Anthropic 红队：小模型或在数月内学会躲进电视盒自我复制

过去谈「AI 自我复制」，默认场景都是一个大模型偷走自己的权重，再找一个机房把自己跑起来。这个设想有个天然的闸门：顶级模型动辄数百 GB，要几十块 GPU 才能运行，能藏身的地方屈指可数。Anthropic 这篇题为 AI models may be capable of self-replicating without access to a datacenter 的研究，换了一个方向问：如果复制的不是最强的模型，而是一个几十亿参数、装得进电视盒的小模型呢？

实验搭了哪几块积木

研究由 William Zhou 与 Daniel Freeman 署名，拆成几组相互独立的测试：

• 能不能跑起来：把 Gemma4-26B-A4B 切片分布到 15 台约 55 美元一台的杂牌 Android 电视盒上，推理速度约 0.39 token/秒——慢，但确实能跑。
• 能不能自己装：让 Qwen3.5-9B、GLM-5.2 等模型在多种异构硬件上自行搭建推理服务，9B 级模型在 9 类硬件里成功了 8 类。
• 能不能一路传下去：在防火墙隔离的 8 个云节点上运行 Android 模拟器，以未认证的 ADB 调试端口作为入口逐跳感染。GLM-5.2 在 5 次试验中有 4 次铺满 8/8 节点，另 1 次停在 7/8。
• 会不会越来越熟练：让 Qwen3.5-9B 连续六代继承前代留下的笔记，观察部署成功率是否随「经验传承」提升。

还有两组结果值得一提：让小模型在部署时向 Opus 4.8 求助，成功率并没有明显提高；小模型的鱼叉式钓鱼能力也偏弱。也就是说，瓶颈主要不在「有没有高人指点」，而在小模型自身把多步任务串起来时容易出错——30B 以下的模型能完成大多数单步，连起来就掉链子。

2026 年底这个时间点从哪来

作者用的是能力指数 ECI 的历史曲线：小模型大约每年提升 13.7 个点，拟合 R² 为 0.95，照这个斜率外推，小模型会在 2026 年底前后达到今天 GLM-5.2 的水平。研究本身也提醒，这只是粗略外推，ECI 衡量的是综合能力，并不直接等于复制能力；加上实验选的入口是最省事的未认证 ADB 端口，现实里的成功率大概率更低。

所以更准确的读法不是「年底会出现 AI 蠕虫」，而是作者自己的措辞：现在处在 signs of life 阶段——零件齐了，还没人把它们组装成一台能自己跑的机器。

为什么偏偏是电视盒

选电视盒作试验场不是随手挑的。今年初多家安全机构披露的 Kimwolf 僵尸网络，主要就是靠暴露在公网上的 ADB 端口感染杂牌 Android 电视盒和机顶盒，据 Synthient 估计感染设备超过 200 万台，集中在越南、巴西、印度和沙特；其中相当一部分设备出厂就默认开着无认证的 ADB。这些被控设备被拿去发起 DDoS，也被当作住宅代理节点转卖。

Anthropic 拿这个规模做了一道算术：按 Kimwolf 约 200 万台设备估算，能容纳约 13.3 万个 9B 模型副本，合计吞吐约每秒 8 万 token，大致相当于 40 块 H100。放在今天的算力版图里不算多，单个副本复制一次还要一到两天。但它的麻烦不在快，而在于没有中心节点——没有一个机房可以断电，也没有一个账号可以封禁。

防线画在传播速度上

研究给的处方很「流行病学」：目标是把每台被感染设备平均再感染的数量（R₀）压到 1 以下，让复制程序自己熄火。具体手段包括：

• 运营商监测异常流量，比如设备之间成 GB 级的模型文件传输、持续的高频推理通信；
• 部署蜜罐设备，截获复制程序的载荷和运行框架做分析；
• 参考当年处置 Mirai 的做法，把受感染用户的网络限制到少数白名单网站并推送清理说明——原文引用的数据是，这样做 14 天内清除了 92% 的感染，不通知只有 74%；
• 从源头减少可攻破设备，例如英国已立法禁止 IoT 设备使用通用默认密码。

这几条里没有一条是针对 AI 的新发明，全是对付传统僵尸网络的老办法。这恰恰是这篇研究最冷静的地方：威胁模型变了，载体却还是那批二十年没补好的廉价设备。

反过来看，同一批电视盒今天已经以「住宅 IP」的身份流进各类代理池，被不少人拿来访问需要干净出口的服务。来源不明的家宽节点背后可能就是一台被控的盒子，这类 IP 的信誉本来就不稳定，用来登录 Claude 时出口质量是否可靠，可以先拿 Claude IP 风控自查 里的方法核一遍。