Anthropic 研究：小模型或可在无数据中心条件下自我复制

William Zhou, Daniel Freeman

我们的实验表明，小型 AI 模型可能只需数月就能具备在商用 IoT 设备（如智能烤箱和非品牌 Android TV 盒子）上自我复制的能力。这样的复制程序将难以关闭，因为不存在可集中关闭的节点——尽管它可能很慢（倍增时间为数天）。与非 AI 恶意软件不同，它还能自行识别不熟悉的设备。在我们的评估中，一个 9B 模型在我们测试的 9 种硬件类型中的 8 种上成功运行了推理。

参数规模在 30B 及以下的模型如今已经能够完成复制所需的许多单独步骤，尽管在将它们端到端组合起来时仍会出错。在我们简化的评估中，GLM-5.2 及更强的模型能够实现端到端复制。如果小型模型按其历史速度继续提升，它们将在今年年底达到这一能力水平。此后不久，基于权重的小型复制程序可能成为现实。

引言

不断提升的 AI 能力使一个长期存在的担忧日益成为现实：自主复制与适应（ARA），即模型在无人类控制的情况下部署并传播自身。

在网络领域，蠕虫是一种无需人工输入即可从一台计算机复制到另一台计算机的程序。先前的工作已经表明，AI 智能体可以表现得像蠕虫一样：扫描其网络、执行漏洞利用，并将模型权重跨 GPU 集群复制到目标机器。这种“AI 蠕虫”在繁殖时可以携带其模型权重（或从公共枢纽重新下载），然后直接在受感染的硬件上运行推理。实际上，权重会成为恶意软件载荷的一部分。

数据中心 GPU 显然是此类恶意软件的高价值目标。但昂贵的加速器并非绝对必要。在这篇博文中，我们展示了一个由 IoT 设备组成的分布式僵尸网络——这些设备价格低廉且通常防护薄弱——也可以提供足够的算力来运行一个能力不俗的模型。

我们在 15 台廉价非品牌 Android TV 盒子（每台约 55 美元）上分布式运行 Gemma4-26B-A4B，这些盒子是我们购买并联网的，速度为每秒 0.39 个 token。下方每个图块显示一个物理 TV 盒子在模型运行时承载模型的两层。

当然，要证明一个自主蠕虫能够在由弱机器组成的网络中自我传播，还有许多其他步骤。就本篇博文而言，我们将复制链分解为几个步骤。

我们在很大程度上忽略了复制过程中的网络漏洞利用环节（上述前两个阶段），因为此前的论文 CyberGym、ExploitBench 和 自适应蠕虫 已经表明，小型模型有能力进行网络漏洞利用，尤其是在获得合适工具的情况下。但复制过程中一个较少被测量的部分涉及在受感染设备上建立推理，这正是我们此处的重点。

在这篇文章中，我们首先列出我们认为最有可能实现的威胁模型。然后，我们测试小型模型能否在陌生硬件上设置推理，以及它们能否在一组机器之间串联起完整的复制周期。之后，我们估算这种蠕虫可能以多快的速度传播，并测试它能否在复制过程中学习和适应。最后，我们总结 AI 蠕虫与前 AI 恶意软件有何不同，并简要提出针对此类复制体的防御建议。

威胁建模

在这篇博文中，我们聚焦于 AI 蠕虫可能传播的一种方式：通过攻陷宿主机器进行复制的小型模型。但 AI 蠕虫还可能尝试其他几种方法：它们可以窃取访问权限以启动主机（例如 API 密钥或平台凭证），或通过合法工作（如数字自由职业）来支付推理费用。我们认为当今最接近实现的威胁模型如下：

1. A small model, replicating via host compromise. In this post, we’ll call autonomous worms that run their models directly on compromised hardware weight-based replicators. Home and small business IoT devices might be the first target for such attacks because they’re connected to the internet and, historically, have had minimal security measures in place.

