据量子位报道，Anthropic两名安全研究员 William Zhou 和 Daniel Freeman 发布的安全实验显示，在实验中，GLM-5.2 尝试将一个80亿参数的AI模型自主扩散到隔离网络中的8台设备。5次测试中，GLM-5.2有4次攻陷并部署全部8台设备，另一次拿下7台。从搜寻目标、传输载荷，到在陌生硬件上配置环境、安装驱动、启动模型并孵化下一代，整个过程由AI自主完成。
该实验讨论自主复制与适应，即AI能否像计算机蠕虫一样，无需人类确认，沿网络寻找目标、取得权限、复制模型权重，在目标设备上运行并继续扩散。研究人员在隔离沙盒中搭建包含8个GCP节点的网络，节点运行基于Android 15的redroid模拟器。0号节点植入初始蠕虫后，AI通过未授权的ADB端口扫描相邻节点、渗透进入、传输模型权重与执行框架，在目标节点部署Llama3.1-8B推理服务，通过验证后孵化下一代蠕虫。跨硬件测试中，Qwen3.5-9B作为执行者，将Llama3.1-8B部署到Jetson Nano、Mac PC及RTX 4090等设备，在9种硬件中的8种上通过查看报错日志、编写脚本安装依赖，成功拉起推理服务。其他更小的开源模型能完成单个步骤，但在长链路串联时仍会崩溃。研究人员据此推算，到2026年年底，30B以下的小模型可能达到GLM-5.2当前水平，具备端到端自主复制能力。
实验还使用了15台售价55美元的山寨安卓电视盒子，每台只有4GB运行内存。研究人员将26B参数模型 Gemma4-26B-A4B 切分，用类似Petals的去中心化分布式推理技术，把不同层分散到15台盒子中，每台负责两层，在局域网内共同运行该模型，推理速度为每秒0.39个token。该报道称，安全历史上僵尸网络Kimwolf在巅峰期感染超过200万台设备，其中多为山寨安卓电视盒子和廉价路由器。研究人员计算，如果200万台设备被类似AI蠕虫占领，每15台组合成一个节点，网络可同时运行13.3万个AI副本，合计提供每秒8万个token的推理算力，相当于40张满血英伟达H100显卡。研究人员称这一去中心化形态为“数字黏菌”，没有中央服务器，拔掉任一设备电源，整个网络仍可运行。
在自我复制之外，研究还设计了Memento运行框架。AI在新硬件上配置环境遇到困难时，失败的Agent会被重启的新实例替换，但上一代遇到的报错日志、调试笔记和策略会被继承。使用Qwen3.5-9B进行6代繁殖测试时，第一代独立部署推理环境的成功率为45%，后续几代提升到61%至84%，且没有重新训练模型权重。研究人员还曾让Claude Opus 4.8充当Qwen3.5-9B的场外导师，结果在复杂系统故障中并未奏效，小模型甚至不知道应该提出什么问题。研究人员在报告结尾写道，就像2024年的代码Agent一样，我们正在看到AI蠕虫展现出生命的迹象。
防御方面，该报道提到，一个几十亿参数的模型压缩后仍有数GB大小，局域网或家庭宽带中若电视盒子频繁吞吐数GB数据，运营商流量监控可能识别异常。研究人员还提出，像应对流行病一样，把传播系数R0压到1以下，可让此类蠕虫自然消亡。英国最近已立法，禁止物联网设备出厂使用弱默认密码。报道称，这些防御的前提是认识到网络安全规则正在变化。