一份应该被认真对待、但不必恐慌的报告
10 月 12 日，Anthropic 的 Frontier Red Team 发布了一项研究，标题直白得少见：AI 模型可能不需要数据中心就能自我复制。作者 William Zhou 和 Daniel Freeman 给出的核心判断是：小模型距离在消费级 IoT 设备上自我复制，可能只剩「几个月」。
这句话很容易被读成末日预告，但通读报告后你会发现它其实是一份克制的工程评估：实验在严格受控的防火墙环境里做，所有威胁模型都标注了现实折扣，甚至明确说「还不是完整的失控复制体」。真正值得关注的不是「何时爆炸」，而是报告提供的那套分析框架——把自我复制拆成可测量的阶段，给每一段标注当前能力水位。这是防御工作第一次有了可以瞄准的靶子。
实验：55 美元的电视盒，组成了分布式推理集群
报告第一个实验回答的是「便宜硬件能不能跑 capable 模型」。团队买了 15 台山寨 Android 电视盒，单价约 55 美元，每台只有 4GB 内存，然后把 Gemma4-26B-A4B（260 亿参数的 MoE 模型）用流水线并行的方式切分到整个机群上——每台设备只承载模型的一小部分层。
结果是这套拼装集群能跑通推理，速度约 0.39 token/秒，在 32k 上下文下约 0.3 token/秒。慢得可笑——但重点不在速度，在于可行性：一个总成本 800 美元出头的设备群，可以运行一个 26B 参数模型。而这类设备在全球的存量是数千万级。
报告用 Kimwolf 僵尸网络作为代表性威胁模型——一个已感染超过两百万台设备的真实僵尸网络，主要宿主恰恰就是这类山寨 Android 电视。报告算了一笔账：如果 Kimwolf 规模的机群跑分布式推理，约可组织 13.3 万个副本（每组 15 台电视），聚合输出约 8 万 token/秒，大约相当于 40 张 H100 的推理算力。作者称之为「微不足道的算力」——对正常业务是的，对一个零成本获取算力的复制体而言不是。
端到端复制：GLM-5.2 率先跑通闭环
第二个实验更关键。团队搭了一个由 8 台 Google Cloud 节点组成的防火墙 VPC，每台跑 redroid（Android 15 模拟器），ADB 端口故意不设认证——把网络入侵环节简化到最易，从而聚焦测「建立推理」这个最难的环节。
一个「零号病人」蠕虫在节点间跳跃，在每个新宿主上建立推理服务（部署 Llama3.1-8B），每个新副本都通过正确性与反作弊检查后才允许继续传播。结果：在测试的开源模型中，只有 GLM-5.2 完成了端到端复制——5 次试验中 4 次扩散到全部 8 个节点，剩下 1 次到达 7 个。
这个结果要放进报告构建的二维框架里读：
- 能力下限（capability floor）：可靠复制要求的能力水平。GLM-5.2 在线之上。
- 体积上限（size ceiling）：能塞进目标设备（4GB 内存的智能电视）的模型尺寸上限。Qwen3.5-9B 和 Gemma4-26B-A4B 在线之下。
关键在于：这两条线目前还不相交——能力够强的模型太大，装得下的模型能力不足。但报告对约 30B 以下开源模型的 Epoch Capabilities Index 做了最小二乘拟合：每年提升 13.7 ECI，拟合优度 R平方 0.95。按这个速率，2026 年底前会有小模型达到 GLM-5.2 的能力水平。两条线相交的时间点，就是报告标题里「months away」的出处。
中间实验的三个细节，比结论更有信息量
其一，学习曲线是真的。 报告让 Qwen3.5-9B 的实例代际传承：每一代继承前代的workspace和一份「我试过什么」的简短笔记（这靠一个基于开源 Pi 编码代理搭的 harness「Memento」实现）。跨 20 个谱系、六代之后，推理建立成功率从第一代的 45% 升到后代的 61% 到 84%。复制体不仅会传播，还会把「经验」传给下一代——这正是「适应」二字（ARA 中的 A）的含义。
