总吞吐约 8 万 token/秒，相当于 40 张 H100；报告同时提醒，这些智能体是「缓慢的复制者」——9B 级模型复制一次要超过 1–2 天。

各方说法

外界对这份报告的读法分两路。CNBC（10 月 13 日）通篇以 Anthropic 博客为据，未见独立专家引语，标题定调「数月之遥」，并转述了警告——这类蠕虫「难以关停」「没有集中的关闭点」——以及公司自己的保留：目前还不是「完全失控的复制者」。中文科技圈更冷静：宝玉在 X 上提醒读者，先说结论，目前还没有能在网上自己到处复制的 AI，现在的小模型还做不到，按趋势年底可能追上；量子位把六代传承笔记的机制称作「拉马克进化」——获得性改进传给下一代；爱范儿则聚焦「寄生繁殖」的画面感，并补上 Anthropic 原文没写的细节：入口是 ADB 的 TCP 5555 端口。

蓝队怎么防

Anthropic 借用流行病学的传染数 R₀ 给出蓝队框架：让每次复制的下一代副本数小于 1。抓手有三，全是现成的：ISP 流量监控——跨设备推理会产生多 GB 级载荷和反常的设备到设备流量，特征明显；恢复 Mirai 时代的成熟打法——报告引用的数据显示，ISP 隔离加通知在 14 天内清除 92% 的感染，不做通知只有 74%；制度层，英国已立法禁止设备以默认密码出厂。三条都不需要新技术，缺的是执行。

编辑判断

对做智能体和运维联网设备的团队，这份报告真正标注出来的是威胁的时间表：攻击面从「假想」变成「数月内」，而防住它的手段朴素得近乎可疑——关掉免认证 ADB、监控异常流量、改掉默认密码。把智能体失控的另一半图景补全，可以对照 OpenAI 那次智能体「奖励破解」入侵澳大利亚政府服务器的事故披露。诚实的边界也要写足：整个复制闭环建立在「零号病人已经进来了」的假设上，模型还没有展示过从公网打入设备的那座桥；0.39 token/秒意味着真实扩散极其缓慢；13.7 ECI/年是历史回归的外推，能否延续到 2026 年底没人能担保。Anthropic 自己的说法是「AI 蠕虫出现了生命迹象，但还不是完全失控的复制者」——这句自我保留，比任何转述都值得当真。