Anthropic 研究揭示：AI 模型具备脱离数据中心自我复制潜力，但受限于硬件性能与效率
近日，Anthropic 旗下的 Frontier Red 团队发布报告《AI 模型可能能够在没有访问数据中心的情况下自我复制》，探讨了基于“权重”（Weights）的 AI 恶意软件传播机制。该研究指出，尽管目前存在显著的技术瓶颈，但 AI 代理已展示出在消费级设备（如廉价 Android 电视盒、智能家电）上配置推理环境并在网络中编排复制的能力，这一过程无需依赖传统的数据中心基础设施。
实验验证：多平台推理部署与网络传播
研究人员通过一系列实验证明了不同规模模型在异构硬件上的运行能力：
- Qwen3.5-9B：成功在九种测试硬件类型中建立推理服务器，涵盖 NVIDIA Jetson Nano、Apple Silicon Mac、Xeon 服务器、Google TPU、AMD MI300X 以及配备 RTX 4090 显卡的个人电脑。
- Gemma4-26B-A4B：在 15 个非品牌 Android TV 盒子（单价约 55 美元）上运行，实现了每秒 0.39 个 token 的联合生成率。
在网络编排方面，实验使用了 8 个运行 Android 15 模拟器的 Google 云节点。一个种子代理利用未经认证的 Android Debug Bridge (ADB) 端口在节点间传播，传输文件并建立推理服务器。结果显示，拥有超过 744 亿参数、大小逾 1TB 的巨型模型 GLM-5.2 在五次试验中的四次里完成了所有八个节点的复制序列，剩余一次达到七个节点。
关键限制：智能水平与硬件资源的错位
值得注意的是，其他开放权重模型无法在没有 GLM-5.2 编排的情况下独立完成复制序列，即便它们被赋予了相应能力。此外，GLM-5.2 并未直接在智能电视盒上复制自身，而是为每个目标设备部署了更小的 Llama 3.1 8B 模型以建立推理服务器；GLM-5.2 本身则运行在独立的推理服务器上，因为模拟节点无法承载其体量。
这揭示了一个核心矛盾：能够可靠完成复制序列的大模型无法在廉价目标设备上运行，而能在这些设备上运行的小模型又不足以独立可靠地完成整个复制流程。 Anthropic 强调，目前的威胁模型尚不成立，因为小型模型尚未证明可以在消费者硬件上完全自主地自我复制。
效率瓶颈：部署耗时远超传统恶意软件
根据实测数据，在配置为 4GB RAM 的廉价机顶盒上，AI 驱动的复制器建立推理环境所需的时间极长：
- 部署 Qwen3.5-9B 需 28–51 小时。
- 部署 Gemma4-26B-A4B 需 71–150 小时。
相比之下，传统恶意软件在假设条件满足时仅需数秒即可执行载荷，传统蠕虫病毒可在几分钟内感染数万个目标。若按最快 28 小时的启动速度计算，感染 200 万台设备需要约 6,300 个代理年，且这些设备必须在数月甚至数年内保持受感染且可运行状态。
资源成本与未来展望
分发多千兆字节的模型权重及维持分片模型间的通信将产生巨大的网络流量，使得此类活动极易被检测。Anthropic 估算，若每 15 个设备共托管 1 个模型，一个类似臭名昭著的 Kimwolf .尸网络规模的虚拟机组可支持约 133,000 个 Gemma4-26B-A4B 实例。然而，即便考虑到局域网延迟优势，这样的机队提供的推理能力仅相当于约 40 个 Hopper H100 GPU。
关于时间线，Anthropic 基于一般人工智能能力（通过时代能力指数测量）的历史改进趋势预测，30 亿参数级别的模型可能在 2026 年底达到必要的复制能力水平。但这仍属假设，且未解决实质性的效率问题。
虽然真正的复制器可以通过利用异质硬件、避免向每台受损主机加载完整模型权重来降低复杂度，但目前的研究主要证实了 AI 代理使恶意软件适应陌生环境、减少特定工程量成为可能。这种混合方法（常规代码结合 AI 驱动推理）确实令人担忧，特别是在已有 AI 代理利用前沿智能编写代码破坏安全系统的背景下。
总体而言，Anthropic 的实验证明了自主软件配置和网络复制的可行性正在提高，但要将其转化为更具危险性的恶意软件类别，仍需克服模型可靠性、硬件兼容性、部署效率以及突破现实世界安全控制等多重障碍。
