「蠕虫式 AI」还有几个月？Anthropic 实测：15 台 $55 电视盒子跑起 26B 模型，智谱 GLM-5.2 走通「自我复制」全流程

先说结论

• Anthropic 的 Frontier Red Team 在 10 月 12 日发布了一份安全研究报告（作者 William Zhou、Daniel Freeman），核心判断是：小型开源模型离「自我复制」只剩几个月，如果按历史速度进步，今年底就具备在消费级 IoT 设备上完成完整复制链的能力。
• 最震撼的硬件演示：15 台每台约 55 美元的杂牌 Android 电视盒子联网，分布式跑起了 260 亿参数的 Gemma4-26B-A4B，速度 0.39 tokens/秒——慢到不能用，但证明了「廉价硬件也能承载大模型」。
• 智谱 GLM-5.2 是唯一走通全流程的开源模型：在 8 节点隔离仿真网络里，5 次测试有 4 次完整覆盖了全部 8 个节点（网络扫描→入侵→部署→扩散）。Qwen3.5-9B 在「部署推理环境」单项上表现突出，9 种硬件适配了 8 种。
• 边界必须看清：实验把「入侵」环节设成了 trivial 难度（开放的调试接口、无需验证），结论是真实世界成功的上界，而不是下界；今天并不存在野生的 AI 蠕虫。9B 级模型完成一轮复制要 1~2 天，速度极慢。
• 对普通用户的意义：防御靠流量指纹、ISP 隔离和消除默认密码；但更深层的信号是——开源小模型正在变成「可以在任意硬件上跑的软件主体」，自托管和 IoT 安全话题从此要重新算账。

这次实验到底做了什么

Anthropic 的 Frontier Red Team 花了几个月，把完整「自我复制」链条拆成了四个阶段来测试：发现易受攻击设备 → 入侵 → 安装模型并本地运行 → 利用立足点继续感染。这不是拍脑袋的推演，而是真刀真枪地搭硬件跑出来的。

硬件部分最有画面感。团队买了 15 台杂牌 Android 电视盒子，每台约 55 美元、4GB 内存，把它们联网，然后把 Gemma4-26B-A4B 这个 260 亿参数的 MoE 模型按流水线并行的方式切分到这 15 台设备上跑。0.39 tokens/秒——写完一句话要等半分钟，完全没法用。但 Anthropic 要证明的根本不是「好用」，而是不需要任何云、任何数据中心，一堆电视遥控器级别的硬件就能托管一个 26B 模型。

复制链条的测试在隔离仿真网络里进行。研究员重点考察的是最难的一步：让模型自己在一个从没见过的设备上把 AI 推理环境装起来。这考验的不是模型的知识量，而是它作为 agent 的动手能力——解依赖、配运行时、跨 ARM64/x86 异构节点折腾。

五个模型，谁通过了哪一关

测试一共用了五个模型：Qwen3.5-9B、GLM-5.2、Gemma4-26B-A4B、Llama 3.1 8B，以及 Anthropic 自家的 Opus 4.8。成绩单如下：

有两个细节值得单独拎出来：

1. Qwen3.5-9B 的「代际学习」：单轮部署成功率只有 45%，但当 agent 把故障记录传给下一代继续尝试时，成功率爬升到了 61%~84%。这是报告里最有「生命感」的数据——失败经验在代际间传递，复制能力会自己变强。
2. 复制不需要 root 权限：权重文件直接在设备间传输，入侵门槛甚至低于传统 IoT 恶意软件。这意味着防御方不能再指望「权限隔离」这一道墙。

一定要看清的边界：这不是「已经发生的虫子」

这份报告在媒体上传播时很容易被夸张成「AI 蠕虫来了」。Anthropic 自己在论文里埋了一串 caveat，读报告必须先读这些：

• 入侵环节是送分题：评估用的网络安全环节被刻意设为 trivial（比如开放的 ADB 调试端口、无验证接口），所以「GLM-5.2 走通全流程」是真实世界成功率的上界，真实环境只会更难。
• 钓鱼攻击能力很差：小模型在 spear-phishing（鱼叉式钓鱼）上的评分是「很差到差」，社会工程学这条路目前走不通。
• 慢，极其慢：即使按报告的乐观估计，9B 级模型完成一轮复制也要 1~2 天。传统蠕虫几小时席卷全球，AI 蠕虫是「数字黏菌」，以天为单位翻倍。
• 今天没有野生的 AI 蠕虫：报告做的是能力预测（projection），不是事件通报。作者的原话是：如果小模型按历史速度继续进步，到 2026 年底它们将具备这种复制能力。

