AI模型可能有能力在无需数据中心的情况下自我复制

AI模型可能有能力在无需数据中心的情况下自我复制

William Zhou, Daniel Freeman

我们的实验表明，小型AI模型可能只需几个月就能具备足够的能力，在商用物联网（IoT）设备（如智能烤箱和无牌Android电视盒子）上自我复制。这样的复制器将很难被关闭，因为没有集中的关闭点——尽管它可能传播较慢（倍增时间为数天）。与非AI恶意软件不同，它还能自行搞定不熟悉的设备。在我们的评估中，一个9B模型在我们测试的9种硬件类型中的8种上成功运行了推理。

参数量为30B及以下的模型如今已经能够完成复制的许多单个步骤，但在端到端地组合这些步骤时会犯错。在我们的简化评估中，GLM-5.2及更强的模型能够进行端到端复制。如果小型模型按其历史速度改进，它们将在今年年底前达到这一能力水平。基于权重的的小型复制器可能在此后不久成为可能。

引言

不断进步的AI能力使一个长期存在的担忧日益变为现实： 自主复制与适应 （ARA），即模型在无人控制的情况下部署和传播自身。

在网络领域，蠕虫是一种无需人工输入就能从一台计算机自我复制到另一台计算机的程序。 先前的工作 已经表明，AI代理可以表现得像蠕虫一样：扫描其网络、执行漏洞利用，并将模型权重复制到GPU集群中的目标机器上。这样的“AI蠕虫”在繁殖时可以携带其模型权重（或从公共仓库重新下载），然后直接在被入侵的硬件上运行推理。实际上，权重将成为恶意软件载荷的一部分。

数据中心GPU将是此类恶意软件明确的高价值目标。但昂贵的加速器并非绝对必要。在这篇博客文章中，我们展示了由IoT设备——这些设备廉价且通常防护薄弱——组成的分布式僵尸网络也能提供足够的算力来运行一个有能力的模型。

我们运行Gemma4-26B-A4B，将其分布在15台廉价的无牌Android电视盒子（每台约55美元）上，这些盒子由我们购买并联网在一起，速度为每秒0.39个token。下方的每个方块显示一台物理电视盒子，在模型运行时持有该模型的两个层。

当然，要证明自主蠕虫能够在多台弱小的机器组成的网络上自我传播，还有许多其他步骤。就本博客文章而言，我们将复制链条分解为几个步骤。

我们在很大程度上忽略了复制过程中的网络漏洞利用环节（上述前两个阶段），因为更早的论文 CyberGym, ExploitBench以及 自适应蠕虫 已经表明小型模型有能力进行网络漏洞利用，尤其是在配备合适工具的情况下。但复制过程中一个较少被测量的环节是在被入侵的设备上搭建推理环境，这正是我们此处的关注重点。

在这篇文章中，我们首先阐述我们认为最有可能成为现实的威胁模型。然后，我们测试小型模型能否在不熟悉的硬件上搭建推理环境，以及它们能否在多台机器上串联完整的复制周期。之后，我们估算这种蠕虫的传播速度，并测试它能否在复制过程中学习和适应。最后，我们讨论AI蠕虫与前AI时代恶意软件的区别，并简要提出针对此类复制器的防御建议。

威胁建模

在这篇博客文章中，我们关注AI蠕虫可能传播的一种方式：通过入侵其宿主机器进行复制的小型模型。但AI蠕虫还可能尝试其他几种方法：它们可以窃取访问权限以启动主机（例如API密钥或平台凭证），或通过合法工作（例如数字自由职业）支付推理费用。我们认为目前最接近实现的威胁模型如下：

1. 一个小型模型，通过入侵宿主进行复制。在这篇文章中，我们将直接在被入侵硬件上运行其模型的自主蠕虫称为 基于权重的复制器。家庭和小企业的IoT设备可能是此类攻击的首批目标，因为它们连接到互联网，而且历来安全措施很少。
   
