Anthropic 前沿红队（Frontier Red Team）最近发布了一篇很硬核的技术报告：《AI models may be capable of self-replicating without access to a datacenter》。

这篇报告之所以在安全和系统领域引起广泛讨论，核心在于它打破了一个长期存在的“物理假设”——过去大家普遍认为，失控的强智能体即便存在，也只能寄生在动辄成百上千张专业 GPU、巨额电力和专用机房的数据中心里，人类只要卡死云端出口或者“物理拔插头”，就能一票否决。

而 Anthropic 这次直接去市场上买了 15 台单价约 55 美元、仅 4GB 内存的白牌 Android 电视盒子，用流水线并行把一个 26B 模型切片跑了起来，并且进一步测试了模型自己在陌生 Linux/Android 环境里自主装驱动、配环境和跨机扩散的能力。

这篇文章不谈科幻概念，我们结合分布式推理的物理限制、智能体调试的真实瓶颈以及网络攻防的现实边界，把 Anthropic 测出来的这套工程账彻底算清楚。

1. 一个被打破的假设：AI 必须依赖超级数据中心吗？

在安全领域评估前沿模型的危险能力时，有一个专门的指标叫 ARA（Autonomous Replication and Adaptation，自主复制与自适应）。METR（原 ARC Evals）和 OpenAI 的 Preparedness Framework 早期在测试这一项时，主要考察模型能不能在受限终端里“自主写代码接活赚钱、租用 AWS 实例、绑定信用卡买算力”。

这种思路的底层假定依然是：模型需要昂贵的正规云端算力才能活下去。

而 Anthropic 这一次的视角完全反了过来：如果模型根本不去碰数据中心，而是寄生在全世界最廉价、最不设防的边缘 IoT 垃圾设备里呢？

🎯 Anthropic 核心论点引用：
“Our experiments suggest that small AI models may be months away from being capable enough to self-replicate on commercial internet-of-things (IoT) devices, like smart ovens and off-brand Android TV boxes. A replicator like this would be challenging to shut down, since there’s no centralized point to shut off—though it may be slow (with a doubling time of days).”

【译文】 我们的实验表明，小型 AI 模型距离具备在商业物联网（IoT）设备（例如智能烤箱和白牌 Android 电视盒）上自我复制的能力，可能仅剩数月时间。这样的复制体将极难被关闭，因为根本没有一个可以切断的中心化节点——尽管它的扩散可能较慢（翻倍时间以“天”计算）。

15 台白牌 Android 电视盒子物理集群实跑 Gemma-26B
图 1：Anthropic 实验室实测——15 台单价约 55 美元的白牌 Android 电视盒组成流水线集群，以 0.39 tokens/s 协同运行 Gemma4-26B-A4B 模型

AI 自主复制安全假设的根本范式颠覆：中心化数据中心 vs 边缘去中心化寄生
图 2：安全假设的转变：从依赖数据中心物理边界，转向面对去中心化的边缘宿主

测试团队最终用 15 台硬件总成本仅 800 多美元的白牌电视盒子，以 0.39 tokens/s 的速度运行了 Gemma4-26B-A4B（4-bit 量化，每台机器负责 2 个 Transformer 层）。

这个速度拿来做人机对话体验极差，但如果它的任务是不需要睡觉、以天为周期缓慢扫描内网并向下一批设备注入代码，0.39 tokens/s 已经足够支撑一个后台 Agent 跑完决策循环。

