谁在复制，谁在被复制

Anthropic：不给数据中心，小模型也能自己跑起来

Anthropic 在 10 月 12 日贴出一份实验报告，把「AI 蠕虫」从 GPU 集群搬到了客厅。两人署名（William Zhou、Daniel Freeman）的这篇博文给出的是实测数字，不是推演：

• 作者买来 15 台单价约 55 美元的白牌安卓电视盒组网，把 Gemma4-26B-A4B 分片跑在上面，速度 0.39 tokens/秒。
• 9B 模型在测试的 9 类硬件里，有 8 类成功把推理跑起来。
• 30B 及以下参数量的模型已能完成复制链里多数单步，串成端到端仍会出错；简化掉部分安全环节的评测里，GLM-5.2 及更强的模型能端到端复制。
• Qwen3.5-9B 连续六代继承上一代留下的笔记后，推理搭建成功率从第一代的 45% 升到 61%–84%。
• 给 Qwen3.5-9B 挂上 Opus 4.8 当顾问，没有测出增益——小模型不知道该问什么，建议不请自来时也接不住。
• 完整推理搭建耗时：Gemma4-26B-A4B 71–150 小时，Qwen3.5-9B 28–51 小时。翻倍时间以天计。
• 按 Synthient 报告的 Kimwolf 僵尸网络峰值（200 万台机器，主要是安卓电视盒）折算，每 15 台跑一份 Gemma4-26B-A4B，约等于 13.3 万份副本、8 万 tokens/秒。

作者的收尾写得很直白：就像 2024 年的编码智能体，现在看到的是 AI 蠕虫的「生命迹象」。

编者评： 这份报告最硬的地方在于它把复制拆成四步，只测了最没人测的那一步（在不认识的硬件上把推理跑起来），连买电视盒的钱和跑出来的 tokens/秒都报了。200 万台这个分母取自公开的僵尸网络数据，不是假设。这两件事搁在一起，比「风险警告」四个字有分量。

Anthropic：同一天，另一份公告把蒸馏的闸门关上

还是 10 月 12 日，Anthropic 发了《Strengthening our defenses against distillation attacks》。三层防御：8 月 31 日之后新建的 API 账号不能再编辑先前上下文；两级分类器拦截套推理的请求，官方称误报率低于 0.1%；限流加封号，被拦截的请求从 9 月 24 日起恢复收费。整体被窃取的数据下降 90%–99%，换算成倍数是 10 到 100 倍。公司用它封掉数万个与蒸馏有关的账号，不少是在蒸馏活动开始后两小时内封掉的。分类器目前跑在 Sonnet 5.5、Opus 5/5.5、Fable 5/5.1 上。文中点名智谱的 GLM-5.3 与 Moonshot 的 Kimi。

编者评： 一天之内两份公告，方向正好相反：一份给能力「自己往外爬」计时，一份给「被别人往外拷」关闸。点名两家中国公司属于单方陈述，没有独立核实，读的时候要和 90%–99% 那个数字分开——后者是自己测出来的比率，前者是主张。

Meta 的 Muse Wonder Full 挤进前沿第一梯队

The Decoder 给了几组能查的分：Muse Wonder Full 在 Artificial Analysis 智能指数 v4.3 上拿 56 分，Muse Wonder 拿 52 分，上一代 Muse Spark 1.3 是 48 分。涨幅集中在智能体评测，Terminal-Bench 4.0 从 33% 跳到 57%。十个基准里有六个进入前三。两个版本都支持 100 万上下文，主打 Active Memory（跨会话记住关键信息）与 Active Focus（啃难题、换路子、不清楚就追问）。代价也写明了：单次 API 调用价格接近上一代的三倍。

编者评： 指数涨 8 分，Terminal-Bench 涨 24 分，两处涨幅不成比例，说明这代模型的增益压在「长时间自己干活」上，不在通用问答。价格近三倍要和 100 万上下文一起读，单看单价会读反。

X 上：Alexandr Wang 认了 Muse 的配额 bug

10 月 12 日 22:31 UTC，Alexandr Wang 发帖：团队定位并修掉了导致 Muse Wonder 与 Wonder Full 配额消耗异常偏快的问题，修完之后用量会明显下降；按之前的说法，Muse Code 的用量也一并重置。这条推拿到 4,198 个赞。

