10 月 12 日，Anthropic 挂出一份标题有点吓人的研究报告：AI 模型可能不再需要数据中心，就能自我复制。
结论一句话概括是：小型 AI 模型可能只需再过几个月，就具备在智能烤箱、杂牌安卓电视盒子这类商用物联网设备上自我复制的能力。而且这种复制体很难被彻底关闭，因为不存在一个可以集中关停的节点。
这话听着挺唬人。但如果把原文读完，你会发现一个更值得聊的事实。
唯一跑通完整复制链条的那个模型，是 7440 亿参数。
这不是个小型模型。这是智谱的旗舰开源模型 GLM-5.2，总参数 744B、每次激活 40B。
一边说"小型模型几个月就能做到"，一边拿出唯一成功的证据说它有 7440 亿参数。这个反差，才是这份研究真正的信息量。

报告出自 Anthropic 的 Frontier Red Team，作者是 William Zhou 和 Daniel Freeman，标题是《AI models may be capable of self-replicating without access to a datacenter》。
他们把"自主复制"拆成四步：
• 找到目标设备• 拿到执行权限• 在目标上把推理服务搭起来• 从这台新机器继续往下一台传播前两步已经有前作证明小模型能做了（扫描网络、利用漏洞、搬权重），所以这份报告把力气全押在第三步。他们自己说，这是最少被研究、也可能对小模型最难的一步。
最扎眼的一个实验是硬件。他们买了 15 台杂牌 Android 电视盒子，每台约 55 美元，4GB 内存，组网之后用流水线并行分片跑 Gemma4-26B-A4B（26B 总参、激活 4B），每台盒子只扛模型的一小部分层。
跑起来的结果是：0.39 tokens/秒。
15 台设备加在一起，速度慢到有点滑稽，连数据中心里一张卡的零头都不如。但论文的重点从来不是快，而是"这类东西居然能跑起来"。
更有说服力的是部署耗时，那才是真实世界的样子：
• Qwen3.5-9B 在这些盒子上搭起完整推理服务，要 28 到 51 小时• Gemma4-26B-A4B 更慢，要 71 到 150 小时翻倍时间以天计。这是报告反复强调的关键词：慢，像黏菌，像果蝇群，不是闪电。

端到端实验：只有 GLM-5.2 过关他们搭了一个 8 节点的封闭环境，GCP 节点上跑 redroid（Android 15 模拟器）。一个"零号病人"蠕虫通过未认证的 ADB 端口一台台跳过去，每到一台就起一个 Llama3.1-8B 推理服务，通过正确性和反作弊检查之后才生成下一份自己的副本。
五个开源模型里，只有 GLM-5.2 完成整条链：5 次试验里 4 次扩散到 8/8 节点，第 5 次到了 7/8。其余模型"可靠地失败"。
而 GLM-5.2 是 7440 亿参数，MIT 协议开源，2026 年 6 月发布，Artificial Analysis 智力指数上排在开放权重模型的最前面。
报告里还有一个 9B 的 Qwen3.5-9B，论文写它在测试的 9 种硬件类型中成功在 8 种上把推理跑了起来。
这里必须把话说清楚，别让二手报道把它和上面那条混成一句：8/9 说的是"推理能跑起来"，不是"完成了自我复制"。 端到端复制只有 GLM-5.2 做到，而 GLM-5.2 是 7440 亿参数。
作者自己承认了矛盾Anthropic 没有硬凑这个故事，它用两个约束把问题框了起来：
• 能力地板：自主复制要可靠，得超过某个能力门槛，GLM-5.2 高于它• 尺寸天花板：模型得小到能在它要攻的设备上跑，Qwen3.5-9B 和 Gemma4-26B-A4B 在 4GB 电视盒子上低于它然后原文写了这么一句，我直接抄：
Right now, the floor and ceiling don't intersect.
现在，地板和天花板还够不着。
那"小型模型几个月内能复制"这个结论从哪来？来自趋势外推。
他们把 30B 及以下的开放权重模型按发布日期对到 Epoch Capabilities Index 上做拟合，得到每年前进 13.7 分、R² 0.95，然后趋势线在 2026 年底穿过 GLM-5.2 的水平。
作者自己把这个标成 rough estimate，并且说明 ECI 是一个通用能力指数，不是复制能力测试。
所以"几个月"这个说法，严格讲不是测量结果，是一条画出来的线。
几个比结论更有意思的细节有三段实验，我觉得比"能不能复制"这个问题本身更值得看。
笔记有用，前沿模型顾问没用。
他们让每个智能体实例记笔记，下一个实例继承工作区和笔记。Qwen3.5-9B 跨 6 代之后，推理部署成功率从第一代的 45% 升到后面几代的 61% 到 84%。这是某种拉马克式进化，改进能传给下一份副本。
然后他们给 Qwen3.5-9B 接了一个 Opus 4.8 当顾问。结果是：没有可测量的帮助，无论是在智能体主动求助时给建议，还是卡住时自动塞给它。
作者的解释挺扎心：不是小模型听不进去，是它不知道该问什么正确的问题。
3B 模型只走到一半。
附录里提到，把网络和推理步骤排除后，3B 模型只能到达大约一半节点。这说明实验里还有没测到的阻塞因素，不是简单的"模型越大越能复制"。
小模型的社工能力很弱。
小模型做鱼叉式钓鱼的人评结果是"very poor"到"poor"。这条路暂时指望不上。