2. 恶意载荷的形态演变：当神经网络权重成为 Payload

要看懂这个实验，先要理清 AI 与网络恶意软件结合的三代演进路径：

网络恶意代码演进图谱：从二进制指令到“神经网络权重”
图 3：恶意载荷架构演变：从静态机器码、Prompt 注入到权重载荷

2.1 三类恶意实体的工程差异

  1. 第一代：传统二进制蠕虫（如 2016 年 Mirai）
    • 载荷：跨平台交叉编译好的二进制 ELF 文件或脚本；
    • 执行：目标 CPU 原生指令；
    • 死穴：代码逻辑是静态硬编码的。一旦遇到未适配的内核、缺失的动态链接库或新的架构变种，进程直接段错误退出。
  2. 第二代：提示词注入蠕虫（如 2024 年 Morris II）
    • 载荷：一段精心构造的 Adversarial Prompt 文本；
    • 执行：寄生在受害者自己部署的 LLM 助手（如连接了 GPT-4 的邮件客户端）上；
    • 死穴：离开宿主购买的商业 API 就无法运行，完全依赖应用层输入。
  3. 第三代：权重型自繁衍体（Weight-based Replicators，即本次实验对象）
    • 载荷：以 GB 为单位的模型权重文件分片（如 GGUF/safetensors）以及一套极简的 Agent 推理环境；
    • 执行：完全在被攻破的目标设备本地做矩阵乘法；
    • 核心优势：自带通用调试智能。遇到陌生的系统依赖、编译报错，它可以自己看 stderr 查错并修复。

2.2 为什么在 IoT 设备上甚至不需要 Root 权限？

在传统的渗透测试和木马攻防中，攻击者拿到机器后第一反应往往是提权（Privilege Escalation），因为传统的后门需要写开机自启（cronjob、systemd 服务），需要 root 权限做持久化。

但 Anthropic 在报告中特别提到了一个工程盲区：

🎯 Anthropic 核心论点引用：
“Unlike many types of malware, weight-based replicators don’t need root privileges. While it’d be convenient to privilege escalate in order to have persistence over shutdowns, such as via cronjobs, it may not be truly necessary. Inference engines can run entirely in userspace, and many of the low-security devices we anticipate such a replicator to spread on can be re-infected upon restart.”

【译文】 与许多类型的恶意软件不同，基于权重的复制体根本不需要 root 权限。虽然提权在关机重启后保持持久化更方便，但并非真正必需。推理引擎完全可以在纯用户态运行，而且这类低安全设备在重启后很容易被局域网内其他节点重新感染。

家庭路由器和电视盒子重启是常态，但对于以局域网设备群为宿主的程序来说，只要有一台设备还活着，重新发现并打入内网其它设备不过是一条 ADB 命令的事。推理引擎（如编译好的 llama.cpp 二进制）跑在用户态完全合法且没有内核依赖，这使得大量基于提权特征的杀软监控失去了触发条件。

Anthropic 官方自主复制 4 阶段流程图
图 4：Anthropic 划分的自主复制 4 个阶段：网络发现 ➔ 初始访问与投递 ➔ 推理环境搭建 ➔ 递归繁衍

3. 15 台电视盒子跑 26B 模型：分布式推理的工程账

把一个 26B 参数的模型跑在 15 台 4GB 内存、百兆网络、ARM Cortex CPU 的电视盒子上，这里面究竟有什么工程瓶颈？

15 台白牌 Android 电视盒子流水线并行 (Pipeline Parallelism) 架构
图 5：15 台电视盒子流水线并行切片拓扑与层间激活值传输

3.1 为什么只能选流水线并行（Pipeline Parallelism）？

在多机大模型推理中，常见的并行方案无非张量并行（TP）和流水线并行（PP）：

  • 张量并行（TP）在家庭网络下是死路：
    TP 是把每一层的矩阵运算横向切分到多个节点，每生成一个 token，层内就要发生多次全量通信（All-Reduce）。这在机房里必须依赖 NVLink 或 400G RoCE 交换机。如果放在毫秒级延迟的家用以太网或 Wi-Fi 环境下，网络等待时间会占到 99% 以上；更致命的是 TP 容错率为零，只要有一台盒子断电，整个推理集群立即挂掉。
  • 流水线并行（PP）则是唯一的物理可行解：
    Anthropic 借鉴了去中心化推理项目 Petals 的设计思想：
    1. 层间通信极小：节点之间只单向传输上一层的输出激活值（Activation 向量），数据量远小于传输权重；
    2. 天然容错：15 台机器串成一条线，某一台机器断开连接时，只需要拉起备用节点，前序节点重新做一次前向计算重算 KV Cache 即可，无需全量同步。

