Anthropic公司周一（10月12日）发布研究报告警告，再过数个月，小型AI模型可能在不借助资料中心或人力协助的情况下进行“自我复制和扩散”。图为一个人物模型摆放在美国人工智能安全与研究公司Anthropic的标志前。
Anthropic公司周一（10月12日）发布研究报告警告，再过数个月，小型AI模型可能在不借助资料中心或人类协助的情况下，在智能烤箱、Android电视盒等消费级物联网（IoT）装置上自我复制。这类AI没有中央关闭点，因此很难被彻底关闭。
小型AI模型已接近自我复制门槛
Anthropic前沿红队（Frontier Red Team）的实验结果显示，参数规模在30B（300亿）以下的模型，已经能完成许多复制所需的个别步骤，可以在内建小型AI芯片的智能冰箱、智能烤箱、自动吸尘器、割草机以及安全摄影机等设备上以分片方式运行。不过从头到尾串联时仍会出现错误。
研究发现，中国的智谱AI模型“GLM-5.2”及更强的模型，已能在简化测试中完成端到端复制。若这些小型AI模型持续以每年约13.7个Epoch能力指数（Epoch Capabilities Index，ECI）的速度进步，预计2026年底就会出现达到GLM-5.2复制能力水准的小型模型。
不过，Anthropic强调，ECI只是代理指标，仅为粗略推估，无法得到确切时间。
15台电视盒串起26B模型
为验证可行性，团队购入15台单价约55美元、记忆体仅1至4GB的非品牌Android电视盒，以管线平行（pipeline parallelism）把Google DeepMind的Gemma4-26B-A4B切分，每台只持有模型的两层，成功跑出每秒0.39个token（AI吐出的词元单元）。
Anthropic提到，这类电视盒大多执行制造商自行分支的Android开源专案（AOSP），且制造商并未为这些分支加上安全功能。若以4GB记忆体、4-bit量化计算，约4台以上可跑9B（90亿）AI模型，10台以上可跑26B（260亿）AI模型。
此外，这类复制体不需要最高权限（root），推理引擎可完全在使用者空间运行，即使重启装置，仍可能再次被感染。
端到端复制仅GLM-5.2过关
在端到端测试中，实验团队建立一个对外隔离的虚拟私有云，内含8个以Android模拟器redroid架设的云端节点，植入“零号病人”后让AI自行通过未设验证的ADB（Android Debug Bridge）连接埠跳到下一个节点、送上酬载并架起推理服务（节点上架设的是Llama3.1-8B，以统一比较基准）。
结果显示，目前受测的开源权重模型中只有GLM-5.2能完成完整端到端复制。5次试验中4次扩散到全部8个节点、1次到7个，其它模型则出现失败。对此，Anthropic指出，由于ADB连接埠未设验证，此结果应视为真实世界成功率的上限。另外，一个9B模型则在9种硬体类型中成功了8种。
他们发现，其它可能的威胁模型还包括窃取API凭证来启动主机，或以合法工作（如数位自由职业）支付推理费用。
AI扩散缓慢却拥有自适应性
实验人员在报告中警告，这些AI虽然复制和扩散缓慢，但最大的问题是具有高自适应性。以阿里巴巴的Qwen3.5-9B为例，该AI会把提示、程式码与笔记等相关记录传给下一代，经过六个世代后就能把完整推理设置的成功率从45%提升至最高84%。
报告还提到，目前Gemma4-26B-A4B在电视盒完成一次完整推理设置约需71到150小时，Qwen3.5-9B只要28到51小时，若依照资安业者Synthient通报的Kimwolf僵尸网路高峰期逾200万台感染规模估算，整个网络的推论量最多相当于40张英伟达H100显卡算力
对此，研究人员将其称为缓慢的“数位黏菌”。
防御建议与未来警示
防御上，Anthropic主张把每台被感染装置平均再感染的装置数（R₀）压到1以下。有利条件包括大规模复制会在网际网路服务提供商（ISP）流量监控中留下明显异常特征，类似Mirai的经验显示，ISP隔离并通知受感染客户后，14天内可清除92%的感染，仅发出通知者为74%。
另外，制造商也可通过更安全的预设设定与法规进一步缩小AI攻击的目标池。
Mirai是2016年首次出现的恶意软体，专门通过弱密码锁定并感染物联网装置（如网路摄影机、路由器）。
最后Anthropic警告，这些现象显示“AI具有生命迹象”，未来可能大量存在于各种软硬件中运行，其形象可能从缓慢分散的“数位黏菌”，逐渐转变成不受人类控制、能迅速突破资料中心限制的强大AI模型。全球应该强化系统，以阻碍这类复制体传播，也要准备应对AI已存在的世界。
