Anthropic 的 IoT Agent 複製測試：跑通八台模擬裝置，還沒證明野外蠕蟲

Anthropic 的 Frontier Red Team 在 2026 年 10 月 12 日發布一項 IoT Agent 評測：在隔離的 Android 模擬器網路裡，GLM-5.2 有四次成功把模擬複製流程推進到八個節點。這是值得追蹤的能力訊號，但標題裡的「自我複製」不能直接讀成已在真實網路出現會自行擴散的 AI 蠕蟲。測試沒有處理第一台裝置如何被攻陷，也沒有展示完整的 rogue replicator。

這篇文章的核心問題是：目前到底測到了複製鏈的哪幾段，IoT 團隊又該如何把這個結果轉成可驗證的防守問題？

這不是一場已發生的入侵事件

Anthropic 把「自主複製」拆成一連串能力：辨識環境、設法讓模型在陌生硬體上運作、把模型或工作狀態傳到其他節點，再讓下一個節點繼續執行。這種拆法有工程價值，因為任一環節失敗，整條鏈就不能完成；反過來說，證明其中幾段可行，也不能自動補齊未測的環節。

報告描述兩種不同的隔離拓樸。主要成功率實驗是在有防火牆隔離的 8 台 GCP/redroid Android 模擬節點，從已植入起始載荷的節點出發，沿未驗證的 Android Debug Bridge（ADB）連接埠傳遞並設定推論。GLM-5.2 在五次試驗中有四次到達 8/8 節點，另一次到達 7/8。另一張示意圖則是17 節點拓樸（兩組各八台加一個中繼節點），並非上述成功率的分母。

因此，4/5 的數字只回答：起始存取已提供、入侵門檻刻意簡化後，Agent 能否走完後續傳遞與推論設定？ 它沒有測試取得第一台真實 IoT 裝置的存取權，也不等於公網入侵成功率。

真正的新瓶頸：讓模型在陌生硬體上跑起來

多節點測試之外，報告還測量了另一段更基礎的能力：Agent 能否在多種低成本或邊緣裝置上自行設定推論。Anthropic 表示，一個 9B 級模型在九種受測硬體中的八種完成了設定；另一組實機測試則把 Gemma4-26B-A4B 分散到十五台 Android TV box 上，報告速度約為每秒 0.39 個 token。

這些數字由 Anthropic 提供，量的是特定裝置、特定模型和其 harness 下的結果。它們的重要性不在於這種速度適合一般互動，而在於「讓陌生裝置承載推論」可能不再是只能由人類逐台處理的準備工作。若一個攻擊者已經有裝置存取權，Agent 能否耐心排除硬體差異、安裝或設定推論執行環境，會影響後續擴散的可行性。

研究另用 Memento harness 讓後續 Agent 繼承上一輪嘗試與失敗筆記。Qwen3.5-9B 的設定成功率由第一代 45% 升至後續的 61%–84%；這是受控任務的經驗繼承，不是自然網路裡已觀察到自主演化。

把量測、作者推估與未知分開

證據層次	報告內容	可以支持的判斷
隔離測試的量測結果	GLM-5.2 在 5 次試驗中有 4 次到達 8 個 emulator 節點，另 1 次到達 7 個	在已提供 ADB 起點和測試網路條件下，Agent 可完成多節點流程
硬體設定實驗	9B 模型在 9 種受測硬體中有 8 種完成推論設定	某些模型能處理多樣裝置上的推論部署工作
作者的趨勢外推	以小型開放權重模型的 Epoch Capabilities Index 趨勢線推估能力門檻可能在 2026 年底交會	提出值得持續追蹤的假說；ECI 是一般能力代理指標，不是複製能力的直接量測
尚未驗證的情境	自行取得第一個裝置、自然暴露的消費型 IoT、完整 rogue replicator、智能反制防禦	目前沒有證據可據此聲稱真實世界已出現自動擴散事件

趨勢線尤其需要保留距離。Anthropic 把 GLM-5.2 在簡化複製測試中的能力視為一條能力門檻，再用一般模型能力指標的歷史走勢外推何時可能有更小模型跨過門檻。作者自己也指出，這只是粗略估算；它不是一次模型完成真實入侵的測試，也不是對發生日期的預測保證。

對 IoT 防守的實際意義

對產品安全與平台團隊，這份報告提供的是一份應該拆開驗證的能力清單，而不是「立刻會有 AI 蠕蟲」的警報。Anthropic 認為，大型模型權重傳輸、節點間持續推論流量、掃描與對外連線可能留下網路訊號；這些是作者提出的防守方向，仍需要依實際裝置、網路拓樸與正常流量建立基準。

可以把工作拆成幾個不依賴模型意圖判斷的控制面：裝置是否能從外部被管理、除管理通道外是否可互相連線、誰能建立推論程序、模型權重可從哪些來源進入，以及異常出站流量是否能被限制或隔離。這些措施不會消除所有攻擊，但能讓「某個 Agent 能設定推論」與「它能在你的裝置群擴散」之間保留多個可監測、可阻斷的邊界。

如何讀這份結果

這些局部能力最值得轉化為具體的防守檢查：管理介面是否暴露、裝置間是否能橫向連線、誰能安裝推論程式，以及異常出站／權重流量能否被偵測與隔離。

證據邊界仍是模擬器、預設 ADB 入口與特定硬體；報告沒有驗證自行取得第一台真實裝置，也沒有獨立重跑的完整公開原始軌跡。這是受控場景的能力訊號，不是完整野外自動擴散事件。

若要把這個案例放進更大的工程脈絡，可以先讀 AI Agent 實戰指南 了解工具、執行與評測邊界；企業 AI Agent 安全指南整理身分、授權和稽核控制；Cloudflare Turnstile Spin 的 Agent 安全案例則展示把 Agent 行為放進具體安全邊界的另一個案例。

來源

• AI models may be capable of self-replicating without access to a datacenter, Anthropic Frontier Red Team，2026-10-12。本文中的評測結果、能力趨勢和防守建議皆以該報告為準，並以作者結果或作者推估標示。
• Evaluating Language-Model Agents on Realistic Autonomous Tasks，自主複製算法（ARA）相關先前研究背景；它不是本次 Anthropic 評測的獨立重現。
• The Kimwolf botnet investigation，Anthropic 用以討論既有 Android TV botnet 規模的外部背景來源；不驗證本次模型實驗。