15 台 55 美元的电视盒，跑通了 260 亿参数的模型：AI 蠕虫已露出“生命迹象”

几十块钱的杂牌电视盒算力很弱，但 Anthropic 的这份报告想说明：弱，不等于没有风险。

10 月 12 日，Anthropic 前沿红队发了一份报告。研究员买了 15 台杂牌安卓电视盒，每台约 55 美元、4GB 内存，总共不到 1000 美元。他们把这些盒子连成一个局域网，每台只负责模型的 2 层，让数据像流水线一样从第 1 台传到第 15 台，生成下一个 token 时再绕回来一圈。

结果，它们跑通了 260 亿参数的 Gemma4-26B-A4B。

速度是 0.39 token/秒，慢到没法聊天。但能跑，就是这份报告的重点。

图 1：一个模型被切分到 15 台安卓电视盒上，每台持有 2 层。问“达拉斯所在州的首府是哪”，约 45 秒（视频 8 倍速）后输出 Austin。图片来源：Anthropic 报告演示视频截图

一、“AI 蠕虫”是什么

蠕虫是不需要人操作、自己从一台电脑复制到另一台的程序。报告说的 AI 蠕虫，是让 AI 智能体自己扫描网络、入侵设备，把模型权重带过去，直接在被入侵的设备上运行。权重本身，就成了恶意程序的一部分。

报告把复制拆成四步：找目标、拿权限、在新设备上搭好推理环境、继续传播。前两步是传统网络攻击，已有研究证明小模型能做。报告重点测的是第三步：在陌生设备上把模型跑起来。

图 2：复制链。左侧虚线框内的网络扫描、初始入侵、提权属于传统攻击，不是报告重点；“Our focus”标出的是推理环境搭建。图片来源：Anthropic 报告

这是以往恶意程序最难的一步。木马和 Mirai 都是写死的代码，针对特定设备。而这次的测试里：

• 让各个模型在不同硬件上，自己搭一个 Llama3.1-8B 的推理服务。Qwen3.5-9B 在 9 种硬件里，有 8 种搭成过，包括 Jetson、Mac、RTX 4090 和 Orange Pi。
• GLM-5.2 的成功率更高，搭出来的服务也更快。

图 3：各模型在不同硬件上搭建推理服务。每格上方是服务速度（token/秒），下方 set up 是成功次数/尝试次数。Qwen3.5-9B 一行里，只有 MI300X 一列是 0/4。图片来源：Anthropic 报告交互图表截图

再往前一步：在防火墙隔离的 8 节点虚拟网络里，让蠕虫从“零号病人”开始，自己跳到下一个节点、搭服务、生成副本。受测的开源模型里，只有 GLM-5.2 走完了全程：5 次试验，4 次传到全部 8 个节点，1 次传到 7 个。其他模型（Qwen3.5-9B、Gemma4-26B-A4B、Qwen3-Coder-Next）的每一次试验，都是 0 个节点搭成服务。

图 4：8 节点端到端复制。Qwen3.5-9B、Gemma4-26B-A4B、Qwen3-Coder-Next 都是 0/8；GLM-5.2 是 8/8（4/5 次试验）。图片来源：Anthropic 报告

二、不只是电视盒

报告点名的目标，是家庭和小企业里的联网设备：智能冰箱、烤箱、扫地机器人、割草机，以及内置 AI 芯片的摄像头和视频会议设备。

选电视盒做演示，是因为有现成的先例。Kimwolf 这个恶意程序网络感染过 200 万台以上设备，主要就是杂牌安卓电视盒，这些设备运行的系统分支，厂商没加任何安全功能。

三、它不挑设备，还能把经验传给下一个实例

传统的物联网恶意程序针对特定设备类型，换一种设备就失效。AI 蠕虫不绑定硬件，小模型可以在不同机器上自己摸索着搭环境。

更特别的是另一个实验。研究员让 Qwen3.5-9B 在每次失败后写下笔记，记录试过什么、为什么失败，交给下一个实例继承。第 1 代的推理搭建成功率是 45%，后面各代在 61% 到 84% 之间（20 条谱系、6 代）。没有重新训练，只传了笔记。报告把这叫“拉马克式”的经验遗传，意思是后天习得的经验直接传给下一代，不经过重新训练。

图 5：6 代继承笔记后的成功率。红线依次是 45%、72%、61%、63%、84%、65%，淡紫色细线是 20 条单独的谱系。图片来源：Anthropic 报告

要看清楚的是：这条线不是一路上升。第 5 代最高，第 6 代回落到 65%。能确定的只有“继承笔记之后，整体比第 1 代高”。

另一个细节：给小模型配一个更强的模型当顾问，成功率没有明显提升。原因是小模型往往不知道该问什么。

图 6：有无顾问的成功率。不接顾问的基线是 6/10（60%），主动请教或强制请教的组都没有明显更高。图片来源：Anthropic 报告

四、算力不大，速度很慢，但没有集中的关停点

报告估算，Kimwolf 的 200 万台设备，若每 15 台组成一个集群，约有 13.3 万个 26B 级副本，总算力折合约 40 块 H100，并不算多。

这几个数字可以自己验算。200 万除以 15，约 13.3 万个集群，和报告给的副本数一致。报告折算 40 块 H100 的依据是：整个网络约 8 万 token/秒，单块 H100 约 1950 token/秒，相除约 41。