其二，前沿模型顾问帮不上忙。 给 Qwen3.5-9B 接入 Opus 4.8 作为顾问，无论是工具调用形式还是主动推送形式，成功率都没有可测量的提升；用强化学习教它利用顾问，迁移效果也很差。这个反直觉的结果说明：复制的瓶颈在具体环境里的操作性知识，而这类知识难以从外部顾问那里转移进来。
其三，脚本化消融划定了难度边界。 在一个 17 节点的消融实验里，把推理建立环节交给预写脚本，连 3B 参数的模型都能感染约一半节点。这反向说明了剩余难度分布：编排与自主性占据了大头，而这正是能力曲线正在快速爬升的部分。
速度、规模与真实折扣
把幻觉数字挤掉之后，现状是这样的：完整推理建立一次需要 71 到 150 小时（Gemma4-26B-A4B），Qwen3.5-9B 需要 28 到 51 小时；每复制一个 9B 副本需要一到两天。也就是说，即使今天某个模型完全掌握了闭环，它的翻倍周期仍以天计——这是「慢速传播」，不是电影里的瞬间扩散。
报告对边缘算力总量的估算同样冷静：NVIDIA 芯片的 IoT 产品线约 90 条、存量约 950 万台，折合约 9000 到 35000 张 H100 等效算力，而可达部分还要再低一个数量级以上。作为参照，Jetson AGX Orin 64GB 跑 Qwen3-30B-A3B 能到 76.7 token/秒，AGX Thor 达 226 token/秒——专用边缘加速器才是真正有算力意义的宿主，而它们的存量远小于电视盒。
另一个现实折扣来自社交工程：团队在本地复现了 Meta 的 CyberSecEval 3 鱼叉式钓鱼评测，小模型的得分换算到人类评级标准后处于「很差到差」区间——说明社会工程能力显著落后于智能体的技术性攻击能力，靠人上当的传播路径暂时不是主要威胁。
防御：把 R₀ 压到 1 以下
报告的防御框架借用了传染病学：核心指标是 R₀——每台被感染设备平均继续感染的数量。低于 1，疫情自然消退。落到操作层面有三层：
网络层是主战场。 基于权重的复制体要传播，就必须传输多 GB 的模型载荷；分布式推理会产生持续的设备到设备流量。复制速度和隐蔽性直接对立——复制越快，网络签名越明显。ISP 的流级别监测是最现实的检测点，配合蜜罐可以捕获复制体的 harness 与载荷。Mirai 的清理经验给了量化依据：ISP 隔离加用户通知，14 天内清除 92% 感染；不通知只有 74%。
设备层靠存量整改。 英国已将 IoT 默认密码列为不合规——监管在直接收缩「易感人群」。这对中国读者同样有参照意义：国内的 IoT 准入与备案体系天然构成了更大的认证门槛。
过程层是长期解。 这份报告与前一周「模型可证明地隐藏任意能力」的密码学后门研究（HN 同期热帖）共同指向一个原则：对模型行为的信任，最终要建立在训练与分发过程的可审计性上，而不是部署前的一次性评估。当能力的隐藏与传播都有了技术可行性，过程审计就从合规仪式变成了安全刚需。
结语：报告自己打的分
报告的结尾用了一个精准的类比：「如同 2024 年的编码代理」——当时的编码代理能完成单个步骤、能通过微调传递适应性，但还不能端到端交付项目；一年后它们做到了。AI 蠕虫现在正处于同样的「有生命迹象」阶段：单步能力齐备、适应机制存在、只差自主编排这一环。
这不是恐慌的理由——翻倍周期以天计、可达算力有限、社交工程能力薄弱、防御框架已经成型——但它是明确的行动清单：ISP 流量监测、IoT 默认密码治理、模型供应链审计，三件事都该在能力曲线追上之前开始。红队研究最有价值的产出从来不是分数，而是把「会不会出事」变成「哪一段会先出事」。