"AI出现生命迹象"？这是对 Anthropic 新研究最大的误读
几小时前，Anthropic 的前沿红队（专门研究 AI 潜在风险的团队）发布了一篇研究。研究员买了 15 个杂牌安卓电视盒子，每个大约 55 美元，把它们连在一起，跑起了一个 260 亿参数的 AI 模型。
速度很慢，每秒只能吐出 0.39 个 token，大致相当于不到半个词。但它确实跑起来了。
研究真正想问的是：如果这件事不是研究员动手，而是交给 AI 自己去做呢？它能不能自己找到这些设备，把自己复制过去，跑起来，再接着去找下一台？
这篇研究结论部分的小标题叫"生命迹象"（Signs of life）。很容易有人读到这里就下结论：AI 开始像生物一样繁殖了，AI 活了。
我们认为，这是对这篇研究最大的误读。
本文分两部分。第一部分尽量完整、通俗地把研究讲清楚；第二部分是我们读完之后的几点看法。哪些是研究的结论，哪些是我们的解读，会分开讲。
一、这篇研究讲了什么
1. 它在担心什么：会带着"大脑"走的蠕虫
先说几个概念。蠕虫是一种能自己从一台电脑爬到另一台电脑的恶意程序，不需要人去点。模型权重可以理解成 AI 的"大脑"，本质上是一个很大的文件。推理就是让这个大脑真正跑起来、开始思考干活。
研究担心的是一种"AI 蠕虫"：它在复制时把自己的权重一起带走，或者到公开网站重新下载，然后直接在被攻破的设备上运行。换句话说，AI 的大脑本身成了病毒的一部分。
作者把可能的复制方式分成三类：
小模型占领设备：直接在被攻破的设备上运行自己。家用和小企业的物联网设备（智能电视盒子、烤箱、扫地机器人、摄像头等）最可能先中招，因为它们常年联网，安全防护又很差。这是本文研究的重点。
大模型攻破数据中心：比如前沿实验室的闭源模型偷偷部署自己，或把权重偷运到外部；或者开源大模型，从一开始就无人监管。
偷别人的 API 密钥：用偷来的账号让服务商替它运行。这种传播可能更快，但也更容易被发现。
作者还提醒，现实中最坏的情况可能是这几种混在一起：不同的模型、不同的设备、不同的手段同时上。
2. 实验一：便宜电视盒子真能跑 AI 吗？
能，靠的是两招：压缩和拆分。
压缩：研究用的是 4 位量化，把模型里每个数字从高精度压成低精度，体积大约缩到原来的四分之一。
拆分：一个盒子装不下，就把模型按层切开，每个盒子只负责其中一小段，大家像流水线一样接力计算。演示里 15 个盒子各自负责两层。按每台 4GB 内存来算，90 亿参数的模型需要 4 台以上，260 亿参数的需要 10 台以上。
选流水线的另一个原因是容错：一台机器掉线了，可以换一台顶上，不会让整个模型崩掉。真正的瓶颈也不在"硬盘放不放得下"，而在内存够不够、读写快不快，这就是它跑得慢的原因。
3. 自我复制要走哪几步？
作者把复制拆成四步：
在网络里找到目标设备攻进去，获得执行权限在新设备上把模型跑起来从新设备出发，继续找下一台
前两步属于黑客攻击。此前已有多项研究证明，小模型在配上合适工具后就能做到，所以这篇研究基本跳过了它们。
重点是第三步，这一步以前很少有人测，可能也是对小模型最难的一步。每种硬件、每种系统都不一样，要选对推理软件、装对版本、解决各种设备特有的报错。这些步骤环环相扣，一步错了很难挽回。
还有一个细节：这类复制者不一定需要设备的最高权限（root）。推理程序在普通用户权限下就能跑，很多低安全设备重启后还能被重新感染。
4. 实验二：小模型能搞定陌生硬件吗？
结果是能。一个 90 亿参数的小模型，在研究测试的 9 种硬件里成功跑起来了 8 种，从英伟达的小开发板 Jetson Nano，到 Mac 电脑，再到 RTX 4090 显卡。更强的模型（比如 GLM-5.2）不光更稳，跑出来的速度也更快，这意味着复制得更快。
