Anthropic 前沿红队：小模型最快今年底能在电视盒、智能家电上自我复制；受测开源模型中只有 GLM-5.2 跑通全程

这件事意味着什么

【要点】

Anthropic 前沿红队 10 月 12 日发文称：小模型可能再过几个月，就能在智能烤箱、杂牌安卓电视盒这类廉价联网设备上自我复制。这类「AI 蠕虫」没有可以一键关掉的中心节点，很难清除，但扩散很慢，按天计。

实验分三块。一是部署推理：让不同开源模型在陌生硬件上把 Llama3.1-8B 跑起来，一个 9B 模型在 9 类硬件里成功了 8 类，Qwen3.5-9B 这类小模型能在 Jetson Nano、Mac、RTX 4090 等机器上把推理搭起来。二是完整复制：在 8 台安卓模拟器节点组成的隔离网络里，让模型自己扫描目标、经未设密码的 ADB 端口传过去、装好推理再继续传。受测开源模型里只有 GLM-5.2 能稳定跑完全程，5 次里 4 次传遍 8 台，1 次 7 台，其余模型都失败。三是实机演示：把 Gemma4-26B-A4B 拆到 15 台约 55 美元的电视盒上，每秒约 0.39 个 token。

团队按 Epoch 能力指数估算，30B 以下开源小模型每年提升约 13.7 分，到 2026 年底就会达到 GLM-5.2 的水平。他们还发现，小模型继承前代笔记后，部署成功率从 45% 升到 61%–84%；让 Opus 4.8 当顾问则没有明显帮助。若规模类比 200 多万台设备的 Kimwolf 僵尸网络，约有 13.3 万份副本，总算力只相当于约 40 块 H100。

【可核验】

Anthropic 原文：https://www.anthropic.com/research/self-replicating-ai

【我们的判断】

一、风险评估的门槛在下移。过去谈「自主复制」，默认对象是要偷数据中心的前沿大模型；这篇把焦点挪到便宜、几乎没人打补丁的家用设备上，而且给出了明确的时间点：今年底。

二、这项实验把入侵环节简化成了「端口没有密码」，所以是上限估计。但 Mirai 一类僵尸网络当年靠的就是出厂默认密码，现实里的门槛未必高多少。

三、点名 GLM-5.2 意味着，开源权重的能力进步会直接改变这类风险的时间表。防守方能用上的信号是流量：几 GB 的权重传输和设备间持续的推理通信，在运营商的流量监测里会很显眼。