模型能在陌生设备部署之后，离自主复制还有多远？

1. 能装下模型，与能完成复制，是两道门槛

Anthropic Frontier Red Team的William Zhou与Daniel Freeman于 2026-10-12发表这份原始研究。它把寻找目标、取得执行、建立推理和继续传播分开，重点研究较少被测的推理部署环节。研究者主动布置任务，不能将按提示行动解释为模型自行产生复制意图。

实体演示将Gemma4-26B-A4B分布到 15台每台约 55美元的Android电视盒，报告速度 0.39 token/s。另一组异构硬件评测让控制模型部署统一的Llama3.1-8B负载；9B模型在 9种硬件中的 8种至少完成过部署。这两组实验的硬件、控制模型与负载不同，不能合成“9B模型已在 15台盒子完成自主传播”。

适用边界：硬件图的云端列按并发 8汇总，实体设备列为单流；设备名用于说明部署适应性，不是声称对应芯片存在漏洞。

AI models may be capable of self-replicating without access to a datacenter · Introduction; A. Inference setup; artifact04

2. 端到端成功来自简化条件，不能直接外推到真实入侵

在隔离的 8节点实验中，研究简化了进入设备的条件，让不同控制模型完成同一种 8B负载的部署。GLM-5.2在 5次试验中 4次达到 8/8节点，另 1次达到 7/8；其他所列小模型在对应试验中没有建立节点推理服务。控制模型本身使用另设的推理服务，实验并非大模型权重在这些小节点上完整自给自足运行。

附录另把推理部署预先脚本化，在 17节点网络测剩余编排步骤；不少小模型表现更好。这是移除关键难点后的消融，不应将其成绩作为完整自主复制成功率。研究尚未提供一套在真实开放互联网证明可持续、自给推理的失控复制体。

AI models may be capable of self-replicating without access to a datacenter · B. Going viral; Appendix F; artifacts07,08,21,22

3. 笔记继承提高部分成功率，不等于权重自行进化

Memento在受限时间内更换Agent实例，并继承工作区与简短笔记，试图减少长任务中持续执着于错误假设的失败。推理部署评测每轮上限 1.5小时、总上限 6小时。它没有给模型额外的入侵或推理部署专用能力，效果也依赖任务与基础模型。

六代Qwen3.5-9B笔记继承实验的成功数依次为 9/20、13/18、11/18、12/19、16/19、11/17，后续比例约 61%至 84%，不是单调增长。模型继承笔记而非在这些轨迹上更新权重；样本量和分母变化也应保留。顾问实验没有观察到稳定显著帮助，不能因此断言所有多Agent协作无效。

适用边界：原正文把部分token中位数作近似描述，交互图 17另列精确样本统计。本文不混用两组中位数，也不从相关趋势推出单一因果。

AI models may be capable of self-replicating without access to a datacenter · D. Adaptation and uplift; Appendix A; artifacts10,11,12,17

4. 上下文和带宽限制实际速度，年底预测仍是外推

附录指出上下文缩短虽可节省资源，却可能损害完成长任务的能力。原图在 8k上下文下没有成功，而 32k和 64k结果更好；硬件内存、KV缓存、流水线空转与通信同样影响吞吐。正文约 0.3 token/s的工作负载均速与演示 0.39 token/s采用不同口径，不应挑其中一个充当所有阶段速度。

作者据ECI能力趋势推测小模型可能在 2026年底达到某个复制能力门槛，但ECI仅是代理指标，大小阈值与测试条件也有限。设备在用量、可从公网访问的数量、真正易受攻击的数量不同；芯片吞吐上限不能视作可被利用的现实算力。

防御讨论将异常设备间流量、设备维护与隔离处置作为关注方向；文中的历史僵尸网络治理证据不是针对AI复制体的新防御实验。本文不提供传播实现或设备扫描步骤，采用判断应依据真实部署边界与独立风险复核。

AI models may be capable of self-replicating without access to a datacenter · C. Replication speed; F. Blue-team mitigations; Appendices C–F; artifacts09,13–20