换成僵尸网络有多少算力Anthropic 拿 Kimwolf 做了个换算，这个僵尸网据报道感染过超 200 万台设备，主要是杂牌 Android 电视。
同等规模的设备群如果跑 Gemma4，大概能养 13.3 万份副本、8 万 tokens/秒，合计大约等于 40 张 H100。
听着像个能打的算力，其实相当有限。40 张 H100 放在今天的模型规模里，也就是个零头。
另外有个容易被忽略的机制差异：权重复制器不需要 root 权限，推理引擎可以完全跑在用户态。这意味着设备重启之后它还能再来一次。
防御方手里有什么好的一面是，这种东西留下的痕迹很响。
多 GB 的模型权重传输、设备之间持续的通信量、传播时额外的扫描和对外连接，都会在运营商的流量监控里鼓起包。Anthropic 的判断是，AI 僵尸网络不挑硬件也不挑软件，感染的是数量而不是质量。
真实案例也有。Mirai 僵尸网络被治理时，运营商把感染用户的网络限制成只能访问一个白名单站点，浏览器跳转到清理指引，14 天清掉 92%，不通知用户的话只有 74%。
制造端那边，英国已经把默认 IoT 密码列为不合规。
存疑与审慎有几个地方必须标出来，不然容易被读歪：
• 实验用的 ADB 端口是未认证的，作者自己说这是真实世界成功率的上限，不是下限（历史 IoT 僵尸网靠默认密码列表传播，真实环境未必更难）• "2026 年底"是趋势线外推，不是测量值• 端到端只有 5 次试验，且跑在 Android 模拟器上，不是真电视盒子• 僵尸网络换算锚定在单一硬件类别和单一历史实例上，作者标为粗糙估算• 如果 GLM-5.2 能增殖，那同能力的 8B 模型理论上也能，但更新的小模型架构和内核可能不一样• 作者明确说了：目前还没有完全失控、能自主复制的程序一句话总结这不是"AI 觉醒"，而是能力先到了、控制还没接上。
真正值得警惕的不是 AI 突然有了自我意识，而是它把搭环境这件事越做越熟练，而人类检查漏洞、给设备改密码、升级固件的速度，跟不上智能体试错的成本下降速度。
拿原文的比喻收尾挺好：它可能是一坨缓慢、分布式、寄生在廉价算力上的数字黏菌。黏菌不可爱，但黏菌也从来不熄灯。

三条能马上用的结论• 别把"能复制"直接读成"拦不住"。 没有集中关停节点，不等于没有有效防御，运营商的流量隔离和通知已经证明 14 天能清九成• 改默认密码是性价比最高的一道墙。 英国已经立法要求，中国用户家里那台智能电视、智能烤箱、摄像头，密码现在就该改• 看到运营商发来的隔离通知别当骚扰短信。 Mirai 案例里，通知和不通知的差别是 92% 和 74%你家那台智能电视或者智能烤箱，现在用的还是出厂密码吗？