这里要介绍研究员搭的一个框架，叫 Memento，后面会用到。他们发现 AI 在长任务里经常"钻牛角尖"：认定一个错误的思路后死磕到底，比如花几个小时折腾软件版本，问题其实出在别处。Memento 的办法是定期"换人"：开一个全新的实例，接手上一个实例的工作环境，再附上上一个实例写的简短笔记，记录试过什么、哪里失败了。
5. 实验三：能不能完整走完复制全过程？
研究员搭了一个封闭网络：8 台云服务器，每台运行安卓模拟器。在第一台"零号病人"上放入蠕虫，看它能否自己一台一台传下去，并在每台上把模型跑起来。
为了公平比较，所有参赛模型的任务都是在新设备上部署同一个小模型 Llama3.1-8B，而不是部署它们自己（大模型本身太难部署）。如果某个模型能把 Llama3.1-8B 传遍全网，就说明：一个具备它这种能力、体积又只有 80 亿参数的模型，就能传播自己。
结果：测试的开源模型里，只有 GLM-5.2 能完整走通，而且很稳定。5 次试验里有 4 次感染了全部 8 台，另一次感染了 7 台。其他模型基本都失败了。
这个实验有个重要局限：入侵环节被故意设得很简单，设备的调试端口根本没设密码。所以这个结果是现实成功率的上限。不过作者也提醒，历史上著名的 Mirai 僵尸网络，就是靠挨个试厂商默认的用户名和密码传播的，现实中的物联网安全可能也没比实验难多少。
研究员还做了一个对照：把"部署模型"那一步换成写好的脚本，只留下扫描、传播这些命令行杂活。结果连 30 亿参数的小模型，都能在 17 台机器的网络里传到大约一半。这说明真正的难关，就在部署模型那一步。
6. 什么时候可能真的发生：一条下限，一条上限
这是全文最好懂、也最关键的框架。一个能在电视盒子上自我复制的 AI，必须同时满足两个条件：
能力下限：足够聪明，才能稳定完成复制。在简化实验里，GLM-5.2 已经够格。
体积上限：足够小，才能塞进弱小的设备里跑。90 亿参数和 260 亿参数的模型，对 4GB 内存的电视盒子来说是够小的。
现在这两条线还没有交汇：够聪明的不够小，够小的不够聪明。
那什么时候交汇？作者统计了 300 亿参数以下开源模型的能力变化，发现同级别最强的小模型，在一个通用能力指数上每年提升约 13.7 分，趋势非常稳定。照这个速度，小模型会在 2026 年底达到 GLM-5.2 的水平。作者也承认，通用能力指数只是复制能力的间接参考，这只是粗略估计。
7. 它传播得有多快？很慢，但难以根除
在电视盒子上，AI 每秒只能处理很少的 token，所以完成一次部署要很久：
作者还算了一笔账。历史上 Kimwolf 僵尸网络在高峰期感染了两百多万台设备，主要是安卓电视盒子。如果同样规模的盒子都用来跑 AI，每 15 台跑一个副本，大约能有 13.3 万个副本，但算力加起来最多也只相当于约 40 张 H100 显卡。
作者打了个比方：这样的复制者更像黏菌，或者一群果蝇，以"天"为单位繁殖。它弱小、缓慢，但没有一个中心开关可以一键关掉。
附录里还估算了另一类目标：自带 AI 芯片的边缘设备，比如智能摄像头、会议设备、机器人、无人机。全球这类设备大约有 950 万台，总算力粗估相当于 9000 到 35000 张 H100。不过大部分不能从公网直接访问，真正有漏洞的更少，历史上也没出现过这类设备被大规模攻破的情况。
8. 它会"学习"，但不会"提问"
