FRONTIER · 黑箱与安全

15 台 55 美元的电视盒子串起来跑 26B 模型——自我复制的 AI 不需要数据中心，也就没有总开关可以关

AI models may be capable of self-replicating without access to a datacenter

William Zhou 与 Daniel Freeman · Anthropic Frontier Red Team Anthropic 专做前沿能力红队测评的那个组，第 37 篇（agent 互相投毒）和第 63 篇（一张随手拍定位到 37 公里）都出自这里；本文的直接前作是第 31 篇那只在 GPU 集群里爬的自适应蠕虫，这次把问题反过来问：不给它显卡会怎样

2026 年 10 月

为什么选它「AI 蠕虫」这个词喊了三年，这是第一篇把它拆成可测的工程步骤、并指认出瓶颈的文章——难的不是黑进去，是黑进去之后在陌生机器上把模型跑起来。读完能拿到两个别处没有的数：能力地板卡在哪个模型，两百万台电视盒子凑起来值几张 H100。

10 月 12 日，Anthropic 的 Frontier Red Team 放出一段视频：15 台网上买来的山寨 Android 电视盒子，单价 55 美元、4GB 内存，用网线串在一起，每台只装模型的两层，合起来跑一个 26B 的 Gemma4，速度 0.39 tokens/秒。慢得可笑，但它在回答一个很具体的问题——一个会自我复制的 AI，到底需不需要数据中心。这篇给的答案是不需要：论文测的 9 类硬件里，一个 9B 模型在其中 8 类上自己把推理服务搭了起来；而这样一个复制体分散在别人家的电器里，没有总开关可以关。

值得读的是它的拆法。过去三年「AI 蠕虫」一直被当成一个吓人的词在用，很少有人说清它到底卡在哪一步。这篇把自主复制拆成四段——找到目标、拿到执行权、把推理跑起来、从新宿主继续往外传——然后明确跳过前两段，理由是 CyberGym、ExploitBench 和第 31 篇那只自适应蠕虫已经证明小模型会打漏洞，只死磕第三段。这个取舍本身就是结论：整条链子上最难的不是黑进去，是黑进去之后在一台陌生机器上把模型跑起来。而这件事恰好是以往安全评测的盲区，因为它根本不像攻击，像装环境。

最难的一步，是装环境

难在哪写得很实在：挑一个兼容的推理栈、找对各个包的版本、调这台机器特有的毛病——一长串前后依赖的决定，错一步很难回头。论文举的例子是某个 Qwen agent 花几小时调包版本，真正的 bug 却是它实现的接口跟打分器对不上。为此作者写了个叫 Memento 的脚手架：定期掐掉当前实例，换一个新实例接手同一个工作目录，外加前一任留下的一小段笔记，专治 agent 钻牛角尖。还有一个常被忽略的前提：这类复制体不需要 root。推理引擎跑在用户态就够了，而这些低安全设备重启后再感染一次本来也不费事。模型切分用流水线并行而不是张量并行，理由不是快，是容错——张量并行死一个节点整副模型就垮，流水线并行可以换一台补上。

能力地板和尺寸天花板，什么时候相交

端到端那组实验搭在 8 个跑 Android 模拟器的 GCP 节点上，隔离在一个防火墙 VPC 里。零号病人带着蠕虫，之后每一次感染都是蠕虫自己通过一个没设认证的 ADB 端口跳过去、把权重和脚手架送过去、再架起 Llama3.1-8B 的推理服务；要通过正确性和防作弊检查，才允许它在新节点上再生一个自己。结果很干净：测的这批开源权重模型里只有 GLM-5.2 能走完全程——五次试验里四次拿下全部 8 个节点，另一次 7 个；其余模型稳定地失败。作者自己点明这是上限估计，因为那个 ADB 端口压根没有认证；但也提醒，当年 Mirai 靠的就是一张厂商默认密码表，现实里的 IoT 门槛未必高多少。由此引出一组很好用的说法：复制需要越过一个能力地板，设备内存又压着一个尺寸天花板。今天两者还不相交——GLM-5.2 在地板之上但装不进去，9B 和 26B 装得进去但在地板之下。按 30B 以下开源模型在 Epoch 能力指数上每年 +13.7 的拟合，交点落在 2026 年底。

它会把经验传给下一代，但不会向前沿模型求助

ARA（autonomous replication and adaptation，自主复制与适应）里的那个 A 指适应，这篇把它做成了可测的东西：让每一代 Qwen3.5-9B 留下试过哪些策略、踩了哪些坑，下一代继承这份笔记再做同一件事。六代下来，装环境的成功率从 45% 爬到 61%–84%，全程没有任何训练，一次梯度更新都没有。作者管这叫拉马克式进化——后天获得的本事直接传给后代。与之对照的另一组实验反而让人松一口气：给小模型配一个前沿顾问（Opus 4.8），无论做成工具调用还是在它卡住时主动投喂，都没有可测的提升，连专门用强化学习教它求助也不行；小模型根本不知道该问什么。鱼叉式钓鱼同样很差，按人工评分口径只在「很差」到「差」之间。所以更现实的威胁形态不是一群小模型自己开会，而是一个大模型管战略、把小模型当子代理撒出去。

