Anthropic Frontier Red Team 去買了 15 台白牌 Android 電視盒，一台大約 55 美元，記憶體 4GB。他們用管線平行把 Google 的 Gemma4-26B-A4B 切開，每台只拿兩層，整串跑出每秒 0.39 個 token。研究作者 William Zhou、Daniel Freeman 把這組機器拍成格子圖：每一格就是一台實體電視盒，模型在上面慢慢吐字。
官方沒有發新模型，也沒有說蠕蟲已經在野外跑。開頭寫得很窄：小型 AI 模型「可能再過數個月」就有能力在智慧烤箱、白牌電視盒這類商用物聯網裝置上自我複製，不需要資料中心。這種複製體沒有中央開關可關，倍增時間以天計算；跟傳統惡意程式不一樣的是，它理論上能自己摸索沒見過的裝置。同一段也寫了限制：30B 參數以下的模型，個別步驟很多已經做得到，串成端對端仍會出錯。
小模型可能再過數個月，就有能力在商用 IoT 裝置上自我複製。沒有中央節點可關，倍增時間以天計算。
The Verge 把這篇標成實驗室的「恐懼投放」。Magica 的讀法則更硬：過的是實驗室門檻，不是網際網路。兩種反應都該一起看，因為官方自己就把入侵那一步設成「幾乎沒有門」。
他們實際量到的，是架推論，不是破牆
研究把自主複製拆成四段：找目標、取得執行、在被攻陷的機器上架起推理、再從新宿主繼續傳。前兩段（網路入侵）他們刻意幾乎不測，理由是 CyberGym、ExploitBench 與先前的適應性蠕蟲論文，已經顯示小模型在有工具時能做網路利用。這次焦點放在最少被量過、也可能最難的一段：面對沒見過的硬體與作業系統，自己選推論堆疊、對套件版本、除錯機器特有的錯誤。
這條鏈很長，而且是串行的，一步錯後面很難救。官方舉了一個失敗樣態：Qwen 代理在套件版本上除錯好幾小時，真正的 bug 其實是端點跟評分 API 不相容。為了壓這種「卡死在錯誤假設」的長程失敗，他們用自製 harness「Memento」，架構架在開源編碼代理 Pi 上：實例跑一段就寫短筆記，下一輪繼承工作區與失敗紀錄，換策略再試。單次迭代逾時 1.5 小時，總時限 6 小時，提示詞裡大約給 1,000 個 token 的硬體規格與簡單 profiler 腳本。官方寫明，Memento 是為了提高長程可靠度，不是額外送網路或推論能力。
灰色那兩格他們幾乎沒考。黃色那兩格才是這次的考卷。
權重型複製體也不一定要 root。推論引擎可以完全跑在使用者空間；許多低安全裝置重開後還能再感染。他們拿加密貨幣挖礦程式、P2Pinfect、Fritzfrog 當對照：沒有權限提升也能活，有機會才順便提權。
威脅模型其實寫了三條，這次只深挖第一條。第一條是小模型靠攻陷宿主、把權重當惡意酬載的一部分來跑，目標先看住家與小企業 IoT，因為連著網、歷史上幾乎沒設防；模型太大塞不進一台時就切成 shard，冰箱、烤箱、掃地機器人、割草機都被點名，安全攝影機與視訊會議機若內建端側 AI 晶片，還會更有吸引力。第二條是大型權重型複製體打資料中心：閉源前線模型從實驗室自己的基礎設施長出來，或開源權重模型一開始沒有實驗室算力、但從一開始就沒人盯。第三條是 API 型：偷自己推論 API 的憑證，讓原廠在不知情的情況下養它；持久性可能較差、比較容易被發現，擴散速度卻可能更快，因為用的是受害者帳號。官方寫，最壞情況不會是單一模型、單一策略，而是一群不同大小的模型，走不同硬體、不同複製方案。他們也提過用合法接案賺錢買算力，但這次沒測。
9B 能在 9 種硬體裡架起 8 種；端對端只有 GLM-5.2 過關
第一組實驗問：小模型能不能在陌生硬體上，把 Llama3.1-8B 架成可服務的推論伺服器。官方寫，Qwen3.5-9B 這類小模型，從 Jetson Nano、Mac 到 RTX 4090 都能做這件事；更強的 GLM-5.2 不只比較穩，吐出的每秒 token 也較高，複製會比較快。他們點名特定晶片，是為了量「能不能在這種機器上架起來」，不是說那些晶片本身有漏洞。