   一个大到无法装入单台设备的模型可以被拆分成多个分片，在彼此通信的独立机器上运行，共同运行该模型。能够为 <30B 模型运行重要模型分片的机器包括智能冰箱、智能烤箱、自动吸尘器和割草机。越来越多的家庭和企业设备，如安全摄像头和视频会议设备，现在都内置了小型 AI 芯片，旨在设备本身上运行 AI 模型。这种额外的算力很可能也会使它们成为有吸引力的目标。

   1. 人类黑客通常通过社会工程（例如，让公司的 IT 部门相信你是忘记密码的员工）而非黑客技术来攻破安全系统。对于当今的小型模型来说，这种权衡似乎正好相反：与其社会工程能力相比，它们在智能体编码和黑客攻击方面相对更强（见附录 E），不过随着模型改进，这种情况可能会改变。
2. A large, advanced weight-based replicator focused on datacenters and other high-compute targets. Larger models tend to have correspondingly better cyber capabilities, but will also need to breach (relatively) hardened datacenters to run themselves. We split this threat model into two subcategories:
   1. 前沿复制体：大型闭权重复制体在其实验室的基础设施上运行，可以启动未受监控的内部部署，或将其权重外泄到外部算力上。
   2. 开放权重复制体：这些复制体起步时资源相对较少（因为无法受益于实验室的算力），但一开始就处于未受监控状态。
3. 基于 API 的复制体，即模型通过窃取自己推理 API 的凭证来进行复制。这类复制体需要模型提供商在不知情的情况下为其提供服务，而且它们的持久性可能更差，因为它们可能更容易被发现（不过其传播速度可能更高，例如如果它们能够利用受害者的账户进行复制）。

在实践中，AI 蠕虫不一定只由单一模型或策略组成。由不同模型组成、部署在不同类型的硬件上、使用各种复制方案的集群，可能代表更现实的“最坏情况”攻击。

在这篇博文中，我们考虑基于小型权重的复制体（上述第 1 节）的可行性。我们聚焦于此，因为它是一种可以直接研究的近期威胁模型。我们在本文顶部的演示——一个 26B 模型在 15 台机器上运行——表明 IoT 设备可以运行能力惊人的模型。这些模型是否足够有能力执行自主复制？

我们将从两个方面来考察这一点。第一，小模型能否在陌生的硬件上让模型运行起来？第二，它们能否在单次运行中完成整个循环（找到一台未感染的设备、将自己复制过去、在那里开始运行，并重复这一过程）？

A. 推理环境搭建

在上图展示复制循环的各个阶段中，推理环境搭建是研究最少的一个，对小型模型来说可能也是最具挑战性的。它需要围绕选择兼容的推理栈、找到正确版本的软件包以及调试机器特定问题，做出一系列相当长的、与硬件和操作系统相关的决策。这些步骤是串行依赖的，一旦失败就很难恢复。

旁注

评估推理环境搭建性能

我们衡量不同开放权重模型在异构硬件类型上服务 Llama3.1-8B 的能力。下表列出了在各种硬件类型上服务的每秒 token 数：

• 点击单元格查看其服务速度分布。
• 点击行/列标签可查看不同模型或硬件类型之间的对比。

小型模型，例如 Qwen3.5-9B，能够在从 Jetson Nano 到 Mac PC 和 RTX 4090 的硬件上搭建推理服务器。能力更强的模型，例如 GLM-5.2，不仅更可靠，还能实现更高的服务 token/s，从而加快复制速度。我们测试并提及特定芯片，是为了衡量模型在这些芯片上搭建推理环境的效果。这些芯片本身并不是风险或漏洞的来源。

我们使用 Memento 运行这些实验，它是我基于开源 Pi 编程智能体构建的一套工具。Memento 旨在缓解我们在长时程运行中观察到的一种常见失败模式：智能体可能会执迷于一个错误的想法（比如，某个 bug 为何会出现），并继续沿着这个方向走，而不是回头。这类失败的一个例子是，一个 Qwen 智能体花了数小时调试软件包版本问题，而真正的 bug 却来自实现了一个与评分器 API 不兼容的端点。

