摘要： Anthropic 前沿紅隊在 10 月 12 日發布研究，讓開放權重模型在模擬的 Android 裝置網路中嘗試自我複製，GLM-5.2 在 5 次試驗中有 4 次擴散到全部 8 個節點，並推估小模型年底可能具備同等能力。但《The Register》質疑實驗節點是刻意留洞的特製環境。對 builder 來說，這份研究的價值不在預言末日，而在指出廉價 IoT 裝置上那些今天就該關掉的入口。
實驗到底做了什麼
研究想回答的問題很具體：AI 能否不靠資料中心，在便宜硬體上自行複製傳播？團隊先把 Gemma4-26B-A4B 分散到 15 台、每台約 55 美元的白牌 Android 電視盒上執行，速度每秒 0.39 個 token——慢，但證明串起廉價裝置就能跑模型。另一項測試中，9B 模型在 9 種硬體中有 8 種能自行架起推論環境。
核心實驗則在 Google Cloud 上以防火牆隔離的 8 節點 Android 15 模擬器網路中進行。結果只有 GLM-5.2 在簡化條件下完成端到端傳播，而且是由 GLM-5.2 操作、在目標節點部署 Llama3.1-8B 推論服務，再由測試系統啟動下一份 Agent。這點很關鍵：實驗並不表示 8B 小模型已能獨立完成自我複製。30B 以下的小模型能做個別步驟，串成完整流程仍會出錯。
「年底成形」的推估與它自己的但書
Anthropic 用 Epoch 的通用能力指數（ECI）推算：小模型 ECI 每年約提升 13.7，照此速度今年底就能達到這次實驗的複製能力水準。研究者自己也承認，ECI 只是代理指標，而且實驗中的 ADB 埠（Android 除錯連線埠）沒有設驗證機制，結果只代表真實世界成功率的上限。
就算真的出現，這種蠕蟲也不會是閃電戰。9B 模型每完成一次複製要 1 到 2 天以上；就算以感染逾 200 萬台裝置的 Android 殭屍網路 Kimwolf 的規模估算，整個網路的推論能力最多相當於約 40 顆 H100 GPU。掌握大量廉價裝置，不等於取得強大的 AI 運算效能。
外媒質疑了什麼
《The Register》記者 Brandon Vigliarolo 指出兩點：實驗節點是為專案特別建置、刻意對攻擊開放的；而且結論建立在「GLM-5.2 的能力可以壓縮進 Llama3.1-8B 這類小模型」的假設上。他也比較傳播速度——2016 年 Mirai 殭屍網路約一小時規模翻倍，AI 蠕蟲則需數天，加上模型檔案龐大、占用頻寬，反而容易暴露來源。
雙方對時間表看法不同，卻指向同一道防線：防護薄弱的廉價 IoT 裝置。
對 builder 的實際意義
這裡有個容易被忽略的事實：AI 蠕蟲還沒成形，不代表這些裝置是安全的。根據《The Hacker News》今年 1 月引述 Synthient 的研究，Kimwolf 已感染逾 200 萬台 Android 裝置，其中至少 67% 未經驗證且預設開啟 ADB——正是 Anthropic 實驗中刻意留下的同一類入口。
Anthropic 借用流行病學概念，把防禦目標設為讓 R₀ 降到 1 以下。新感染裝置要接收好幾 GB 的模型檔案，會在 ISP 流量監控留下異常特徵；Mirai 事件中，一家荷蘭 ISP 隔離並通知受感染用戶後，14 天內清除了 92% 感染。英國市場甚至已立法禁止 IoT 裝置使用預設密碼。
落實到產品決策：如果你在做會跑在終端裝置上的 agent 或推論服務，關閉不必要的除錯埠、淘汰出廠預設密碼，是今天就能動手的事。這也是我先前在談 Anthropic 落戶新加坡時提過的同一條邏輯——模型公司把安全議題貼近真實部署現場來處理（參見那篇分析）。Anthropic 的年底推估仍有待驗證，但補洞不需要等推估成真。