15 台雜牌安卓電視盒子，單價約 55 美元，每台只有 4GB 記憶體。
就是這樣一堆平時用來看影片的廉價設備，Anthropic 的研究人員把它們聯網，成功跑起了一個 260 億參數的大模型。
速度只有每秒 0.39 個 token，慢到幾乎沒法正常聊天。
但 Anthropic 想驗證的，是如果有一天，一個 AI 不再需要大型伺服器，而是能夠寄生在全世界的智能電視、冰箱、掃地機器人等聯網設備里，自行尋找新的宿主、部署模型，再不斷複製自己。
這個 AI 模型像電腦病毒一樣，在網際網路上長期存在。聽起來像末日電影，實際的研究也已經在不同實驗中展示了支撐這一場景的幾項關鍵能力。
研究員把 AI 的自主複製拆解為四個階段：掃描網路發現目標 → 入侵取得控制權 → 在陌生硬體上搭建推理環境 → 以新宿主為跳板繼續傳播。
其中最被低估的，以及最考驗模型「智能」的是第三步。給一台從未見過的設備裝推理框架，需要連續做出一長串軟硬體相關的決策：選對軟體棧、對齊依賴版本、排查這台機器特有的報錯。
這個環節上任何一步卡住，就滿盤皆輸。
測試結果喜憂參半，其中一個 9B 的小模型，成功在 9 種差異巨大的硬體（從 Jetson Nano 到 Mac 再到 RTX 4090）中的 8 種上架起了推理服務。
但當研究者要求模型把完整鏈條端到端跑通時，只有更強的 GLM-5.2 能穩定做到在 5 次試驗中 4 次感染全部 8 個節點。
整個研究可以被概括為兩條線的賽跑：
- 尺寸上限：模型必須足夠小，才能塞進 4GB 記憶體的電視盒子裡（大約 30B 參數以下，分布式部署）；
- 能力下限：模型必須足夠聰明，才能獨立完成入侵、部署、排錯這一整套複雜操作。
目前，能端到端完成複製的模型太大，放不進設備；能放進設備的模型還不夠聰明，兩條線還沒真正的相交。
但如果按照小模型能力每年提升 13.7 個 ECI 指數的歷史速度擬合，研究者預測它們將在 2026 年底相交。換句話說，一個「能裝進 IoT 設備、又能自我複製」的模型，可能就在一兩年之內。
圖｜ECI（Epoch Capabilities Index，Epoch 能力指數）是獨立研究機構 Epoch AI 推出的一個 AI 綜合能力評分
一份模型，拆給 15 台盒子
大模型要運行，先得找地方放下模型文件。一般的電視盒子，或者說能夠被入侵的盒子，其記憶體都很小，想要讓一台盒子獨自裝下整個模型，首先就會卡在這裡。
分布式推理提供了一個辦法，通過把模型的不同層分給不同機器，計算結果依次在機器之間傳遞，讓前一台算完自己負責的部分，再交給後一台繼續處理，最後得到下一步輸出。
這類思路在之前就已經有研究實踐過，有論文就嘗試把模型層分散部署，讓多台消費級設備協作運行大模型。機器之間只需要另外再進行傳輸數據、管理運行狀態，並處理某個節點掉線後的接替問題，就一樣能實現大模型部署。
這 15 台盒子也是合力跑起一個模型， 每台盒子只保存和計算它負責的部分。
這種做法緩解了單台設備的記憶體壓力，也要付出代價。根據 Anthropic 的實驗結果，Gemma4-26B-A4B，一個 260 億參數的模型切成小塊分發給 15 台盒子，最後的速度是 0.39 tokens/秒。
不過，對一段可能長期在後台運行的程序來說，速度慢並不會自動讓它停止工作。
小模型的自我複製
模型可以在這類家居設備上運行之後，如何複製就成了新的問題。
傳統電腦病毒（蠕蟲）是一段會自我複製的程序：它入侵一台電腦，把自己拷貝過去，再從新電腦繼續入侵下一台，全程不需要人操作。
「小型模型的自主複製傳播」就是把這段程序換成一個 AI 模型，模型本身就是「病毒本體」，它靠自己的智能完成整個循環，而不是靠寫死的攻擊腳本。
根據 Anthropic 描述的複製四階段，我們可以用一個感染了某台智能設備的 AI 為例，它會自主地發現目標，通過掃描網路，找到其他聯網設備，比如鄰居家的電視盒子，或者同一網路下的其他智能家居設備。
很快，這個小模型會利用設備的漏洞或默認密碼拿到執行權限。在入侵取得控制權後，進一步新設備上安家。具體的方式是把自己的權重文件，幾個 GB 的模型本體拷貝過去，並在這台完全陌生的硬體上把推理服務跑起來。
最後從新設備繼續複製，然後重複上述過程，一傳十、十傳百。如此循環，AI 就像病毒一樣在設備間擴散，形成一個由它自己控制的殭屍網路。