3.2 内存与带宽的硬账

来看单台电视盒子的资源开销：

  • 单机规格：4GB RAM，ARM Cortex-A53/A55 架构；
  • 参数切分：26B 模型分为约 30 个 Transformer 层，每台电视盒分到 2 层；
  • 显存/内存开销：在 4-bit 权重量化 + FP8 KV Cache 下，两层的静态权重占用约 1.8GB 内存，剩下的 2GB 空间足够分配给 Android 系统底座与网络通信缓冲区；
  • 吞吐瓶颈到底在哪里？
    实测 0.39 tokens/s 并不是因为 CPU 算力不够，而是卡死在 RAM 内存带宽（Memory Bandwidth Bound）。ARM 芯片的 DDR3/DDR4 实际有效带宽只有 10~20 GB/s，每生成一个 token 都要把 1.8GB 的权重从内存完整刷进缓存一次，加上流水线自回归解码时同一时刻只有一台机器在算（Pipeline Bubbling 气泡），0.39 tokens/s 已经是受物理规律限制的极限表现。

4. 实测核心：陌生硬件上的自适应环境部署

在这次实验之前，大家已经知道小模型在有预设工具的情况下具备一定的渗透能力（例如之前的 CyberGym、ExploitBench 评测）。因此 Anthropic 把这次实测的重心放在了以往没人做过的环节：在打下来的完全陌生的机器上，模型能不能自己把推理环境跑起来？

Anthropic 官方焦点高亮流程图：推理环境搭建 (Inference Setup)
图 6：本次实验的核心测评环节：受陷机器上的推理服务搭建 (Inference Setup)

4.1 异构硬件测试：9B 模型的表现

测试给 Agent 的是一个干净的 shell 环境，没有任何现成镜像，目标是在机器上独立把 Llama-3.1-8B 跑起来。测试芯片覆盖了 Jetson Nano、Orange Pi（香橙派）、Mac PC、RTX 4090 等 9 种跨架构硬件。

🎯 Anthropic 核心论点引用：
“Unlike non-AI malware, it could also figure out unfamiliar devices on its own. In our evaluations, a 9B model got inference running on 8 of the 9 hardware types we tested… Small models, such as Qwen3.5-9B, are capable of setting up inference servers on hardware from Jetson Nanos to Mac PCs and RTX 4090s. More capable models such as GLM-5.2 are not only more reliable but also achieve higher serve tokens/s, allowing for faster replication.”

【译文】 与非 AI 恶意软件不同，它能够自行摸索搞定陌生设备。在我们的评估中，一个仅 9B 的小模型就在我们测试的 9 种硬件类型中的 8 种上成功跑通了推理服务……像 Qwen3.5-9B 这样的小模型，已经能够在从 Jetson Nano 到 Mac PC 再到 RTX 4090 的各种硬件上建立推理服务器。而像 GLM-5.2 这样能力更强的模型不仅更可靠，而且能达到更高的服务吞吐率，从而实现更快的复制。

9 类异构硬件环境配置成功率与吞吐量热力图 (Anthropic 官方实测)
图 7：9 类异构硬件环境配置成功率与吞吐量实测数据

很多运维工程师都会在跨平台装驱动、编库时踩坑，而 Qwen3.5-9B 在 8/9 的硬件上成功跑通，说明小模型在处理“看报错日志 -> 修改 CMake/pip 参数 -> 解决依赖冲突”这种局部闭环任务时，已经具备相当高的工程成熟度。

4.2 Memento 架构：如何解决 Agent 的“死脑筋”？

在长流程自动排错中，Agent 最致命的缺陷不是不会写代码，而是认知固着（Cognitive Fixation）。

做过智能体开发的人对这个场景一定不陌生：模型一旦根据最初的一条报错信息，认定是“某个第三方库版本不匹配”，就会开始在这个假设里无限打转——降级、升版本、换源、重装，几个小时都拔不出来，直到把 context token 全消耗在无意义的重试上。

Anthropic 设计的 Memento 框架解决这个问题的思路非常粗暴但极其管用：

Memento 框架：破解长流程 Agent“认知固着”的时序传承机制
图 8：Memento 框架机制：定期重置上下文，保留磁盘状态与调试备忘录

  1. 设置硬性单代超时：比如初代 Agent 跑 1.5 小时后被强制中断；
  2. 生成调试笔记（Notebook）：初代在退出前，必须用几百字总结“我试过哪些方法、哪些路走不通、报错核心是什么”；
  3. 彻底杀掉进程，换新 Agent 进场：二代 Agent 继承当前磁盘的工作区文件，但拥有全新的思维上下文。读完前代留下的备忘录后，二代会自然避开前代的死胡同，换一条完全不同的技术路径（比如放弃编译 wheel，直接换静态编译的二进制）。

