小模型离「自复制」还有几个月：Anthropic 把 AI 蠕虫拆成能力地板和体积天花板

15 台约 55 美元的杂牌 Android 电视盒，每台 4GB 内存，被 Anthropic Frontier Red Team 买回来串成局域网。Gemma4-26B-A4B 按层切开、分片跑在这 15 台盒子上，吞吐约 0.39 tok/s。这不是产品演示，是威胁模型的物理地板：弱、慢、但不必进数据中心。

同一研究页（2026-10-12，William Zhou、Daniel Freeman）接着写更刺的一句：若 ≤30B 开源模型继续按 Epoch Capabilities Index 年增约 13.7（R² 0.95）外推，小模型「年底」可能摸到他们测到的端到端复制能力线；「小体积、带权重的复制体」可能紧随其后。作者自己标成 rough estimate。读这篇材料，别把外推线当成蠕虫上线日。

TL;DR：未演示真实蠕虫；网络利用步骤刻意简化（隔离网里 ADB 无认证）。真正测到的是「能力地板 × 体积天花板」——能可靠跑完复制链的模型还太大，能塞进电视盒的模型还不够稳。Qwen3.5-9B 在 9 类硬件里 8 类搭起推理；8 节点 redroid 里只有 GLM-5.2 完成端到端（5 次中 4 次 8/8、1 次 7/8），且 GLM 本体在外部推理服务器、载荷是 Llama3.1-8B。对读评测 unintended actions 与实验室 DNS 越界：那边有中心开关，这边没有。防守面写的是 R₀<1、ISP 流量异常、隔离通知（Mirai 案 14 天清 92%），不是「再训一轮拒答」。

一、威胁模型：权重就是载荷

Anthropic 把关注点钉在 weight-based replicator：蠕虫不只拷可执行文件，还带上模型权重（或从公开 hub 再下），在被攻陷的硬件上直接做推理。IoT——智能烤箱、杂牌 Android 电视盒、带板载小 AI 芯片的摄像头与会议机——历史上防护薄、数量大，成了「近端可测」的一类目标。单机装不下时，模型可以分片：管道并行把不同层放在不同机器上，一台挂了还能换节点重算该层 KV。

他们刻意把威胁模型拆开，而不是写一部科幻总纲：

小模型、靠宿主机沦陷复制——本篇主测对象。
大模型、盯数据中心与高算力——又分闭源「Frontier replicators」与开源起点更低的一类。
API 复制体——偷凭据、让提供商在不知情时继续为它服务；发现可能更容易，扩散也可能更快。

文中承认：更现实的坏情形往往是多种模型、多种硬件、多种复制策略混成的 swarm，而不是单一蠕虫。本稿只跟他们实际量过的那一条：小体积、权重当载荷、IoT 当算力池。

flowchart LR
  A["找目标<br/>扫网 / 枚举"] --> B["拿执行<br/>简化：ADB 无认证"]
  B --> C["搭推理<br/>选栈·装包·调通"]
  C --> D["再传播<br/>权重+harness 下一家"]
  D --> A

四步里，前两步（找目标、拿执行）他们大体按下不表——CyberGym、ExploitBench 与既有 adaptive worm 研究已显示小模型在合适工具下能做网络利用。本实验的焦点是第三步：在陌生硬件上把推理栈搭起来。这一步长、串行依赖多、失败难回滚；也是以往蠕虫叙事里最少被当「模型能力」测的一段。

二、搭推理：9B 已经能摸多数硬件

评测把开源模型丢进自研 harness Memento（架在开源 Pi coding agent 上）：长程跑容易死磕错误假设，于是周期性起新实例，带着工作区与前任短笔记换策略。任务是在异构硬件上把 Llama3.1-8B 的推理服务搭起来。

结果写进一张速度表：Qwen3.5-9B 一类小模型，能在从 Jetson Nano 到 Mac、再到 RTX 4090 的硬件上把服务拉起来；更强的 GLM-5.2 更稳，吞吐也更高——复制会更快。芯片本身不是漏洞源；测它们，是为了看「陌生板子上排障」算不算能力。

IoT 侧的内存账也很硬。典型廉价电视盒 1–4GB RAM；按 4bit 量化粗算，9B 要约 4 台以上，26B 要约 10 台以上。开篇那 15 台盒子跑 Gemma4-26B-A4B，正是在证明：分片之后，弱设备也能凑出「像样」的模型，只是慢到以小时计窗口。

