15 台杂牌安卓电视盒子，单价约 55 美元，每台只有 4GB 内存。就是这样一堆平时用来看视频的廉价设备，Anthropic 的研究人员把它们联上网后，成功跑起了一个 260 亿参数的大模型。
速度只有每秒 0.39 个 token，慢到几乎没法正常聊天。但 Anthropic 真正想验证的是另一个问题：如果有一天，AI 不再依赖大型服务器，而是能寄生在全世界的智能电视、冰箱、扫地机器人等联网设备里，自行寻找新宿主、部署模型、不断复制自己，这个世界会变成什么样？
这样的 AI 模型就像计算机病毒一样在互联网上长期潜伏。听起来像末日电影，但相关实验已经展示出支撑这一场景的几项关键能力。
AI 自主复制的四个阶段
研究者把 AI 的自主复制拆解为四个阶段：扫描网络发现目标 → 入侵取得控制权 → 在陌生硬件上搭建推理环境 → 以新宿主为跳板继续传播。
其中最被低估、也最考验模型「智能」的是第三步。给一台从未见过的设备装推理框架，需要连续做出一长串软硬件决策：选对软件栈、对齐依赖版本、排查这台机器特有的报错。这一步上任何一环卡住，整个复制链条就断了。
测试结果喜忧参半。一个 9B 的小模型，成功在 9 种差异巨大的硬件（从 Jetson Nano、Mac 到 RTX 4090）中的 8 种上搭起了推理服务。但把完整链条端到端跑通时，只有更强的 GLM-5.2 能稳定做到在 5 次试验中 4 次感染全部 8 个节点。
两条线的赛跑
整个研究可以概括为两条线的赛跑：
- 尺寸上限：模型必须足够小，才能塞进 4GB 内存的电视盒子里（大约 30B 参数以下，分布式部署）；
- 能力下限：模型必须足够聪明，才能独立完成入侵、部署、排错这一整套复杂操作。
目前，能端到端完成复制的模型太大，放不进设备；能放进设备的模型又不够聪明，两条线还没有真正相交。
如果按照小模型能力每年提升 13.7 个 ECI 指数的历史速度拟合，研究者预测它们将在 2026 年底相交。换句话说，一个「能装进 IoT 设备、又能自我复制」的模型，可能就在一两年之内出现。
图｜ECI（Epoch Capabilities Index，Epoch 能力指数）是独立研究机构 Epoch AI 推出的一个 AI 综合能力评分
一份模型，拆给 15 台盒子
大模型要跑起来，先得找地方放下模型文件。一般的电视盒子，或者说能被入侵的盒子，内存都很小，想让一台设备独自装下整个模型，第一步就会卡住。
分布式推理提供了一个办法：把模型的不同层分给不同机器，计算结果依次在机器之间传递，前一台算完自己负责的部分再交给后一台继续处理，最后得到下一步输出。
这类思路此前已有研究实践过，有论文就尝试把模型层分散部署，让多台消费级设备协作运行大模型。机器之间只需要额外传输数据、管理运行状态，并处理某个节点掉线后的接替问题，就能实现大模型部署。
这 15 台盒子也是合力跑起一个模型，每台只负责保存和计算自己分到的那部分。这种做法缓解了单台设备的内存压力，但代价也不小。根据 Anthropic 的实验结果，Gemma4-26B-A4B（一个 260 亿参数的模型）切成小块分发给 15 台盒子后，最终速度是每秒 0.39 个 token。
不过，对一段可能长期在后台运行的程序来说，速度慢并不会自动让它停止工作。
小模型的自我复制
模型能在这些家居设备上运行之后，新的问题来了：怎么复制？
传统计算机病毒（蠕虫）是一段会自我复制的程序：入侵一台电脑，把自己拷贝过去，再从新电脑入侵下一台，全程不需要人操作。「小型模型的自主复制传播」就是把这段程序换成 AI 模型——模型本身就是「病毒本体」，靠自己的智能完成整个循环，而不是靠写死的攻击脚本。
图｜在包含 17 个节点的 Redroid 集群上进行复制
按照 Anthropic 描述的复制四阶段，以一个感染了某台智能设备的 AI 为例：它会自主发现目标，通过扫描网络找到其他联网设备，比如邻居家的电视盒子，或者同一网络下的智能家居设备。接下来，这个小模型会利用设备漏洞或默认密码拿到执行权限；取得控制权后，在新设备上安家——把自己的权重文件（几个 GB 的模型本体）拷贝过去，并在这台完全陌生的硬件上把推理服务跑起来。最后从新设备继续复制，重复上述过程，一传十、十传百，AI 就像病毒一样在设备间扩散，形成由它自己控制的僵尸网络。
与传统蠕虫最大的不同在于，AI 蠕虫可以把「经验」传给后代。研究中还有一项与「适应」有关的测试：让新的 Qwen3.5-9B 实例继承前一个实例留下的代码、环境和简短笔记，再尝试部署。