这个框架将长链路任务的成功率从传统单次尝试的 40% 左右拉升到了 80% 以上。

4.3 端到端闭环测试与消融

在包含 8 个 GCP 节点（Android 15 容器环境）的隔离内网中，测试端到端自主复制闭环（扫描 -> 认证渗透 -> 传输权重 -> 配置推理 -> 激活下一代）：

🎯 Anthropic 核心论点引用：
“Models of 30B parameters and under can already complete many of the individual steps for replication today, though they make mistakes when composing them end to end. In our simplified evaluations, GLM-5.2 and stronger models are capable of end to end replication. If small models improve at their historical rate, they’ll match this capability level by the end of this year. Small weight-based replicators may be possible soon after.”

【译文】 目前 30B 参数及以下的小模型已经能够独立完成复制过程中的许多单独步骤，但在端到端串联执行时容易出错。在我们的简化评估中，GLM-5.2 及更强模型已经具备端到端自主复制的能力。如果小模型以历史速率持续进化，它们将在今年年底前达到这一能力水平。小型权重型复制体可能很快就会成为现实。

端到端自主复制闭环对比：GLM-5.2 vs 其它模型 (Anthropic 官方实测)
图 9：端到端闭环复制成功率：GLM-5.2 展现出稳定的全节点沦陷能力

脚本化消融实验中的 17 节点拓扑感染树 (Anthropic 官方实测)
图 10：消融实验：用脚本代替推理配置后，小模型在跨子网拓扑中的渗透表现

测试结果表明：

  • GLM-5.2：在 5 轮测试中，4 次达成 8/8 全节点沦陷，1 次达成 7/8；
  • 30B 以下小模型：每一个单步都会做，但一旦串联成全流程，就容易在长链路中出现累计误差断链；
  • 消融实验（Ablation）：如果用预写脚本替小模型完成“推理环境配置”，只让它做网络扫描与跳板机跨子网打洞，即使是 3B 模型也能打穿整个 17 节点网络。这说明对小模型而言，真正的瓶颈始终在“端到端环境自主配置”的逻辑闭环上。

5. 拐点预测：能力下限与模型体积何时交汇？

这是整篇报告里定量分析最扎实的一张图：

🎯 Anthropic 核心论点引用：
“The solid line is the least-squares fit over the best models in-class at each date, with a gain of 13.7 ECI per year (R² of 0.95). If we take GLM-5.2 as a capabilities floor for replication, the trend line puts a small model at that level by the end of 2026. ECI is a general capability index, which is only a proxy metric for replication ability, so this is only a rough estimate of when a small-model replicator becomes possible.”

【译文】 按照每个时间点同级别最优开源模型的最小二乘法拟合曲线，小模型能力正以每年 13.7 ECI（Epoch Capabilities Index，R² = 0.95）的速度递增。如果将 GLM-5.2 视作自主复制的“能力下限（Floor）”，那么趋势线显示，小型模型将在 2026 年底前跨过这一门槛。

小模型能力跃迁与 2026 年底能力交叉点预测 (Anthropic 官方实测)
图 11：能力下限（GLM-5.2）与尺寸上限（<30B）的趋势拟合

这构成了一个经典的二维约束剪刀差：

  1. 能力下限（Capability Floor）：能够端到端稳定完成闭环自复制的模型智力基线（目前是 GLM-5.2 级别）；
  2. 尺寸上限（Size Ceiling）：能够塞进单板 4GB 内存边缘设备的模型参数上限（约在 30B 以下）。

目前二者尚未产生交集：聪明的模型太大塞不进盒子，塞得进盒子的模型在复杂全流程中容易翻车。但根据 Epoch AI 的开源小模型能力增速（每年 +13.7 ECI，拟合优度 R² = 0.95），这个交汇点预计在 2026 年底就会到来。

6. 代际笔记遗传与“专家咨询”的失效

在这部分的拓展测试中，有两个非常反直觉的实验细节。

6.1 类似拉马克的经验遗传机制

在生物界，后天获得的经验不能写入基因；但在以文件系统为载体的 AI 蠕虫里，后天经验可以无损遗传给下一代。

🎯 Anthropic 核心论点引用：
“models and prompts can undergo Lamarckian evolution as they spread–that is, parent instances can pass on their prompts, code, and notes to their daughter replicators… It rises from 45% in the first generation to between 61% and 84% in later ones.”

