AI 自我複製研究解析：Anthropic 測到什麼，小模型還缺什麼？（2026）

2026 年 10 月 12 日，Anthropic 的 William Zhou 與 Daniel Freeman 在研究網站發布了〈AI models may be capable of self-replicating without access to a datacenter〉。這份 AI 自我複製研究問了一個比「模型有多聰明」更具體的問題：當模型得到工具和執行權，它能否搬到下一台機器，繼續運作？

先看研究究竟測到哪一段，再對照其他原始證據，最後判斷它對安全與模型評測意味著什麼。會把模型跑起來，和能在真實網路上自主複製，是兩個不同的承諾。

AI 自我複製研究：先分清三件事

「複製」在這裡不是聊天機器人多開一個視窗。模型權重是儲存其計算參數的檔案；推論程式讀取它們，才會產生回答。要讓一個代理移到別台機器，還涉及軟體、工具、狀態與下一輪執行。把檔案傳過去，只交付了這條鏈的一部分。

原文區分三種威脅：小模型在被控制的裝置上執行；較大模型依靠資料中心等高算力機器；以及透過取得 API 存取權維持運作的代理。本文討論的是第一種。這個區分影響防守方式：撤銷某家服務的帳號，與清理散落各處的本機程序，所需控制點不同。

研究團隊的裝置示範把 Gemma4-26B-A4B 分散在 15 台購入的 Android 電視盒上，報告每秒 0.39 個 tokens。另一次評測中，Qwen3.5-9B 在九種硬體中的八種建立了 Llama3.1-8B 推論環境。前者是算力可行性示範，後者是設置能力；八種成功不等於八種裝置都被自主入侵。這些數字是團隊自報，本文依公開材料分析，未重跑模型或複製實驗。

AI 自我複製研究的完整鏈：較大模型通過什麼考題？

原文的完整鏈測試使用八個 GCP 節點與 Android 模擬環境，網路由防火牆隔離，存取步驟刻意簡化。代理需要把 Llama3.1-8B 的推論服務建立起來；通過檢查後，評測系統再啟動下一份代理。執行代理的較大模型，推論則放在另一台伺服器。

在這組測試裡，GLM-5.2 五次試驗有四次到達八個節點、一次到達七個。圖中的其他受測模型未完成同一鏈條。這支持較大模型能協調相關步驟；原文也把結果定位為真實世界成功的上界，並提出「若同等能力能裝進足夠小的模型」這個條件。把條件拿掉，就會把能力評測寫成自給自足的蠕蟲示範。

We don’t yet have a full rogue replicator,

中文：我們還沒有完整、失控的複製者。

Anthropic，2026 年 10 月 12 日研究文章

這句話出現在原文結論，限定的是作者這項研究的成果。它不等於所有 AI 蠕蟲研究都停在同一階段，也不是全世界尚未發生任何相關事件的證明。判讀 AI 自我複製研究，要保留每項結果的模型、工具、硬體與起始權限。

作者另在 17 節點的消融測試中，用預寫腳本移除推論設置的工作，較小模型就能完成部分剩餘協調。這讓推論設置更像一個值得單獨研究的瓶頸；它沒有把腳本代勞的步驟變成模型能力。

外部證據：威脅有基礎，實驗仍需各自驗收

Petals 的原始研究已提出由多個參與者共同提供大型模型推論的方式。它支持「一台裝不下，可以把模型分散」的工程脈絡；參與者自願提供資源，與裝置遭控制，是完全不同的使用情境。分散推論本身不構成惡意行為。

2026 年 6 月的 AI Agents Enable Adaptive Computer Worms 預印本報告了另一套隔離網路內的自主傳播實驗，使用可在單張 GPU 執行的模型，以及帶有既定弱點的異質主機。主傳播試驗的推論來自共享 GPU 池；另有測試檢查 GPU 主機上的本機部署。作者明寫：每個目標至少有一個可利用弱點，且未部署主動防守。這份獨立研究讓「代理能串起攻擊和傳播」有了另一份原始證據，卻沒有重現 Anthropic 的電視盒配置。

Synthient 的 Kimwolf 調查則根據其觀察估計受感染裝置超過兩百萬台，主要涉及 Android 電視設備。這是一份真實殭屍網路的調查，不是 AI 控制那些裝置的證據。它說明潛在硬體池值得關注；不能把裝置數直接乘成已存在的 AI 副本數。

三份材料各自補上不同拼圖：分散算力、受控環境中的代理傳播、真實裝置的安全弱點。拼圖在不同實驗裡成立，不代表一條能長期自主維持的完整鏈已被同一系統驗證。下一份有說服力的證據，應讓同一代理在相同條件下，從第一台一路完成後續步驟，並接受防守、故障與資源限制。