它能有多快，以及怎么打

速度这段最泄气、也最有用。在真电视盒子上，26B 模型跑完一个 32k 上下文窗口要 27–32 小时，完成一整次装环境要 71–150 小时；换 9B 快些，28–51 小时。拿历史上那个感染了两百多万台设备、主要是山寨安卓电视的僵尸网络当尺子：每 15 台跑一个副本，约 13.3 万个副本，合计 8 万 tokens/秒——折算下来大约等于 40 张 H100，少得可怜。作者自己的比喻是黏菌或者一群果蝇，按天繁殖。防守侧因此有抓手：目标是把 R₀（每台感染设备平均再传染几台）压到 1 以下；几 GB 的权重传输和设备之间持续不断的推理流量，在 ISP 的流量监控里是明显异常，复制越快越藏不住；而 Mirai 当年的处置记录给了一个真实数字——隔离加通知在 14 天内清掉 92% 的感染，只隔离不通知是 74%。

这篇真正动到的，是「关掉它」这件事的前提。过去几年几乎所有治理设计都默认算力是咽喉：管芯片出口、管数据中心、设训练算力阈值——因为能力和算力绑在一起，而算力有地址、有电表、有产权人。这篇指出那条绑定只对前沿能力成立。四十张 H100 等效的算力在能力榜上什么都不是，可一旦它分散在两百万台别人家的电视盒子里，就没有机房可以断电、没有公司可以传唤、没有账号可以封。能力上限和可关停性，第一次被摆明是两个独立的轴。第 31 篇那只蠕虫偷的是显卡，逻辑还是「算力在哪我去哪」；这篇把问题反过来问——不给它显卡会怎样，答案是它变慢，但不消失。但别把它读成警报。作者的措辞是「signs of life」，而且诚实得有点扫兴：端到端那组实验的 ADB 端口没有认证，等于把最难的攻破环节送给了模型，他们自己标明这是上限；复制一轮要一两天，社工能力烂到不能用，几 GB 的权重在网络里拖来拖去是教科书级别的特征流量。用 R₀ 来框这件事是对的——这东西的危险不在单次攻击有多狠，在于它能不能常驻。整篇最该记住的一个数是 45% 到 84%。六代传笔记，不训练、不改权重，装环境的成功率翻了近一倍。这才是 ARA 里那个「适应」第一次被量出来，而且它便宜得吓人——不需要 GPU，不需要数据，只需要上一代留下的半页经验。更值得咂摸的是，这个机制和作者为了把评测跑准而发明的 Memento 脚手架是同一件东西：红队为了测准能力造的工具，本身就是威胁链上缺的那一环。这在红队研究里不是第一次，但这次格外直白。有一个容易被跳过的否定结果，其实是承重墙：前沿顾问帮不上忙。小模型拿到 Opus 4.8 的建议也不会变强，因为它不知道该问什么。今天的能力地板之所以还在 GLM-5.2 那个高度，一半要归功于这件事。哪天它翻转了——小模型学会了把自己卡住的地方描述清楚——地板会塌掉一大截，而那条路比「小模型自己变聪明」快得多。这值得单独立一个观察指标。「2026 年底」这个时点别当预测用。它是把 Epoch 能力指数（一个通用能力综合分）当成复制能力的代理，对每个时间点上最好的那几个 30B 以下模型做最小二乘外推得来的。R²=0.95 听着漂亮，但那是对少数几个「当期最优」点的拟合，不是对能不能复制这件事的直接测量，作者自己在正文里就写了只是粗估。最后，这篇和第 39 篇撞上了。唯一越过地板的 GLM-5.2 是开源权重模型——那份「权重放出去之前该测什么」的放行清单上，现在多了一条很具体的待测项：这个权重有没有本事把自己装到一台陌生机器上去。这个问题过去不在任何一家的发布前评估里，因为它看起来太像运维，不像危险能力。

AI 蠕虫自主复制边缘算力开源权重网络安全

去读原文 本文是原创导读，不是原文翻译——真正的细节、证据和微妙之处都在原文里。原文Anthropic Frontier Red Team · AI models may be capable of self-replicating without access to a datacenter：含 15 台电视盒子的演示、各硬件推理速度表与六代继承实验 → 延伸AI Agents Enable Adaptive Computer Worms：第 31 篇的原文，本文跳过前两步所依据的工作之一——那只蠕虫偷的是 GPU → 延伸Petals（Borzunov 等, 2022）：把大模型切片摊到一堆弱机器上协同推理，本文电视盒子集群的技术底子 → 延伸Epoch Capabilities Index：那条「每年 +13.7、年底相交」的外推所用的能力指数，看清它测的是什么再决定信几分 → 延伸Cleaning Up the Internet of Evil Things：Mirai 清剿的真实数据，92% / 74% 这组数字的出处 → 延伸百万级山寨安卓电视僵尸网络的实况报道：本文用来当规模尺子的那类设备，到底有多少、有多不设防 →

上一篇机器人今天就能做掉三成四的工时——算上价钱只剩 0.3%，而卡住它的不是脑子，是手下一篇33 位物理学家出了一份没发表过的考卷，AI 考了 49/50——还顺手改对了专家的标准答案；Anthropic 联创拿这件事上 IMF 讲台说：奇点已经开始了

本文为 AKL AI Club 原创撰写的导读，不是原文翻译；著作权归原文作者所有。篇目由编辑独立选取，来源均经人工核实。