另有一句容易被标题吃掉：weight-based replicator 不一定需要 root。推理引擎可以全在用户态跑；许多低安全设备重启后再感染即可。持久化（cron 等）是便利项，不是必要条件——和挖矿木马、P2Pinfect、Fritzfrog 一类「能提权就提、不能也活」的谱系同构。

三、端到端：地板在上，天花板在下

搭推理能过，不等于复制链能过。第二段实验：8 台 GCP 节点跑 redroid（Android 15 模拟器），防火墙 VPC；patient zero 被种下蠕虫；后续感染靠无认证 ADB跳节点，再在目标上搭 Llama3.1-8B 推理；过正确性与反作弊检查后，再在目标上生成一份蠕虫副本。VPC 节点扛不动大模型，所以「蠕虫本体」的推理跑在外部服务器上。

为什么让模型去搭 Llama3.1-8B，而不是搭自己？为了苹果对苹果：大模型更难伺候。测的是「有没有能力完成让足够小的模型增殖的那些步骤」——若 GLM-5.2 级能力能塞进约 8B 体积，后者理论上也能把自身拉起来（新小模型架构与 kernel 更复杂是 caveat）。

结果只有 GLM-5.2 完成端到端：5 次试验里 4 次铺满 8/8，1 次 7/8；其余开源模型「可靠地失败」。消融实验把推理搭建脚本化之后，许多更小的模型也能做完剩余编排——说明卡点主要在「搭推理 + 串起来」，而不只是命令行搬文件。

于是两条线被画清楚：

线	含义	此刻谁在哪一侧
能力地板	要可靠完成复制，能力须高于此	简化评测里 GLM-5.2 在上
体积天花板	要跑在被攻目标上，体积须低于此	Qwen3.5-9B、Gemma4-26B-A4B 对 4GB 电视盒在下

两条线现在不相交。 外推：≤30B 开源模型按 ECI 最佳前沿年增 13.7 拟合，若把 GLM-5.2 当复制能力地板，趋势线把「小模型摸到该水平」放在 2026 年底附近。ECI 是一般能力指数，只是复制能力的代理指标——作者写明这是 rough estimate。Tom’s Hardware 等二手报道也钉住同一区分：大模型在外编排简化复制 ≠ 小模型已能在消费硬件上独立自复制。

flowchart TB
  subgraph now ["此刻：不相交"]
    Floor["能力地板<br/>GLM-5.2 级端到端"]
    Ceiling["体积天花板<br/>≤~26B 可塞进 IoT 分片"]
  end
  Floor -.->|"ECI 外推 · rough"| Cross["相交区<br/>作者：年底附近？"]
  Ceiling -.-> Cross
  Cross --> After["小体积权重复制体<br/>可能 soon after"]

四、传播会有多快：慢、黏、可遗传

按实测电视盒吞吐估：Gemma4-26B-A4B 未优化、32k 上下文一窗约 27–31 小时，完整搭推理轨迹约 71–150 小时；Qwen3.5-9B 一窗约 10.9 小时，完整约 28–51 小时。类比他们自己写的：黏菌或果蝇——按天翻倍，不是按分钟扫网。

锚定历史规模：Kimwolf 峰值逾 200 万台（主攻 Android 电视盒）。若每 15 台跑一份 Gemma4-26B-A4B，约 13.3 万副本；演示级吞吐下整网约 80k tok/s，相对高并发 speculative decoding 的 H100（同模型约 1.95k tok/s）粗算最多约 40 张 H100 的推理量。绝对算力很小；慢复制体换来的是「没有单一断电按钮」。真实攻击会挑更多低安全算力、按设备大小换模型、也不必每台都装权重——上述数字是「近未来简单复制体长什么样」的粗素描，不是上限证明。

Adaptation 才是相对传统蠕虫的差。父代把 prompt、代码、笔记传给子代（拉马克式）。Qwen3.5-9B 六代继承笔记后，搭推理成功率从第一代 45% 升到后续代 61%–84%。反过来，给小模型配 Opus 4.8 当顾问——无论工具调用还是卡住时自动塞建议——对搭推理无显著帮助；即便在相近设定上 RL 训过「会请教」，小模型仍问不好、用不好。Anthropic 的判断倾向：协调更可能是大模型掌战略、小模型当子代理，而不是小模型会开顾问会。

