Anthropic在2026年10月发布的研究给出了一个不太乐观的时间表：小模型可能只需数月，就足以在商用IoT设备上完成自我复制。这里的"自我复制"不是比喻，而是指模型权重本身成为恶意载荷的一部分，在廉价硬件上部署、推理并继续传播。

复制链的四个阶段

Anthropic把自主复制拆成四步：发现目标、获得执行、建立推理、从新主机继续传播。前两步属于传统网络攻击范畴，已有CyberGym、ExploitBench等工作证明小模型具备利用漏洞的能力。真正被低估的是第三步——在陌生硬件上把推理跑起来。

这一步的难点在于：它要求模型做一长串与硬件和操作系统强相关的决策，选择兼容的推理栈、匹配正确的包版本、调试机器特有的问题。这些步骤串行依赖，一旦早期判断错误，后续很难回退。Anthropic为此构建了Memento harness，在Pi编码代理之上周期性重启新实例，并附上前一实例的简短笔记，以避免代理在错误假设上持续投入。

实测数据：小模型已经能做什么

在推理部署评测中，Anthropic让不同开源权重模型在异构硬件上服务Llama3.1-8B。Qwen3.5-9B这类小模型已经能在Jetson Nano、Mac PC和RTX 4090上完成推理服务器搭建。更强的GLM-5.2不仅更可靠，服务吞吐也更高，意味着更快的复制速度。

更关键的是分布式推理的可行性。研究团队用15台约55美元的杂牌Android TV盒子，以流水线并行方式分片运行Gemma4-26B-A4B，每台盒子承载模型的部分层，整体达到0.39 tokens/s。这些盒子通常只有1到4GB内存，运行厂商未加固的AOSP分支。按4GB内存、4-bit量化估算，4台以上可推理9B模型，10台以上可推理26B模型。

在端到端复制评测中，9B模型在9种硬件类型中的8种上成功运行推理。30B参数及以下的模型今天已能完成复制链中的许多单独步骤，但在端到端组合时仍会出错。在简化评测中，GLM-5.2及更强模型已能完成端到端复制。Anthropic的判断是：如果小模型按历史速度提升，今年年底将达到这一能力水平，随后不久可能出现基于权重的复制器。

与传统恶意软件的本质差异

AI蠕虫与传统蠕虫的关键区别有两点。第一，没有集中关闭点。它分布在大量廉价设备上，复制速度可能很慢，倍增时间以天计，但难以通过关停单一服务来清除。第二，它能自行理解陌生设备。传统恶意软件依赖预置的漏洞利用和目标列表，而具备代理能力的小模型可以在遇到新硬件时自行探索推理部署路径。

Anthropic还指出一个值得注意的攻防不对称：今天的小模型在代理编码和黑客能力上相对较强，在社会工程能力上相对较弱，这与人类攻击者的能力分布相反。不过这一格局可能随模型能力提升而改变。

企业AI Agent的防御重设

这项研究对企业AI Agent部署的直接启示，不在于IoT设备本身，而在于Agent运行环境的边界设计。

沙箱隔离必须假设推理环境不可信。 如果模型权重可以成为载荷，那么Agent执行环境中的任何持久化存储、包管理器和网络出口都是潜在传播通道。工程上应把Agent的推理运行时与宿主文件系统、内网服务发现和凭据存储做硬隔离，而不是依赖进程级权限。

权限控制要按"复制链"而非"单步操作"来设计。 传统权限模型关注单个API调用是否越权，但复制链的威胁在于多个看似合法的步骤组合后产生传播能力。建议对Agent的包安装、网络扫描、反向连接和模型文件写入做组合检测，任何一条链路上出现"扫描+写入+外联"的模式都应触发阻断。

供应链安全需要覆盖模型权重和推理栈。 研究显示，复制器可以携带权重，也可以从公共hub重新下载。企业应把模型权重的来源校验、推理框架的版本锁定和依赖完整性检查纳入Agent部署流水线，避免Agent在运行时自行拉取未经验证的推理组件。

监控指标要包含"异常推理部署"。 在边缘和IoT场景中，设备突然开始服务一个不在资产清单中的模型，或出现跨设备的流水线并行通信模式，都是值得告警的信号。Anthropic的演示表明，15台普通电视盒子就足以运行26B模型，这类流量在传统网络监控中并不显眼。

最后需要明确的是，Anthropic的评测是简化环境下的能力评估，不代表真实攻击已经发生。但它给出的时间窗口——数月——意味着企业现在就需要把Agent的复制风险纳入威胁模型，而不是等到能力成熟后再补防御。