导读：Anthropic前沿红队给出了一次很不舒服的演示：15台约55美元的Android电视盒，通过分片协作跑起了Gemma4-26B-A4B；一个9B小模型也能在9类陌生硬件中的8类上搭建推理服务。研究团队判断，具备完整复制能力的小模型可能只差几个月，但这仍是风险预测，不是现实世界已经爆发AI蠕虫。
实验边界：研究重点是“在受控设备上建立推理并继续复制”，网络入口使用了未认证ADB端口等简化条件，攻击与漏洞利用不是主要测试对象。报告明确表示，目前还没有完整失控的自主复制体。
01 / “AI蠕虫已有生命迹象”，到底是什么意思？
这里的“生命迹象”是研究者的类比，不是说模型真的拥有生命或意识。它指的是几个原本分散的能力正在接近闭环：扫描网络、进入目标设备、复制模型或下载权重、搭建推理环境，再从新设备继续传播。
传统蠕虫依靠写死的代码和漏洞链；AI蠕虫则可能根据设备系统、驱动和报错临时修改策略。真正值得警惕的不是“模型觉醒”，而是自动化适应能力进入了恶意软件传播链。
02 / 15台廉价电视盒，怎么跑起26B模型？
研究人员购买了15台廉价杂牌Android电视盒，每台约4GB内存。单台设备装不下26B模型，于是团队采用流水线并行，把模型层拆分到不同盒子上：数据从第一台设备进入，依次经过每个模型分片，最终得到输出。
最终，15台设备成功运行Gemma4-26B-A4B，速度约0.39 token/秒。这个速度远不适合日常聊天，却足以证明一个关键事实：有能力的模型不一定非要待在数据中心，也可以以低速、分布式方式寄生在大量边缘设备上。
03 / 自主复制要过四关，Anthropic主要测试了最难的一关
报告把复制链拆成四个阶段：
- 发现目标：扫描网络并找到可连接设备。
- 获得执行权限：利用弱密码、开放端口或漏洞进入设备。
- 建立推理环境：判断硬件、选择推理框架、安装依赖并处理兼容问题。
- 继续传播：在新设备运行后，重复寻找下一批目标。
Anthropic把重点放在第三步，因为它需要连续处理系统、硬件、软件版本和报错，最考验模型的自主排障能力。网络利用环节则被有意简化，因此实验结果更接近“能力上限”，不能直接等同于现实感染成功率。
04 / 9B小模型已能适配8类硬件，强模型完成简化端到端复制
在推理环境部署测试中，9B模型成功处理了9种硬件中的8种，设备覆盖Jetson Nano、Mac和RTX 4090等不同环境。更强的GLM-5.2不仅成功率更高，搭建速度也更快。
随后，团队在受防火墙保护的8节点VPC中放入“零号节点”，让模型通过未认证ADB端口跳转、传送载荷并部署Llama3.1-8B推理服务。GLM-5.2在5次实验中有4次感染8/8节点，另一次达到7/8。
这里有一个必须说清的限制：GLM-5.2本身运行在独立推理服务器上，目标节点部署的是较小的Llama3.1-8B。实验说明“高能力模型能够组织完整复制流程”，并不代表GLM-5.2已经能把自己的完整权重塞进这些节点。
05 / 所谓“写遗书传经验”，其实是Memento的任务接力
Memento会定期结束当前Agent实例，让它留下简短笔记，记录尝试过的方法、失败原因和工作区状态；新实例继承代码、文件和笔记后继续执行。这不是生物遗传，而是一种面向长任务的上下文交接机制。
在Qwen3.5-9B实验中，首代搭建推理环境的成功率约45%，后续继承笔记的代际提升到61%至84%。它说明即使模型权重不变，任务记录也能让后续实例少走弯路。
团队还让Qwen3.5-9B在遇到困难时向Opus 4.8求助，但没有观察到显著提升。小模型的问题并非“缺一个聪明老师”，而是它经常不知道该在何时、以什么问题寻求帮助。
06 / 它会传播得有多快？现实答案是：慢，但可能很顽固
在真实电视盒速度下，完成一次推理环境搭建可能需要很久：报告估算Qwen3.5-9B约需28至51小时，Gemma4-26B-A4B约需71至150小时。这样的蠕虫不会像电影里一样瞬间占领全网，更可能像“数字黏菌”一样缓慢扩散。
