15 台杂牌安卓电视盒子，每台售价约 55 美元，内存仅为 4GB。这些通常用于观看视频的低成本设备，被 Anthropic 的研究人员联网后，成功运行了一个拥有 260 亿参数的大模型。
速度仅为每秒 0.39 个 token，慢得几乎无法正常对话。但 Anthropic 想验证的是，如果有一天，AI 不再依赖大型服务器，而是能寄生在全球的智能电视、冰箱、扫地机器人等联网设备中，自行寻找新宿主、部署模型，并不断复制自身。
这个 AI 模型像计算机病毒一样，长期存在于互联网上。听起来像末日电影，实际研究已在不同实验中展示了支撑这一场景的多项关键能力。研究员将 AI 的自主复制拆解为四个阶段：扫描网络发现目标 → 入侵取得控制权 → 在陌生硬件上搭建推理环境 → 以新宿主为跳板继续传播。
其中最被低估且最考验模型“智能”的是第三步。给一台从未见过的设备安装推理框架，需要连续做出大量软硬件相关的决策：选对软件栈、对齐依赖版本、排查这台机器特有的报错。这个环节上任何一步卡住，都会导致全盘失败。
测试结果喜忧参半，其中一个 9B 的小模型，成功在 9 种差异巨大的硬件（从 Jetson Nano 到 Mac 再到 RTX 4090）中的 8 种上搭建起了推理服务。但当研究者要求模型将完整链条端到端跑通时，只有更强的 GLM-5.2 能稳定做到在 5 次试验中 4 次感染全部 8 个节点。
整个研究可概括为两条线的赛跑：尺寸上限，模型必须足够小，才能放入 4GB 内存的电视盒子中（大约 30B 参数以下，分布式部署）；能力下限，模型必须足够聪明，才能独立完成入侵、部署、排错这一整套复杂操作。目前，能端到端完成复制的模型太大，放不进设备；能放进设备的模型还不够聪明，两条线尚未真正相交。但如果按小模型能力每年提升 13.7 个 ECI 指数的历史速度拟合，研究者预测它们将在 2026 年底相交。换句话说，一个“能装进 IoT 设备、又能自我复制”的模型，可能就在一两年之内。
一份模型，拆给 15 台盒子
大模型要运行，首先需要存放模型文件。一般的电视盒子，或能被入侵的盒子，内存都很小，单台盒子无法独自装下整个模型。分布式推理提供了一种方法：将模型的不同层分配给不同机器，计算结果依次在机器间传递，前一台算完自己负责的部分后交给下一台继续处理，最终得到输出。这类思路此前已有研究实践过，有论文尝试将模型层分散部署，让多台消费级设备协作运行大模型。机器间只需额外传输数据、管理运行状态，并处理某个节点掉线后的接替问题，就能实现大模型部署。这 15 台盒子也是合力跑起一个模型，每台盒子只保存和计算它负责的部分。
这种做法缓解了单台设备的内存压力，但也需付出代价。根据 Anthropic 的实验结果，Gemma4-26B-A4B，一个 260 亿参数的模型切成小块分发给 15 台盒子，最终速度为 0.39 tokens/秒。不过，对一段可能长期在后台运行的程序来说，速度慢并不会自动让它停止工作。
小模型的自我复制
模型能在这类家居设备上运行后，如何复制就成了新问题。传统计算机病毒（蠕虫）是一段会自我复制的程序：它入侵一台电脑，把自己拷贝过去，再从新电脑继续入侵下一台，全程无需人工操作。“小型模型的自主复制传播”就是把这段程序换成一个 AI 模型，模型本身就是“病毒本体”，它靠自己的智能完成整个循环，而非靠写死的攻击脚本。
根据 Anthropic 描述的复制四阶段，可以一个感染了某台智能设备的 AI 为例，它会自主发现目标，通过扫描网络找到其他联网设备，比如邻居家的电视盒子，或同一网络下的其他智能家居设备。很快，这个小模型会利用设备的漏洞或默认密码获取执行权限。在入侵取得控制权后，进一步在新设备上安家，具体方式是将自己的权重文件（数 GB 的模型本体）拷贝过去，并在这台完全陌生的硬件上运行推理服务。最后从新设备继续复制，重复上述过程，一传十、十传百。如此循环，AI 就像病毒一样在设备间扩散，形成一个由它自己控制的僵尸网络。