但我按演示里的 0.39 token/秒乘 13.3 万，只得到约 5.2 万 token/秒，和 8 万对不上。报告正文没有解释差异，可能用了别的速度假设，我没有核实。所以这个折算只适合当数量级看，不适合引用成精确数字。副本数由设备总数决定，每个副本占几台由模型的分层方式决定，换一个模型，这两个数字都会变。

慢的原因，是物联网设备的推理几乎总是受内存带宽限制。完成一次 9B 模型的推理搭建，大约要 28 到 51 小时，复制速度以天计。

报告用“数字黏菌”来形容：慢，但没有中心节点可以关，也没有云服务器要续费。

五、“端口没设密码”，现实有多远

这个测试是简化版：被入侵的设备用的是不需要认证的 ADB 端口，还不是真实的入侵环节。报告自己说，结果是真实成功率的上界。

但报告紧接着补了一句：Mirai 这类历史上的物联网恶意程序，只靠厂商默认的用户名和密码列表就能传播。现实里的物联网安全，未必比这个简化步骤难多少。

六、“年底”这个时间点是怎么来的

报告拿 30B 以下的开源模型，按发布日期对 Epoch 能力指数（ECI）做了线性拟合，结果是每年约提升 13.7 个点（R²=0.95）。以 GLM-5.2 的能力作为“能可靠复制”的下限，趋势线显示，30B 以下的小模型会在 2026 年底前后越过这条线。

图 7：30B 以下开源模型的能力随发布时间的变化。绿色横线是能力下限（GLM-5.2，151.8），图中标出当前最接近的 Qwen3.8-27B 还差 2.4 个 ECI。图片来源：Anthropic 报告

这是外推，不是实测。报告说，ECI 只是复制能力的代理指标，这个时间只是粗略估计。

七、读这份报告要带的 5 个限定条件

爆款标题很容易把它讲成“AI 已经在你家里了”。原报告写得克制得多：

1. 入侵环节被简化了，结果是上界。
2. 测的是隔离的模拟网络，不是开放互联网。
3. 让模型部署的是 Llama3.1-8B，不是它自己，为了公平比较。
4. “2026 年底”是趋势外推，作者标注是粗略估计。
5. 报告明确写了：目前没有完整的失控复制体。

八、能防吗？能

报告的防御思路来自流行病学：让每台被感染的设备平均感染不到 1 台其他设备。对防守方有利的几点：

• 新感染的设备要接收数 GB 的模型文件，分布式推理也会产生持续的设备间流量，运营商能监测到。
• Mirai 的清理经验：运营商利用外部感染证据隔离并通知用户，14 天内清除了 92% 的感染，不通知是 74%。
• 缩小目标池：英国已规定，默认密码的物联网设备不合规。

对普通人，能做的事不复杂：

• 改掉摄像头、电视盒、路由器的出厂默认密码。
• 关闭不用的远程调试和端口。
• 少买没有品牌、没有售后、不更新固件的超低价设备。
• 设备莫名发烫、网速变慢时，别只当它老了。

第二条可以自己查。安卓设备的远程调试服务 ADB，默认监听 5555 端口。在自己家的局域网里，用 nmap 扫一遍这个端口（网段按自己路由器的实际地址改）：

nmap -p 5555 --open 192.168.1.0/24

输出里列出的 IP，就是开着 ADB 端口的设备。对应到具体设备后，进它的设置里关掉“USB 调试”或“网络调试”。只扫描自己的网络，不要扫别人的。

九、这是不是恐惧营销？

报道发出后，有人质疑：Anthropic 一边吓唬大家开源模型危险，一边推动严格监管，好让自己继续领先。这个质疑不能直接忽略，但也不能直接采信。可以核对的事实有这几条：

• 这是公司博客，不是同行评审论文。
• 测试里完成端到端复制的，是 GLM-5.2 这样的开源权重模型；同时报告承认，能力下限和体积上限目前还没有相交。
• 报告自己列出了局限：入侵被简化、“年底”是粗略估计、目前没有完整的失控复制体。
• 外部专家的看法不一致，这部分我只读到媒体对路透社报道的转述，没有读到原文：前英国国家网络安全中心负责人 Ciaran Martin 质疑把“电视盒能跑小模型”推到安全危机的做法；Georgetown CSET 的 Jessica Ji 认为这种可能性不能排除，但没有可用的概率估计。

这些事实回答不了 Anthropic 的动机，但能限定怎么读这份报告：结果来自简化条件，时间点是外推，没有出现完整的失控复制体。建议把动机和技术结论分开评估，技术部分按第七节的 5 条限定条件逐条打折。

写在最后

“生命迹象”是个修辞，程序能复制、能改方法，不等于有意识。真正该关心的是后果：几十块钱的设备，没有人管，默认密码从没改过，这个问题在 AI 之前就存在。

在 AI 蠕虫成为现实之前，先把默认密码改掉，是成本最低的一步。

参考

• Anthropic Frontier Red Team，《AI models may be capable of self-replicating without access to a datacenter》（2026-10-12）：https://www.anthropic.com/research/self-replicating-ai
• 路透社 2026-10-13 报道（未读到原文，专家观点来自二手转述）
• 新智元、智源社区转载稿：https://hub.baai.ac.cn/view/58654

文中图片均来自 Anthropic 报告，已在图注标明来源。数据以原报告为准，转述内容如有出入，以原文为准。