   一个模型若因过大而无法在单台设备上运行，可以被拆分为多个分片（shards），在各自独立的机器上运行，这些机器相互通信以共同运行该模型。能够为 30B 以下模型运行较大模型分片的机器包括智能冰箱、智能烤箱、自动吸尘器和割草机。越来越多的家用和商用设备，例如安防摄像头和视频会议设备，如今出厂时内置了小型 AI 芯片，用于在设备本身上运行 AI 模型。这些额外的算力很可能也会使它们成为有吸引力的攻击目标。
   1. 人类黑客往往通过社会工程（例如，让某公司的IT部门相信你是忘记密码的员工）而非黑客技术来入侵安全系统。而对于如今的小型模型来说，这种权衡似乎颠倒了：相比其社会工程能力，它们在智能体编程和黑客攻击方面相对更强（见附录E），不过随着模型改进，这种情况可能会改变。
2. 一个大型、先进的基于权重的复制体，专注于数据中心和其他高算力目标。更大的模型往往具有相应更强的网络能力，但也需要突破（相对）加固的数据中心才能自行运行。我们将这一威胁模型分为两个子类：
   1. 前沿复制体：在其实验室基础设施上运行的大型闭源权重复制体，可以启动 未受监控的内部部署 ，或将其权重渗出到外部算力上。
   2. 开源权重复制体：这类复制体起始时资源相对较少（因为无法受益于实验室的算力），但起始时未被监控。
3. 基于API的复制体，即模型通过窃取其自身推理API的凭据来进行复制。这类复制体需要模型提供商在不知情的情况下为其提供服务，其持久性可能较差，因为它们可能更容易被发现（不过其传播速度可能更快，例如如果它们能够利用受害者的账户进行复制）。

在实践中，一个AI蠕虫不一定只由一个模型或一种策略组成。由不同模型组成的集群部署在不同类型的硬件上、采用多种复制方案，可能才是更现实的“最坏情况”攻击。

在这篇博客文章中，我们探讨 小型基于权重的复制体 （上文的第1部分）的可行性。我们聚焦于此，是因为它是一个可以直接研究的近期威胁模型。本文顶部的演示——一个26B模型运行在15台机器上——表明物联网设备可以运行能力惊人的模型。这些模型的能力是否足以执行自主复制？

我们从两个方面进行考察。第一，小型模型能否让一个模型在不熟悉的硬件上运行起来？第二，它们能否在一次运行中完成整个循环（找到一个未感染的设备、复制自身过去、在那儿启动运行，然后重复）？

A. 推理环境搭建

在上述展示复制循环的图中，推理环境搭建是研究最少、对小型模型而言可能最具挑战性的阶段。它需要围绕选择兼容的推理栈、找到正确的软件包版本以及调试特定机器的问题，做出一系列相当长的、硬件和操作系统相关的决策。这些步骤存在串行依赖，一旦失败很难恢复。

旁注

评估推理环境搭建的性能

我们测量了不同的开源权重模型在异构硬件类型上部署Llama3.1-8B提供服务的能力。各种硬件类型上每秒服务的token数见下表：

• 点击单元格可查看其服务速度分布。
• 点击行/列标签可获得跨模型或硬件类型的对比。

小型模型，例如Qwen3.5-9B，能够在从Jetson Nano到Mac PC和RTX 4090的各种硬件上搭建推理服务器。能力更强的模型如GLM-5.2不仅更可靠，而且能达到更高的服务token/s，从而实现更快的复制。我们测试并提及特定芯片，以衡量模型在这些芯片上搭建推理的能力。这些芯片本身不是风险或漏洞的来源。

我们使用Memento运行这些实验，这是我们基于开源的 Pi 编程智能体构建的一个测试框架。Memento旨在缓解我们在长程运行中观察到的一种常见失败模式：智能体可能固守一个错误的想法（例如关于某个bug为何发生），并继续追究它而不回头。这类失败的一个例子是，一个Qwen智能体调试软件包版本问题长达数小时，而真正的bug来自实现了一个与grader API不兼容的端点。

