摘要： Anthropic 前沿紅隊在 10 月 12 日發布研究，測試開放權重模型能否在廉價 Android 裝置間自我複製，其中 GLM-5.2 在模擬環境中 5 次試驗有 4 次擴散到全部 8 個節點。《The Register》隨即質疑實驗條件太過理想化。對 builder 而言，雙方爭議的時間點其實不是重點——實驗依賴的未驗證 ADB 埠，真實世界早已大量存在。
實驗做了什麼
Anthropic 想回答的問題很具體：AI 能否不靠資料中心，在便宜硬體上自我複製？團隊先把 Gemma4-26B-A4B 分散到 15 台每台約 55 美元的白牌 Android 電視盒上執行，速度只有每秒 0.39 個 token——很慢，但證明串起廉價裝置就能跑模型。另一項測試中，9B 模型在 9 種測試硬體中，成功在 8 種上自行架起推論環境。
核心實驗則是在 Google Cloud 上以防火牆隔離的網路裡，讓 AI 從一台 Android 15 模擬器節點出發，自行完成複製流程並擴散。結果只有 GLM-5.2 在簡化條件下完成端到端傳播。值得注意的細節：實驗是由 GLM-5.2 操作、在目標節點部署 Llama3.1-8B 推論服務，並由測試系統啟動下一份 Agent，尚不代表 8B 小模型已能獨立完成自我複製。
「年底成形」的推估與它自己的但書
Anthropic 用 Epoch 的通用能力指數（ECI）推算，小模型若維持每年約 13.7 的提升速度，今年底就能達到這次實驗的複製能力水準。研究者自己也說明，ECI 只是代理指標，而且實驗中 ADB 埠沒有設驗證機制，結果只代表真實世界成功率的上限。
速度也遠不像電影裡的瘟疫。以 9B 模型而言，每完成一次複製要 1 到 2 天以上，研究者形容像是「以天為單位繁殖的黏菌或果蠅群」。Anthropic 甚至估算，就算掌握 Kimwolf 殭屍網路感染逾 200 萬台裝置的規模，整個網路的推論能力最多只相當於約 40 顆 H100 GPU——廉價裝置換不來強大的 AI 運算效能。
《The Register》的質疑
記者 Brandon Vigliarolo 指出兩點：實驗節點是為這個專案特別建置、刻意對攻擊開放的；而且結論還得建立在「GLM-5.2 的能力可以壓縮進 Llama3.1-8B 這類小模型」的假設上。他也比較傳播速度——2016 年的 Mirai 殭屍網路約一小時規模就翻倍，AI 蠕蟲估計需要數天，加上模型檔案龐大、占頻寬，反而容易暴露來源。
漏洞今天就在，不用等蠕蟲
這是我覺得最該記住的部分。根據《The Hacker News》今年 1 月引述資安公司 Synthient 的研究，Kimwolf 殭屍網路已感染逾 200 萬台 Android 裝置，其中至少 67% 未經驗證且預設開啟 ADB——正是 Anthropic 實驗中刻意留下的同一類入口。這些裝置被用來販售住宅代理頻寬、出租 DDoS 攻擊能力，並發動憑證填充攻擊。
Anthropic 借流行病學的概念，把防禦目標設為讓 R₀ 降到 1 以下。一個有用的參考數字：2019 年一項研究顯示，荷蘭一家 ISP 隔離並通知受感染用戶後，14 天內清除了 92% 的 Mirai 感染，未通知的用戶最多只有 74%。法規面也有壓力——IoT 裝置使用預設密碼，在英國市場屬於不適法。
無論 AI 蠕蟲何時真的成形，關閉不必要的除錯埠、淘汰出廠預設密碼，都是現在就能動手的事。企業 IT 若還有開著未驗證 ADB 的裝置，先封鎖或限制再說。
安全這件事和 agent 治理是同一套邏輯：風險要落在具體的入口和掛名的人身上才管得住，這也是先前談員工自建 AI 工具時強調治理要從「誰掛名」開始的原因。Anthropic 的年底推估仍有待時間驗證，但它的價值不在預言準不準，而在把防線的位置指清楚了。