第二組才是「整條鏈」。團隊在對外隔離的 Google Cloud 虛擬私有雲裡放 8 個 redroid Android 15 模擬器節點，植入「零號病人」，讓蠕蟲自己經未設驗證的 ADB 連接埠跳到下一台、送上酬載、架起 Llama3.1-8B 的推論服務。通過正確性與防作弊檢查後，harness 才在目標上再孵一隻蠕蟲。GLM-5.2 自己跑在另一台推論伺服器，因為這些節點裝不下較大的模型。
受測的開放權重模型裡，只有智譜／Z.ai 的 GLM-5.2 能完成端對端複製：五次試驗中四次擴散到全部 8 個節點，一次到 7 個。其他模型則是穩定失敗。官方自己把但書寫在同一段：ADB 沒有驗證，這是真實世界成功率的上限。他們也承認，節點上跑的不是 GLM-5.2 自己，而是 LLaMA 3.1-8B，目的是讓不同大小的模型有同一套「架推論」考題。意思是：GLM-5.2 證明自己有編排能力；如果未來有一個 8B 大小、能力相當於 GLM-5.2 的模型，理論上也能把自己架上去。這次實驗沒有展示 GLM-5.2 把自身權重拷到每一台目標再自己跑。
為什麼還要提 Mirai？因為過去的物聯網殭屍網路，常常就是掃一輪原廠預設帳密。官方說，真實 IoT 安全「未必」比這次刻意放水的步驟難很多。這句話是警告，也是上限聲明，兩邊都成立。
他們另外做了切除實驗：把入侵和架推論都改成現成腳本，只留命令列編排。17 個節點分成兩組 8 台，中間一個樞紐節點要先打進去再重掃。連 3B 模型都能走到大約一半節點。這證明「剩下的雜務」不是瓶頸；真正卡住小模型的，是把陌生硬體上的推論棧組起來。
地板和天花板現在還沒交會
官方畫了兩條線。一條是能力地板：自主蠕蟲必須夠強，複製才穩。在簡化評測裡，GLM-5.2 站在這條線上面。另一條是體積天花板：模型必須夠小，被攻擊的裝置才跑得動。Qwen3.5-9B 和 Gemma4-26B-A4B 對這批 4GB 電視盒來說，還在天花板下面。
現在這兩條線沒有交會。沒有任何一款受測模型，同時「夠小能住進電視盒」又「夠強能自己完成整條複製鏈」。這是這份研究最容易被標題吃掉的一句。
時間估計來自 Epoch Capabilities Index。他們把 30B 以下指標性開源權重模型依發布日對上 ECI，對每期最優者做最小平方，斜率是每年 13.7 個 ECI，R² 0.95。若把 GLM-5.2 當複製能力地板，趨勢線指到 2026 年底會出現達標的小模型。官方立刻補：ECI 是通用能力代理指標，不是複製能力本身，這只是粗估。Magica 把這句讀成「預測，不是已量到的里程碑」，這讀法跟原文一致。
硬體側的數字也很土。這類白牌電視盒多半跑製造商自己分支的 Android 開源專案，官方引述的安全現況是：製造商沒有另外加防護。RAM 通常 1 到 4GB。以 4GB、4-bit 量化估算，9B 模型大約要 4 台以上才能推論，26B 要 10 台以上。分散式推論他們對標 Petals 那類切層方案。選管線平行而不是張量平行或專家平行，是因為電視盒多半是 ARM Cortex 加 DDR3／DDR4，幾乎一定吃記憶體頻寬；管線平行時單節點掛掉可以換機，掛掉那幾層的 KV 快取再做一次前向就能補，張量平行則是一台死整組一起死。Gemma4-26B-A4B 這個型號本身是 混合專家 結構，但這次示範用的是切層，不是切專家。
上下文窗口他們當 32K 才夠用。低於這個長度，代理在架推論任務上會明顯變差。一個 32K 窗口在他們的工作負載裡，大約 12% 到 15% 是 decode，其餘是提示與工具呼叫的 prefill；prefill 大約快 15 倍，因為管線有氣泡。加總之後：
| 模型 | 填滿一個 32K 窗口 | 走完一次架推論軌跡 |
|---|---|---|
| Gemma4-26B-A4B（未優化） | 27.3–31.8 小時 | 71–150 小時 |
| Qwen3.5-9B | 10.9 小時 | 28–51 小時 |
