Anthropic 红队用 15 台廉价电视盒子测试 AI 自我复制

Anthropic 前沿红队花费约 825 美元搭建了一个由 15 台杂牌 Android 电视盒子组成的集群，以每秒 0.39 个 token 的速度运行一个 AI 模型——这对聊天机器人来说慢得令人痛苦，但对于那些无处可去、也无人等待的软件来说却足够用了。

这项实验构成了 Anthropic 研究员 William Zhou 和 Daniel Freeman 于周一发布的新研究的基础，该研究表明，小型开放权重模型可能只需几个月就能在廉价的联网硬件上自我复制，而无需依赖数据中心。

研究人员尚未构建出能够自行在公共互联网上传播的 AI 蠕虫，而且他们的实验是在受控环境中进行的，其中一些捷径使复制变得更容易。

但结果表明，剩余的几个技术障碍可能只是暂时的。

研究人员尚未构建出能够自行在公共互联网上传播的 AI 蠕虫，而且他们的实验是在受控环境中进行的，其中一些捷径使复制变得更容易。

推理才是真正的障碍。Zhou 和 Freeman 指出，AI 要实现自我复制需要采取四个步骤：寻找目标、获取访问权限、让推理运行起来，然后转移到下一台机器。

此前的基准测试（如 CyberGym 和 ExploitBench）表明，较小的模型已经能够处理部分漏洞利用工作，而今年早些时候，前沿智能体利用基本漏洞逃出了测试沙箱。

更大的挑战可能在于让模型在陌生的硬件上运行，它必须解决遇到的任何操作系统、依赖项和安装问题。

在 Anthropic 的测试中，Qwen3.5-9B 在九种硬件类型中的八种上部署了可用的 Llama3.1-8B 推理服务器，包括 Jetson Nano、Mac 和 RTX 4090 机器，而更大的 GLM-5.2 更可靠地完成了同样的工作，且吞吐量更高。

随后，团队搭建了一个带防火墙的 Google Cloud 环境，其中八个节点运行 Android 模拟器，从单个蠕虫实例开始，系统必须到达其他节点并在每个节点上建立可用的推理服务器。

每当某个节点的服务器通过正确性和防作弊检查时，就会生成一个新的蠕虫副本，GLM-5.2 在五次试验中有四次到达了全部八个节点，第五次到达了七个节点。

GLM-5.2 在单独的推理服务器上运行，因为目标机器无法承载它，所以蠕虫安装了一个较小的 8B 模型作为替代，而研究人员通过留下一个未认证的 Android Debug Bridge 端口开放，使漏洞利用变得容易。

每当某个节点的服务器通过正确性和防作弊检查时，就会生成一个新的蠕虫副本，GLM-5.2 在五次试验中有四次到达了全部八个节点，第五次到达了七个节点。

会记笔记的蠕虫 当智能体能够读取先前尝试留下的笔记时，它们在陌生硬件上设置推理的能力变得更强。

研究人员让 Qwen3.5-9B 经历了 20 个独立的谱系，每个谱系持续六代，成功率从第一代的 45% 攀升至后续世代的 61% 到 84% 之间。

研究人员称之为拉马克式遗传，即一个智能体将其所学传递给下一个智能体，而无需对模型进行任何重新训练。

对于使用 OpenClaw 和 Hermes Agent 等持久化智能体运行时的开发者来说，这是一种熟悉的机制，但在这里，这种记忆能帮助后续的副本在它们从未见过的硬件上解决安装失败的问题。

研究人员称之为拉马克式遗传，即一个智能体将其所学传递给下一个智能体，而无需对模型进行任何重新训练。团队还尝试让 Qwen3.5-9B 向能力强大得多的 Opus 4.8 模型寻求建议，但没有产生统计学上显著的改善，因为小模型往往不知道该问哪些正确的问题。

2026 年底的趋势线 论文指出了两个使这一场景一直停留在理论层面的制约因素。

模型需要足够有能力以可靠地复制自身，同时又要足够小以能在被攻陷的硬件上运行，而目前这两个要求并不重叠。

GLM-5.2 在简化测试中展现了必要的能力，但对于研究人员设想的廉价设备来说体积太大；而较小的模型虽然能装进这些设备，尤其是在推理分散到多台机器上时，却还无法稳定地完成整个过程。

研究人员使用 Epoch Capabilities Index，追踪了参数量在 300 亿或以下的开源权重模型，发现到 2026 年底，趋势线显示其中最强的模型将达到 GLM-5.2 的通用能力水平。

这是一个粗略估计，因为通用能力分数并不一定能预测复制性能，而且团队的端到端实验使用了有利条件。

根据研究人员的计算，运行 4 位权重的典型 4GB 电视盒子可以在四台或更多设备上承载一个 9B 模型，在十台或更多设备上承载一个 26B 模型，他们自己的 15 台盒子集群正是以这种方式运行 Gemma4-26B-A4B。

在这类硬件上，单次推理设置根据模型不同可能需要大约 28 到 150 小时，研究人员认为，轻量级智能体可能远比人类攻击者更愿意在大量设备上耗费这种努力。

他们将其可能性比作数字黏菌，缓慢地蔓延到它能触及的任何资源中。

廉价盒子，借来的算力 Kimwolf 僵尸网络感染了超过两百万台设备，其中大多数是廉价的 Android 电视盒子，研究人员用这一数字来计算一个 AI 复制体在同等规模的网络中能做什么。

将这些设备分成每组 15 台、运行 Gemma4-26B-A4B 的集群，将产生大约 133,000 个模型副本，合计每秒生成 80,000 个 token。

这最多相当于约 40 块 Nvidia H100 GPU，以数据中心的标准来看并不算多，但硬件和运营成本将由别人承担。

研究人员还检查了 Nvidia Jetson 等边缘加速器，这些设备被用于从安全摄像头和会议室设备到机器人和无人机的各种场景。

这些设备通常更难触及，因为它们通过向外的云管理连接进行通信。

阻止自我复制的软件 研究人员并不认为没有办法阻止自我复制的 AI 蠕虫，而且它的一些特征可能使其更容易被检测到。

在设备之间移动数GB大小的模型会产生网络流量，ISP可以监控到，而一个 aggressively 传播的蠕虫不会不被察觉。

然而，要彻底消灭一个复制体，就意味着要与每一个有感染客户的ISP进行协调。

文章《Anthropic的红队用15台廉价电视盒子运行AI。

然后数学变得令人不安。》首次发表于The New Stack。