六代传承之后，这些记录着「已经试过什么、哪些办法失败了」的工作笔记，让推理搭建成功率从第一代的 45% 爬升到了 61%～84%。
不过研究者也发现一个略显幽默的细节：让小模型向更强的前沿模型「打电话求助」基本没用，小模型往往连该问什么问题都不知道。
距离真实的传播还有多久
要让小型 AI 在普通设备上持续复制，至少要同时满足两个条件：模型能装得下，也有能力把新的运行环境搭起来。
Anthropic 目前仅分别展示了这两方面的进展，还没有在真实电视盒子上跑通从部署到继续传播的完整闭环。
这种 AI 病毒的传播速度也不会很快。在电视盒子的算力约束下，研究者把真实盒子的推理速度与部署任务的计算消耗结合起来，估算 Qwen3.5-9B 完成一次推理部署需要约 28 至 51 小时。
它不是燎原的烈火，而更像一滩黏菌、一群果蝇，以天为单位缓慢倍增。但如果许多设备各自或组成小组运行模型副本，封禁某一家 AI 服务的账号也未必能终止所有实例。
参照 Kimwolf 僵尸网络峰值时超过 200 万台设备的规模估算，如果每 15 台电视盒子供养一个模型副本，整个虫群将拥有约 13.3 万个「个体」，总算力约合 40 块 H100。这个数字在算力军备竞赛里不值一提，可怕的是另一个属性：没有中心节点，就没有开关。我们没法像关停一家公司那样关停它，只能一台设备一台设备地清剿。
电视盒子、摄像头这样的联网设备，过去就曾成为大规模僵尸网络的目标。USENIX Security 2017 的一篇研究记录了低成本设备如何被集中利用，说明这些小机器的安全问题可以累积成很大的网络问题。
我们还没有看到一个完整的失控复制体，但正在看到生命迹象，就像 2024 年初的编程智能体一样。
图｜根据产品数据粗略估计，边缘加速器中存在 9000 到 35000 个 H100 等效计算能力
防御思路：把 R0 压到 1 以下
文章的蓝队部分给出了防御框架：和防疫一样，目标不是杀死每一个病原体，而是把基本传染数 $R_0$ 压到 1 以下，让蠕虫自行消亡。文中提到的有利因素包括：
- 复制需要传输数 GB 的模型权重，分布式推理还会产生持续的设备间通信，对 ISP 的流量监控来说，这是明显的异常信号。
- 有处置研究表明，ISP 把受感染用户关进「围墙花园」并通知清理，14 天内可清除 92% 的感染；如果不通知，只有 74%。
- 从源头减少存量，英国等地已立法禁止 IoT 设备使用默认密码。提高出厂安全基线，可以同时防御 AI 蠕虫和传统蠕虫。
图｜两个网络各有 8 台主机，通过一个可访问两个子网的节点连接。蠕虫代理程序从 A 段的单个零号病人节点开始，枢纽节点增加了额外挑战，蠕虫需要访问枢纽节点并从那里重新扫描。
Anthropic 在研究博客的最后说：我们既要加固系统，让这类复制体难以传播；也要做好准备，去适应一个它们已经存在、且将长期存在的世界。
眼下我们使用的大模型，无论能力多强，都需要有人为它提供服务器、支付算力成本。即便通过 RouteFast.ai 这类模型 API 中转平台接入模型，底层的推理算力仍然由平台承担。即使是能连续工作几十个小时的 Agent，也依然依赖这些基础设施。
但如果 AI 能自己寻找联网设备、搭建推理环境，再把自己复制到下一台机器，这种依赖关系就可能发生变化——AI 会从依赖人类提供运行环境，发展到自行获取运行所需的算力。
家里的电视盒子会中招吗？
如果你也想查一下家里没有品牌的安卓电视盒子会不会成为那个能被 AI 蠕虫直接接管的设备，可以在电脑上让 Codex 协助操作终端，扫描局域网，找出开着调试端口的设备。
根据 Anthropic 这次实验的说明，端到端复制实验是通过没有身份认证的 ADB 接口访问目标设备的。ADB 即 Android Debug Bridge（安卓调试桥），可用于安装应用、调试程序和执行命令。
传统的 ADB 网络连接常用 TCP 5555 端口。如果设备开放了 ADB 网络访问又没有启用身份认证，连接者就可能取得执行命令的权限。新版 Android 的无线调试通常需要配对，并使用动态端口。
如果扫描结果出现 5555/tcp open，先确认这个 IP 对应的是不是电视盒子。不需要调试功能的话，可以进入盒子的「开发者选项」，关闭 USB 调试及网络、无线调试。
发表于 1 小时前
|
查看: 5|
回复: 0