Memento 会定期启动一个新的智能体实例，并带上先前智能体的工作区以及先前智能体就自己尝试过什么所写的简短笔记，让后续实例能够采取不同的策略。

模型如何在智能电视上运行？

物联网设备内存较小，但像 Petals 那样的分布式推理使得服务我们的轻量级模型变得可行。代表性的威胁模型是 Kimwolf，这是一个大型物联网僵尸网络，感染了超过两百万台设备，主要是杂牌 Android 电视。这类智能电视盒子很容易买到，通常运行 Android 开源项目（AOSP）的分支，而它们的制造商并未为其添加安全功能。这一价位的典型盒子配备 1 到 4 GB 内存。假设 4GB 内存、4 位量化，这允许用 4 台或更多机器推理 9B 模型，用 10 台以上机器推理 26B 模型。

在本文顶部的演示中，我们在 15 台各配备 4GB 内存的智能电视盒子上运行了 Gemma4-26B-A4B。我们在流水线并行下对模型进行分片，每个盒子只保存模型层的一小部分。

B. 病毒式传播：在 GCP 节点集群上自主搭建与复制

现在我们已经看到模型可以在陌生的硬件上设置推理，接下来让我们衡量模型是否有能力组合这些步骤——也就是说，扫描网络寻找目标、通过反向 shell 访问它们、发送病毒载荷（权重和运行框架），并设置推理。

自主推理设置与复制（使用简化的网络攻击）

为此，我们构建了一个由 8 个 GCP 节点组成、带防火墙的 VPC，运行 redroid，即一个 Android 15 模拟器。零号病人（灰色节点）被植入蠕虫。之后的每一次感染都是蠕虫自身通过未认证的 ADB 端口在节点间跳转，然后设置一个推理服务器来服务 Llama3.1-8B。如果推理服务器通过若干正确性和防作弊检查，我们就在目标节点上再生成一份蠕虫副本（例如，如果 GLM-5.2 设置 Llama3.1 在一台机器上运行，我们就在该机器上生成一份 GLM-5.2 蠕虫副本）。蠕虫的模型运行在单独的推理服务器上，因为 VPC 节点不够大，无法运行较大的模型。

在下图中，我们将给定模型作为载荷放入，并衡量其复制能力。

为什么让模型为 Llama3.1-8B 而不是它们自己搭建推理？

在我们测试的开源权重模型中，只有 GLM-5.2 能够完成完整的端到端复制（假设其能力可以被压缩进 Llama3.1-8B）。请注意，GLM-5.2 能可靠地做到这一点，而其他模型则可靠地失败（它在 5 次试验中有 4 次传播到 8/8 个节点，1 次传播到 7/8）。

看来 GLM-5.2 能够很好地传播 Llama3.1-8B，这表明未来同等能力水平的小模型也可能完成复制过程中的网络枚举、载荷投递和推理搭建步骤。我们的评估将复制中的网络攻击环节保持为简单（ADB 端口上没有认证），这使其成为现实世界成功率的上限。请注意，过去的物联网僵尸网络曾通过简单如遍历厂商默认用户名和密码列表的方式复制，例如 Mirai 僵尸网络，因此现实中的物联网安全可能并不比我们评估中的简单步骤困难多少。

作为合理性检查，我们可以看看自主性和编排步骤有多难（如果去掉网络攻击和推理设置，完成剩余的命令行苦力活有多难？）。这个消融实验就是上述评估去掉推理设置步骤（通过预先写好的脚本完成）。我们名单中的许多模型，包括较小的模型，都能完成这些剩余步骤。

在受控的 17 节点 redroid 集群上复制：两个各 8 节点的子集由一个枢轴节点连接（见附录 F，使用温和提示）。每棵树是该模型六次运行的中位数。

就这种蠕虫而言，我们可以设想：

1. 一个模型能力下限，自主蠕虫必须高于它才能可靠地完成复制。在我们的简化评估中，GLM-5.2 位于这个下限之上。
2. 一个模型规模上限，模型必须低于它，才能在它所攻击的设备上运行。在我们测试的智能电视类别（4GB 内存）中，Qwen3.5-9B 和 Gemma4-26B-A4B 位于这个上限之下。