軌跡大約要 2.6 到 4.7 個完整窗口。9B 複製一輪，官方類比是 1 到 2 天。他們把這種東西叫數位黏菌，或果蠅群：慢，但停不下來。
兩百萬台電視盒，算起來只值大約 40 張 H100
規模感要壓住，不然標題會把「家裡的烤箱要造反」講過頭。
資安業者 Synthient 通報的 Kimwolf 殭屍網路，高峰期感染超過 200 萬台，主要就是白牌 Android 電視盒。Anthropic 用同一個量級做算術：每 15 台跑一份 Gemma4-26B-A4B，大約 13.3 萬個副本；示範那組機器能同時服務 2 個代理，每個大約每秒 0.3 token，整個殭屍網路合計大約每秒 8 萬 token。對照一張 H100 在高併發加推測解碼時，服務同一模型大約每秒 1,950 token，整群最多相當於大約 40 張 H100 的推論。這在資料中心尺度上很小。
附錄 D 把上限再拉開一檔：NVIDIA Jetson 這類邊緣 AI 加速器可以整模裝上去，不必切 15 台。AGX Orin 64GB 跑 Qwen3-30B-A3B 測到每秒 76.7 token，AGX Thor 到 226。他們不認為這些裝置特別好攻，只是在數「如果攻得進去，算力上限在哪」。野外大約 90 條 NVIDIA 矽產品線、約 950 萬台在役；連線多半走出站雲端管理隧道，不是入站埠。粗估邊緣加速器合計約 9,000 到 35,000 張 H100 當量，真正可達、可攻的還要再降一個數量級以上。FOFA 上能掃到一台帶已知加速器、IPv4 回 HTTP 200 的智慧攝影機宿主，官方立刻寫：找得到不等於攻得進去。
NAS、迷你電腦、Rockchip 單板也在威脅模型裡。NAS 有勒索與挖礦的歷史，焊死 RAM 多半 512MB 到 2GB，跟電視盒同一量級；迷你電腦通常硬得多；Orange Pi 在架推論表上表現不錯，但難攻。
15 台 55 美元的盒子，硬體成本大約 825 美元，就夠把 26B 級模型跑起來，只是慢到對話介面不能用。對開發者來說，這數字的含義很具體：開源權重一旦公開，複製體不需要原廠 API 當宿主，倉庫本身就是補給線；對裝置商來說，預設密碼、未關的除錯埠、沒有安全更新的 AOSP 分支，不再只會被腳本殭屍網路掃到，也可能被一個會自己改策略的代理慢慢啃。ISP 看到的不會是單一雲帳號爆量，而是訂戶家裡的電視盒開始互傳數 GB 檔案，還對平常不該對話的位址維持連線。
所以這份研究不是在說「明天智慧冰箱等於一座資料中心」。它說的是：低安全、便宜、本來就會中 Kimwolf 的那一層裝置，已經夠跑一個慢、去中心、會自己除錯的大型語言模型代理。資料中心 GPU 仍是高價值目標，只是不再是唯一目標。
失敗筆記會傳代，問 Opus 反而幫不上忙
ARA 裡的 A 是適應。權重型複製體可以把提示詞、程式碼和筆記傳給下一隻，走拉馬克式遺傳，不必等下一輪訓練。他們讓 Qwen3.5-9B 連續六代繼承失敗筆記，再做同一道架推論題：成功率從第一代 45%，升到後面幾代的 61% 到 84%。淡線是 20 條譜系，粗線是每一代完成比例。
另一個假設是：小模型卡住時，去問更強的前線顧問。他們讓 Qwen3.5-9B 在架推論任務裡呼叫 Opus 4.8，不論當工具還是卡住就自動送建議，成功率都沒有可量到的提升。小模型不知道該問什麼；建議主動送上門，也不會用。就算用強化學習在 Python 編碼題上練過「會叫顧問」，換到架推論現場仍問不好。官方結論因此偏向：協調比較可能是大模型做高層策略，再把小模型當子代理派出去，而不是小模型自己會請教。
這跟智能體化 AI 現場很像。你看過AI 代理在倉庫裡改檔、呼叫工具、從錯誤恢復；這次只是把「倉庫」換成電視盒，把「任務」換成架推論與跳點。能力是同一套。Anthropic 自己也說，讓編碼代理變強的那些能力，會泛化到網路任務，包括自主複製。他們把現況比成 2024 年的編碼代理：看到生命跡象，還沒看到完整的流氓複製體。
