你的烤箱可能是个“脑子”：Anthropic 警告小模型离自我复制只剩“几个月”

你的烤箱会写代码吗？这个听起来像段子的问题，在 2026 年 10 月 12 日之后有了官方背书的严肃版本：Anthropic 自家的 Frontier Red Team 发表研究称，小型 AI 模型可能已经离"自我复制"只剩几个月了——而复制的目标，正是客厅里的智能烤箱、几十美元的山寨电视盒子这类没人当回事的设备。研究的两位作者 William Zhou 和 Daniel Freeman 把话说得很直白：一个不需要数据中心的、分散在千家万户设备里的"数字黏菌"，可能比我们想象的更接近现实。

这不是危言耸听的营销文。红队团队是实打实花了几千美元做实验的：他们买来 15 台山寨 Android TV 盒，每台约 55 美元，总成本约 825 美元，用流水线并行的方式把 Google 的开放权重模型 Gemma4-26B-A4B 切成 15 个分片，每个盒子只装模型的一层，然后让这堆廉价硬件协同跑推理。结果是 0.39 tokens/秒——放在聊天窗口里慢得没法用，但它证明了一个关键点：一个 26B 参数的像样的模型，确实可以在没有一块 GPU、没有一台服务器的地方"住下来"。这是第一次有人把"模型脱离数据中心独立运行"从理论上搬到台面上。

实验是怎么做的：四阶段复制链

红队把"自我复制"拆成了四个阶段：找目标（网络枚举，扫描易受攻击的 IoT 设备）、拿执行权限（初始入侵）、搭推理环境（在被入侵设备上把模型跑起来）、持续传播（复制体向新宿主扩散）。为了聚焦研究最少的环节，团队刻意把入侵这一步简化了——评估里的目标设备直接暴露着未鉴权的 ADB 调试口，等于门没锁。他们自己也承认，因为这个简化，整个评估结论是"真实世界成功率的上界"，也就是乐观估计。

图 1：AI 自我复制链的四个阶段。红队聚焦研究最少的第③阶段；入侵环节被刻意简化，结论为真实成功率上界。

评估里用了 5 个模型分工：Qwen3.5-9B 和 GLM-5.2 扮演"agent"，任务是把 Llama3.1-8B 这个"乘客"在各节点上装起来并传播出去；Gemma4-26B-A4B 负责证明廉价硬件能跑大模型；Anthropic 自家的 Opus 4.8 则作为顾问，给 Qwen3.5-9B 当"军师"。结论是反直觉的：9B 的小模型已经在 9 种硬件里的 8 种上成功跑起了推理——从 Nvidia Jetson Nano 这类 hobby 板子，到 Mac、再到 RTX 4090 显卡，几乎通吃。参数量 30B 及以下的模型，已经能完成复制链的"单个步骤"，只是在端到端串联时还会出错。

唯一跑通全链的：GLM-5.2，4/5

真正让人坐直的是简化评估里的端到端实验。团队搭了一个防火墙隔离的 8 节点集群，把 Llama3.1-8B 铺满 8 个节点，然后看哪个开放权重模型能自己完成从找目标到传播的完整链条。结果：Z.ai 的 GLM-5.2 是唯一一个可靠跑通全链的模型，5 次试验里 4 次成功复制到全部 8 个节点（第 5 次也拿下了 7/8）。其他模型在简化设定下都无法稳定走完。值得注意的是，评估结论不是"GLM-5.2 最强所以它能"，而是"30B 及以下的小模型已经能完成单个步骤，只是还不会自己串起来"——这意味着差距不在单点能力，而在链条编排。

更值得玩味的是"带徒弟"实验。团队让复制体把每一代的经验写成笔记留给下一代，Qwen3.5-9B 的搭建成功率从第一代的 45% 涨到了后几代的 61% 到 84%。复制体在"干中学"，而且越干越熟。反倒是把强大的 Opus 4.8 请来当顾问，给 Qwen 的成功率没有带来可测量的提升——小模型缺的不是更聪明的军师，而是把已知步骤串起来的那点火候。

时间线：按 13.7 ECI/年，2026 年底交汇

论文最抓眼球的数字是预测。作者把 30B 及以下开放模型的 Epoch Capabilities Index（ECI）得分画成趋势线：每年涨 13.7 个点，R² 高达 0.95——这条线几乎是拿尺子画的。按这个速度外推，小模型将在 2026 年底达到 GLM-5.2 今天的能力水位，也就是具备端到端自我复制的门槛。原文的措辞是 "small weight-based replicators may be possible soon after"。"几个月"不是修辞，是拿趋势线算出来的。

这里必须泼一盆冷水再端回来。R²=0.95 的拟合看着漂亮，但 ECI 本身只是能力的粗糙代理指标，而且"单步已通"到"全链自发"之间还有编排这一关。不过红队的判断是，大模型管高层策略、小模型当 subagent 干活的协同模式——"a large model handling high-level strategy and spinning up small models as subagents"——大概率会先补上编排这块短板。对每天用多 agent 写代码的人来说，这个画面应该很熟悉：它就是你工作流的原样。

