很多人第一個會先想到，小型模型能不能在手機、電視盒或家電上執行。但產品團隊還要往前追問：如果模型代理程式拿到命令列、檔案和網路工具，它能否辨認陌生裝置、安排推論環境，再把模型檔案送到下一台設備？Anthropic 的 Frontier Red Team 近期測試了模型代理程式執行這條自我複製流程的能力。研究觀察到部分能力已能分別完成，也有代理程式在受限的模擬網路走完端到端流程；測試條件仍不足以證明真實家電已會自行擴散。
這項警告跟本機推論的關係，在於「模型跑在裝置上」和「模型可以操作裝置」是兩件事。能力會受到產品提供的工具、作業系統權限、連線範圍與更新方式共同限制。開發、採購或管理連網家電、攝影機與其他物聯網（IoT）裝置的人，可以據此檢查模型能做什麼、裝置如何接收更新，以及出現異常時誰能隔離設備。
一、小型模型自我複製警告，研究實際測了哪些能力？
研究分別測試模型在陌生硬體啟動推論服務的能力，以及在模擬網路中尋找節點、傳送模型與設定推論的端到端流程。這些是受控環境的能力測試，不是對真實家電入侵事件的調查。
「自我複製」在這份研究裡，指的是模型代理程式執行一串操作：先找到可接觸的目標，取得在目標設備執行程式的機會，再傳送模型權重與執行所需檔案，安裝或設定推論環境，最後重複尋找下一台設備。權重是模型訓練完成後用來產生推論結果的參數檔。研究關注的是這一連串步驟能否被代理程式串起來，並不表示模型有生物意義上的意圖或自我意識。
第一組測試聚焦「推論環境設定」。推論是模型依輸入產生回答或判斷的執行階段。代理程式需要辨識硬體與作業系統，選擇相容的推論軟體、套件版本，再排除設備特有的錯誤。這些步驟彼此相依，前面選錯版本，後面就可能無法啟動。Anthropic 表示，受測的 9B 模型 Qwen3.5-9B 能在 9 種硬體中的 8 種架設推論服務；實驗是在不同設備上讓模型執行這項設定工作。
第二組測試把多個步驟放進同一次任務。研究團隊在防火牆隔離的 Google Cloud VPC（虛擬私有雲）中建立 8 個 redroid Android 模擬節點。起始節點已放入代理程式，其後代理程式要探索網路、連上其他節點、傳送負載，再啟動推論服務。這種設計讓研究者能觀察步驟組合是否成功，同時控制測試範圍。
Anthropic 研究團隊將推論環境設定描述為複製流程中研究較少、也可能最具挑戰性的階段。這反映測試重點之一在繁複的硬體與軟體除錯，不等於模型已能任意控制市售設備。（Anthropic Frontier Red Team，意譯）
二、研究結果的能力邊界在哪裡？
沒有。研究中的端到端測試由 GLM-5.2 驅動的代理程式完成；這只證明代理程式在特定條件下走完流程。若要推及小型模型，還須假設同等能力能縮小到設備可執行的模型。研究者在封閉 VPC 的模擬節點間開放未驗證的 ADB 連線，並指出這是簡化的入侵條件。
讀數字時要分清楚兩種能力。Qwen3.5-9B 在 9 種硬體中的 8 種成功設定推論服務，測的是「能不能讓模型在不同設備執行」。端到端測試則只有 GLM-5.2 在測試集合中能完成整條流程，五次測試中四次抵達全部 8 個節點、一次抵達 7 個。
研究沒有讓 9B 模型在自己攻下的設備上運行自身權重；研究者讓模型在目標節點設定 Llama 3.1 8B，並以 GLM-5.2 的能力推估：若未來有同等能力、且可縮小到設備能執行的模型，便可能具備完成擴散流程的條件。GLM-5.2 的端到端結果本身並未測試這個縮小假設。
