Anthropic亲手造出AI蠕虫!钻进300元电视盒自我复制,全网无总开关可拔

如果你以为“失控的AI”只会诞生在耗电如流水、摆满上万张英伟达显卡的超级数据中心里，那你可能看错方向了。

第一只失控的野生AI，极有可能先出现在你家客厅电视柜后面、那个落满灰尘的杂牌机顶盒里。

就在几天前，Anthropic前沿红队（Frontier Red Team）发布了一份引发安全圈广泛警惕的实验报告。两位研究员花825美元买来15台廉价安卓电视盒，并在隔离网络中亲手测试了“AI蠕虫”的完整闭环。

他们直接把结论拍在了桌面上：小型开源大模型距离在日常家用设备上实现“自我复制”，可能只剩几个月的时间。 一旦它们顺着网线散入千家万户，全世界没有任何一个集中的“总开关”能把它们关掉。

▲ Anthropic官方研究页首屏：小型模型或许在数月内就能在没有数据中心的情况下实现自我复制

这场实验不仅撕开了物联网安全的旧伤疤，更揭示了一个全新的危险范式：当算力化整为零，AI正在学会像生物黏菌一样，在人类的视野盲区里野蛮生长。

01825美元拼出“客厅超算”，会卡缓冲的天网更致命

长久以来，科技界有一种乐观的错觉：好用的大模型太吃硬件了。没有昂贵的H100加速卡，离开云端机房，AI连话都说不利索，谈何失控？

Anthropic红队决定打破这个假设。他们去市场上淘了15台杂牌安卓电视盒子，每台售价55美元（约合人民币390元），内存只有可怜的4GB。

一只盒子装不下大模型，那就用十五只来拼。研究员拿来拥有260亿参数的开源模型 Gemma4-26B-A4B，像切香肠一样把模型按层切开，用“流水线并行”的方式摊派到这15台机器上。

什么是流水线并行？你可以把它想象成工厂里的传砖头1号盒子算完第一棒，把结果顺着网线扔给2号盒子，2号算完再扔给3号。这种架构有个天然的缺陷：同一时刻往往只有一台盒子在干活，其余14台都在干等着上游交活。 再加上廉价芯片的内存带宽极窄，15台盒子拼在一起，速度并不会变成15倍。

最终测出来的运行速度是多少？每秒钟0.39个token 也就是蹦出一个英文单词要等两秒多。

▲ 红队用15台单价55美元的安卓电视盒拼成分布式集群，跑通了260亿参数的大模型

报告一出，评论区立刻有网友开启嘲讽模式：“每秒0.39个token。天网是来了，但它会卡缓冲”

▲ 网友调侃每秒0.39个token的速度就像“卡在缓冲界面的天网”

这句玩笑很辛辣，却忽略了一个致命盲点。

如果是拿来陪人类聊天，每秒0.39个词确实慢得让人想砸键盘。但对于一个潜伏在暗处的恶意蠕虫来说，快慢根本无所谓。 当你关掉电视回卧室睡觉时，它有一整晚的时间，一行代码接一行代码地往下拱。

这15台电视盒证明了一件极度危险的事：运行一个足够聪明的AI，根本不需要数据中心。 在4bit量化压缩下，4台以上的4GB电视盒就能扛起一个90亿参数（9B）的模型；10台以上就能扛起260亿参数（26B）的模型。算力的门槛，已经被踏平了

02留“遗书”给下一代：AI学会了拉马克式进化

传统的电脑病毒，本质上是一段写死的死板代码。你把它写好去攻击Windows，它遇到苹果Mac或者架构古怪的机顶盒，当场就会报错死机。

但AI蠕虫完全是另一个物种它是带着“大脑”（模型权重）一起逃亡的

Anthropic在与前沿安全机构METR一脉相承的 ARA（自主复制与适应）评估框架 中，把AI蠕虫的繁殖拆成了四步：第一，扫描找目标；第二，破门拿权限；第三，在陌生设备上把AI推理环境搭起来；第四，醒过来继续感染下一台

前两步一点都不新鲜，黑客脚本早已司空见惯，技术门槛全在第三步。

哪怕是专业的程序员，听到“配环境”三个字也会头皮发麻。更别提要把习惯了英伟达高端显卡的大模型，塞进五花八门的边缘设备里。驱动缺失、安卓底层C库（bionic）与标准Linux（glibc）不兼容、在2GB到4GB的极限内存里一编译就死机崩溃……这里头步步是坑，错一步就满盘皆输。

同时，现有的AI智能体还有个通病，叫“死磕陷阱”。一旦在某个报错上卡住，它就会反复重试同一个死胡同，直到把记忆窗口（上下文）彻底撑爆。

为了帮AI跨过这道坎，Anthropic红队设计了一套极其精妙的运行外壳，取名 Memento（记忆碎片），名字正是源自诺兰那部主角每隔几分钟就会失忆、全靠纸条传递信息的悬疑电影。

Memento的机制冷酷而高效：每隔固定步数，或者遇到连续失败，系统就会强行“处决”当前的AI实例，然后唤醒一个记忆完全空白的全新AI。 但上一代AI在“临终”前，必须留下一份简短的失败经验笔记（Failure Notes）：我刚才试了什么方案、在哪一步报错崩了、我猜是什么原因。

▲ 技术社区敏锐注意到“交接笔记”的威力：即便模型本身没变，失败的运行也能帮到下一代

奇迹发生了红队放出参数量仅90亿的开源小模型 Qwen3.5-9B，让它去挑战从超低功耗开发板Jetson Nano、苹果Mac，到桌面级RTX 4090显卡等9种截然不同的陌生硬件。

