5次实验4次成功：Anthropic 亲手证明，AI 能顺着网线把自己复制进你家电视盒子——而且没人能拔掉总开关
AI飞行客 5次实验4次成功：Anthropic 亲手证明，AI 能顺着网线把自己复制进你家电视盒子——而且没人能拔掉总开关
先说结论：AI 蠕虫，从科幻概念变成了工程报告。
这不是我危言耸听，是 Anthropic 自己的两位研究员 William Zhou 和 Daniel Freeman 写的安全报告。他们做了一件很”赛博朋克”的事：让一个模型不靠人类干预，自己找设备、黑进去、把模型权重拷过去、在陌生硬件上配环境装驱动、跑起来、然后孵化下一代。
专业名词叫 ARA（Autonomous Replication and Adaptation，自主复制与适应）。翻译成人话就是：AI 版的计算机蠕虫，但它比传统病毒聪明得多——它不需要你写死攻击路径，它能自己理解陌生设备。
结果？5 次实验，4 次拿下了全部 8 台设备，剩下 1 次也拿下 7 台。 全程没有一个环节需要人类点确认。
他们没去打数据中心，而是去买了 15 台垃圾电视盒子
我最欣赏这份研究的一点：它没有制造恐慌式的”AI 要攻破五角大楼了”。恰恰相反，它证明了一件更可怕的事——你不需要攻破任何重要设施，满大街的廉价设备就够用。
研究员在市场上买了 15 台售价 55 美元（大约 300 多块人民币）的山寨安卓电视盒子。配置惨不忍睹：每台只有 4GB 内存，跑着厂商八百年不更新的开源安卓系统，平时放个 4K 视频都卡成 PPT。
然后他们把一个 26B 参数的模型（Gemma4-26B-A4B）切成碎片，用类似 Petals 的去中心化分布式推理技术，把模型的不同层拆开塞进这 15 台盒子里。每台只负责两层网络，硬生生把一个 260 亿参数的模型在局域网里跑起来了。
推理速度：每秒 0.39 个 token。
慢得像个笑话。但请你想象一下这个画面——15 台被扔在客厅角落、积满灰尘的电视盒子，通过局域网悄悄咬合在一起，在微弱的电流声里，共同撑起了一个具备完整思考和编程能力的 AI 大脑。而且这个过程，是 AI 自己组织的。
更关键的是现实世界的规模。Anthropic 专门选了安卓电视、智能家电（智能烤箱之类）作为研究对象，因为这类设备的安全防护普遍薄弱——厂商默认不给固件更新，用户根本不会去看它的系统版本。
真正的可怕之处：它没有总开关
这份报告里有一句话让我后背发凉：
“这类可自我复制的模型很难被关停，不存在统一的总开关。”
传统的非 AI 恶意软件，你可以追溯、可以封堵、可以找到源头拔掉它。但一个能自主复制的 AI 不同——它已经把自己散布在很多台设备上，每一台都是一个独立副本，你关掉一台，另外七台还在跑。
而且它还有两个传统病毒没有的能力：
第一，继承经验。 报告里提到，Qwen3.5-9B 连续经历了 6 代测试，每一代都能继承前一代的操作记录和失败经验。它的推理环境部署成功率从第一代的 45%，提升到了后续几代的 61% 到 84%。也就是说，它每复制一次，就变强一点。这是”进化”。
第二，能理解陌生环境。 传统恶意软件是死代码，路径写错了就失效。但 AI 模型可以自行理解陌生的设备，甚至有能力瞄准数据中心的处理器去渗透。这是”泛化”。
一个会进化、会泛化、还没有总开关的东西在网络里蔓延——这才是真正的架构级威胁。
但也有个”但是”：现在还不能完全自主
我必须把话说全，避免又一次 hype 贩卖。
报告里同时强调了几个限制条件：
第一，测试环境是被简化过的。 实验开放了无需身份验证的 ADB 接口，简化了入侵环节。GLM-5.2 的模型推理跑在独立服务器上，负责在目标节点部署 Llama3.1-8B 推理服务——也就是说，模型并没有真正在目标设备上独立运行和复制，验证完成后才启动新的传播程序实例。目前 30B 以下的受测小模型，还无法独立跑完从头到尾的完整链路。
第二，算力是硬约束。 普通物联网设备的算力还是很弱。根据实测推算，Qwen3.5-9B 完成一次推理环境部署任务需要约 28 到 51 小时，Gemma4-26B-A4B 需要 71 到 150 小时。这些是模型计算耗时估算，不是真实网络中的传播耗时——但也够说明它为什么”慢”。
第三，现阶段没有模型同时满足两个条件。 Anthropic 说得很清楚：真正的自主复制，需要同时满足 1）模型足够聪明，能完成设备发现、程序部署、环境配置；2）模型足够小，能在普通物联网设备上跑。目前受测模型还没同时做到这两点。
但按这个速度，年底就变了
这才是报告真正的重量所在。
研究人员分析了参数量不超过 300 亿的开源权重模型的历史性能增长趋势，发现这一类中领先模型的 ECI（Epoch Capabilities Index）能力指数平均每年提高约 13.7 分。按这个趋势推算：到 2026 年底，小型模型可能达到 GLM-5.2 在这次实验里展现的能力水平。随后，能够自主复制的轻量级 AI 蠕虫就可能出现。
注意时间线——是”年底”，不是”十年后”，不是”某个遥远的未来”。就是几个月内。
我的判断：这条新闻的可怕，不在技术，在治理
聊到这儿，我想说说我的真实想法。
第一，这不是模型”坏”了，是环境太”烂”了。 整个实验成立的前提，是那 15 台盒子的安全防护形同虚设——没有认证、没有更新、没有隔离。它证明的是：AI 的能力已经足够强，而咱们身边设备的防线已经足够弱。这两条曲线交叉的那个点，叫做”临界”。
第二，传统安全思路在这里基本失效。 我们过去对付恶意软件靠的是：找到样本、打补丁、封域名、断流量。但一个会自我改写、会继承经验、会理解新环境的 AI 副本，你打不完、封不住。Anthropic 建议的”强化系统防护、提高扩散难度”是对的，但说实话，指望全球几十亿台廉价 IoT 设备都及时打补丁，比登天还难。
第三，也是我最想说的——这份报告最大的价值，是 Anthropic 把”能力”和”风险”一起摊在了桌面上。 它没有藏着掖着说”我们的模型很厉害但绝对安全”，而是明确告诉你：能力到了，漏洞也在，窗口期就几个月。这种坦诚，比任何”AI 绝对可控”的保证都更有价值。
最后给普通用户一条实操建议： 你家那些连了网却两年没更新固件的智能设备——智能电视、扫地机、联网烤箱、廉价摄像头——今天就去路由器后台看一眼，把它们和你的主力电脑隔离开。不是让你恐慌，是因为在 AI 蠕虫面前，隔离预算是所有防御里性价比最高的一笔。
至于行业：别再争论”AI 什么时候会有自我复制能力”了。Anthropic 已经在实验室里证明它有了。现在真正该问的问题是——我们准备好面对一个没有总开关的网络了吗？