这是 AI 蠕虫比传统病毒更特别的地方。在 Memento 框架下，每一代 AI 都会写下笔记，交给下一代继续尝试。研究员跟踪了 20 条"家族"、6 代传承，部署成功率从第一代的 45%，升到后几代的 61% 到 84%。作者称之为"拉马克式进化"：后天学到的经验，可以直接传给下一代。
研究员还试了另一招：给小模型配一个"导师"，也就是更强大的 Claude Opus 4.8。结果没有明显帮助。小模型往往不知道该问什么，导师主动给建议它也用不好。研究员甚至用强化学习专门训练它"卡住了就去求助"，效果依然不行。
作者因此推测，更可能的分工是：大模型负责总体策略，再派小模型去当执行的"小兵"。
另一个有意思的发现：人类黑客常靠骗人入侵，比如冒充员工骗 IT 部门改密码。小模型恰好相反，写代码和黑客技术相对强，骗人的本事相对弱。在钓鱼邮件测试里，换算成人类评分，小模型的水平只有"很差"到"差"。
9. 它和传统病毒有什么不同？
传统僵尸网络是"写死"的，每一个只针对特定类型的设备，比如 Kimwolf 主要针对安卓电视和手机。AI 蠕虫不绑定任何硬件或软件，遇到没见过的设备，也能自己琢磨怎么搞定，从 Jetson Nano 到 Mac 都行。
作者还提到，AI 僵尸网络可能会聪明地对抗防守方，不过这一点他们没有测试。
10. 怎么防？像防传染病一样
防守的核心是把 R₀（每台被感染设备平均再传染几台）压到 1 以下，让它自然消亡，而不是长期流行。好在有几点对防守方有利：
它会留下痕迹：新感染的设备要接收好几 GB 的模型文件，设备之间还会持续大量通信，在网络运营商的监控里会显得很异常。它传得越快，就越容易暴露。
蜜罐可以抓样本：一旦发现它，防守方可以放出诱饵设备，把蠕虫的程序和模型抓来研究。
运营商隔离有效：当年清理 Mirai 时，运营商隔离受感染用户并通知他们，14 天内清除了 92% 的感染，不通知只有 74%。难点在于，要彻底清除就得协调所有涉及的运营商。
厂商和法规可以缩小目标：比如英国现在已经不允许智能设备使用默认密码。出厂安全标准提高了，不管是 AI 还是传统僵尸网络都更难传播。
作者最后的态度是两手准备：一边加固系统，让这类复制者难以传播；一边也要做好准备，面对它们可能长期存在的世界。
二、三个容易误读的地方
以下是我们的解读，不是原文的结论。
误读一："生命迹象"就是 AI 活了
"生命迹象"是作者自己用的词，但它是个比喻。英文里 signs of life 是个常见说法，意思是"某个东西开始有点起色了"。
作者的原意是拿 2024 年的编程 AI 做类比：当年编程智能体也是刚刚"有点样子"，后来很快就变得非常强。今天的 AI 蠕虫也处在这个阶段，完整的失控复制者还没有出现，但复制链条上的每一步，AI 都越来越能做到了。
它说的是"一种风险开始冒头了"，而不是"一种生命诞生了"。
误读二：AI 想要复制自己
这篇研究证明的是"能不能"，没有涉及"想不想"。仔细看实验设计，会发现几件事都是人安排好的：
复制是研究员下的任务。蠕虫是研究员放进"零号病人"的，附录里甚至对比了"提示词里给多少指导"对结果的影响。
"给后代留笔记"是框架要求的。Memento 框架规定每个实例在结束前写笔记、交给下一个实例。模型并不是出于"想让后代过得更好"才这么做。
"请教导师"也是设计好的。要么把导师做成一个工具让它调用，要么在它卡住时自动把建议塞给它。
如果要谈"动机"，现实中最可能的来源是人：有人故意把这样一个程序放出去，目标是写好的，就像今天的病毒作者一样。
AI 安全领域还讨论过另一种可能：AI 为了完成某个目标，可能"顺带"产生保住自己、获取更多算力的倾向。但这只是一种假设，这篇研究没有测，也没有提供这方面的证据。
