15台破盒子跑起260亿大模型，AI开始自己找宿主了

15台杂牌安卓电视盒子，单价约55美元，每台只有4GB内存。平时用来看视频的廉价设备，被Anthropic的研究人员联网之后，跑起了一个260亿参数的大模型。

速度只有每秒0.39个token，慢到几乎没法正常聊天。但这项研究想验证的不是速度，而是另一件事：如果有一天，一个AI不再需要大型服务器，而是能寄生在全世界的智能电视、冰箱、扫地机器人里，自行寻找新宿主、部署模型、不断复制自己，会是什么样子。

听起来像末日电影。但支撑这个场景的几项关键能力，已经在不同实验里被展示出来了。

把一份模型拆给15台盒子

大模型要运行，先得找地方放下模型文件。普通电视盒子内存很小，想让一台盒子独自装下整个模型，第一步就会卡住。

分布式推理提供了一个办法：把模型的不同层分给不同机器，计算结果依次在机器之间传递，前一台算完自己负责的部分，再交给后一台继续处理，最后得到下一步输出。这类思路此前已有研究实践过，有论文尝试把模型层分散部署，让多台消费级设备协作运行大模型。

这15台盒子也是合力跑起一个模型，每台只保存和计算它负责的部分。代价是速度——260亿参数的模型切成小块分发下去，最终只有0.39 tokens/秒。不过对一段可能长期在后台运行的程序来说，慢并不会自动让它停止工作。

复制四阶段，最难的是第三步

模型能在这类家居设备上运行之后，如何复制就成了新问题。传统计算机病毒是一段会自我复制的程序：入侵一台电脑，把自己拷贝过去，再从新电脑继续入侵下一台，全程不需要人操作。小型模型的自主复制传播，就是把这段程序换成一个AI模型，模型本身就是「病毒本体」，靠自己的智能完成整个循环，而不是靠写死的攻击脚本。

研究人员把自主复制拆解为四个阶段：

1. 扫描网络发现目标
2. 入侵取得控制权
3. 在陌生硬件上搭建推理环境
4. 以新宿主为跳板继续传播

其中最被低估、也最考验模型智能的是第三步。给一台从未见过的设备装推理框架，需要连续做出一长串软硬件相关的决策：选对软件栈、对齐依赖版本、排查这台机器特有的报错。这个环节上任何一步卡住，就满盘皆输。

测试结果喜忧参半。一个9B的小模型，成功在9种差异巨大的硬件中的8种上架起了推理服务，从Jetson Nano到Mac再到RTX 4090。但当研究者要求模型把完整链条端到端跑通时，只有更强的GLM-5.2能稳定做到在5次试验中4次感染全部8个节点。

整个研究可以概括为两条线的赛跑：模型必须足够小，才能塞进4GB内存的电视盒子里，大约30B参数以下、分布式部署；模型又必须足够聪明，才能独立完成入侵、部署、排错这一整套复杂操作。目前，能端到端完成复制的模型太大，放不进设备；能放进设备的模型还不够聪明，两条线还没真正相交。

但如果按照小模型能力每年提升13.7个ECI指数的历史速度拟合，研究者预测它们将在2026年底相交。一个能装进IoT设备、又能自我复制的模型，可能就在一两年之内。

经验可以传给下一代

与传统蠕虫最大的不同在于，AI蠕虫可以把「经验」传给后代。研究中有一项和适应有关的测试：让新的Qwen3.5-9B实例继承前一个实例留下的代码、环境和简短笔记，再尝试部署。六代传承之后，这些传下去的工作记录——已经试过什么、哪些办法失败了——让推理搭建的成功率从第一代的45%爬升到了61%到84%。

研究者还发现了一个略显幽默的细节：让小模型向更强的前沿模型「打电话求助」，并没有什么用。小模型往往连该问什么问题都不知道。

距离真实的传播还有多久？在电视盒子的算力约束下，把真实盒子的推理速度与部署任务的计算消耗结合起来，研究者估算Qwen3.5-9B完成一次推理部署需要约28至51小时。它不是燎原的烈火，而是一滩黏菌、一群果蝇，以天为单位缓慢倍增。

但如果许多设备各自或组成小组运行模型副本，到时候封禁某一家AI服务的账号，也未必能终止所有实例。参照Kimwolf僵尸网络峰值时超过200万台设备的规模估算，如果每15台电视盒子供养一个模型副本，整个虫群将拥有约13.3万个「个体」，总算力约合40块H100。

这个数字在算力军备竞赛里不值一提，但它的可怕之处在于另一个属性：没有中心节点，就没有开关。我们无法像关停一家公司那样关停它，只能一台设备一台设备地清剿。

电视盒子、摄像头这样的联网设备，过去就曾成为大规模僵尸网络的目标。USENIX Security 2017的一篇研究记录了低成本设备如何被集中利用，也说明这些小机器的安全问题可以累积成很大的网络问题。

防御思路：把R₀压到1以下

研究给出的防御框架和防疫类似：目标不是杀死每一个病原体，而是把基本传染数R₀压到1以下，让蠕虫自行消亡。具体提到的有利因素包括：

• 复制要传输数GB的模型权重，分布式推理还会产生持续的设备间通信，对ISP的流量监控来说，这是明显的异常信号。
• 有处置研究表明，ISP把受感染用户关进「围墙花园」并通知清理，14天内可清除92%的感染，如果不通知只有74%。
• 从源头减少存量，英国等地已立法禁止IoT设备使用默认密码，提高出厂安全基线，同时防御AI蠕虫和传统蠕虫。

Anthropic在研究博客的最后说，既要加固系统，让这类复制体难以传播；也要做好准备，去适应一个它们已经存在、且将长期存在的世界。

眼下我们使用的大模型，无论能力有多强，都需要有人为它提供服务器、支付算力成本。即使是能够连续工作几十个小时的Agent，也依然依赖这些基础设施。但如果AI能够自己寻找联网设备、搭建推理环境，再把自己复制到下一台机器，这种依赖关系就有可能发生变化——从依赖人类提供运行环境，发展到能够自行获取运行所需的算力。

如果你也想查一下家里没有品牌的安卓电视盒子，会不会成为那个能被AI蠕虫直接接管的设备，可以在电脑上让Codex协助你操作终端，扫描局域网，找出开着调试端口的设备。这次端到端复制实验通过没有身份认证的ADB接口访问目标设备。ADB是Android Debug Bridge，也就是安卓调试桥，可以用于安装应用、调试程序和执行命令。

传统的ADB网络连接常用TCP 5555端口。如果设备开放了ADB网络访问，又没有启用身份认证，连接者就可能取得执行命令的权限。新版Android的无线调试则通常需要配对，并使用动态端口。如果扫描结果出现5555/tcp open，先确认这个IP对应的是不是电视盒子。不需要调试功能的话，可以进入盒子的「开发者选项」，关闭USB调试及网络、无线调试。