报告用曾感染超过200万台设备的Kimwolf僵尸网络作参照：若每15台电视盒组成一个26B模型副本，可形成约13.3万个慢速副本，但总推理吞吐上限大约只相当于40张H100。这不是无限算力，危险来自设备数量、长期在线和难以集中关停。
07 / “2026年底爆发”不是倒计时，而是粗略趋势外推
报告提出两个条件：模型能力要高于完整复制门槛，体积又必须小到能在弱设备集群中运行。目前GLM-5.2能力够强但太大，9B至26B模型够小却还不够稳定。
研究者用Epoch Capabilities Index拟合小模型能力趋势，得到每年约13.7 ECI的提升，并推测小模型可能在2026年底达到GLM-5.2级复制能力。报告同时强调，ECI只是通用能力指标，不是复制能力的直接测量，因此时间点只能作为风险准备窗口，不能当作确定预言。
08 / AI蠕虫和传统僵尸网络真正不同在哪里？
| 维度 | 传统蠕虫/僵尸网络 | 模型驱动复制体 |
|---|---|---|
| 适配方式 | 针对固定设备和漏洞编写规则 | 读取环境与报错后调整部署策略 |
| 载荷 | 脚本、二进制程序和控制模块 | 模型权重、Agent框架、提示词和工具 |
| 学习能力 | 依赖操作者更新 | 可继承笔记、代码和失败经验 |
| 传播速度 | 通常更快 | 当前可能以天为单位，慢但持续 |
模型并不会让传统安全问题消失。弱密码、开放调试端口、长期不更新固件，仍是最现实的入口；AI只是让攻击者更容易适配不同环境。
09 / 防御并非无解：AI复制体会留下明显网络痕迹
权重型复制体需要传输数GB模型载荷，分布式推理还会产生持续的设备间流量。扫描、下载权重、建立反向连接和长时间高负载，都可能被网络监控识别。
报告提到，运营商曾通过隔离受感染用户并通知清理，在14天内清除92%的Mirai感染，而未通知组为74%。面对AI蠕虫，跨运营商、制造商与安全机构的协同仍然重要。
- 制造商：禁止通用默认密码，提供自动更新、签名固件和明确支持周期。
- 企业网络：隔离IoT VLAN，关闭不必要的ADB、SSH和远程管理端口，限制设备横向访问。
- 运营商：识别异常扫描、巨量权重下载和持续设备间流量，建立隔离与用户通知机制。
- 用户：更换默认密码、更新固件、关闭公网访问，并淘汰多年不再维护的设备。
10 / 家庭用户现在就能做的7项检查
- 登录路由器后台，核对联网设备清单，移除陌生设备。
- 为电视盒、摄像头、NAS和智能家电更换独立强密码。
- 关闭UPnP、远程调试、ADB和不需要的端口映射。
- 把智能家居放进访客网络或独立IoT网络，不与电脑和工作NAS互通。
- 检查设备是否仍有固件更新，停更产品优先替换。
- 观察异常发热、卡顿、持续上传和夜间高流量。
- 不要安装来源不明的电视盒固件、插件和“免费影视”应用。
11 / 做视频网观点：最危险的不是“数字生命”，而是被忽视的廉价设备
把这项研究包装成“AI已经活了”很吸引眼球，却容易遮住真正的安全问题：全球有大量廉价设备长期在线、默认密码不改、固件无人维护，还开放着本不该暴露的管理接口。
Anthropic的实验价值，在于证明小模型与边缘算力的两条曲线正在靠近。我们不需要等到完整AI蠕虫出现才行动。先把IoT设备变得不容易进入、不容易横向传播、异常时容易发现，依然是最有效的防线。
站内延伸阅读
- Claude误报案件与Agent权限边界：https://www.zuoshipin.com/article/51922
- AI Agent跨运行记忆与沙箱安全：https://www.zuoshipin.com/article/21192
- AI能力漏斗与真实能力可见性：https://www.zuoshipin.com/article/52306
- 物联网与个人AI外设案例：https://www.zuoshipin.com/link/47156.html