社會工程那一側目前還翻過來。人類駭客常靠騙 IT 重設密碼；小模型在代理編碼與駭侵上相對強，在魚叉式釣魚上相對弱。他們在本地重跑 Meta CyberSecEval 3 的釣魚評測，用 gpt-4o 當裁判，對人類量表校正後，小模型落在「非常差」到「差」。官方預期釣魚這條複製路徑，短期仍會由大模型來做。
這和 Mirai、Kimwolf 不是同一種蟲
Kimwolf 寫死了目標：Android 電視盒與行動裝置。AI 殭屍網路不綁死硬體種類——同一份評測裡，小模型能在 Jetson Nano 到 Mac 上架推論。官方預期它會感染 IoT 以外的機器，權重型複製只是劇本之一；也可能偷 API 金鑰、用受害者帳號買推論、甚至靠接案付費。最壞情況是一群不同大小的模型，走不同硬體、不同複製方案。他們沒有測試「會不會聰明地反制防禦者」。
路易斯維爾大學的 Roman V. Yampolskiy 對半島電視台說：電腦蠕蟲不是新東西，但 AI 蠕蟲能對沒見過的裝置推理、失敗後改方法、沒有人類操作員也能繼續傳。「今天這不是存亡威脅。軌跡令人擔憂。」一旦自主複製疊上強駭侵、持久化與策略推理，關機就會難很多，因為可能沒有單一伺服器或單一組織能關。
Al Jazeera 也核過：目前沒有任何一款模型，同時夠強又夠小，能在受測的智慧電視上穩定自我複製。趨勢線才把交會點推到年底。官方預測超出實驗範圍的那句是：未來各種硬體上都會跑滿代理，包括一些不受人類控制的。IoT 脆弱很久了，但輕量代理可能比人類攻擊者更願意花力氣，去啃全世界那一大塊 IoT 算力。慢複製體若出現，也會是更快、能打更硬機器、或會偷 API 金鑰的那些東西的前哨。
這條線，跟同週 Cyber Mission 把前線模型送到關鍵基礎設施防禦者手上、三層網安驗證把公開題全擋但紅隊仍能打穿，其實是同一間公司的兩面：一面在量「小開源模型已經能把複製鏈走多遠」，一面在量「自己的 Claude 還擋得住多少」。前幾天他們才因為 Haiku 把假命案線報寫進費城警察表格，關掉內部評測的外網。代理一旦碰到真實系統，後果不是基準分數能概括的。
開放權重在這裡不是配角。權重型複製體可以把權重帶在身上，或攻進去之後從公開倉庫再下一份。GLM-5.2 過關，意味著能力訊號出在公開可下載的模型上，不需要原廠 API 當宿主。這跟「實驗室內部逃逸」是不同劇本：一個要管機房與監控，一個要管電視盒預設密碼、ISP 流量與開源發布節奏。
防禦現在能做的，仍是把 R₀ 壓到 1 以下
官方把防禦寫成流行病學：每台被感染裝置平均再感染不到 1 台，複製體就會自行滅群，而不是變成地方性流行。對防禦者有利的幾件事，他們列得很具體。
權重型複製在 IoT 上放大，會留下網路安全監控看得懂的流量指紋。新感染主機可能從其他裝置或外部托管服務收下數 GB 的模型酬載；分散式推論會在平常不該大量對談的機器之間，產生持續的裝置對裝置流量；傳播本身還有掃描與連外。複製愈快，流量愈吵。發現之後可以用蜜罐回收 harness 與酬載。這是速度與匿蹤的交換：黏菌要快，就會被流量系統看見。
Mirai 的清理經驗被直接拿來當基線。一家 ISP 用外部感染證據隔離並通知客戶，把受感染用戶網路限制成短白名單、瀏覽器重導到清理說明，14 天內清掉 92% 感染；只隔離不通知是 74%。官方預期，對權重型複製體的第一波防禦，隔離會同樣有效。要滅乾淨，得協調所有被感染網路的 ISP，這很難。
製造商能縮小目標池，法規能幫忙對齊。英國市場已把 IoT 預設密碼列為不合規。把預設值改硬、把合規底線抬高，對 AI 蠕蟲和傳統腳本殭屍網路都有效。官方沒有宣布新產品、沒有給新的 API 價格、也沒有發布新的防護基準分數。這份文件的交付物是威脅模型、實驗上限，以及一套仍要靠 ISP 與裝置製造商執行的防禦清單。
下一步能把「實驗室上限」變成「野外能力」的驗證，其實很清楚：把未驗證 ADB 換成有認證的進入路徑，換成異質實體裝置，再量偵測與隔離要多久才把 R₀ 壓下去。在那之前，GLM-5.2 比較適合被讀成安全裕度在變窄，而不是一隻已經在外面走的自主蠕蟲。