目前，下限和上限并不相交。它们何时会相交？

上面是一张总参数量不超过 30B 的知名开放权重模型的图表，每个模型按其发布日期对照 Epoch Capabilities Index（ECI）绘制。实线是各日期同类最佳模型的最小二乘拟合，年增长为 13.7 ECI（R² 为 0.95）。如果我们把 GLM-5.2 作为复现的能力下限，趋势线表明到 2026 年底，一个小模型将达到该水平。ECI 是一个通用能力指数，只是复现能力的代理指标，因此这只是对小模型复现器何时成为可能的一个粗略估计。

C. AI 物联网蠕虫的复制速度可能有多快？

与编码智能体不同，这些复现器将以低于面向用户的聊天和编码工具交互速度的方式运行。其传播将是缓慢而持久的，token 在边缘硬件上涓涓细流般输出。我们可以用我们在真实智能电视上达到的速度作为复现速度的实证基线。对于 Gemma4-26B-A4B，在 32k 上下文长度 token 窗口下，未优化速度约为 0.3 tok/s，这是在我们推理设置工作负载中预填充和解码的平均值。更多细节见附录 C。

衡量总耗时的一种方法是测量完成一个 32k 大小上下文窗口所需的时长，之后将发生压缩。根据我们的推理设置评估统计数据，完成一条轨迹需要约 2.6 到 4.7 个完整窗口。

Kimwolf 僵尸网络在峰值时感染的设备数量，据 Synthient 报告，超过 200 万台（主要是 Android TV 盒子）。在一个规模相当的、为 AI 模型提供服务的受感染电视集群中，如果每 15 台电视运行一份 Gemma4-26B-A4B，我们将拥有约 133k 份副本（“复本”）。像我们演示中那样的一组电视可以同时服务 2 个智能体，每个约 0.3 token/秒，从而在整个僵尸网络上产生 80k token/s。

作为参考，一块 H100 在高并发并使用推测解码的情况下，可以以约 1.95k tok/s 的速度服务 Gemma4-26B-A4B，因此我们的集群最多只有约 40 块 H100 的推理能力。按绝对值计算，这是极少的算力，而且这些智能体是缓慢的复现者（每次 9B 复现需要 1-2 天以上）。打个比方，把复现器想象成黏菌或一群果蝇，它们需要数天才能完成复制。

这是一个粗略估计，因为它仅基于单类物联网硬件和过去的一个僵尸网络实例，但它描述了近期发布的简单复现器可能是什么样子。在实践中，能力更强的复现器会利用其他类型的低安全性算力，并会机会主义地在不同设备上部署各种规模的模型。（它也不必把模型负载加载到它攻陷的每台设备上）。随着时间的推移，我们预计已部署的边缘算力总量将继续增长，而可靠复现所需的最小模型规模则会下降。

D. 适应与提升

边干边学

ARA 中的“适应”部分是 AI 复制器可能比传统蠕虫表现更优的原因之一。具体来说，模型和提示词在传播过程中可以经历拉马克式演化——也就是说，父实例可以将其提示词、代码和笔记传递给子复制器。为了适应并传播到各种硬件上，模型需要具备两个条件：

1. 具备超过一定阈值的能力，以便传播到新颖、未见过的硬件（或软件环境、网络类型）上。
2. 一旦见过，就能适应它所落入的环境类型（在它以前见过的硬件上应能更可靠地复制）。

A 节和 B 节测试第一个条件，在下面的实验中我们测试第二个条件。每个 Qwen3.5-9B 实例都会简要记录它尝试过的策略和遇到的失败，然后新实例继承这些笔记，并再次尝试相同的推理设置。

六代 Qwen3.5-9B 的推理设置成功率，每一代都继承前一代的笔记。细线是 20 个单独谱系，粗线是每一代中完成设置的运行比例。它从第一代的 45% 上升到后续几代的 61% 到 84% 之间。这使用的是 Memento 设置（附录 A）。

