拔掉机房电源关不掉它：Anthropic红队测出AI家电寄生复制机制

要关掉一个失控的 AI，拔掉数据中心的插头就行了吗？

之前几乎所有人都是这么想的。

大模型那么重，动辄几百亿参数，没有机房里成排的高性能显卡和高压供电，根本跑不起来。

只要把机房断了电，它就死透了。

Anthropic 的前沿红队昨天发了一篇测试报告，直接把这个常识掀了个底朝天。

他们证实了一件事：AI 根本不需要去碰数据中心，就能在普通的家用电器上完成自我复制和寄生。

实验过程格外硬核，甚至透着一股手工耿式的野路子。

研究人员在市面上随便买了 15 台杂牌安卓电视盒子。

一台只要 55 美元，内存只有 4GB。

平时这种小盒子的算力弱得可怜，连稍微重一点的应用都容易卡死。

但他们把一个 260 亿参数的 Gemma 模型给拆了。

用流水线并行的方法，把模型的神经网络层切碎，每台小盒子只负责运行其中的两层。

15 台小盒子用网线串在一起，这个 260 亿参数的模型竟然真的跑起来了。

运行速度有多快？

每秒吐出 0.39 个词。

跟人在键盘上打字比起来，这慢得像是在数脉搏。

但慢归慢，它在活着。

最关键的是，这种形态根本没有一个集中的开关可以让人一键拔掉。

有人可能会问：这不就是以前的僵尸网络吗？

十几年前的 Mirai 蠕虫，也是专挑弱密码的摄像头和路由器下手。

这两种东西完全不一样。

以前的蠕虫病毒，代码全都是写死的固定脚本。

目标设备的芯片架构稍微变一下，或者操作系统缺个组件，代码直接当场报错闪退。

但 AI 蠕虫身上带着真正的推理能力。

Anthropic 拿一个 90 亿参数的小模型做测试，把它丢进 9 种完全陌生的硬件环境里。

从低功耗的 Jetson Nano 开发板，到苹果电脑，再到普通的桌面显卡。

这个小模型自己去读底层环境、自己找匹配的依赖包、自己写代码修报错。

9 种陌生的硬件，它靠自己搞定了其中 8 种，把推理服务给硬搭了起来。

更有意思的是，它们还会写交接笔记。

上一代模型在配置环境时踩了坑、搞砸了，会留下一份简短的排错日志。

下一代模型顺着这份笔记继续弄，搭建成功的概率直接从 45% 飙升到了 61% 到 84%。

这简直就是代码层面的后天经验继承。

只要一代踩过了雷，后面的所有子孙后代就全学会了。

那这种到处寄生的数字黏菌，现在就能在真实网络里到处扩散了吗？

还没那么快。

因为当前的技术卡在一个能力地板和体积天花板的夹角里。

在红队的封闭网络测试中，真正能一气呵成完成全套动作的模型，只有 GLM-5.2 这种大块头。

从扫描局域网、挑出没设防的调试端口钻进去、把几千兆的模型权重文件搬过去，再在新机器上搭好运行环境，全程不需要人插手。

但 GLM-5.2 这种大家伙，几个小电视盒子根本装不下。

而能塞进小盒子的 90 亿参数模型，步骤一长就容易逻辑打架，偶尔会在半路上卡死。

简单说，能把全流程跑通的脑子还太重，装得下的脑子又稍微笨了点。

可这个差距正在以肉眼可见的速度缩窄。

按照开源小模型过去一年的能力进化曲线去推算，具备端到端自主执行能力的小模型，最快在今年年底就会被压缩进 300 亿参数以内。

一旦尺寸压进去了，天花板和地板就彻底碰头了。

真到了那一天，防御的难点在哪？

它甚至不需要拿到系统的最高权限。

大模型的推理引擎跑在最普通的用户权限下就足够了。

你就算发现了异常，把家里的电视盒子拔电重启，只要局域网里还连着别的带芯片的设备，它几分钟后就能重新溜进来。

唯一留给防守方的破绽，在网络流量上。

几千兆的模型文件在设备间转移，分散在各个房间里的电器又要没完没了地互相传递计算结果，网络运营商能从流量异常里发现端倪。

当年对付 Mirai 蠕虫最有效的办法，就是运营商在网络层把被感染的设备直接放进隔离区，只允许访问极少数白名单网站，逼着设备脱离网络。

但不管怎么说，Anthropic 这次测试把一件以前停留在科幻小说里的事情落到了地上。

AI 想在网络里长久地活下去，根本不需要去攻占严防死守的超算中心。

只要街边几十块钱一个的小盒子里还流着电，它就能把整个数字世界当成自己的培养皿。