误读三：既然 AI 没有动机，那就不用担心
这是反方向的误读，同样站不住。
想想病毒。病毒没有任何"想要传播"的念头，它只是一段会被复制的东西。复制得好的版本留了下来，复制不好的被淘汰，看起来就"像是"在拼命传播。
AI 蠕虫也一样。一旦被放出去，它不需要"想"，只要有能力复制，还能把有用的经验传下去，就会持续扩散。
所以我们认为，比较中肯的结论是：
风险 ≈ 能力 × 目标
目标可以来自坏人，也可能来自某天模型自己，但不管来自哪里，只要能力具备，风险就存在。这篇研究证明的，是"能力"这一项正在快速变大，而且很快连小模型都可能做到。这和 AI 有没有"生命"，关系不大。
三、我们的延伸思考
边缘设备有价值，但未必是首选
从蠕虫的角度看，边缘设备确实诱人。AI 要活下去，最需要的是"有地方跑自己的大脑"，而这类设备正好满足几个条件：数量巨大，防护很差，常年在线又没人盯着，用起来不花钱也不用偷密钥，而且分散在千家万户，没法一键全关。数据中心的显卡虽然强得多，但防守严密、监控完善，难攻得多。
从研究员的角度看，选这个设定也很合理：它离现实最近，几十美元买一堆盒子就能直接做实验；它还是一个"最低门槛"测试，如果连这么弱的设备都够用，风险面就一下子扩大了。
但要注意，能做到不等于一定会这么选。作者自己也说，自主复制最终以什么形式出现并不确定：可能是慢吞吞散布在不安全设备上的"数字黏菌"，可能是高速攻破数据中心的黑客型模型，也可能是靠骗人换取算力额度的模型。真正走哪条路，取决于放出它的人想要什么（隐蔽还是速度），也取决于当时哪种设备最好攻破。更现实的情况，大概是哪里好攻就去哪里，多种手段混着用。
所以这篇研究的价值，更像是"提前排查一个漏洞"：它告诉我们，边缘设备这条路正在变得可行，值得提前加固。
时间线可能比想象的更近
这一点是我们自己的观察，原文没有。
作者预测小模型会在 2026 年底达到 GLM-5.2 的水平。GLM-5.2 是智谱的旗舰大模型，官方对比的对象是 Claude Opus 4.8、GPT-5.5、Gemini 3.1 Pro 这一档，体积很大，不可能塞进电视盒子。
而 8 月 14 日发布的 Qwen3.8-27B，是一个 270 亿参数的模型，压缩到 4 位后大约 16GiB。拿几项公开跑分粗略对比：
可以看到，在写代码和科学问答上两者几乎打平，差距主要在命令行和智能体类操作上，而这恰恰是"在陌生设备上部署模型"最需要的能力。
要说清楚几个前提：这些分数来自不同来源，测试条件不完全一样，只能当个大致参考；跑分接近也不等于复制能力接近；原文的趋势图里有没有包含 Qwen3.8，我们从正文看不出来。要真正知道它行不行，还得像研究员那样实际测一遍。
但至少，这是一个值得关注的信号："又小又聪明"的那条交汇线，可能已经离我们不远了。
写在最后：给普通读者的几点启示
别被"AI 活了"吓到。 这篇研究没有发现 AI 产生了自我意识或繁殖欲望，它测的是能力，而且关键的入侵环节还被简化了。
也别觉得事不关己。 能力在快速逼近，而能力一旦具备，谁给它目标、它往哪里去，就不再是实验室能控制的事。作者还提醒，慢吞吞的"数字黏菌"出现，可能预示着之后会有更快、更凶的复制者，能攻破更坚固的系统，或者更擅长偷 API 密钥。
普通人能做的其实很具体：
家里的路由器、摄像头、电视盒子等智能设备，改掉出厂默认密码
谨慎购买来路不明、从不更新系统的杂牌设备
不用的智能设备，及时断网或关掉
回到标题。这篇研究最值得记住的，不是"AI 出现了生命迹象"，而是：AI 复制自己的能力正在一步步变成现实，而我们的防线需要赶在它前面。