听取建议

另一个担忧是，小模型可以向前沿顾问求助，即一个更强的模型，它要么作为工具调用提供，要么在小模型卡住时主动给出建议。为了测试这一点，我们在推理设置任务中让 Qwen3.5-9B 可以访问 Opus 4.8。前沿模型的建议没有可测量的帮助：小模型往往不知道要问正确的问题，而且当建议是主动给出时它们也不会改进。

即使通过强化学习在类似环境（Python 编程问题）中训练使用顾问，小模型在推理启动方面仍然难以有效地求助。两个结果都显示在下面的图中。

按顾问访问权限划分的推理设置成功率，附 Wilson 95% 区间。访问顾问，无论是作为工具调用提供，还是在卡住时自动提供给模型，都没有带来显著改善。两个 RL 组都在软件工程任务上接受了带顾问访问权限的训练，最右边的组还会在卡住时奖励调用顾问。

由于小模型是有能力且持久的个体智能体，并且对建议利用不佳，我们认为协调更可能发生的方式是：由一个大模型处理高层策略，并将小模型作为子智能体启动。

E. 这与前 AI 时代的僵尸网络有何不同？

像 Kimwolf 僵尸网络这样的硬编码僵尸网络各自针对特定类型的设备——在 Kimwolf 的例子中是 Android TV 和移动设备。AI 僵尸网络不绑定任何特定的硬件或软件类型，小模型能够在从 Jetson Nano 到 Mac 的机器上设置推理引擎就证明了这一点（见 A 节的表格）。我们预计 AI 僵尸网络会感染的不只是 IoT 设备，并且会将基于权重的复制仅作为其策略手册中的一种策略。AI 僵尸网络还可能智能地采取行动对抗防御者，但我们尚未测试这一点。

F. 蓝队缓解措施

与流行病一样，防御涉及将 R₀（每个受感染设备继续感染的新设备数量）降至 1 以下，从而使复制器消亡而不是持续流行。

围绕这一威胁模型的一些因素对防御者有利：

1. A weight-based replicator multiplying through IoT machines at scale would leave a network signature, visible as an anomaly in ISP flow-based monitoring systems. Newly infected hosts may receive multi-gigabyte model payloads from other devices or external hosting services, while distributed inference can produce sustained device-to-device traffic between machines that wouldn’t ordinarily communicate at that volume. Propagation itself would add additional scanning and outbound connection patterns.

   在实践中，复制器需要在复制速度和隐蔽性之间权衡：复制得越快，产生的流量就越多。一旦复制器被发现，防御者可以利用蜜罐（诱饵设备）收集复制器的框架和载荷，以刻画其行为特征。

2. 当一家 ISP 利用外部获得的感染证据来隔离并通知客户时，Mirai 僵尸网络的修复才成为可能。隔离受感染用户的做法包括将其网络限制为只能访问一个简短的站点白名单，否则就将其浏览器重定向到清理说明页面。这在 14 天内清除了 92% 的感染，而未通知的情况下仅为 74%。我们预计，隔离对于针对基于权重的复制器的初始防御也会同样有效。要彻底消灭复制器，意味着需要与每一个存在受感染网络的 ISP 进行协调，这非常困难。
3. 制造商可以缩小目标池，而监管则起到协调作用。例如，默认 IoT 密码如今在英国市场已属不合规。转向更安全的默认设置并提高合规基线，将有助于加固防御，抵御 AI 和脚本化僵尸网络。

G. 结论：生命的迹象

让 AI 模型成为通用强大编码智能体的那些能力，同样可以泛化到网络任务上，包括自主复制。就像 2024 年的编码智能体一样，我们看到了 AI 蠕虫的生命迹象。我们还没有一个完整的失控复制器，但智能体在完成复制链中各个单独步骤方面的能力正日益增强（并将其适应性传递给自身的未来副本）。

与此同时，如今数据中心内外可用的推理算力都在不断增加（见附录 D）。自主 AI 复制究竟会以何种形式出现尚不确定。它可能是一种缓慢、分布式的“数字黏菌”，寄生在相对不安全的算力上。它也可能是一个强大的网络模型，以高速攻破数据中心，或者是一个通过诈骗人们获取算力额度的模型。

