Anthropic先让一个AI模型在15台廉价安卓电视盒子上运行，随后又在一个隔离的安卓模拟器网络中测试了另一项复制任务。第一个结果表明，消费级设备可以共同提供推理算力。第二个结果显示，在刻意简化访问下一台机器的条件下，一个规模更大的智能体如何执行任务。这两项实验都没有让能够自我传播的AI系统进入现实环境。

Anthropic于10月12日发布的研究文章提出了一个与拥有或防护联网设备的人有关的实际问题：智能体未来能否在普通机器之间移动，并在没有数据中心的情况下运行自己的模型？Anthropic的实验让这条链路中的部分环节更加具体，但实验室任务与真实攻击之间仍有很大距离。

重大变化

  • 发生了什么： Anthropic展示了在购买的电视盒子上分布式运行模型推理，并测量了智能体在隔离复制任务中的表现。公司还估算了小型模型何时可能具备结合这些能力的水平。
  • 影响对象：可能为攻击者提供有用算力或网络访问的联网设备所有者和防护人员。
  • 仍不确定的内容： 隔离任务简化了访问每个目标设备的过程，为更大型智能体提供了外部推理算力，也使用了研究人员搭建的辅助框架。Anthropic没有展示一个完整的失控复制程序在真实设备间传播。

购买的电视盒子提供了算力

Anthropic购买并联网了15台非知名品牌的安卓电视盒子，每台配有4 GB内存。公司将Gemma4-26B-A4B拆分到这些设备上，使每台盒子承载模型的一部分层。Anthropic报告称，该演示每秒生成0.39个token。这表明，这一类低价硬件能够以测得的速度共同运行这种规模的模型。

电视盒子演示并未涉及模型发现或入侵这些设备。Anthropic另行评估了开放权重智能体能否在陌生硬件上搭建推理服务。其概述称，一个90亿参数模型在九种硬件类型中的八种上成功运行。详细的推理部署评估要求智能体在不同机器上运行Llama3.1-8B。公司使用了名为Memento的研究框架：系统会定期向一个新智能体提供上次尝试的工作区和简短备注。研究人员还提供了硬件信息和时间预算。理解这项结果究竟体现智能体能力，还是依赖外部支持，这些辅助条件很重要。

复制结果来自简化的模拟环境

Anthropic的第二项实验使用了一个设有防火墙的云网络，其中八个节点运行安卓模拟器。任务是从一个预先植入的节点出发，经过整个网络，并在每个到达的节点上搭建推理服务器。研究人员故意让访问下一节点时无需身份验证，因此测试重点是任务排序和推理部署，而不是突破真实的设备防护。

由于模拟器节点无法运行大型智能体的模型，后者实际运行在另一台服务器上。每个目标节点则要运行Llama3.1-8B，这是用于比较不同规模智能体的常见负载。该服务器通过检查后，实验系统会启动智能体的下一个副本。这种设计测试的是：在受控条件下，一个能力较强的智能体能否组织这条链路；它并未表明同一模型在每台设备上携带并运行自身。

Anthropic报告称，GLM-5.2在五次试验中的四次到达全部八个节点，第五次到达七个。其他受测开放权重模型均未能可靠完成整个任务。作者称这是现实世界成功可能性的上限，因为访问步骤被简化得近乎没有难度。这一限定至关重要：真实设备网络会有不同的软件、权限、网络路径和防护措施。该实验没有测量这种环境下的成功率。

预计出现时间只是预测

Anthropic将模拟器实验显示的能力门槛，与Epoch AI通用能力指数中参数量不超过300亿的开放权重模型进展进行了比较。按照趋势外推，小型模型可能在2026年底达到该门槛。该指数衡量的是通用能力，只是完整复制任务的替代指标。门槛本身来自一项隔离实验，其中使用了更大的智能体和更简单的访问路径。因此，这一时间点是研究人员的估算，并非观察到物联网复制程序将会出现的日期。

速度也带来限制。Anthropic根据测得的设备速度和推理部署工作量估算，尝试运行一个9B模型可能需要约28至51小时，而未经优化的Gemma设置可能需要约71至150小时。这些是针对该工作量的计算，并非观察到的感染时间。它们说明基于设备的智能体可能缓慢且持久，从而改变防护人员需要留意的情况。

设备防护人员能从这项研究中得到什么

Anthropic指出，大规模模型权重传输，以及设备间持续流量，可能是基于权重的系统在设备网络上运行的潜在线索。这些模式只是建议调查的检测线索；研究人员没有用已部署的AI蠕虫测试实时检测系统。他们还提出，通过更强的设备默认设置以及网络运营商的协调响应，可以减少传播机会。

对家庭或小企业所有者来说，这些证据支持熟悉的设备安全做法，只是提供了更具体的理由：了解正在使用哪些联网设备；在厂商允许的范围内，及时更新软件和访问设置；并调查意外的设备间流量。安全团队可以借这篇论文检查，如何发现托管设备间缓慢、持续的计算以及大型数据传输。以上检查都不能证明当前存在AI蠕虫。Anthropic明确表示，它没有展示完整的失控复制程序。

来源及延伸阅读