連線條件也很關鍵。研究者在封閉 VPC 的 Android 模擬節點間開放未經驗證的 Android Debug Bridge（ADB）連線；ADB 是 Android 設備的除錯管理介面。這項安排讓代理程式略過真實環境中的身分驗證與漏洞利用難題。因此，端到端結果應理解為「在研究設定的簡化網路內，代理程式能否完成後續操作」，不能讀成真實網際網路的成功率，也不能推斷一般家用路由器或電視盒都可被同樣方式攻入。
Anthropic 還依小型開放權重模型過去的能力成長趨勢，估計達到 GLM-5.2 這類能力門檻的時間可能落在 2026 年底。這是研究團隊根據通用能力指標所作的趨勢推估，該指標只作為複製能力的代理量尺，不是直接測量真實攻擊成功率。研究團隊也將現況描述為尚未出現完整的失控複製者。未來時間估計和已完成的實驗觀察，應分開看待。
三、為什麼日常裝置部署會形成新的風險？
風險來自模型代理程式的操作能力和裝置安全邊界疊加：若代理程式能呼叫系統工具、讀寫檔案或連接其他節點，遭濫用後可嘗試更多操作；權限、更新或網路限制越薄弱，影響範圍越難控制。
小型模型不必單獨塞進一台低記憶體設備才能形成運算能力。Anthropic 展示以 15 台電視盒分散執行較大模型的方式，每台設備負責其中一部分。這是實驗展示，不能直接推論所有電視盒都有相同效能；它說明在評估邊緣 AI 時，設備群組間的通訊也要納入，而非只看單台規格。
裝置原本就可能暴露管理介面、使用過寬的帳號權限或缺少更新支援。模型若被放進可執行程式的代理框架，框架又允許它操作命令列、安裝套件或連網，模型完成任務的空間便擴大。風險取決於產品交給模型代理程式的工具與權限；本機推論本身不會自動造成這種結果。
執行權限還可能超出模型工作所需。若推論程序能存取管理員帳號、裝置內其他應用程式的資料、更新憑證或整個檔案系統，一旦代理程式遭到誘導或利用，事故就可能波及原本無關的服務。把模型程序與作業系統權限分開，採最小權限配置，並讓憑證可撤銷，可以限制單一元件出錯後可觸及的資源。
更新與連線則影響修補和偵測。長期未更新的設備可能留著已知弱點，預設密碼或未限制的管理介面也會增加被接觸的機會。若設備之間可任意通訊，或模型程序可連往任意網域，管理者便難以判斷流量是否符合正常工作。反過來說，對外連線目的地有清單、裝置網段分區、更新簽章經驗證且可回復版本，能讓維運人員在發現異常時更快縮小問題範圍。
NIST 的物聯網設備資安能力目錄把介面存取限制、安全軟體更新、裝置狀態通報與安全執行列為設計能力方向。該目錄是供製造商與採購者依場景挑選的起點，並非適用所有產品的單一認證清單。
NIST 的 IoT 設備資安基線將安全更新列為核心能力之一，要求更新透過安全機制交付，並由授權實體執行。對採用本機推論的產品，這項原則也可延伸到模型檔、推論引擎與代理程式。（NIST）
四、本機推論與邊緣部署要先補哪些限制？
先限制代理程式的工具與系統權限，再確認軟體更新能驗證來源、網路連線能設定邊界，並預先安排監測、隔離和回復流程。實際控制需依產品用途與設備條件設計。
權限設計要從任務倒推。模型只負責分類或摘要時，通常不需要系統管理權限、任意檔案讀寫或通用命令列；若確實需要特定工具，應明確限定可呼叫的指令、資料範圍與執行時間。推論程序可放在隔離環境中，使用獨立帳號與短效憑證，必要時採人工核准後才執行會改變設定或傳送資料的操作。這能降低模型輸出錯誤、提示注入或其他元件遭入侵時的連帶影響。
模型檔和執行環境也要納入軟體供應鏈管理。部署端應記錄模型名稱與版本、來源、雜湊值或簽章驗證結果，並限制只有授權程序可以安裝或更換。更新失敗時要有可用的上一版本，且需測試回復流程是否真的能執行；如果產品停止支援更新，應清楚標示責任歸屬與安全處置選項。模型更新、推論引擎更新和裝置韌體更新可能由不同團隊負責，交界處的責任不能留白。