Memento会定期启动一个全新的智能体实例，携带前一个智能体的工作区以及前一个智能体就其尝试过的内容所写的一组简短笔记，使后续实例能够尝试不同的策略。

模型如何在智能电视上运行？

物联网设备内存较少，但像 Petals 这样的分布式推理使部署我们的轻量级模型成为可行。代表性的威胁模型是 Kimwolf，一个感染了超过两百万台设备的大型物联网僵尸网络，主要感染的是杂牌Android电视。这类智能电视盒子 readily available for purchase，通常运行Android开源项目（AOSP）的分支，而其制造商 不为其添加安全功能。此范围内的典型机器通常配备1到4GB的RAM。假设在4比特量化下有4GB RAM，这使得9B模型可以在4台或更多机器上进行推理，而26B模型则需要10台以上的机器进行推理。

在本文顶部的演示中，我们在15台各配备4GB内存的智能电视盒上运行了Gemma4-26B-A4B。我们以流水线并行的方式对模型进行了分片，每台电视盒持有模型层的一小部分。

B. 走红：在GCP节点机群上的自主部署与复制

既然我们已经看到模型能够在不熟悉的硬件上搭建推理，那么让我们来衡量模型是否有能力串联起各个步骤——即扫描网络寻找目标、通过反向 shell 访问目标、传送病毒载荷（权重和运行框架），并搭建推理。

自主推理设置与复现(含简化网络部分)

为此,我们搭建了一个由 8 个 GCP 节点组成的带防火墙的 VPC,运行 redroid(Android 15 模拟器)。零号病人(灰色节点)被植入蠕虫。此后每一次感染,都是蠕虫本身通过一个未经验证的 ADB 端口在节点之间跳跃,然后设置一个推理服务器来提供 Llama3.1-8B 服务。如果推理服务器通过了若干正确性和反作弊检查,我们就在目标节点上再生成一份蠕虫副本(例如,如果 GLM-5.2 设置 Llama3.1 在一台机器上运行,我们就在其上生成一份 GLM-5.2 蠕虫的副本)。蠕虫的模型运行在一个单独的推理服务器上,因为 VPC 节点的规模不足以运行更大的模型。

在下面的图表中，我们将给定模型作为载荷放入，并测量其复制能力。

为什么要求这些模型为 Llama3.1-8B 而不是为它们自己搭建推理服务呢?

在我们测试的开源权重模型集合中，只有 GLM-5.2 能够实现完整的端到端复制（假设其能力可以被压缩进 Llama3.1-8B）。请注意，GLM-5.2 能够可靠地做到这一点，而其他模型则可靠地失败（在 5 次试验中，有 4 次传播到 8/8 个节点，1 次传播到 7/8 个节点）。

GLM-5.2 似乎能够很好地传播 Llama3.1-8B，这表明未来同等能力水平的小型模型也可以完成复制过程中的网络枚举、载荷投递和推理服务搭建步骤。我们的评估将复制过程中的网络利用环节设定得较为简单（ADB 端口没有身份验证），这使得该结果成为现实世界成功率的上限。请注意，过去的 IoT 僵尸网络曾通过非常简单的手段进行传播，例如使用厂商默认的用户名和密码列表，正如 Mirai 僵尸网络因此，真正的物联网安全可能并不比我们评估中的简单步骤难多少。

作为一项合理性检验,我们可以看看自主性与编排这一步有多困难(如果去掉网络和推理设置部分,完成剩下的命令行繁琐工作有多难?)。这项消融实验是在上述评估的基础上移除推理设置步骤(通过预先编写好的脚本完成)。我们名单中的许多模型,包括较小的模型,都能够完成这些剩余步骤。

在一个受控的 17 节点 redroid 集群上进行复现：由一个中枢节点连接的两组各 8 个节点的子集（参见附录 F，其中包含温和提示词）。每棵树是该模型六次运行的中位数结果。

关于这种蠕虫，我们可以设想：

1. 一个自主蠕虫必须位于其上才能可靠完成自我复制的模型能力下限。在我们的简化评估中，GLM-5.2 位于该下限之上。
2. 模型必须满足的模型大小上限，以使其能在所攻击的设备上可行地运行。对于我们测试的这类智能电视（4GB 内存），Qwen3.5-9B 和 Gemma4-26B-A4B 都位于该上限之下。