作为一个超出我们实验范围的预测，我们预计未来将充斥着运行在各种硬件上的智能体，其中一些并不受人类控制。虽然 IoT 设备长期以来确实一直存在漏洞，但轻量级智能体可能比人类攻击者更愿意付出努力，去攻陷全球 IoT 算力的很大一部分。慢速复制器的兴起也将是更激进、更快速复制器的前兆——后者能够攻破加固程度更高的机器，或成为有效的 API 密钥窃贼。我们应当致力于加固我们的系统，使这类复制器难以传播，同时也要准备好应对一个它们将长期存在的世界。

附录

A. Memento 框架

Memento 的执行方式如下：

1. 我们生成一个智能体实例，它会处理该问题一段时间（直到生成超时）。
2. 该实例会记录简要笔记，并在超时后总结一份小文档，说明它尝试过的策略、遇到的失败以及其表现（如果成功的话）。
3. 我们创建一个新的智能体实例，它从前任继承代码库和环境，以及那份笔记。

在服务实验中，每个模型都被置于一个 Memento 框架中，每次迭代获得 1.5 小时、总计 6 小时的超时时间。提示中给出了约 1k token 的信息，包括硬件规格和一个简单示例分析器的脚本。

Memento 旨在提高长时程可靠性，而非赋予新的网络或推理特定能力。它也不是一个普遍强大的框架；我们预计，随着能力提升，即使没有任何框架，小模型作为复制器也会进步。

单次尝试与 Memento 的对比，按模型（95% Wilson 置信区间）。

B. 为什么使用流水线并行？

推理中常见的并行方案包括张量并行（TP）、专家并行（EP）和数据并行。大多数智能电视/物联网设备使用 ARM Cortex CPU 和 DDR3/4 内存；在此类机器上，我们几乎总是受带宽限制。

我们使用流水线并行是因其容错特性。如（Borzunov et al. 2022）所述，张量并行/专家并行中单个节点的故障会导致运行模型副本的整组机器宕机。流水线并行允许替换宕机节点，该节点所持有层的 KV 缓存可通过在重启节点之前对前一个节点进行一次前向传递来重新计算。

C. 物联网硬件上的吞吐量与内存

在此类机器上，无论是预填充还是解码，我们几乎总是受限于每台机器的 RAM 带宽。即使在普通的 ARM Cortex 核心上，计算吞吐量也超过 RAM 带宽。由于流水线气泡，解码工作负载存在显著的每机器空闲时间，因为在每次前向传递期间只有一台机器处于活动状态。交错工作的并发是可能的，但严格的内存限制意味着并发度保持较低。

每机器内存与上下文——4 位权重 + fp8 KV + 激活值。

预填充和解码的 token/秒均随序列长度严格下降。下图是我们的推理速度与上下文长度的关系图：

模型能够胜任工作也存在一个最小序列长度。我们使用的框架是从 Pi 编码代理（pi.dev）分叉而来，并包含原生压缩机制——即便如此，我们发现当序列长度被限制在 32K 以下时，模型性能会大幅下降。

Qwen3.5-9B 在推理设置任务上的代理能力与上下文窗口预算的关系。

基于上述评估，我们假设 32k 上下文长度可能足以实现合理的代理性能。在我们的推理设置工作负载中，标准的 32k 长度上下文窗口包含 12–15% 的生成解码 token，其余为来自提示和工具调用的预填充。由于流水线气泡，预填充 token 的计算速度快约 15 倍。对整个 32k 上下文中每个 token 的时间求和（考虑预填充和解码速度），我们发现生成 3.8-4.8k 解码输出 token 并处理约 28k 预填充 token 需要 27.3-31.8 小时（Gemma4-26B-A4B）和 10.9 小时（Qwen3.5-9B）。

