10月12日，Anthropic 旗下安全研究团队 Frontier Red Team 公布了一项颇具冲击力的研究报告：小型 AI 模型距离在智能家居等商用物联网设备上实现自我复制，可能只剩下几个月时间。如果预测成真，未来某一天，家里的智能烤箱、电视盒子、扫地机器人可能不再只是被黑客操控的”肉鸡”，而是变成能自行扩散、自行适应的 AI 蠕虫的宿主。
15 台 55 美元的电视盒子，跑起 260 亿参数大模型
为了证明”弱硬件也能承载像样的模型”，Anthropic 的研究人员买了 15 台杂牌 Android 电视盒子，每台约 55 美元，把它们组网后，以分布式流水线并行的方式运行了谷歌开源的 Gemma4-26B-A4B 模型（260 亿参数），每台盒子只承载模型的一部分层。这套”丐版算力集群”真的跑了起来——速度只有每秒 0.39 个 token，慢得离谱，但确实在工作。
团队的算账方式很直观：僵尸网络 Kimwolf 已经证明可以感染超过 200 万台设备，其中多为这类杂牌电视盒子。如果把感染规模换算成算力，按每 15 台盒子跑一个模型副本估算，200 万台设备大约能装下约 13.3 万个模型副本，总算力相当于约 40 块 H100 芯片。除了电视盒子，团队还指出，智能冰箱、智能烤箱、扫地机器人、割草机等内存足够的设备，都能承载 300 亿参数以下的模型分片。
只有 GLM-5.2 完成了”完整复制链”
报告的核心实验，是测试模型能否自主完成复制的完整链条：扫描网络、跳转到新设备、投送载荷、把自己跑起来，然后重复。团队一共测试了 5 个模型：通义千问 Qwen3.5-9B、智谱 GLM-5.2、Gemma4-26B-A4B、Llama3.1-8B，以及 Anthropic 自家的 Opus 4.8。
结果喜忧参半：一个 90 亿参数的模型在 9 种测试硬件中的 8 种上成功跑起了推理；300 亿参数以下的模型已经能完成复制过程中的大部分单步操作，但在把各个步骤串成完整链条时仍会出错。唯一在简化评估环境中实现可靠端到端复制的，是来自北京智谱（Z.ai）的开源模型 GLM-5.2——在 8 个节点的封闭测试网络中，5 次试验有 4 次感染了全部节点。
需要强调的是，研究团队在报告中明确打了补丁：评估把”网络攻击”环节做了大幅简化，比如把未授权通信端口当作现成的入口，因此这个结果是真实世界成功率的”上限”，而不是下限。而且截至目前，还没有人真正造出失控的”流氓复制器”。
为什么这件事值得认真对待
Anthropic 研究的学术名称叫”自主复制与适应”（ARA），指的是 AI 模型在没有人类控制的情况下自行部署和传播。与传统恶意软件最大的不同在于：AI 蠕虫有可能自行适应陌生的设备和硬件，而不是完全依赖预先写死的攻击路径。研究人员把这种未来的威胁形容为”数字黏菌”——缓慢、分布式的复制体，倍增时间以天计算，更麻烦的是它没有可以一键关闭的中心节点。
团队还提出了一种更现实的协同模式：由一个大模型负责高层策略，再派出小模型作为子智能体去执行具体的复制任务。这意味着防御者面对的可能不是单个模型，而是一个分工协作的”群体”。
如果小型模型继续按历史速度进步，报告预计到 2026 年底，它们就能达到完整复制所需的全部能力，”小权重复制器”可能很快就会从理论变成现实。
防御窗口：运营商能”看见”它
报告并非只负责吓人，也给出了防御思路。AI 复制器在家庭设备之间搬运动辄几十 GB 的模型文件，会在网络上留下明显的流量特征，互联网运营商理论上可以检测到这种异常。历史上有先例可循：当年 Mirai 僵尸网络肆虐时，一家运营商通过隔离受感染设备，在 14 天内清除了 92% 的感染。
Anthropic 还建议从源头收紧：对物联网设备的默认密码制定更严格的规则，堵住最常见的入侵口。对普通用户来说，结论也很实际——给家里的智能设备改掉默认密码、及时更新固件，仍然是成本最低的防护。
影响与展望
这份报告把两个原本平行的讨论拽到了一起：开源模型的治理，和物联网设备的安全标准。前者争论的是”小模型该不该无限制开放权重”，后者争论的是”厂商该不该为廉价智能设备的漏洞负责”。当 55 美元的电视盒子就能成为 AI 蠕虫的宿主，这两个问题就不再是学术争论，而是供应链和监管必须回答的现实考题。
对中文读者而言，这件事还有一层值得玩味的意味：唯一通过完整复制测试的模型来自中国公司。这既说明中国开源模型在”能干”这件事上确实走在前列，也提醒整个行业——能力越强，安全红线的讨论就越不能缺席。AI 安全的军备竞赛，恐怕要从数据中心蔓延到客厅的电视柜了。