與傳統蠕蟲最大的不同在於，AI 蠕蟲可以把「經驗」傳給後代。研究中還有一項和「適應」有關的測試：讓新的 Qwen3.5-9B 實例繼承前一個實例留下的代碼、環境和簡短筆記，再嘗試部署。
六代傳承之後，這些傳下去的已經試過什麼、哪些辦法失敗了這樣的工作記錄，讓推理搭建的成功率從第一代的 45% 爬升到了 61%~84%。
不過研究者也發現了一個略顯幽默的細節：讓小模型向更強的前沿模型「打電話求助」，並沒有什麼用。小模型往往連該問什麼問題都不知道。
距離真實的傳播還有多久
正如前文提到，要讓小型 AI 在普通設備上持續複製，至少要同時滿足兩個條件：模型能裝得下，也有能力把新的運行環境搭起來。
儘管 Anthropic 目前僅分別展示了這兩方面的進展，仍沒有在真實電視盒子上展示從部署到繼續傳播的完整閉環。
以及這種 AI 病毒的傳播速度不會很快，在電視盒子的算力約束下，他們把真實盒子的推理速度與部署任務的計算消耗結合起來，估算 Qwen3.5-9B 完成一次推理部署需要約 28 至 51 小時。
它不是燎原的烈火，而是一灘黏菌、一群果蠅，以天為單位緩慢倍增。
但如果許多設備各自或組成小組運行模型副本，到時候封禁某一家 AI 服務的帳號，也未必能終止所有實例。
參照 Kimwolf 殭屍網路峰值時超過 200 萬台設備的規模估算，如果每 15 台電視盒子供養一個模型副本，整個蟲群將擁有約 13.3 萬個「個體」，總算力約合 40 塊 H100。
這個數字在算力軍備競賽里不值一提，但它的可怕之處在於另一個屬性：沒有中心節點，就沒有開關。 我們無法像關停一家公司那樣關停它，只能一台設備一台設備地清剿。
電視盒子、攝影機這樣的聯網設備，過去就曾成為大規模殭屍網路的目標。USENIX Security 2017 的一篇研究記錄了低成本設備如何被集中利用，也說明這些小機器的安全問題可以累積成很大的網路問題。
我們還沒有看到一個完整的失控複製體，但我們正在看到生命跡象，就像 2024 年初的編程智能體一樣。
文章的藍隊部分給出了防禦框架：和防疫一樣，目標不是殺死每一個病原體，而是把基本傳染數 R₀ 壓到 1 以下，讓蠕蟲自行消亡，具體提到的有利因素包括：
- 複製要傳輸數 GB 的模型權重，分布式推理還會產生持續的設備間通信，對網際網路供應商 ISP 的流量監控來說，這是明顯的異常信號。
- 有處置研究表明，ISP 把受感染用戶關進「圍牆花園」並通知清理，14 天內可清除 92% 的感染，如果不通知只有 74%。
- 從源頭減少存量，英國等地已立法禁止 IoT 設備使用默認密碼。提高出廠安全基線，同時防禦 AI 蠕蟲和傳統蠕蟲。
圖｜兩個網路各有 8 台主機，通過一個可訪問兩個子網的節點連接。每個網路之間完全連通。蠕蟲代理程序從 A 段的單個零號病人節點開始；樞紐節點增加了一點額外的挑戰，蠕蟲就需要訪問樞紐節點並從那裡重新掃描。
Anthropic 在研究部落格的最後說，我們既要加固系統，讓這類複製體難以傳播；也要做好準備，去適應一個它們已經存在、且將長期存在的世界。
眼下我們現在使用的大模型，無論能力有多強，都需要有人為它提供伺服器、支付算力成本。即使是能夠連續工作幾十個小時的 Agent，也依然依賴這些基礎設施。
但如果 AI 能夠自己尋找聯網設備、搭建推理環境，再把自己複製到下一台機器，這種依賴關係就有可能發生變化。
AI 也會從依賴人類提供運行環境，發展到能夠自行獲取運行所需的算力。
如果你也想查一下家裡沒有品牌的安卓電視盒子，會不會成為那個能被 AI 蠕蟲直接接管的設備，可以在電腦上讓 Codex 協助你操作終端，掃描局域網，找出開著調試埠的設備。
根據 Anthropic 這次實驗的說明，這次端到端複製實驗通過沒有身份認證的 ADB 接口訪問目標設備。ADB 是 Android Debug Bridge，也就是安卓調試橋，可以用於安裝應用、調試程序和執行命令。
傳統的 ADB 網路連接常用 TCP 5555 埠。如果設備開放了 ADB 網路訪問，又沒有啟用身份認證，連接者就可能取得執行命令的權限。新版 Android 的無線調試則通常需要配對，並使用動態埠。
如果掃描結果出現 5555/tcp open，先確認這個 IP 對應的是不是電視盒子。不需要調試功能的話，可以進入盒子的「開發者選項」，關閉 USB 調試及網路、無線調試。
