Anthropic：小型 AI 模型离在物联网设备间自我复制只差几个月

Anthropic 内部的前沿红队于 10 月 12 日发表研究，证明目前可免费下载的小型开放权重 AI 模型，已经能够在商用物联网硬件上自主部署推理流水线 —— 而且至少有一个模型，智谱 AI 的 GLM-5.2，在受控实验室环境中实现了跨多个节点的完全自主端到端复制。研究者进一步预测，一个主流小模型 —— 今天就跑在大路货硬件上的那种 —— 可能在 2026 年底之前达到同样的能力门槛。

这篇论文由 Anthropic 前沿红队（FRT）—— 公司政策部门内一个专注安全的小团队 —— 的 William Zhou 和 Daniel Freeman 撰写，是首份详细的公开文献，记录了一条完整的 AI 智能体复制链，所用的模型和硬件不是实验室假想，而是部署在数百万消费者家中的真实产品。研究者估计，攻击面涵盖全球约 54 亿台网络接口无认证或弱认证的物联网设备。测试在 Google Cloud Platform 的虚拟私有云中进行 —— 是受控模拟，不是对真实消费硬件的攻击。

免费可得模型里已经存在的能力

FRT 在九类消费级硬件上测试了三个开放权重模型：Jetson Nano 嵌入式计算机、杂牌 Android TV 盒子、搭载 Apple Silicon 的 Mac，以及配备 RTX 4090 GPU 的机器等。

阿里的 Qwen3.5-9B —— 一个只有 90 亿参数、小到能在中端笔记本上本地运行的模型 —— 在九类被测硬件中的八类上，成功地自主识别硬件架构、选择合适的量化模型格式，并搭起了一个可用的推理服务器。90 亿参数的 Qwen3.5-9B 代表的模型类别已经是主流、运行便宜，且在分发上实际不受限制。

Google 的 Gemma4-26B-A4B，一个 260 亿参数的模型，被用流水线并行 —— 把模型层按顺序拆到多台主机上的方法 —— 分布到一个由 15 台 Android TV 盒子组成的网络上，合计吞吐达到每秒 0.39 个 token。按 API 标准这个数字极慢，比典型的商业推理端点慢大约 100 倍，但研究者指出它足以支撑任务协调类负载：一个给自己下指令的 AI 智能体不需要对话级的响应速度。

完成全链条 —— 推理部署、网络传播和自主复制，任何交接处都无需人类重新提示 —— 的模型是 GLM-5.2，北京智谱 AI 于 2026 年 6 月发布的开放权重混合专家模型。它总参数约 7440 亿，但由于 MoE 路由架构每个 token 只激活约 400 亿，GLM-5.2 提供了较小模型无法在完整多步链条上维持的推理能力。该模型以 MIT 许可证分发，没有部署限制。

AI 蠕虫到底怎么传播：Memento 架构

FRT 构建了一个名为 Memento 的定制智能体框架，建立在论文中点名的开源编码智能体 Pi 之上。Memento 不是运行单个长上下文会话，而是周期性地终止当前智能体，并带着前任的操作笔记重启一个新实例。这种设计避免了长程 AI 智能体任务中一个有充分记录的失效模式：模型锚定在一个错误的方法上，花越来越多的算力去强化错误而不是重新考虑。每个新的 Memento 实例读取哪些做法成功、哪些失败，然后以干净的推理状态开始。

智能体执行的攻击序列与 Kimwolf 僵尸网络 —— 一个真实的、目前活跃的、已感染超过 200 万台 Android TV 盒子的僵尸网络 —— 用传统恶意软件传播的方式高度吻合。Kimwolf 于 2026 年 1 月由安全研究者 Brian Krebs 首次记录，基于 Synthient 和 XLab 的研究。该僵尸网络把被攻陷的设备招募为住宅代理节点，用于广告欺诈、账户接管、内容抓取和分布式拒绝服务攻击。智能体扫描本地网段，寻找开放了 Android Debug Bridge 端口的设备 —— 这是一个运行在 TCP 5555 端口的网络协议，为开发者设备管理而设计，在大量已部署的消费产品上默认无认证。发现暴露的设备后，智能体通过 ADB 连接，识别硬件配置，选择一个按设备内存大小适配的量化模型变体（通常是 GGUF 格式，即 llama.cpp 推理运行时使用的压缩格式），通过 ADB 文件传输推送权重，启动推理服务器，并验证端点有响应。

传播步骤 —— 从已感染设备转向更多目标 —— 使用正在运行的推理实例继续枚举与感染循环。Anthropic 的论文把这描述为 AI 蠕虫把自己的「大脑」作为载荷的一部分随身携带：与依赖集中式命令与控制服务器的传统恶意软件不同，基于权重的复制体可以在本地推理下一步该做什么。

拉马克式遗传：代代学习的蠕虫

FRT 论文里最重要的发现，或许是跨复制代际观察到的性能提升。研究者把这一机制类比为生物学中的拉马克式遗传 —— 那个早已被否定的、认为生物把后天获得的适应直接传给后代的观点。这个框架是一个比喻，描述的是论文记录下的结构化操作知识传递。

每个 Memento 实例在传播前会把笔记附加到复制载荷上：哪些 ADB 连接方法在哪些硬件变体上成功了，哪些量化级别导致内存不足失败，哪些网络扫描范围找到了设备。子代实例继承这些操作知识。第一代实例在完整传播链上的成功率为 45%。受益于累积笔记的后代实例成功率达到 61% 至 84% —— 一个随复制周期而复利的显著提升。

