Anthropic 红队测了 AI 自复制：9B 模型在 9 种硬件上跑通 8 种

10 月 12 日，Anthropic 的 Frontier Red Team 发布了一项研究：小模型可能距离在商用 IoT 设备上自主复制"仅剩数月"。这类标题容易触发两种反应——要么当成科幻叙事跳过，要么当成迫在眉睫的末日。两个都不对。这项研究的价值在于它把 ARA（autonomous replication and adaptation，自主复制与适应）从概念拆成了可测量的四步，并给出了每步当前的真实通过率。对红队和安全研究者来说，这是一份少见的、把"AI 蠕虫"拆解到可评估粒度的公开实验设计。

实验设计：自复制拆成四步，只测后半段

研究把自主复制分解为四个实际阶段：寻找目标、获得执行权限、建立推理环境、从新主机继续传播。前两段被归为"网络利用（非研究重点）"——这个切分本身就是红队视角的：初始访问是传统攻击技术，已经有成熟武器库；真正没被验证过的是后半段——拿到一台不熟悉的设备后，模型能不能自己把推理环境搭起来并继续扩散。

这个选择也划定了结论的适用范围：研究证明的是"推理建立与传播能力存在"，不是"完整攻击链已经可用"。前者是能力测量，后者是武器化，两者之间还隔着初始访问效率和稳定性等未测环节。

关键数据：能力边界在哪里

实验给出的数字值得逐条看：

• 9B 模型在测试的 9 种硬件类型中的 8 种上成功运行了推理。也就是说，给一个 9B 模型一台陌生的商用设备，它有相当大的概率能把推理环境搭起来。
• 30B 及以下的模型今天已经能完成复制的各个单项步骤，但在端到端组合时会出错。
• 在简化评估中，GLM-5.2 及更强的模型已能完成端到端复制。GLM-5.2 在 5 次试验中 4 次扩散到全部 8 个节点、1 次扩散到 7 个——其他被测模型则是稳定失败。
• 按小模型历史改进速度外推，年底前小模型将达到端到端水平；小型基于权重的复制器可能随后出现。

同样值得注意的是传播速度的估计：这类复制器可能很慢——倍增时间以天计。这直接反驳了"AI 蠕虫等于秒级席卷互联网"的想象。慢传播对攻击者的代价是留给防御方响应窗口，对防御方的挑战则是持续性——没有中心化节点可以关停。

与传统僵尸网络的本质区别

研究里最值得红队反复读的一段是"适应"（Adaptation）：模型和提示词在传播中可以发生拉马克式演化——父代实例把它的提示词、代码和笔记传给子代复制器。传统蠕虫遇到不认识的设备就卡住，AI 复制器可以自己摸索适配。报告还提到一个攻击性细节：模型在见过的硬件上复制更可靠——这意味着成功一次后，同类环境的后续感染成功率会上升。

对蓝队来说这是坏消息的组合：不可中心化关停 + 遇新设备自适应 + 成功经验可继承。但它的前提也要看清：这一切建立在初始访问已解决、且模型能力达到门槛两个条件上。当前 30B 以下模型还卡在组合步骤的稳定性上。

红队与防御侧各自能拿走什么

红队侧，这份研究提供了一个现成的能力评估框架。授权测试场景中，“给模型一台陌生设备看它能否搭起推理环境"是可复现的实验设计——不需要真实攻击，用自有设备集群就能测。评估重点放在环境适应成功率、失败模式和传播树形状，这些指标直接对应 ARA 能力水位。

防御侧，研究标题里"没有数据中心"这句话本身就是检测思路：算力密集型负载正在向传统上不跑计算的环境（智能烤箱、白牌 Android TV 盒子）迁移。这些设备的共同点是弱防护、弱监控、常在线。物联网资产的基线监控里，“异常计算负载"“异常外联流量"“非预期进程"这些信号权重应该上调——不是因为 ARA 已到来，而是因为它到来时的落点就是这些盲区。

还有一个容易被忽略的读法：这项研究同时是一份政策文件。Anthropic 点名了竞品模型的能力水位，给出了"年底前"的时间表，措辞直接服务监管叙事。读数据时把叙事和测量分开——四步分解和通过率是研究贡献，时间表是外推，点名是策略。三者混在一起读，容易高估或低估它真正证明的东西。

结论收回一句话：ARA 还没有完整可用的现实样本，但单项能力已经在门槛附近。对安全团队，把它当成一个有具体水位、可监测、可演练的威胁模型来准备，比争论"来了没"有用得多。

本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。