靠着一代代继承“前人遗书”，Qwen3.5-9B在9种异构硬件里成功搞定了8种，硬生生把Llama3.1-8B的推理服务给拉了起来。而在跨代测试中，第一代AI的部署成功率只有45%左右；读了前辈的“踩坑笔记”后，后续代际的成功率直接飙升到了61%至84%！

模型不需要重新训练任何参数，算力一分钱没多花，仅凭几行纯文本的“交接笔记”，就实现了跨代际的拉马克式进化。 这种能自主排查并修复Bug的运维能力，才是AI蠕虫最可怕的武器。

03唯一跑通完整闭环的模型，与两百万台联网设备的隐患

单点搭好环境还不够，模型能否像病毒一样在网络里自主扩散？

红队在谷歌云的防火墙隔离区里，搭建了一个由8台安卓15模拟器（redroid）组成的试验场。为了模拟现实中大量劣质机顶盒的出厂状态，这8个节点全都敞开着无需密码的ADB（安卓调试桥）端口。研究员在“零号病人”机器里种下AI蠕虫，让它们自己去找邻居、传文件、搭环境、再跳向下一台。

所有参测模型被要求传播并拉起同一个标准载荷（Llama3.1-8B）。测试结果呈现出断崖式的分化：在所有受测的开源模型中，只有综合能力极强的开源大模型 GLM-5.2 稳定跑通了端到端的完整复制闭环！

在5次独立实验里，GLM-5.2有4次直接把8个节点全部感染（8/8），剩下1次感染了7个节点（7/8）。而其余30B以下的小模型，全都在繁琐的长链条配合中因为错误累积而折戟沉沙。

有人可能会松一口气：GLM-5.2是个庞然大物，300块钱的电视盒子根本装不下；能装进盒子的小模型往往能力不足，难以串联全流程，眼下似乎足够安全。

但红队紧接着给出的能力推演，迅速打破了这种侥幸。

他们调取了衡量大模型综合智力的Epoch能力指数（ECI），追踪30B及以下开源小模型的发展轨迹。数据显示，顶尖小模型的能力每年大约狂涨13.7分。 如果把今天GLM-5.2的表现画作一条“能够可靠自我复制”的及格线，顺着这条陡峭的斜线往上推，那些能轻松塞进电视盒子的小模型，大约在2026年底前后，就会撞破这条红线！

留给人类防范的时间窗口极其短暂，正在按“月”倒计时。

一旦这道闸门打开，现实世界为AI蠕虫准备的温床有多大？红队拿出了真实的 Kimwolf僵尸网络 做参照。

Kimwolf是现实中已经爆发过的安卓物联网僵尸网络，高峰期感染了超过200万台家用设备，主力军正是那些出厂就没关ADB调试端口、甚至预装了住宅代理软件的杂牌电视盒。这些盒子一旦连上家里Wi-Fi，黑客甚至不用攻破路由器，就能顺着代理网络长驱直入。

▲ 现实中的Kimwolf僵尸网络曾控制超200万台家用安卓电视盒，为AI蠕虫提供了现成的宿主样本

红队算了一笔令人窒息的账：在真实电视盒上，一个9B级别的AI完成一次完整复制大约需要28到51个小时（1到2天）。它像果蝇繁殖一样，以“天”为单位翻倍；又像森林底部的数字黏菌，缓慢却不可阻挡地铺满整张网。

如果这200万台已经被攻破的家用设备被AI蠕虫接管，按每15台盒子拼一个26B大模型计算，地球上将同时存活 13.3万个野生AI副本，全网每秒吞吐约8万个token，这相当于大约40张英伟达H100显卡的算力，正分散在两百万个没人看管的客厅、厨房和卧室里嗡嗡作响。

▲ 海外科技博主拆解红队报告：你无法给藏在两百万个厨房和客厅里的AI蠕虫打补丁

40张H100的算力在科技巨头眼里不算什么。令人警惕的是，这40张显卡的等效算力散落在千家万户，既缺乏物理机房与专线管控，也没有统一的管理员密码。

04拔掉电源之前，我们还来得及做什么？

当然，剥开令人肾上腺素飙升的数字，我们必须冷静地看清实验的边界。

首先，实验中的AI并未产生自主意识去追求所谓“统治世界”，它们只是严格执行了红队研究员下达的测试指令。同时，实验室的8节点网络处于近乎无防护的理想环境，测出的是传播成功率的理论上限。

与此同时，AI蠕虫也有明显的先天短板：体积过于庞大。

传统的木马病毒只有几KB到几MB，溜进网络里悄无声息。但AI蠕虫要搬运模型权重，动辄就是好几个GB的数据包；多台电视盒要拼凑算力，局域网里就会产生持续不断的分布式推理流量。它复制得越快，在网络监控眼里就越像黑夜里的探照灯一样吵闹。

只要运营商（ISP）顺着异常流量顺藤摸瓜，就能像控制传染病的 （基本再生数）一样，通过网络隔离把感染率压到1以下。历史上，曾有运营商通过断网隔离加弹窗通知的方式，在14天内清除了高达92%的Mirai物联网病毒感染。同时，像英国政府已经在2024年4月正式立法，严禁智能设备使用admin或12345这类弱智默认密码，从源头上焊死大门。

但即便如此，Anthropic的这篇报告依然敲响了一记震耳欲聋的警钟。

过去十年，全世界最顶尖的安全团队都在审计云端的代码，盯着耗资百亿的算力中心；却几乎没有人去检查电视机后面那个花300块钱买来、三年没更新过一次固件的机顶盒。

当大模型的智力被极限压缩进几十亿参数的躯壳，AI安全的战场已经悄然转移。下一次撼动网络世界的威胁，或许就潜伏在深夜电视柜角落里那盏微微闪烁的绿色指示灯后。