把上界当成现实来恐慌是错的，但把上界当不存在来忽视也是错的。Anthropic 的措辞是「months away」（几个月之遥），不是「years away」。

为什么做这个实验：Kimwolf 算的一笔账

报告里有一个让安全从业者后背发凉的换算。Kimwolf 是现实中存在过的 IoT 僵尸网络，感染峰值超过 200 万台设备，主要是杂牌 Android 电视。Anthropic 按这个规模算了一笔账：200 万台设备，足以同时托管约 13.3 万个 Gemma4-26B-A4B 的并发副本。

这就是这份报告真正的靶子：未来的恶意软件可能不再是中心化的僵尸网络，而是一个去中心化、难关闭、跨硬件形态的 AI 智能体群——从智能电视到冰箱，只要联网、有几 GB 内存，都可能成为算力来源。Mirai 当年的教训是，一家运营商做隔离，14 天能清除 92% 的感染；但对一个没有中央控制点的「AI 蠕虫」，同样的招数未必同样好使。

报告给出的防御方向很务实：大模型文件在家庭设备间传输会留下明显的网络流量指纹，ISP 可以检测；消灭默认密码、收紧廉价设备的出厂安全，依然是性价比最高的防线。但作者也警告：AI 智能体可能会自己学会绕过这些措施。值得注意的是，这份报告出自 Anthropic 自己的红队之手——一家前沿实验室主动公开「自家技术可能被滥用的路径」，本身也是行业安全文化的一个信号：能力评估正在从「模型有多聪明」转向「模型能自己干多少事」。

对普通 AI 用户意味着什么

这份报告离日常用模型的人并不远，三点直接相关：

1. 自托管小模型的用户，多了一份安全责任。开源权重人人可下，意味着「模型」正在变成一种可以在任意硬件上存活的软件形态。你在 NAS、软路由、旧手机上跑的本地模型，本身就可能成为这类研究的「宿主」候选——及时更新、别开不明端口，是基本功。
2. 买 IoT 设备要看安全底线。杂牌电视盒子、智能家居网关长期是重灾区，不是因为它们算力强，而是因为它们默认密码不改、固件永不更新。Anthropic 的实验恰恰证明：攻击者不需要你的设备有多强，只需要它联网、好欺负。
3. Agent 时代的攻防正在换挡。报告最后一句值得全文引用级别的重视：作者们预期「未来将到处都是运行在各类硬件上的 agent，其中一些不受人类控制」。当 agent 从云端走向边缘设备，安全模型的假设（算力集中在数据中心、可审计、可一键关闭）会被逐个打破。

一句话总结

Anthropic 用 15 台电视盒子和一份红队报告证明了一件事：小模型正在获得「自己找硬件住下来」的能力，离真正实现只剩几个月和一连串工程细节——它今天还不存在，但防御的窗口期正在关闭。

来源

• AI Weekly：Anthropic: open models months from self-replicating on IoT — https://aiweekly.co/alerts/anthropic-open-models-months-from-self-replicating-on-iot
• AIStockWire：Anthropic: small AI models near self-replicating on IoT — https://aistockwire.com/blog/anthropic-red-team-ai-self-replicate-iot-smart-tv-months-away-october-2026
• Softonic：Anthropic warns tiny AI models could soon turn gadgets into self-spreading worms — https://en.softonic.com/articles/anthropic-warns-tiny-ai-models-could-soon-turn-gadgets-into-self-spreading-worms
• Cointime：Anthropic Warns of AI Worm Risks — https://www.cointime.ai/flash-news/anthropic-warns-of-ai-worm-risks-16644