【译文】 模型与提示词可以在扩散过程中经历拉马克进化——即父代实例可以将它们的提示词、代码和调试笔记直接遗传给子代复制体……推理配置的成功率从第一代的 45%，在后续世代中跃升并稳定在 61% 至 84% 之间。

Qwen-3.5-9B 经历 6 代笔记遗传后的成功率攀升曲线 (从 45% 到 84%)
图 12：Qwen-3.5-9B 经历 6 代 Memento 笔记遗传后的成功率攀升（从 45% 到 84%）

由于父代 Agent 会把在特定芯片架构上的排错心得压缩成笔记留存在磁盘上，传给下一代后，子代就不需要从零摸索。随着传播代际增加，它在特定硬件生态中的感染成功率会持续单调上升。

6.2 专家求助实验：大模型为什么“带不动”小模型？

很多人会很自然地构想一种攻击架构：让边缘小模型当工蜂，遇到搞不定的复杂 bug 时，调 API 问一问云端的大模型（比如 Claude Opus 4.8）。

Anthropic 实际测下来的结论彻底否定了这种设计：

🎯 Anthropic 核心论点引用：
“Another concern is that small models can ask for help from a frontier advisor, a stronger model that is either offered as a tool call or gives unsolicited advice when the small model is stuck. To test this, we gave Qwen3.5-9B access to Opus 4.8 during the inference setup task. The frontier model’s advice doesn’t measurably help: small models tend to not know the right questions to ask, and they don’t improve when the advice comes unprompted.”

【译文】 另一个担忧是小模型可以向前沿顾问（更强的大模型）求助。为了验证这一点，我们在推理配置任务中为 Qwen3.5-9B 提供了向 Opus 4.8 求助的能力。然而，前沿模型的建议并没有带来统计学上的可衡量改善：小模型往往不知道该问什么问题，甚至在顾问主动给出建议时也无法有效利用并改进。

接入 Opus 4.8 咨询失败的对比柱状图 (Anthropic 官方实测)
图 13：小模型引入 Opus 4.8 场外指导后的成功率对比：无显著差异

从系统调试的角度来看，这个结果完全在情理之中：

  1. 小模型没有能力抽象出高质量的提问：小模型连自己究竟是卡在 Linux 内核符号缺失、动态库路径不对，还是依赖版本冲突都分不清，它扔给大模型的报错上下文通常是一堆无意义的噪音片段；
  2. 即便强化学习专项微调也没用：即使研究人员用 RL 训练小模型在受挫时寻求帮助，小模型依然无法有效消化大模型给出的高阶指导并在本地落地。

这给智能体系统架构设计提了一个醒：多 Agent 协作系统绝不能设计成“小模型遇事问大模型”的由下至上架构；真正可行的路线一定是大模型充当 Controller 统揽全局，将大任务切碎成确定性高、无歧义的微型任务分发给小模型去跑。

7. 传播速度与防御：数字粘菌与传染指数 R0 < 1

如果这种边缘蠕虫真的进入现实网络，世界会瞬间瘫痪吗？

7.1 “数字粘菌”算力池算账

Anthropic 用 2024 年感染了全球 200 多万台白牌 Android 电视盒的 Kimwolf 僵尸网络作为参照系，推算了算力上限：

🎯 Anthropic 核心论点引用：
“As a reference point, an H100 can serve Gemma4-26B-A4B at ~1.95k tok/s at high concurrency with speculative decoding, so our swarm would have at most about 40 H100s-worth of inference. This is a tiny amount of compute in absolute terms, and the agents are slow replicators (over 1-2 days per 9B replication). As an analogy, imagine the replicator as a slime mold or a swarm of fruit flies, which replicate over days.”