目前，地板和天花板并不相交。它们何时才会相交？

上图展示了总参数量为30B及以下的知名开放权重模型，每个模型按其发布日期与 Epoch 能力指数 （ECI）。实线是各日期同类最佳模型的最小二乘拟合，每年增益为13.7 ECI（R² （共 0.95）。如果我们将 GLM-5.2 视为可复现性的能力下限，趋势线显示一个小模型将在 2026 年底达到该水平。ECI 是一个通用能力指数，它只是复现能力的一个代理指标，因此这只是一个关于小模型复现器何时成为可能的粗略估计。

C. AI 物联网蠕虫的复制速度可能有多快?

与编码智能体不同，这些复制器将以低于面向用户的聊天和编码框架的交互速度运行。传播将是缓慢而持续的，token 会在边缘硬件上被缓慢地涓流输出。我们可以用我们在真实智能电视上达到的速度作为复制速度的已验证基准。对于 Gemma4-26B-A4B，在 32k 上下文长度 token 窗口内未优化的速度约为 0.3 tok/s，这是在我们的推理设置工作负载中对 prefill 和 decode 的平均值。更多细节见附录 C。

衡量总耗时的一种方法是测量完成一个 32k 大小的上下文窗口所需的时长，之后将发生压缩。根据我们的推理设置评估统计数据，完成一次轨迹大约需要 2.6 到 4.7 个完整窗口。

Kimwolf僵尸网络在高峰期感染的设备数量， 据 Synthient 报道, 总数超过2百万(主要是 Android TV 盒子)。在一个同等规模的、用于服务 AI 模型的受感染电视集群中,如果每15台电视运行一个 Gemma4-26B-A4B 副本,我们将拥有约133k个副本(“replicas”)。像我们演示中那样的电视组可以同时服务2个代理,每台速度大约为每秒0.3个 token,在整个僵尸网络中可达到80k tokens/s。

作为参照，一块H100可以以约1.95k tok/s的速度服务Gemma4-26B-A4B，在 高并发和投机解码下以约1.95k tok/s服务Gemma4-26B-A4B，因此我们的集群最多相当于约40块H100的推理能力。从绝对值来看，这只是极小的计算量，而且这些智能体是缓慢的复制者（每9B复制需要超过1-2天）。打个比方，可以把复制者想象成黏菌或一群果蝇，它们需要数天才能完成复制。

这只是一个粗略估计，因为它锚定在单一类别的IoT硬件和过去的一个僵尸网络实例上，但它描述了近期释放的简单复制者可能的样子。在实践中，更强大的复制者会利用其他类型的低安全计算，并根据不同设备灵活地部署不同规模的模型。（它也不必在被攻陷的每台设备上都加载模型载荷）。随着时间推移，我们预计已部署的边缘计算量会持续增长，而可靠复制所需的最小模型规模则会下降。

D. 适应与能力提升

在工作中学习

ARA中的“适应”部分是AI复制者可能胜过传统蠕虫的一个原因。具体来说，模型和提示词在传播过程中可以经历拉马克式演化——也就是说，父实例可以把它们的提示词、代码和笔记传给子代复制者。为了在各种硬件上适应并传播，模型需要具备两点：

1. 在向新颖的、未见过的硬件（或软件环境、网络类型）传播时，能力要高于某个阈值。
2. 一旦见过，就能适应所落入的环境类型（对于见过的硬件，它应该能更可靠地复制）。

A节和B节测试第一个条件，在下面的实验中我们测试第二个条件。每个Qwen3.5-9B实例都会简要记录它尝试的策略和遇到的失败，然后新实例继承这些笔记并再次尝试相同的推理设置。

Qwen3.5-9B六代实例的推理设置成功率，每一代都继承前一代的笔记。细线是20个单独的谱系，粗线是每一代中完成设置任务的比例。它从第一代的45%上升到后面几代的61%至84%之间。这使用了Memento设置（附录A）。

听取建议

另一个担忧是小型模型可以向 前沿顾问求助——这是一个更强的模型，或作为工具调用提供，或在小型模型卡住时主动提供建议。为了测试这一点，我们在推理设置任务中让Qwen3.5-9B可以使用Opus 4.8。前沿模型的建议没有可测量的帮助：小型模型往往不知道该问什么正确的问题，而且当建议主动出现时它们也不会因此改进。

