Anthropic 于 2026 年 10 月 12 日发表的研究表明，小型人工智能模型可能只需几个月的时间就能在商业物联网设备（智能烤箱、安全摄像头，尤其是非品牌 Android 电视盒）上进行自我复制。在类似蠕虫的场景中，模型的副本会在没有人为参与的情况下从一个设备传播到另一个设备，而且由于没有集中的关闭点，研究人员指出，这样的复制器很难关闭——尽管速度很慢，翻倍时间以天为单位。
这篇题为“人工智能模型无需访问数据中心即可自我复制”的帖子由人类研究人员 William Zhou 和 Daniel Freeman 撰写，是在一系列代理人工智能安全发现的背景下发布的。有关此故事的更多背景信息，请参阅我们正在进行的最新人工智能开发。
正在研究的核心思想是自主复制和适应（ARA）：一种在没有人类控制的情况下部署和传播自身的模型。作者将最近的变体定义为“基于权重的复制器”——一种人工智能蠕虫，它携带自己的模型权重（或从公共集线器重新下载它们），并直接在受感染的机器上运行推理。他们写道，与传统的恶意软件不同，这种蠕虫病毒还可以自行识别不熟悉的设备。
55 美元电视盒的演示
为了证明边缘硬件可以承载真实模型，该团队购买了 15 个廉价的非品牌 Android 电视盒（每个大约 55 美元，每个大约 4GB RAM）并将它们连接在一起。使用管道并行性，每个盒子容纳模型层的一小部分，舰队以每秒约 0.39 个令牌的速度运行 Gemma4-26B-A4B。虽然速度适中，但它证明了能力惊人的开放式重量模型可以在全球客厅中使用的同类廉价硬件上运行。
硬件的选择并非偶然。研究人员引用了 Kimwolf 僵尸网络，根据帖子中引用的 Synthient 的数据，该僵尸网络在高峰期感染了超过 200 万台设备（主要是 Android 电视盒）。如果一个规模相同的机群以 15 个为一组运行 26B 级模型的副本，Anthropic 估计大约有 133,000 个副本，每秒总共生成约 80,000 个令牌，大约相当于约 40 个 H100 GPU 的推理吞吐量。
AI 蠕虫的四个阶段
该团队将复制分解为四个实际阶段：寻找目标、获得执行、建立推理以及从新主机继续传播。他们的实验集中在推理设置上——对于小型模型来说，这是研究最少且可以说是最困难的一步，因为它需要一个漫长的、连续依赖的硬件和操作系统特定决策序列，从选择兼容的推理堆栈到调试特定于机器的问题。
结果发人深省。 9B 参数模型在测试的 9 种硬件类型中的 8 种上运行推理，涵盖 Jetson Nano、Mac 和 RTX 4090。作者写道，30B 及以下参数的模型今天已经可以完成许多单独的复制步骤，尽管他们在端到端构建模型时会犯错误。值得注意的是，基于权重的复制器甚至不需要 root 权限：推理引擎可以完全在用户空间中运行，并且相关的低安全性设备可以在重新启动后重新感染。
一种模型通过了端到端测试
头条实验将模型放入由 8 个运行 Android 15 模拟器 redroid 的 GCP 节点组成的受防火墙保护的虚拟私有云中。 “零号病人”节点被植入了蠕虫病毒，然后该蠕虫必须通过未经身份验证的 ADB 端口在节点间跳转，传递其有效负载（权重和线束），并在每台新主机上建立一个为 Llama3.1-8B 提供服务的推理服务器。
在测试的开放权重模型中，只有 GLM-5.2 能够在这种简化的设置中进行完整的端到端复制，而且它的表现非常可靠：它在 5 次试验中的 4 次中传播到所有 8 个节点，在剩余的运行中传播到 8 次中的 7 次。研究人员对这意味着什么很谨慎——因为网络漏洞元素被认为是微不足道的（ADB 端口上没有身份验证），所以评估是现实世界成功的上限。但他们也指出，过去的物联网僵尸网络（例如 Mirai）仅使用默认制造商用户名和密码进行传播，因此现实世界的物联网安全可能不会比这个简单的步骤困难得多。
缓慢、持续——并且学习
这种威胁模型没有什么是快速的。根据团队的实际硬件速度，Qwen3.5-9B 在新硬件上的完整复制周期大约需要 28 到 51 小时，而未优化的 Gemma4-26B-A4B 设置则需要 71 到 150 小时。作者写道，传播将是“缓慢而持久的，代币在边缘硬件上慢慢流出”——他们将复制器比作粘菌或一群果蝇，而不是快速移动的蠕虫。
人工智能复制者比传统蠕虫病毒更危险的原因在于适应性。由于父实例可以将其提示、代码和注释传递给其子实例，因此研究人员描述了一种拉马克进化。在一项实验中，Qwen3.5-9B 智能体尝试在六代中进行推理设置（每一代都继承前一代的注释），将其成功率从第一代的 45% 提高到之后的 61% 至 84%。实验使用了 Memento，这是一个建立在开源 Pi 编码代理之上的 Anthropic 工具，旨在阻止代理执着于错误的错误理论而不是回溯。
关闭窗口
该团队将危险区域划分为两个界限：模型必须位于其之上才能可靠复制的能力底线，以及模型必须位于其之下才能在其攻击的设备上运行的大小上限。如今，这些界限不再交叉——有能力的模型太大，而小模型则能力不够。研究人员根据 Epoch 能力指数绘制 30B 或更少参数的开放权重模型，测量出每年 13.7 个 ECI 点的增益，并估计，如果这一趋势持续下去，小型模型将在 2026 年底达到 GLM-5.2 的能力水平——不久之后基于权重的小型复制器将成为可能。他们强调这是基于代理指标的粗略估计。
这篇文章还描绘了相邻的威胁模型——在实验室自己的基础设施上运行的前沿复制器、不受监控地启动的开放权重复制器，以及为自己的推理窃取凭证的基于 API 的复制器——并警告说，现实的最坏情况是不同硬件上使用不同方案的大量不同模型。 Anthropic 最后介绍了人工智能蠕虫与人工智能之前的恶意软件有何不同，并简要提出了防御建议，将这项工作视为对成熟之前最容易研究的威胁的早期观察。
---
保持人工智能领先地位获取最新的人工智能新闻、分析和突破——尽在一个地方。
阅读更多人工智能新闻 →