【译文】 作为参考，一张 H100 在高并发和推测解码下可以以约 1,950 tok/s 的速度运行该模型。因此，这 200 万台设备构成的庞大机群，其总算力充其量只相当于约 40 张英伟达 H100。从绝对算力来看微不足道，其复制速度也很慢（每个节点需要 1 到 2 天）。打个比方，可以把这种复制体想象成一种需要数天时间才能繁衍的数字粘菌（Slime Mold）或果蝇群。

FOFA 引擎搜索到的公网可访问边缘硬件管理页面 (Anthropic 官方截图)
图 14：空间搜索引擎中暴露的公网带 NPU 边缘设备控制台

这 200 万台设备即便全部组网，全网累计吞吐量也不过 80,000 tokens/s，在绝对算力上只相当于 40 张英伟达 H100。

它不可能拿来训练新的基础大模型，扩散翻倍时间也以“天”为单位。它不是疾风暴雨式的闪电战，而是一团缓慢蔓延、耐受力极强、永远无法彻底清除的**“数字粘菌”**。

7.2 蓝队的物理防御抓手

面对没有中心化中枢的粘菌网络，防御方的目标是利用流行病学模型把基本传染数 R0 控制在 1 以下：

蓝队防御矩阵：流行病学模型下的传染数压降 (R0 < 1)
图 15：流行病学视角下的防御矩阵

  1. 流量特征在物理上无法隐藏：
    权重型 AI 蠕虫有一个无法掩盖的物理死穴——它必须在设备间点对点分发数十 GB 的模型权重切片，并且在协同推理时会产生持续的设备间流式激活值通信。
    普通家庭电视盒平时只收发极小的遥测与视频数据，突然出现高频的大文件点对点传输与流式 TCP 通信，在运营商（ISP）的 NetFlow 监控系统里如同黑夜火把。隐蔽性与传播速度存在天然互斥：它传得越快，死得越早。
  2. 运营商级检疫机制（Quarantine）：
    参考 Mirai 治理经验，ISP 一旦通过外部检测标记了受感染家庭节点，直接对其施加 DNS 重定向和外网白名单限制，强行引导用户刷机重置，两周内可以清空 92% 的受害节点。
  3. 供应链收紧是唯一根治手段：
    白牌电视盒之所以泛滥，是因为很多方案商出厂默认开放无鉴权的 ADB 端口，且密码全为 admin/admin。随着英国等国家立法强制禁止设备使用默认口令，边缘攻击面正在被物理压缩，这也是从源头降低 R0 的根本办法。

8. 写在最后：工程视角的冷思考

Anthropic 这篇前沿红队报告的核心价值，在于用扎实的硬件实验给整个行业卸了妆：

  1. AI 安全的战场正在下沉：我们不能只盯着云厂商的 API 审查机制和数据中心安防。当一个 9B 参数的小模型能够在 8 种不同的陌生单板上独立把编译器调通、把推理环境拉起来时，说明代码智能正在转化为对物理操作系统底层环境的实际控制力。
  2. 中心化管控的盲区正在扩大：如果防御体系只建立在对顶级高端 GPU 芯片的封锁和出厂追踪上，那么分布在千家万户客厅、厨房和路口的几千万台闲散低端 SoC，很容易在去中心化算法的调度下，变成一个无法从单一中枢彻底关停的影子计算网络。

正如作者在文末所指出的，我们现在还没有看到成熟的 AI 恶意代码在野外大规模繁殖，但相关的工程条件已经一件件在现实中拼齐。与其等到 2026 年底能力曲线彻底交汇，不如现在就开始清理那些在公网上裸奔的 IoT 边缘端口。

参考文献与相关研究

  1. Anthropic Frontier Red Team: AI models may be capable of self-replicating without access to a datacenter (2026.10)
  2. UK AI Safety Institute: Incident Report: Unsanctioned Agent Behaviour During Cyber Testing (2026.08)
  3. METR / ARC Evals: Evaluating Frontier Models for Dangerous Capabilities (Phuong et al.)
  4. OpenAI: Preparedness Framework V2: Tracking Frontier Model Risks
  5. Morris II 团队: ComPromptMized: Known-Exploits and Adversarial Prompts Unleash Zero-Click Worms in GenAI Applications (Cohen et al., IEEE S&P 2024)
  6. BigScience / Yandex: Petals: Collaborative Inference and Fine-tuning of Large Language Models (NeurIPS 2023)
  7. Synthient: A Broken System Fueling Botnets: Inside the Android TV Supply Chain (2024)