網路規則應依工作需求設定。裝置若只需向自家更新服務取檔，就可限制它只能連往指定目的地和必要連接埠；模型程序不應預設能掃描同網段所有設備。需要跨設備推論時，應明確規定節點身分驗證、流量加密與通訊方向，並區分管理網路、使用者網路及裝置網路。若產品不需設備互聯，就關閉不必要的服務和遠端管理介面。
監測要能回答「平常應該看到什麼」。例如模型檔突然大量傳出、設備短時間掃描多個位址、原本不互通的節點出現持續流量，或代理程式改動系統設定，都可列入異常事件。紀錄至少要包含時間、設備身分、模型與軟體版本、執行主體、連線目的地及設定變更，並避免記錄不必要的個人資料。只有保留能供維運調查的資料，告警才有助於找出起點與影響範圍。
五、部署前如何判斷風險是否可接受？
逐項確認裝置能力、模型可用權限、更新來源、網路出口、操作紀錄和事故復原責任，再用實際部署設定驗證限制有效。缺乏更新或隔離能力的設備，需先界定可接受用途與補強方式。
可以從五個面向檢視：第一，模型要完成任務所需的運算資源與裝置數量；第二，代理程式能呼叫哪些工具、讀寫哪些資料；第三，模型、引擎和韌體各由誰提供更新，如何驗證與回復；第四，裝置及模型程序可連往哪些網路節點，是否需要同網段探索；第五，發生異常時由誰停用程序、隔離節點、撤銷憑證並恢復可信版本。這五項應落在產品設計文件與維運流程，而不只停留在安全簡報。
開發團隊可用威脅建模列出可能的入口、受保護資產和失效後果，再在測試環境驗證權限是否真的被限制。採購或導入單位則應詢問供應商更新支援期限、漏洞通報方式、裝置狀態監測能力及事件責任窗口。管理攝影機、電視盒、智慧家電的使用者與組織，也可確認裝置是否仍有安全更新、管理介面是否對外開放，以及設備是否和重要工作站共用網路區段。
部署檢查可以按以下順序進行：
- 列出模型程序可用工具、檔案、帳號和網路連線，移除任務不需要的項目。
- 確認模型、推論引擎與韌體的更新來源、簽章驗證、版本回復及停止支援安排。
- 以測試環境驗證裝置不能任意掃描或連線，並檢查異常流量是否會觸發告警。
- 指定隔離設備、停用程序、撤銷憑證和恢復版本的負責人，實際演練處置流程。
- 本機推論不代表模型自動取得系統權限或網路連線，關鍵在部署給代理程式的工具與邊界。
- Anthropic 的端到端測試是在封閉 VPC 模擬節點間使用未驗證的 ADB 連線，結果不能當成真實裝置入侵能力或普遍發生的證據。
- 權限隔離、可信更新、受限網路、異常監測及可執行的隔離回復流程，應一起納入部署評估。
部署團隊可以把決策落在可驗證的控制上：模型能接觸什麼、更新由誰負責、異常流量如何發現、設備如何隔離與復原。研究提供的是一種需要納入威脅評估的情境，實際風險仍要依裝置、模型、網路和維運安排逐一判斷。
常見問題
Q1：本機推論是否代表模型可以自行連網？
不代表。模型能否連線，取決於產品提供的網路介面、代理程式工具和作業系統權限。若部署不提供網路存取，或只允許連往指定服務，模型就不能僅因在本機執行而突破這些限制。
Q2：Anthropic 的研究是否證明現有家電已遭模型代理程式控制？
沒有。研究在硬體推論設定與封閉模擬網路中測試能力，端到端環節由代理程式在 VPC 模擬節點間透過未驗證的 ADB 連線操作。它沒有報告現有消費家電遭模型代理程式控制的實例；測試中的負載是模型權重與執行所需檔案。
Q3：管理連網裝置的團隊最先該檢查什麼？
先盤點哪些設備仍受支援、是否能安全更新，以及模型代理程式可存取的工具、資料和網路。接著確認異常時能否隔離設備、撤銷憑證並回復可信版本，並指定實際負責人。