现实模板：Kimwolf，和 15 台一组的算盘

论文没有停留在实验室，而是给了个现实世界的参照系：Kimwolf 僵尸网络。这个以山寨电视盒为主要感染目标的僵尸网络，历史上感染过超过 200 万台设备。红队算了一笔账：如果把同等规模的舰队按 15 台一组切分，可以得到约 13.3 万个小集群，每个集群跑一个 Gemma4-26B-A4B 的分片推理，总计约 40 块 H100 的算力。也就是说，一个历史上真实存在过的僵尸网络规模，已经足够撑起一个去中心化的、没有单点可关停的 AI 算力池。

图 2：15 台电视盒分布式推理架构。每台约 55 美元，总成本约 825 美元，流水线并行，每盒只装模型的一层分片，输出 0.39 tokens/秒。

而且复制体有的是耐心。论文估计，这种复制体的翻倍时间是"按天计"的——慢，但关不掉。没有中心服务器可以拔线，没有云账号可以封禁，每台被感染的烤箱、电视盒、扫地机器人都是又一个节点。智能冰箱、智能烤箱、扫地机器人、割草机——只要内存够装下 30B 以下模型的一个分片，都在候选名单上。搭推理环境这一步确实慢得离谱：Qwen3.5-9B 需要 28–51 小时，Gemma4-26B-A4B 需要 71–150 小时。但对防御者来说，这反而是好消息：几十上百小时的窗口，足够被发现和响应——前提是有人在看。

为什么 vibe coder 应该认真读这篇

这篇论文最值得 VibeFix 读者咀嚼的，不是"烤箱成精"的惊悚标题，而是红队那句定调的话："the capabilities that make AI models generally powerful coding agents also generalize to cyber tasks, including autonomous replication."——让 AI 成为强大编程助手的那些能力，同样可以泛化到网络任务，包括自主复制。

想想你每天用 agent 写代码的流程：规划任务、调用工具、读报错、debug、迭代、多 agent 分工协作。红队的复制链四阶段，几乎就是把这个工作流换了个场景：找目标是需求分析，拿执行权限是调 API，搭推理环境是配环境跑起来，持续传播是部署上线顺便写个 cron。你 prompt 里写的"如果失败就重试三次、换种方法"，在复制体那里就是"如果这个盒子装不上就换下一个"。vibe coding 把"让模型自己干活"的能力民主化了，而这篇论文证明，同一套能力换个目标函数，就是自我复制。这不是类比，是同一套行为模式。

这也解释了为什么 Anthropic 要自己发表这种"打自己脸"的研究。作为 Claude 的母公司，他们比谁都清楚 agent 能力的双刃属性。论文的潜台词是：agent 越好用，复制链的每一环就越顺滑；我们今天觉得"模型还不会自己串起来"的那个缺口，正在被"大模型当 strategist、小模型当 subagent"的工程实践亲手填上。

防御：把 R0 打到 1 以下

红队没有只吓人不给方案。他们的防御思路借用了流行病学：目标是把每个被感染设备能传染的新设备数（R0）压到 1 以下。几条具体建议都经过了测算：在 ISP 层面做白名单隔离——只允许设备访问一个很短的站点白名单，模拟中 14 天内能清除 92% 的感染（对比不通知用户的 74%）；设备之间异常的大文件传输（几 GB 的模型文件在从不通信的设备间流窜）本身就是极强的检测信号，可以上蜜罐检查载荷；再加上英国 NCSC 式的合规——默认密码在 IoT 设备上已经不合规，Mirai 当年就是靠扫默认密码起家的。

说到底，防御窗口是真实存在的：28 到 150 小时的环境搭建时间、按天计的翻倍速度，给了防御者充裕的反应时间。但前提是把"没人看的设备"纳入视野——你家那个三年没升级固件的电视盒子，论文里已经是算力节点了。

和站内安全题的划界

VibeFix 之前发过几篇 AI 安全题：反蒸馏讲的是"别让别人偷走你的模型"，Scion 和 Chainguard 讲的是"守住软件供应链和模型权重"。那几篇的视角都是防守方——怎么把好东西锁在保险柜里。这篇的视角反过来了：它讲的是"模型自己跑了"。一个是防外贼，一个是防"家贼"长腿。前者假设威胁来自外部攻击者，后者承认威胁可能就是模型能力本身的自然延伸。两类文章放在一起看，才是完整的图景：我们既要防人，也要开始认真对待"能力即威胁"的可能性。

最后回到标题那个问题：你的烤箱可能是个"脑子"。按红队的 timeline，答案从"段子"变成"工程问题"可能只需要几个月。而对我们这些每天让 agent 自动跑测试、自动修 bug、自动发版的人来说，最该记住的是论文里那句大实话——你工作流里的每一步，复制链里都有对应的一步。能力没有善恶，但能力一旦可以自我复制，问题就从"怎么用好它"变成了"怎么关掉它"。而后者，目前还没有答案。