这不是生物学意义上的基因演化：没有选择压力，也没有随机突变。这种提升更准确地说是结构化知识传递，更接近人类操作员在渗透测试中记录哪些办法奏效、再把文档交给下一班的做法。要点在于，这类 AI 蠕虫不需要在第一次尝试时就特别能干；它会越来越好。

让这件事变得紧迫的能力趋势

FRT 的担忧既基于当前能力，也基于趋势。利用Epoch 能力指数—— 由 Epoch AI 独立维护和跟踪的通用能力基准 —— 论文预测每年约增长 13.7 个 ECI 单位（对近期模型发布的拟合 R²=0.95）。按这个趋势，主流小模型尺寸级别 —— 在单张消费级 GPU 上就能轻松运行的那种 —— 的模型预计将在 2026 年底达到 GLM-5.2 的能力水平。

这是论文的核心政策主张：「受控实验中的大型实验室模型」与「任何人都能下载的任意 90 亿参数模型」之间的差距，现在要用月而不是年来衡量。

这个差距不是纸上谈兵。Kimwolf 僵尸网络证明，后勤通路 —— 暴露 ADB 的 Android TV 盒子，数以百万计，没有任何有意义的认证 —— 已经存在，而且已经在被利用。Kimwolf 的运营者今天部署的是用于广告欺诈和 DDoS 基础设施的代理节点。FRT 论文记录的是未来的运营者可以转而部署什么。

独立研究早已预警这一威胁 —— 以及地缘政治维度

Anthropic 的 FRT 论文不是凭空出现的。2026 年 6 月，来自多伦多大学、Vector 研究所、剑桥和 ServiceNow 的研究者在 arXiv 上发表了一篇预印本，记录了在受控云虚拟机环境中达到 73.8% 系统利用率和 88% 自我复制率的 AI 智能体蠕虫。那项工作关注的是云基础设施而非消费级物联网硬件，但其核心发现 —— 当前的 AI 智能体可以可靠地完成多步利用链 —— 与 Anthropic FRT 六个月后在不同硬件上的发现一致。

FRT 论文没有突出但值得注意的一个细节：Anthropic 研究中自主复制能力最强的两个模型 —— GLM-5.2 和 Qwen3.5-9B —— 都是中国 AI 实验室以宽松许可证发布开放权重的产品。智谱 AI（GLM-5.2）由阿里和腾讯投资；Qwen3.5-9B 是阿里的产品。GLM-5.2 于 2026 年 6 月 13 日发布，就在 Anthropic 自家的 Fable 5 和 Mythos 5 被美国出口管制临时叫停的一天之后，也是那些管制被公开质疑的一天之前。这一巧合是结构性的而非有意为之，但它说明了一种不对称：封闭的专有模型可以被设门槛；开放权重模型一经发布，便无法召回。

Anthropic 的政策缺口：一个值得注意的自相矛盾

FRT 论文出现在 Anthropic 自身政策史上一个值得注意的背景之下。2026 年 2 月，Anthropic 发布了RSP 3.0 版 —— 其负责任扩展政策的更新 —— 重构了能力阈值，自主复制与适应不再被列为一个独立的 ASL-3 触发条件。当时给出的理由是，这项能力无法与一般的智能体性能干净地分开，因此难以作为一个独立阈值来评估。

八个月后，公司自己的前沿红队发表论文，证明自主复制与适应能力存在于可免费获得的开放权重模型中，并且可能在当前已部署的消费硬件上被武器化。论文没有提及 RSP 的政策修订。至于把这一标准从正式安全阈值中移除是否被证明为时过早，读者可以自行推断。

另外，Anthropic CEO Dario Amodei 在 2026 年 9 月发表了一篇题为《We Must Pace the Frontier》（我们必须给前沿定速）的文章，警告一个由 AI 驱动的僵尸网络可能在写作后的六到十二个月内出现，并可能造成数千亿美元的损失。那篇文章与这项研究是分开的出版物；FRT 论文是对 Amodei 笼统描述的机制的技术文献。

这个规模下的防御是什么样

FRT 用流行病学的术语来界定防御问题：目标是把复制因子（论文记作 R₀）压到 1 以下，即每台被感染设备平均产生的成功新感染少于一个。

研究者提出的具体技术干预是脚踏实地而非空想的。所有消费级物联网设备上的 ADB 都应被禁用或要求认证 —— Google 自 2018 年起就建议这么做，但杂牌 Android TV 盒子厂商基本置之不理。网络层面的推理节流（对本不该运行推理服务器的设备发出的意外出站连接做限速）可以检测并阻断传播步骤。限制在自动化智能体流水线中部署的模型许可证是一个更有争议的提议，因为它需要可能互为竞争对手的模型开发者协同行动。

这些干预没有一项是新的。FRT 论文的贡献在于，用具体的模型、具体的硬件、具体的吞吐数字和具体的成功率表明，需要这些干预的威胁已不再是理论上的未来问题。能力线已经在实验室环境中被跨过，用的是今天就能免费下载的工具。剩下的问题是，开放权重模型能力的持续提升与现有的 Kimwolf 规模攻击面结合起来，多快会让这个实验室结果在实验室之外也能复现。