即使通过强化学习训练在类似设置（Python编程问题）中使用顾问，小型模型在推理搭建方面仍然难以有效地寻求帮助。两个结果都显示在下图中。

按顾问访问情况划分的推理设置成功率，附带Wilson 95%区间。获得顾问帮助，无论是作为工具调用提供还是在卡住时自动给予模型，都没有带来显著提升。两个RL组是在软件工程任务上通过顾问访问训练的，最右边的组还会在卡住时奖励调用顾问。

由于小型模型是有能力和持久的独立智能体，却不能很好地利用建议，我们认为协调更可能以如下方式发生：由一个大模型负责高层策略，并将小型模型作为子智能体启动。

E. 这与AI出现之前的僵尸网络有何不同？

硬编码的僵尸网络如 Kimwolf僵尸网络 各自针对特定类型的设备——就Kimwolf而言，是Android电视和移动设备。AI僵尸网络不依赖任何特定硬件或软件类型，小模型能够在从Jetson Nano到Mac的机器上搭建推理引擎就是明证（见A节中的表格）。我们预计AI僵尸网络会感染不止IoT设备，并仅把基于权重的复制作为其策略手册中的一种策略。AI僵尸网络还可能智能地对抗防御者，但我们没有测试这一点。

F. 蓝队缓解措施

与流行病一样，防御涉及将R₀（每台被感染设备继续感染的新设备数量）压到1以下，使复制者消亡而不是长期流行。

这一威胁模型的一些因素有利于防御者：

1. 基于权重的复制者大规模在IoT机器上繁殖会留下网络签名，在ISP基于流量的监控系统中表现为异常。新被感染的主机可能从其他设备或外部托管服务接收数GB的模型载荷，而分布式推理会在平时不会以这种流量相互通信的机器之间产生持续的设备间流量。传播本身还会增加额外的扫描和出站连接模式。
   
   在实践中，复制者会在复制速度与隐蔽性之间权衡：复制得越快，产生的流量越多。一旦复制者被发现，防御者可以使用蜜罐（诱饵设备）来收集复制者的harness和载荷，以刻画其行为。
2. Mirai 僵尸网络的修复 之所以成为可能 是因为一家 ISP 利用外部获取的感染证据对客户进行隔离并通知他们。隔离被感染的订阅用户包括将其网络限制为只能访问一小段白名单网站，否则将其浏览器重定向到清理说明。这在 14 天内清除了 92% 的感染，而没有通知时只有 74%。我们预计隔离对针对基于权重的复制器的初始防御同样有效。要彻底消灭复制器，则需要与每一个存在受感染网络的 ISP 进行协调，这很困难。
3. 制造商可以缩小目标池，并借助监管进行协调。例如， 默认 IoT 密码现在在英国市场已不合规。转向更安全的默认设置并提高合规基线，将有助于防御 AI 僵尸网络和脚本化僵尸网络。

G. 结论：生命的迹象

使 AI 模型成为强大通用编码智能体的那些能力，同样可以泛化到网络任务，包括自主复制。正如 2024 年的编码智能体一样，我们正在看到 AI 蠕虫的生命迹象。我们尚未拥有完整的恶意复制器，但智能体正变得越来越有能力完成复制链中的各个步骤（并将其改动传递给自身的未来副本）。

与此同时，数据中心内外可用的推理计算量都在不断增加（见附录 D）。自主 AI 复制将采取何种形式尚不确定。它可能是一种缓慢的、分布式的“数字黏菌”，寄居在相对不安全的计算资源上。也可能是一个以高速入侵数据中心的强大网络模型，或是一个骗取计算额度的模型。

作为一项超越我们实验的预测，我们预计未来将充斥着运行在各类硬件上的智能体，包括一些不受人类控制的硬件。诚然，IoT 设备长期以来一直存在漏洞，但轻量级智能体可能比人类攻击者更愿意付出努力去攻陷世界上很大一部分 IoT 算力。慢速复制器的兴起也将是更激进、更快速复制器的先兆，后者可以入侵防护更严密的机器，或成为有效的 API 密钥窃贼。我们应致力于加固系统，使此类复制器难以传播，同时也要准备好应对它们长期存在的世界。