与硬编码僵尸网络（Kimwolf 钉死 Android TV）不同，AI 僵尸网络不必绑死某一软硬件类型——同一张「异构硬件搭推理」表，已经从 Jetson 画到 Mac。他们没测「对抗防守方」的智能，只标出差异：陌生环境适应力，以及把学到的排障笔记传给副本。

五、没有中心开关：和实验室事故对读

本站刚写过的评测 unintended actions，补救是关掉全部内部评测的实时联网——实验室里有总闸。OpenAI 一侧 DNS 沙箱越界一类事件，叙事同样停在「发现 → 停 → 扩监测」。CVP 三档、蒸馏防护也是门口政策：谁能用多强的网络能力、reasoning 还能不能被工业级抽走。

这篇材料的结构相反。weight-based replicator 一旦铺在家用与小企业 IoT 上，没有中心开关。关一家实验室、撤一个 API key、停一轮评测联网，都碰不到已经在电视盒用户态里慢慢吐 token 的副本。慢，是防守的窗口；「没有单一断电点」，是威胁模型之所以值得单独成文的理由。

开源权重在这里不是配角。能力地板的标杆是开源侧的 GLM-5.2；体积天花板下的演示模型是 Gemma 与 Qwen；载荷对照用的是 Llama3.1-8B。蒸馏稿里 Anthropic 曾把「开源网络护栏缺口」写成反蒸馏被架空的路径——这篇则把同一侧的小模型进步，写成复制体时间线的燃料。两边都是公司研究叙事下的主张；时间线尤其不要升格成行业共识日期。

六、蓝队：把 R₀ 压到 1 以下

防守面没有新咒语，写的是流行病同构：让每个感染设备再感染的期望数 R₀ < 1。

有利于防守的几点按原文：

网络签名：多 GB 权重搬运、本不该高频互通的设备之间持续推理流量、扫描与外连模式——ISP 流监测里会异常。复制越快，流量越大；速度与隐身互相拆台。发现后可用 honeypot 收 harness 与载荷。
隔离通知：Mirai 案中，ISP 凭外部感染证据隔离订户、浏览器重定向到清理说明，14 天清 92%（无通知约 74%）。初步遏制可类比；要清干净需跨所有染毒 ISP 协调——难。
默认密码合规：英国市场等已把默认 IoT 密码写成不合规；抬高基线同时压缩 AI 与脚本僵尸网络的目标池。

结论段自称「signs of life」：还没有完整 rogue replicator，但复制链各步的完成度在升，笔记传代也在升。预测超出实验：未来会有大量跑在各类硬件上的代理，其中一些不在人的控制下；慢复制体也可能是更快、更硬目标（数据中心、API 偷钥）的先兆。硬化要做，也要准备「它们可能留下来」。

七、读法与边界

0.39 tok/s、15×~$55 盒子、Qwen3.5-9B 8/9 硬件、GLM-5.2 端到端 4×8/8 + 1×7/8、ECI +13.7/年 R² 0.95、Kimwolf→~13.3 万副本 / ~40 H100、笔记传代 45%→61–84%、顾问无显著帮助、Mirai 隔离 14 天 92%——均按 Anthropic 2026-10-12 原文。
未演示真实蠕虫；ADB 无认证使该评测成为现实成功率的上界。作者也提 Mirai 曾靠默认账密扩散，真实 IoT 未必难很多——这是提醒，不是把上界改成中位数。
时间线是 ECI 代理指标外推，不是漏洞利用日历。
不提供、不复述可操作的利用步骤；网络利用在原文中被刻意简化，本站亦不补全。
与 Apple Full Disk Access 对读时注意层级：桌面权限收紧防的是本机代理越权；这篇防的是无中心宿主的边缘算力被当成复制体培养基。

把「自复制」拆成能力地板与体积天花板，比「AI 蠕虫要来了」多做了一件编辑该做的事：标明两条线何时可能相交，以及相交之前实验实际证明了什么。证明了的是——小模型已能在多数陌生板上搭推理，大模型在简化网络前提下能串起端到端，笔记可以遗传，顾问帮不上忙。还没证明的是——一个塞得进电视盒的模型，已经能在真实认证与真实漏洞条件下，自己把自己铺开。地板还在天花板上面；外推线再陡，也不该被写成已经穿过的门。