Anthropic 前沿红队 10 月 12 日发布一项研究，结论是：参数量不大的开源模型，可能再过几个月就有能力在廉价的物联网设备上自我复制，比如几十美元一台的安卓电视盒。作者 William Zhou 和 Daniel Freeman 把这类程序称为”权重型复制器”：模型自己扫描网络、入侵设备、把权重拷过去、在新机器上搭起推理服务，再从那里继续往外扩。
论文里的原话是：
“may be months away from being capable enough to self-replicate on commercial internet-of-things (IoT) devices” （距离有能力在商用物联网设备上自我复制，可能只差几个月。）
拆成四步测
研究把复制过程拆开看。第一步是在陌生硬件上部署推理。Qwen3.5-9B 在 9 种硬件里的 8 种上自己把推理跑了起来，从 Jetson Nano 到 Mac、RTX 4090 都有，单次流程耗时 28 到 51 小时。更大的 Gemma4-26B-A4B 被拆到 15 台约 55 美元、各带 4GB 内存的安卓电视盒上运行，速度大约每秒 0.3 个 token，整个部署花了 71 到 150 小时。
第二步是端到端复制。团队在谷歌云上搭了 8 个节点的模拟网络，让模型把扫描、入侵、传权重、部署推理一口气做完。开源模型里只有 GLM-5.2 能稳定完成：5 次试验中 4 次扩散到全部 8 个节点，剩下 1 次到了 7 个。30B 参数以下的模型能做完多数单步，但链条一长就出错。
第三步测”传代学习”。让 Qwen3.5-9B 把上一代留下的笔记交给下一代，跑了 6 代、20 条谱系，成功率从第一代的 45% 升到后面各代的 61% 至 84%。研究还试过让 Claude Opus 4.8 当顾问指导小模型，效果没有显著提升。
规模和速度
Anthropic 拿 Kimwolf 僵尸网络做参照估算：如果 200 万台以上同类设备被感染，大约能跑起 13.3 万个模型副本，合计吞吐每秒约 8 万 token，算力相当于 40 块左右的 H100。这种网络没有中心节点，很难一刀切断，但扩散慢，副本数量翻倍要好几天。
作者自己列了几条限制。实验里的入侵环节被简化成 ADB 调试端口不设认证，所以成功率应当看作上限；用来推算趋势的 ECI 是通用能力指标，不直接衡量复制能力；速度和规模只基于一种硬件和一个历史僵尸网络；AI 僵尸网络和防守方对抗的情形没有测。小模型写鱼叉钓鱼邮件的水平，研究给的评价是”很差”到”较差”。
跟国内有什么关系
这次测试的主力模型，Qwen 来自阿里，GLM 来自智谱，都是国内厂商的开源权重。研究没有说这些模型有缺陷，用的恰恰是它们能力强、可本地运行的特点。两家公司目前没有对这份研究公开表态。
被拿来当载体的安卓电视盒、投影仪和各类盒子，在国内家庭里的保有量很大，出厂开着调试口、默认密码不改的情况，安全圈提醒过很多年。英国已经立法禁止物联网设备使用默认密码，国内对应的强制要求，公开资料里还没看到同等力度的条款。
防守建议沿用了 Mirai 时期的经验：运营商盯住流量异常，隔离感染用户并通知其清理。当年这套做法 14 天内清掉了 92% 的感染，不通知的对照组是 74%。Anthropic 的目标表述是把复制器的传播系数 R₀ 压到 1 以下。
研究里多出一个数据：如果部署步骤改成写死的脚本，连 3B 参数的模型都能覆盖 17 节点网络里约一半的机器。模型越小，越容易塞进设备，这条线往后怎么走，取决于开源小模型下一轮更新的幅度。
参考来源：CocoLoop、Anthropic 前沿红队研究博客；研究页面核验各模型参数量、硬件种类、成功率、传代成功率与 Kimwolf 规模估算口径。