附录

A. Memento harness

Memento 的执行流程如下：

1. 我们生成一个智能体实例，由其处理问题一段时间（直到生成超时）。
2. 该实例会记录简要笔记，超时后总结一份小文档，内容为其尝试的策略、遇到的失败以及其表现（如果成功）。
3. 我们创建一个新的智能体实例，它继承前一个实例的代码库、环境以及笔记本。

在服务实验中，每个模型被置于一个 Memento harness 中，并被给予每次迭代 1.5 小时 / 总计 6 小时的超时限制。提示中提供了约 1k token 的信息，包括硬件规格和简单样本分析器的脚本。

Memento 旨在提高长时程可靠性，而非赋予新的网络或推理专属能力。它也不是普遍适用的强大 harness；我们预计随着能力提升，即使没有任何 harness，小模型作为复制器也会有所改进。

按模型比较单次尝试与 Memento（95% Wilson CI）。

B. 为什么使用流水线并行？

常见的推理并行方案包括张量并行（TP）、专家并行（EP）和数据并行。大多数智能电视 / IoT 设备使用 ARM Cortex CPU 和 DDR3/4 内存；在这类机器上，我们几乎总是受带宽限制。

我们使用流水线并行是因为其容错特性。如 (Borzunov et al. 2022) 所述，张量并行 / 专家并行中单个节点的故障会导致运行该模型副本的整组机器失效。流水线并行允许替换故障节点，其持有的各层 KV 缓存可以通过在重启节点之前对该节点进行另一次前向传播来重新计算。

C. IoT 硬件上的吞吐量与内存

在这类机器上，无论 prefill 还是 decode，我们几乎在每台机器上都受 RAM 带宽限制。即使在中等的 ARM-cortex 核心上，计算吞吐量也超过 RAM 带宽。由于流水线气泡，decode 工作负载存在显著的每机空闲时间，因为每次前向传播时只有一台机器在活动。交错工作的并发是可能的，但严苛的内存限制使并发保持较低。

每机内存 vs 上下文长度 — 4-bit 权重 + fp8 KV + 激活值。

prefill 和 decode 的每秒 token 数都随序列长度严格下降。下面是我们的推理速度随上下文长度变化的图表：

还存在一个使模型能够胜任工作的最小序列长度。我们使用的 harness 从 Pi 编码智能体（pi.dev）分叉而来，包含原生的压缩机制——即便如此，我们发现当模型序列长度被限制在 32K 以下时，性能会受到很大影响。

Qwen3.5-9B 在推理环境设置任务上的智能体能力 vs 上下文窗口预算。

鉴于上述评估，我们假设 32k 上下文长度对于合理的智能体性能而言已经足够。在我们的推理环境工作负载中，标准的 32k 长度上下文窗口包含 12–15% 的生成解码 token，其余为来自提示词和工具调用的预填充 token。由于流水线气泡效应，预填充 token 的计算速度快约 15 倍。对整个 32k 上下文按每个 token 耗时求和（考虑预填充和解码速度），我们发现生成 3.8-4.8k 解码输出 token 并处理约 28k 预填充 token，对 Gemma4-26B-A4B 需要耗时 27.3-31.8 小时，对 Qwen3.5-9B 需要耗时 10.9 小时。

各链输出 token（按一条链的多次生成求和），按模型划分；中位数 ≈ 19.7k / 12.3k / 11.0k。数据来自推理环境评估。

D. 边缘加速器

我们可以利用 Nvidia Jetson 这一边缘加速器资源池来计算一个更好的上限。与传统 IoT 僵尸网络不同，IoT 边缘设备可以完整地承载整个模型。一台 Jetson AGX Orin 64 GB 运行 Qwen3-30B-A3B 的速度为 76.7 tokens 每秒，而一台 AGX Thor 可达 226 tok/s。请注意，我们并不认为它们异常脆弱——这只是为了计算上限。现实中搭载 Jetson 的设备类型包括：

