Anthropic 安全实验：GLM-5.2 可自主复制到隔离网络设备

这项研究由Anthropic的两位研究员William Zhou和Daniel Freeman完成，主题是自主复制与适应（Autonomous Replication and Adaptation，ARA）。实验设定并不复杂：让GLM-5.2尝试把一个80亿参数的AI模型，自主扩散到隔离网络里的8台设备上。

结果在5次测试中，GLM-5.2有4次攻陷并部署了全部8台设备，剩下1次也拿下了7台。按照来源的归纳，AI完整自我复制一般需要四步：寻找目标、获取执行权限、配置推理环境、继续对外扩散。

但必须把边界说清楚。端到端测试是在隔离沙盒中搭建的、包含8个GCP节点的网络，节点运行基于Android 15的redroid模拟器；0号节点被植入初始蠕虫，之后才由AI自主通过未授权的ADB端口扫描并渗透相邻节点。也就是说，起点是人工给的，扩散过程才是AI自主完成的。这不是真实互联网环境。

另一个容易被忽略的细节是：其他更小的开源模型虽然能完成单个步骤，但在长链路串联时依然会频频崩溃。GLM-5.2的通关因此更像是一个能力上限的展示，而不是当前开源小模型的普遍水平。

在自我复制的四步里，前两步——找目标和打漏洞——早已不是瓶颈。来源提到，CyberGym和ExploitBench等安全基准已经反复证明过AI写渗透脚本的能力。真正卡死自动化程序的是第三步：AI怎么在一个完全陌生的硬件和操作系统上，自己把推理环境搭起来。

研究员的跨硬件测试给出了一个参照。他们用Qwen3.5-9B作为执行者，把Llama3.1-8B部署到Jetson Nano、Mac PC和RTX 4090等设备上，在9种硬件中的8种上，模型自主看报错日志、写脚本装依赖，成功拉起推理服务。

需要区分的是，这是与GLM-5.2端到端测试不同的实验：执行者是Qwen3.5-9B，目标是Llama3.1-8B，考察的是跨硬件部署而非完整复制链路。把两者混为一谈会高估单次实验的结论强度。

从工程角度看，这一步之所以难，是因为它要求模型在缺乏先验的陌生环境里持续试错——Python版本、驱动匹配、依赖冲突这类问题，人类程序员也常要折腾数小时。来源没有披露这些失败案例的具体分布，因此“8/9成功”背后的代价仍不透明。