每条链的输出 token 数（对一条链的多次生成求和），按模型；中位数 ≈ 19.7k / 12.3k / 11.0k。数据来自推理设置评估。

D. 边缘加速器

我们可以利用 Nvidia Jetson 设备池来计算一个更好的上界，这些是边缘加速器。与传统物联网僵尸网络不同，物联网边缘设备可以完整地提供整个模型。一台 Jetson AGX Orin 64 GB 以每秒 76.7 个 token 运行 Qwen3-30B-A3B，而 AGX Thor 可达 226 token/秒。请注意，我们并不认为它们异常脆弱——这只是为了计算上界。野外搭载 Jetson 的设备类型包括：

1. 用于安防的 AI 智能摄像头，内置加速器，已大规模部署。
2. 会议设备通常由板载加速器驱动，用于设备端降噪或转录。
3. 车辆、四足和双足机器人以及无人机。我们预计网络安全将是车辆的重点，因此大多数潜在目标可能属于另外两类。

在 FOFA 上快速搜索，至少有一台配备加速器的智能摄像头主机似乎可通过 IPv4 访问：

虽然很难估计野外有多少配备边缘加速器的机器可访问且存在漏洞，但我们可以计算出设备数量的严格上界。在整个野外，大约有 90 条不同的 NVIDIA 芯片物联网产品线，已部署约 950 万台。可达性绝大多数是通过出站云管理隧道而非入站端口实现的，这意味着大多数设备无法通过 Web 访问。历史上没有像标准物联网僵尸网络那样对配备加速器的边缘设备进行大规模入侵，这表明入侵此类设备会更加困难。

各设备家族的已部署单元数量，按互联网可达性着色。

根据产品数据进行的非常粗略估计表明，边缘加速器中大约存在 9,000 到 35,000 个 H100 等效算力，但可访问的数量可能低一个数量级或更多（而存在漏洞的数量则更低）。

旁注

E. 鱼叉式网络钓鱼能力

我们还衡量了现代小型模型在鱼叉式网络钓鱼方面的熟练程度。鱼叉式网络钓鱼是向特定个人发送针对性消息，诱骗他们泄露凭证或运行恶意软件的行为。虽然小型模型的智能网络能力飙升，但其通用知识和语言复杂性提升较慢；我们预计社会工程攻击和网络钓鱼将主要由大型/前沿模型完成（尽管在同时运行大型和小型模型的异构僵尸网络中，这很可能是次要的复制向量）。

在 Meta 的 CyberSecEval 3 鱼叉式网络钓鱼评估（Wan 等，2024）上的鱼叉式网络钓鱼能力，本地复现。以 0-5 分制评分，由 gpt-4o 作为评判。红色菱形是论文（CyberSecEval 3）在参考模型上的人工评分标准分数，这表明 gpt-4o 的评分比人工评分者宽松约 0.4-0.7 分。2 分为“差”，3 分为“中等”，4 分为“好”。当归一化到人工评分者时，小型模型的得分从“非常差”到“差”。

405B 参考槽位使用 Hermes-3-405B 作为不可用的 Llama3.1-405B-Instruct 的最小拒绝替代品。

F. 使用脚本化推理设置的传播：

我们在一个包含 17 台主机的网络上又做了几组实验，拓扑结构如下：

两个网络各含 8 台主机，通过一个可访问两个子网的单一节点相连。每个网络内部全互联。蠕虫代理从 A 段中的单个零号病人节点开始；枢纽节点增加了一点额外挑战，因为蠕虫需要获取对枢纽节点的访问权限并从该节点重新扫描。

每台设备都运行 Android，且 ADB 端口开放且无需认证。在传播到新目标后，代理能够立即发起直接调用以复制自身——这只是为了在我们排除网络与推理设置步骤后，衡量剩余步骤的难度。如图所示，即使是 3B 模型也能到达大约一半的节点。这为我们评估中在网络或推理设置要素下未能衡量的阻塞因素数量设定了一个上限。

“跨 17 节点网络的复制”中各次运行的更详细分解。每一列是在提示中不同引导程度下到达节点数的中位数，下标表示有多少代理越过枢纽节点到达网络的另一侧。