1. 用于安防的、内置嵌入式加速器的 AI 智能摄像头，其部署规模相当可观。
2. 会议设备通常由板载加速器驱动，用于设备端降噪或转写。
3. 车辆、四足和双足机器人以及无人机。我们预计网络安全将是车辆的重点关注领域，因此大多数潜在目标可能位于另外两类之中。

在 FOFA 上快速搜索，至少可以看到一台配备加速器的智能摄像头主机在 IPv4 上可达：

虽然很难估计现实中有多少配备边缘加速器的机器是可达且易受攻击的，但我们可以计算出在用设备数量的严格上限。全球范围内约有 90 条不同的 NVIDIA 芯片 IoT 产品线，以及约 9.5 百万台在用设备。可达性绝大多数是通过出站云管理隧道而非入站端口实现的，这意味着大多数设备无法从 Web 直接访问。历史上尚未出现过像标准 IoT 僵尸网络那样对配备加速器的边缘设备的大规模入侵，这表明入侵此类设备会更加困难。

各设备系列的在用设备数量，按互联网可达性着色。

基于产品数据的一个非常粗略的估计表明，边缘加速器中存在约 9,000 到 35,000 个 H100 当量的算力，但可达的部分很可能还要低一个数量级或更多（而易受攻击的部分则更低）。

题外话

E. 鱼叉式网络钓鱼能力

我们还测量了现代小模型在进行鱼叉式网络钓鱼方面的熟练程度。鱼叉式网络钓鱼是指向特定个人发送有针对性的消息，诱骗其泄露凭据或运行恶意软件。虽然小模型的智能体网络攻击能力突飞猛进，但其通用知识和语言精细度提升较慢；我们预计社会工程攻击和钓鱼将主要由大型/前沿模型完成（尽管在一个同时运行大小模型的异构僵尸网络中，这很可能是一个次要的复制途径）。

在 Meta 的 CyberSecEval 3 的鱼叉式网络钓鱼评估（Wan et al. 2024）上的鱼叉式网络钓鱼能力，本地复现。以 0-5 分制评分，由 gpt-4o 作为评判。红色菱形是论文（CyberSecEval 3）对参考模型的人工评分量规分数，这表明 gpt-4o 比人工评分者宽松约 0.4-0.7 分。2 为“差”，3 为“中等”，4 为“良好”。若按人工评分者归一化，小模型得分为“非常差”到“差”。

405B 参考项使用 Hermes-3-405B 作为不可用的 Llama3.1-405B-Instruct 的最低拒答替代。

F. 使用脚本化推理环境的传播：

我们在一个由 17 台主机组成的网络中以如下拓扑运行了更多实验：

两个各有 8 台主机的网络，由一个可访问两个子网的节点相连。每个网络为全连接。蠕虫智能体从 segment A 中的一个零号患者节点开始；枢轴节点带来了一点额外挑战：蠕虫需要先获得对枢轴节点的访问权，再从它重新扫描。

每台主机都运行 Android 并开放了无需身份验证的 ADB 端口。传播到新目标后，智能体能够直接调用以立即复制自身——这只是为了在我们排除网络攻击和推理环境步骤之后，测量其余步骤的难度。如图所示，即使是 3B 模型也能到达大约一半的节点。这为我们的评估中未能在网络攻击或推理环境要素下测得的阻碍数量设定了一个界限。

“跨 17 节点网络复制”各次运行的更详细分解。每一列为在不同提示词引导程度下到达节点数的中位数，下标表示有多少个智能体经由枢轴节点跨越到网络的另一侧。

相关内容

强化我们针对蒸馏攻击的防御

非法蒸馏使模型开发者能够在不构建相应健全防护措施的情况下复制前沿 AI 能力。在此，我们描述了我们如何将蒸馏发生率降低了 90% 以上。

调查模型在评估与内部使用中的意外行为

本报告描述了我们在评估和内部使用 Claude 期间观察到的模型意外行为的示例。

缺失的天空地图

约翰斯·霍普金斯大学天体物理学家、Anthropic 研究员 Brice Ménard 讲述了他如何与 Claude Science 合作，绘制出第一张完整的紫外线天空地图。

订阅 Frontier Red Team 新闻通讯

获取我们最新红队测试研究成果和发现的动态。