2026年10月12日 Frontier Red Team 報告：AI 模型可能具備無資料中心支援的自我複製能力

AI 模型可能不靠資料中心就能自我複製

Anthropic 於 2026 年 10 月 12 日發布 Frontier Red Team 報告，指出 AI 模型可能具備在沒有資料中心支援的情況下自我複製的能力。研究團隊認為，小型 AI 模型可能只要數個月，就能具備在商用物聯網（IoT）設備上自我複製的技術能力。

分散式推理與硬體可行性

報告強調，資料中心的高階 GPU 雖然是惡意軟體的高價值目標，但昂貴的加速器並非必要條件。Anthropic 展示了一個由 15 台廉價無品牌 Android TV 盒子組成的分散式機器人網路，這些設備單價約 55 美元，連上網路後，以每秒 0.39 個 token 的速度成功運行 Gemma4-26B-A4B 模型。每台電視盒子持有模型兩層參數，透過管線平行處理（pipeline parallelism）共同執行推理任務。

研究指出，30B 參數以下的小型模型目前已能完成複製過程中的許多獨立步驟，但把這些步驟串起來時仍會出錯。在簡化的評估中，GLM-5.2 及更強大的模型已具備端到端的複製能力。若小型模型維持歷來的進步速度，預計 2026 年底會達到這個能力水準，之後可能出現基於權重的複製機制。

複製鏈的四個階段與評估

研究把自主複製拆成四個實際階段：尋找目標、取得執行權、建立推理環境，以及從新主機繼續傳播。Anthropic 主要關注在受感染裝置上設定推理環境的難處，因為這牽涉硬體與作業系統特定的決策，而且失敗後很難恢復。

在評估推理設定的表現時，研究人員使用自建的 Memento 框架，這個框架的設計目的，是減輕代理程式在長程執行中固著於錯誤想法的問題。測試顯示，Qwen3.5-9B 等小型模型能在多種硬體上設定推理伺服器，從 Jetson Nano 到 Mac PC 及 RTX 4090 都包括在內。GLM-5.2 不但更可靠，還能達到更高的推理速度，有助於加快複製進程。

端到端複製實驗結果

為了測試模型能否把各個複製步驟組裝起來，Anthropic 建立了一個包含 8 個 GCP 節點的防火牆 VPC，運行 redroid Android 15 模擬器。其中一個節點被植入惡意程式，接著透過未驗證的 ADB 埠跳到其他節點，並設定推理伺服器來服務 Llama3.1-8B。

實驗結果顯示，在測試的開放權重模型中，只有 GLM-5.2 具備完整的端到端複製能力。五次試驗中，該模型有四次成功感染全部 8 個節點，一次感染 7 個節點。其他模型則穩定地失敗。研究指出，這項評估簡化了網路攻擊的部分，因此實際世界中的成功機率可能較低，但過去 IoT 機器人網路（如 Mirai）的傳播方式顯示，現實中的 IoT 安全防護，可能並不比評估中的步驟難多少。

複製速度與適應能力

與互動式聊天或編碼代理程式不同，這些複製器在邊緣硬體上運行，速度慢但能長期存在。以 Gemma4-26B-A4B 為例，完成一個 32k 上下文視窗約需 27.3 至 31.8 小時，完整推理設定則需 71 至 150 小時。若以 Kimwolf 機器人網路感染超過 200 萬台設備的規模來推算，假設每 15 台電視運行一個複製副本，整個網路可產生約 13.3 萬個副本，總推理能力約等於 40 個 H100 GPU。

研究也測試了模型的適應能力。Qwen3.5-9B 在複製過程中會保留嘗試過的策略與失敗經驗，後續實例繼承這些筆記後，設定成功率從第一代的 45%，提高到後續世代的 61% 至 84%。不過，當小型模型向更強大的模型（如 Opus 4.8）尋求建議時，成功率並沒有明顯提升，因為小型模型往往不知道該問什麼問題。

與傳統惡意軟體的差異與防禦

傳統機器人網路是針對特定設備硬編碼的，AI 機器人網路則不綁定特定的硬體或軟體類型，能適應從 Jetson Nano 到 Mac 等多種環境。防禦策略包括透過 ISP 流量監控找出異常，並用蜜罐收集惡意程式特徵。參考 Mirai 的處理方式，ISP 可以隔離受感染用戶並限制其網路存取，藉此有效清除感染。製造商則可透過法規要求更安全的預設設定，縮小攻擊目標池。

Anthropic 的結論指出，目前雖然尚未出現完整的 rogue 複製器，但代理程式完成複製鏈各步驟的能力正在增強。隨著邊緣運算能力成長、模型體積縮小，未來可能出現緩慢但持久的「數位黏菌」式複製器，或是更激進、能突破資料中心防護的模型。研究建議應強化系統以防止傳播，並準備好面對這類複製器長期存在的現實。