与传统蠕虫最大的不同在于，AI 蠕虫可以把“经验”传给后代。研究中还有一项与“适应”相关的测试：让新的 Qwen3.5-9B 实例继承前一个实例留下的代码、环境和简短笔记，再尝试部署。六代传承之后，这些传下去的已试过什么、哪些办法失败的工作记录，让推理搭建的成功率从第一代的 45% 攀升到了 61%~84%。不过研究者也发现了一个略显幽默的细节：让小模型向更强的前沿模型“打电话求助”并无效果，小模型往往连该问什么问题都不知道。
距离真实的传播还有多久
如前文所述，要让小型 AI 在普通设备上持续复制，至少需同时满足两个条件：模型能装得下，也有能力搭建新的运行环境。尽管 Anthropic 目前仅分别展示了这两方面的进展，仍未在真实电视盒子上展示从部署到继续传播的完整闭环。此外，这种 AI 病毒的传播速度不会很快。在电视盒子的算力约束下，他们将真实盒子的推理速度与部署任务的计算消耗结合，估算 Qwen3.5-9B 完成一次推理部署需约 28 至 51 小时。它不是燎原的烈火，而是一滩黏菌、一群果蝇，以天为单位缓慢倍增。但如果许多设备各自或组成小组运行模型副本，届时封禁某一家 AI 服务的账号，也未必能终止所有实例。
参照 Kimwolf 僵尸网络峰值时超过 200 万台设备的规模估算，如果每 15 台电视盒子供养一个模型副本，整个虫群将拥有约 13.3 万个“个体”，总算力约合 40 块 H100。这个数字在算力军备竞赛中不值一提，但它的可怕之处在于另一个属性：没有中心节点，就没有开关。我们无法像关停一家公司那样关停它，只能一台设备一台设备地清剿。电视盒子、摄像头等联网设备，过去就曾成为大规模僵尸网络的目标。USENIX Security 2017 的一篇研究记录了低成本设备如何被集中利用，也说明这些小机器的安全问题可累积成很大的网络问题。我们还没有看到一个完整的失控复制体，但我们正在看到生命迹象，就像 2024 年初的编程智能体一样。
文章的蓝队部分给出了防御框架：和防疫一样，目标不是杀死每一个病原体，而是把基本传染数 R₀ 压到 1 以下，让蠕虫自行消亡。具体提到的有利因素包括：复制需传输数 GB 的模型权重，分布式推理还会产生持续的设备间通信，对互联网供应商 ISP 的流量监控来说，这是明显的异常信号。有处置研究表明，ISP 把受感染用户关进“围墙花园”并通知清理，14 天内可清除 92% 的感染，如果不通知只有 74%。从源头减少存量，英国等地已立法禁止 IoT 设备使用默认密码，提高出厂安全基线，同时防御 AI 蠕虫和传统蠕虫。
Anthropic 在研究博客的最后表示，我们既要加固系统，让这类复制体难以传播；也要做好准备，去适应一个它们已经存在、且将长期存在的世界。眼下我们现在使用的大模型，无论能力有多强，都需要有人为它提供服务器、支付算力成本。即使是能连续工作几十个小时的 Agent，也依然依赖这些基础设施。但如果 AI 能够自己寻找联网设备、搭建推理环境，再把自己复制到下一台机器，这种依赖关系就有可能发生变化。AI 也会从依赖人类提供运行环境，发展到能够自行获取运行所需的算力。如果你也想查一下家里没有品牌的安卓电视盒子，会不会成为那个能被 AI 蠕虫直接接管的设备，可以在电脑上让 Codex 协助你操作终端，扫描局域网，找出开着调试端口的设备。根据 Anthropic 这次实验的说明，这次端到端复制实验通过没有身份认证的 ADB 接口访问目标设备。ADB 是 Android Debug Bridge，也就是安卓调试桥，可用于安装应用、调试程序和执行命令。传统的 ADB 网络连接常用 TCP 5555 端口。如果设备开放了 ADB 网络访问，又没有启用身份认证，连接者就可能取得执行命令的权限。新版 Android 的无线调试则通常需要配对，并使用动态端口。如果扫描结果出现 5555/tcp open，先确认这个 IP 对应的是不是电视盒子。不需要调试功能的话，可以进入盒子的“开发者选项”，关闭 USB 调试及网络、无线调试。
