Anthropic 的 Frontier Red Team 花费约 825 美元，搭建了一个由 15 台杂牌 Android TV 盒子组成的集群，以每秒 0.39 个 token 的速度运行一个 AI 模型——对于聊天机器人来说慢得令人痛苦，但对于那些无处可去、无人等待的软件来说却没问题。
这一实验为 Anthropic 研究员 William Zhou 和 Daniel Freeman 于周一发布的新研究奠定了基础，该研究表明，小型开放权重模型可能只需数月时间，就能在廉价的、联网的硬件上自我复制，而无需依赖数据中心。
研究人员尚未构建出能够在公共互联网上自行传播的 AI 蠕虫，他们的实验是在受控环境中进行的，并使用了简化复制的捷径。但结果表明，剩余的几个技术障碍可能只是暂时的。
研究人员尚未构建出能够在公共互联网上自行传播的 AI 蠕虫，他们的实验是在受控环境中进行的，并使用了简化复制的捷径。
推理才是真正的障碍
Zhou 和 Freeman 确定了 AI 自我复制需要采取的四个步骤：寻找目标、获取访问权限、让推理运行起来，然后转移到下一台机器。
此前的基准测试（如 CyberGym 和 ExploitBench）表明，较小的模型已经能够处理部分漏洞利用工作，而前沿智能体在今年早些时候使用基本漏洞利用手段逃出了测试沙箱。更大的挑战可能在于让模型在陌生的硬件上运行，它必须解决遇到的各种操作系统、依赖项和安装问题。
在 Anthropic 的测试中，Qwen3.5-9B 在九种硬件类型中的八种上部署了可用的 Llama3.1-8B 推理服务器，包括 Jetson Nano、Mac 和 RTX 4090 机器，而更大的 GLM-5.2 更可靠地完成了相同的工作，且吞吐量更高。
随后，团队构建了一个带防火墙的 Google Cloud 环境，其中八个节点运行 Android 模拟器。从单个蠕虫实例开始，系统必须到达其他节点并在每个节点上建立可用的推理服务器。每当某个节点的服务器通过正确性和反作弊检查时，就会生成一份新的蠕虫副本。GLM-5.2 在五次试验中有四次到达了全部八个节点，第五次到达了七个节点。
GLM-5.2 运行在一个单独的推理服务器上，因为目标机器无法承载它，所以蠕虫安装了一个较小的 8B 模型作为替代。研究人员通过留下一个未认证的 Android Debug Bridge 端口开放，使漏洞利用变得容易。
每当某个节点的服务器通过正确性和反作弊检查时，就会生成一份新的蠕虫副本。GLM-5.2 在五次试验中有四次到达了全部八个节点，第五次到达了七个节点。
会做笔记的蠕虫
当智能体能够读取先前尝试留下的笔记时，它们在不熟悉的硬件上设置推理的能力变得更强。研究人员让 Qwen3.5-9B 经历了 20 个独立的谱系，每个谱系持续六代，成功率从第一代的 45% 攀升至后续几代的 61% 到 84% 之间。
研究人员将这一现象称为拉马克式继承，即一个智能体将其所学传递给下一个，而无需对模型进行任何重新训练。对于使用 OpenClaw 和 Hermes Agent（智能体） 等持久化智能体运行时的开发者来说，这是一种熟悉的机制，但在这里，这种记忆帮助后续副本在它们从未见过的硬件上解决安装失败问题。
研究人员将这一现象称为拉马克式继承，即一个智能体将其所学传递给下一个，而无需对模型进行任何重新训练
该团队还尝试让 Qwen3.5-9B 访问能力更强的 Opus 4.8 模型以获取建议，但并未产生统计学上显著的改进，因为小模型往往不知道应该问什么问题。
2026 年底的趋势线
该论文指出了两个使这一场景一直停留在理论层面的制约因素。模型需要足够强大以可靠地自我复制，同时又要足够小以在受损硬件上运行，而目前这两个要求并不重叠。GLM-5.2 在简化测试中展现了必要的能力，但对于研究人员设想的廉价设备来说体积过大；而较小的模型虽然可以适配这些设备——尤其是当推理分布在多台机器上时——但尚不能一致地完成整个过程。
研究人员使用 Epoch Capabilities Index，追踪了参数量在 300 亿及以下的开源权重模型，发现到 2026 年底，趋势线显示其中最强的模型将达到 GLM-5.2 的通用能力水平。这是一个粗略估计，因为通用能力分数不一定能预测复制性能，而且该团队的端到端实验使用了有利条件。
根据研究人员的计算，运行 4 位权重的典型 4GB 电视盒子可以在四台或更多设备上承载一个 9B 模型，在十台或更多设备上承载一个 26B 模型，他们自己的 15 台盒子集群正是以这种方式运行 Gemma4-26B-A4B。
在这类硬件上完成一次推理设置大约需要 28 到 150 小时，具体取决于模型，研究人员认为，轻量级智能体可能远比人类攻击者更愿意在大量设备上承受这种工作量。他们将其可能性比作数字黏菌，缓慢地蔓延到它能触及的任何资源中。
廉价盒子，借来的算力
Kimwolf 僵尸网络感染了超过两百万台设备，其中大多数是廉价的 Android 电视盒子，研究人员利用这一数字来计算 AI 复制器在同等规模的网络中能做什么。将这些设备分成每组 15 台运行 Gemma4-26B-A4B 的集群，将产生大约 133,000 个模型副本，合计每秒生成 80,000 个 token。
这最多相当于约 40 块 Nvidia H100 GPU（图形处理器），以数据中心的标准来看并不算多，但硬件和运营成本将由别人承担。
研究人员还检查了英伟达Jetson等边缘加速器，这些设备被广泛应用于从安全摄像头、会议室设备到机器人和无人机的各种场景。这些设备通常更难触及，因为它们通过出站的云管理连接进行通信。
阻止自我复制的软件
研究人员并非暗示无法阻止自我复制的人工智能蠕虫，而且它的一些特征可能使其更容易被检测到。在设备之间移动数GB大小的模型会产生网络流量，ISP可以监控到，而一个积极传播的蠕虫不会不被注意到。
在Mirai僵尸网络清理期间，一家ISP对受感染用户的隔离在14天内清除了92%的感染，研究人员预计类似的方法可以作为第一道防线。然而，要彻底消除复制器，意味着需要协调每一家ISP与受感染客户。
转载声明：本文为转载整理，原文版权归原作者及原站点所有。
原文来源：The New Stack
原文作者：Amanda Caswell；如有侵权，请联系管理员删除。