编者评： 前沿模型发布首日先烧穿配额，这类事故比跑分更能说明部署侧的真实状态。当事人自己认、自己修、顺手把用量重置回去，处理得干净，也说明「订阅额度」这种新计价单位还没跑稳。

陶哲轩博客：这是「正常水平的坏工作」

10 月 12 日那篇是客座文章，作者 Sophie Huiberts，原标题《This is normal bad work》。她把 OpenAI 那批 PDF 定性为内部基准测试的「废气」：不给出处、把 372 个结果切成 719 份 PDF、包含够得上撤稿的错误、承诺的代码没附上。她认为相近的结论专家很快也会自己找到，有些 ChatGPT 用户已经先发现了。结尾一句落地：10 月 6 日不是数学的分水岭，唯一特别的是 OpenAI 发布劣质成果时毫无羞耻。

编者评： 这篇把争议从「AI 会不会做数学」挪到了「AI 做出来的东西算不算文献」。她的判据是学术共同体那套老规矩——归因、整理、可撤稿性——跟模型能力无关，要反驳就得先推翻这套规矩，比反驳一个跑分难得多。

YouTube：AI Explained 讲「实验室自己说泄露不可避免」

AI Explained 10 月 12 日上传的这期 31 分钟，标题直接引用了几家实验室的表态：竞赛强度下出现泄露被判定为不可避免。频道把当天几家公司的安全公告串在一条时间线上讲，67,178 次播放。

编者评： 这类综述频道的速度比文字媒体快，代价是把各家口径混在一条线上。当成索引看很划算，当成判断依据则要先回到每家的原始公告——本期上面两条就是这么做的。

a16z：密码学撑不撑得住 AI

a16z crypto 的 Liz Harkavy 主持，嘉宾是斯坦福密码学家 Dan Boneh、a16z crypto 普通合伙人 Eddy Lazzarin、研究合伙人 Justin Thaler，全长 42 分 11 秒。四个人要做的是把证据和猜测分开：现代密码学依赖数学假设；OpenAI 近期那批结果证明了什么、没证明什么；AI 带来的威胁跟量子计算有什么本质区别。后半段给了相对乐观的一面——现有安全实践和可选替代方案为什么仍值得信任，以及系统该怎么设计才能在某个假设失效时换得动。

编者评： 这期选在 OpenAI 数学结果刷屏后几天上线，时机不是巧合。四个人的分工很清楚：Boneh 管密码学本身，Thaler 管「AI 到底证明了什么」，Lazzarin 管资产侧的实际风险。反复被强调的一句是——威胁的性质和量子计算不一样。

B站：2 分钟讲完反蒸馏三层防御，顺手标了存疑处

「遇见小波妞」10 月 13 日上传的这期 Ponyo News 只有 2 分 14 秒，把 Anthropic 那三层防御复述了一遍：账号上下文不可编辑、两级分类器（误报率低于 0.1%）、限流封号且被拦请求从 9 月 24 日起恢复收费，整体窃取量下降 90%–99%。难得的是简介里明确写了提醒：点名 GLM 和 Kimi 属于 Anthropic 单方陈述，未经独立核实；同条提到的 Maia 300 规格（8 颗 HBM4、288GB、950 瓦）是未署名的流出信息，也标了存疑。

编者评： 两分钟的日更里主动给一手信源标可信度等级，这个习惯比时长值钱。中文圈转述海外公告时最常见的损耗是把「单方点名」转成了「已证实」，这条没犯。

编者按

今天最该记住的是 Anthropic 在 10 月 12 日一次发两份公告，方向相反：一份说 30B 以下的小模型几个月内能在智能烤箱和白牌电视盒上自我复制，一份说蒸馏偷走的数据少了 90%–99%、封掉数万个账号。能力往外走的两条路，一条在加速，一条被堵住。

其余几条都在问同一个问题的不同面：倒出来的东西怎么算数。Meta 的分数涨了 8 分、Terminal-Bench 涨了 24 分，首日却先把用户的配额烧穿；OpenAI 的 719 份 PDF 被数学界判成「正常水平的坏工作」，理由是它没走学术共同体那套归因与整理的规矩；密码学家那边接到的是更老的问题——我们依赖的数学假设，AI 啃得动吗。