會留下筆記，與會變強，是不同的學習主張

Anthropic 還讓 Qwen3.5-9B 的新實例繼承前一輪的工作筆記，重新嘗試推論設置。團隊報告，20 條受測 lineage 的成功比例從第一代 45%，到後續各代的 61–84%；六代之間仍有波動。這是將經驗放進下一輪上下文，不能直接改寫成模型權重自行訓練。實驗中的 Memento 執行框架也會定期開新實例、保留工作區與摘要，以減少卡在同一錯誤假設的情況。

這種改善最值得追問的是遷移：換一種硬體、版本或失敗原因，舊筆記還幫得上忙嗎？如果筆記只記住同一台機器的答案，價值與學到通用排查方法不同。相鄰的 Learn2Play 記憶評測提供一個好習慣：把同題再試與未見情境分開記。

原文另報告，這個設置任務中加入較強模型顧問，未量到顯著改善。合理的解讀限定在這份任務、工具介面與訓練安排；它不能排除其他分工設計有效。幫手有能力、被求助的時機合適、建議被正確落實，是三道獨立關卡。

「幾個月內」是可對帳的預測，還不是日期表

作者以小型開放權重模型的一般能力趨勢，推估到 2026 年底可能達到 GLM-5.2 的相關能力水準。原文也明說，所用 ECI 只是複製能力的代理指標，時間估計粗略。Epoch AI 自己的說明將一般 ECI 定義為多種基準組成的綜合尺度，另有資安領域指標；一般能力分數不直接提供這條任務鏈的成功率。

年底值得對帳的不是「有沒有一款小模型分數接近」，而是同一受測配置能否完成整條鏈。模型量化後的品質、實際記憶體、工具可靠度、連線中斷與重試，都會影響能力能否落地。測到交會，仍須再問：是真實硬體自主維持，還是依靠外部推論或預寫腳本？

AlphaLab 的判讀：能力差距，應變成下一張考卷

一、我同意：把推論設置獨立量出來

代理可以知道「該安裝什麼」，卻在相依版本或裝置差異上連續失敗。單次寫對程式，與長時間把服務建立並驗收，是不同的工作。Harness 實作能補上執行、回傳與停止條件的分工。這份研究的價值，是替一個容易被「模型會寫 code」略過的瓶頸，留下具體可量的考題。

二、我存疑：把幾種上界接成一個近期威脅量

公開可見的裝置、可控制的裝置、可承載推論的裝置，以及能繼續傳播的裝置，是逐層縮小的集合。採用幾個樂觀假設相乘，可以幫忙壓力測試；要估計實際規模，則需要每層的分母和條件。弱點多，也不自動消除小模型在連續任務裡的錯誤。

三、傳播慢，給防守時間；分散，增加清理成本

原文將電視盒配置的推論速度轉成以天計的設置時間：Qwen3.5-9B 約 28–51 小時，未優化的 Gemma4-26B-A4B 約 71–150 小時。這是基於該推論工作負載的換算，不是觀察一個真實網路疫情的倍增時間。防守方若能在下一輪傳播前發現、隔離與修補，就可能截斷鏈條；若多個管理者的設備各自留下副本，協調清理又會變難。這兩種效果並存，所以「慢」不等於可忽略，「分散」也不等於無法移除。

四、商業立場應影響我們問的問題，不能代替答案

Anthropic 經營模型服務，也參與安全討論；其威脅敘事值得檢查是否跨過實驗證據。但認為公司有政策或商業誘因，並不能反駁一個可檢查的測量。更有力的質疑，是要求同配置重測、完整失敗紀錄與更接近真實環境的防守對照。這也比直接把所有開放權重模型視為同等風險更精確。

防守下一步：先找得到裝置，再談找得到代理

「很難清掉」應拆成可操作的問題。Mirai 清理的原始實地研究結合觀察與 220 名受感染使用者的隨機試驗，報告隔離及通知方案在 14 天內清除 92% 感染；未通知對照與參考網路也有 58–74% 自然清除率。這支持隔離可成為工具，不能直接預報 AI 蠕蟲也有相同效果。

一般讀者現在可以先盤點電視盒、攝影機、路由器等設備：誰提供更新？何時終止支援？管理密碼是否仍為預設？英國 NCSC 的消費者指引建議更改預設密碼、在提供時啟用雙步驟驗證，以及安裝更新。這些動作處理的是既有攻擊面，不必等待年底預測應驗。

原文也指出，多 GB 權重傳輸與持續的裝置間推論連線，可能留下流量異常；傳播越快與越容易隱藏之間存在取捨。這是值得驗證的偵測方向，不能假設所有部署都留下相同訊號。管理網路的人則先建立裝置清單、必要連線範圍和隔離程序。研究機構的下一輪評測，應分開報告外部依賴、實際推論位置、每一步失敗、重試費用與主動防守下的完整成功率。衡量風險的核心，是同一系統在限制下能完成多少持續傳播，而不是最後宣告「完成」的文字。

AI 自我複製研究值得重視，因為它讓「能在便宜裝置上運作」與「能自主把自己延續下去」的差距變得可測。今天先確認家裡或辦公室有哪台設備失去更新支援；後續看研究，則追同一條完整鏈是否真的跨過那個差距。