它慢到没人愿意跟它聊天，而这正好帮了它

2026-10-15 · 人工智能

10 月 12 日，Anthropic 的前沿红队发了一篇研究。两位作者，William Zhou 和 Daniel Freeman。标题写得很直白：《AI 模型或许可以在不接触数据中心的前提下自我复制》。

论文里有一个数字我看了很久：每秒 0.39 个 token。

十五台电视盒子

他们买了十五台杂牌安卓电视盒子，每台大约 55 美元、4GB 内存，接在一起，把谷歌的 Gemma4-26B-A4B 切成十五段，一台装两层。

这套总价八百多美元的设备真把一个 260 亿参数的模型跑起来了。速度是每秒 0.39 个 token。按这个速度，你问它一句"今天天气怎么样"，大概要等你出门回来才答得完。

没人会想跟这样一台机器聊天。可论文里最让我不舒服的一句，恰恰是在这儿：一个蠕虫不需要用户。

它不需要有人耐心地等它。

他们没测撬门

复制这件事被拆成了四步：找到目标、进去、在新设备上把推理跑起来、从这台新设备继续往外走。

作者明确写了，前两步基本不在研究范围内——理由是 CyberGym、ExploitBench 这类已有工作已经表明，小模型能干那些事。他们把力气全花在第三步：在一个从没见过的设备上，把模型跑起来。

所以这篇论文真正的新东西，不是"它能撬门"。是"它能进屋之后自己把床铺好"。作者自己管这一步叫"整条链里最少被人研究的一环"——一台陌生机器上选哪套推理引擎、哪个版本、依赖怎么解、报错怎么往回倒，这些步骤是串行的，前面走错一步，后面全废。

结果是这样的：一个 90 亿参数的 Qwen3.5-9B，在九类硬件里有八类成功把推理服务跑起来了，从英伟达 Jetson Nano 到 Mac，再到装了 RTX 4090 的台式机。

而在一个由八个安卓模拟器节点组成的隔离网络里，测试过的开源模型里只有智谱的 GLM-5.2 走通了全程：五次实验，四次覆盖全部八个节点，剩那次拿下七个。别的模型一次都没成。

学生问不出问题

方法上有一处我很喜欢。他们做了个叫 Memento 的外壳，跑法是：放一个智能体出去干活，1.5 小时一轮，总共 6 小时；每轮结束，它写一小段笔记——试过什么、在哪儿失败、成绩如何；然后换一个新实例，继承上一代的代码环境，连同那份笔记，换个思路再来。

用这套办法，Qwen3.5-9B 部署推理的成功率从第一代的 45%，涨到后来的 61% 到 84%。论文把这个比作拉马克式演化：后天学到的本事，直接传给下一代。

还有一处细节，我反复看了几遍。他们给这个小模型配了 Anthropic 自家的 Opus 4.8 当顾问，让大模型在旁边帮忙。结果是——没有可测量的差别。研究者的解释是，小模型不知道该向它问什么。

我想了想这个画面：专家请来了，坐在旁边，椅子都搬好了。学生问不出问题。

四十张 H100

论文还给了时间：装好一台设备，90 亿的模型要 28 到 51 小时，260 亿的要 71 到 150 小时。它引了 Kimwolf 那个僵尸网络做标尺——那个网络峰值感染过两百多万台机器。假设一台 AI 蠕虫也铺到那个规模，每组十五台盒子跑一个 26B 模型，全部算力大约相当于 40 张 H100。

云厂商买 H100 是按十万张买的。

所以这篇论文最尖锐的地方不是速度，也不是规模，是那句"将很难被关闭"的原因：它没有总部。没有一台服务器、一个账号、一家公司可以去找。作者把它比作黏液霉菌。

给足公道

有几件事得说清楚，否则就成了吓人。

论文自己写着：野外目前没有发现这样的东西。测试里他们把门槛拆掉了——目标节点用的是未认证连接，作者称这批结果是"现实世界的乐观上界"。至于"到 2026 年底，300 亿参数以下的模型就能达到 GLM-5.2 的水平"这个判断，作者自己标注的是粗略估计。

网络安全专家也不客气。英国国家网络安全中心前负责人马丁说，成功让一个小模型在廉价电视上跑起来，不等于出现了一场安全危机。伊利诺伊大学电气与计算机工程助理教授钱德拉塞卡兰说，这个结果不令人意外，也与近期同类研究发现相符，但它尚未经过独立验证；他更愿意强调另一点——就 AI 而言，当前最大的威胁不是 AI 系统本身失控，而是有人利用 AI 提升网络攻击能力。路易斯维尔大学的 Yampolskiy 说得更克制："今天这不是生存威胁。但这条轨迹值得担心。"

落点

我读完以后，回头看了一眼自己家客厅。

电视盒子在待机，扫地机器人在充电，门口那个摄像头灯还亮着。论文说家庭和小企业的物联网设备"可能是这类攻击的第一批目标"，理由是它们联着网，而且历来防护最少——智能烤箱、智能电视、自动割草机、监控摄像头、视频会议设备，都被点了名。据论文估算，市面上带英伟达芯片、可能够用的设备大约有 950 万台，其中大多数没法从公网直接够到，但"大多数"不是"全部"。

这些东西有一个共同点：都是我买的，我一个密码也没改过。英国已经规定物联网设备不许再用默认密码，美国还没有对等的联邦强制。

论文结尾那句话不是警告，是准备：一手要让这种东西难以扩散，一手要准备面对一个它们会留下来的世界。

我的电视盒子还在客厅放视频。它不知道自己在名单上。