--- title: "Anthropic AI 自我复制实验：本地 AI 的机会与边界" canonical: https://wavect.io/zh/blog/anthropic-self-replicating-ai-local-inference/ language: zh description: "解读 Anthropic 的电视盒子实验：Gemma 每秒 0.39 个 token、受控复制测试的限制，以及部署本地 AI 前应验证的数据流向、权限、停止机制和恢复能力。" image: "https://wavect.io/img/blog/headers/header_anthropic-self-replicating-ai-local-inference.png" author: ["Kevin Riedl"] published: "2026-10-14" updated: "2026-10-14" reviewed: "2026-10-14" --- # Anthropic 的 AI 自我复制警告，对本地 AI 意味着什么？ [**返回**](/zh/blog/overview/) [![Kevin Riedl](/img/team/kevin.webp)](/zh/team/kevin-riedl/) [Kevin Riedl](/zh/team/kevin-riedl/) https://linkedin.com/in/wsdt 10 分钟 阅读 · 2026年10月14日 最近审核 2026年10月14日 [**下一篇**](/zh/blog/ai-vendor-security-questionnaire-eu/) 要点速览 Anthropic 报告，Gemma4-26B-A4B 在 15 台安卓电视盒子上以每秒 0.39 个 token 运行。该推理演示与受控复制评估是不同实验。对本地 AI 而言，实际启示是运行控制权，而非自动获得安全或行为对齐。购买硬件前，应验证完整数据路径，在模型之外执行权限，并测量一个边界明确的任务。 **Anthropic 发布了一份安全警告，却也意外给出了一个值得认真考虑本地 AI 的理由。** 15 台廉价安卓电视盒子。一个分布在这些设备上的 Gemma 模型。每秒 0.39 个 token 的推理速度。这还不至于让 GPU 供应商感到压力，但足以让人重新思考：你的 AI，到底有哪些环节必须依赖别人的数据中心？ 企业采购的笑话几乎不用编：说不定模型已经回答完了，GPU 采购单还没批下来。真正的工程问题更难。这个演示证明了什么？哪些部分仍属于模拟？对企业而言，真正掌控自己的 AI 又意味着什么？ **我们的判断：**应该认真对待安全警告，但不要把它理解为反对本地推理的理由。把关键的部署和运行决策留在自己手里，同时区分“拥有控制权”和“模型行为符合目标”。 ## Anthropic 的 AI 自我复制实验究竟证明了什么？ [Anthropic 于 2026 年 10 月 12 日发布的研究](https://www.anthropic.com/research/self-replicating-ai) 介绍了不同实验。解读时也应把这些结果分开。 | 实验 | 报告结果 | 合理解读 | | --- | --- | --- | | Gemma4-26B-A4B 推理 | 15 台单价约 55 美元的安卓电视盒子，通过流水线并行达到每秒 0.39 个 token。 | 证明了分布式推理可运行，并不等于证明自主蠕虫已经形成。 | | Qwen3.5-9B 配置推理环境 | 在测试的 9 类硬件中，成功完成了 8 类的环境配置。 | 体现部署自动化能力，不代表兼容所有硬件。 | | GLM-5.2 复制实验 | 在简化、受控的评估中完成端到端复制。 | 属于能力测试，必须保留模拟环境的边界。 | **最关键的限定：**复制测试使用隔离的安卓模拟器，访问无需身份认证。GLM-5.2 在独立推理服务器上运行，目标设备部署的是 Llama3.1-8B，而非 GLM 自身权重。这不是一个完全本地运行、已失去控制的复制体。 这个区别能避免两种误读。实验没有证明你家的电视已经变成独立 AI 智能体；但也不能因为演示速度慢，就直接否定风险。算力容量、自主行为和安全运行是三个不同的问题。 ## 每秒 0.39 个 token，实际使用到底有多慢？ **假设输出速度恒定为每秒 0.39 个 token，生成 1,000 个 token 需要约 43 分钟。**这是算术示例，不是实际应用的实测基准。 | 生成量 | 计算 | 约需时间 | | --- | --- | --- | | 100 个 token | 100 / 0.39 | 4 分 16 秒 | | 500 个 token | 500 / 0.39 | 21 分 22 秒 | | 1,000 个 token | 1,000 / 0.39 | 42 分 44 秒 | 这些计算不包含额外的输入处理、排队、工具调用或重试。速度可能随任务和上下文变化。Token 也不等于字或词，同一句话在不同语言中可能需要不同数量的 token。 对正在聊天窗口中等待的客户来说，这不是理想起点。对低优先级、输出很短的任务来说，这种延迟也许可以接受。接下来要验证的是：整个任务能否在截止时间前，以足够好的质量完成。模型最终能给出答案，不等于它已经是一项可用服务。 硬件价格也需要同样谨慎。**15 × 55 美元，约等于 825 美元，这只是盒子的价格。**它不是完整部署预算。网络、电费、配置、维护和设备替换都需要有人负责。该研究没有证明这是一种比有维护支持的工作站更便宜的方案。 完整的经济比较可以参考我们已有的 [本地模型与 API 成本分析框架](/zh/blog/local-models-vs-apis-break-even-eu-2026/) 。本文聚焦实验解读，不是在宣布新的成本冠军。 ## 一个模型为什么能在 15 台电视盒子上运行？ **流水线并行会把模型划分为多个计算阶段。**每台设备执行分配给自己的模型层，再把中间结果交给下一阶段。多台机器共同完成一次模型计算，并不会自动变成 15 个独立助手。 Google 的 [Gemma 4 模型卡](https://ai.google.dev/gemma/docs/core/model_card_4) 列出，26B A4B 混合专家模型的总参数量为 252 亿，活跃参数量为 38 亿。参与计算的参数量与存储全部模型权重所需的容量不是同一回事。 分布式存储可以让原本装不下的模型获得运行条件，但不会消除生成每个 token 所需的计算与通信链路。不要因为用了 15 台设备，就直接推算出 15 倍速度。 加入另一台机器，也会改变保密边界。 [Petals 项目](https://github.com/bigscience-workshop/petals) 明确区分公开网络与可信参与者组成的私有网络：在公开网络中，其他参与者会协助处理数据。去中心化并不等于保密。 一个实用做法是画出真实的数据处理边界。哪些机器处理提示词或中间表示？谁拥有管理权限？允许哪些网络连接？电脑上有一个本地接口，并不能单独回答这些问题。 我们的 [Mesh LLM 分布式推理指南](/zh/blog/mesh-llm-distributed-inference-multiple-computers/) 介绍实现和拓扑取舍。对本文而言，先记住一个结论即可：汇集容量与提供可靠服务，是不同层面的成果。 ## 这个实验之后，“拥有自己的 AI”应该意味着什么？ **能够选择、限制、替换并停止系统。**购买硬件只是其中一种手段。只有当这句话对应到你真正能做出的决定时，它才具有实际价值。 ### 掌控模型生命周期 云端依赖不是想象出来的问题。Anthropic 的 [模型生命周期文档](https://platform.claude.com/docs/en/about-claude/model-deprecations) 说明，已退役的模型不再接受请求。因此，一项正常工作的集成需要迁移方案，而不只是有效的 API 密钥。 对于本地部署，应该检查能否保留获准使用的确切模型文件、分词器、运行时和配置，并记录如何在替换设备上重建服务。一套无法复现的安装过程，也会形成另一种依赖。 ### 掌控完整数据路径 Ollama 的 [官方常见问题文档](https://docs.ollama.com/faq) 区分本地执行和云端功能，并介绍了仅本地模式。这个区别比“有本地界面，所以肯定离线”更有用。 我们的建议是：阻断外部网络，再测试整个工作流。文档提取、向量生成、存储、日志和工具集成都应纳入检查。本地运行的语言模型，不会把一次外部搜索变成本地处理。提前规定依赖不可用时，应用应该停止，还是以受限功能继续运行。不要把受限材料悄悄交给备用云端供应商。 ### 把控制权与行为对齐分开判断 “云端 AI 必然不符合你的利益”是过度推断。运行地点本身不能证明模型是否忠于你的目标、是否可靠、是否适合当前任务。本地模型也可能误解指令，托管服务也可能是正确选择。 更有力的理由来自运行管理：不要让供应商、运行时或智能体获得超出你原本意图的关键流程控制权。用自己的任务评估行为，明确哪些操作需要批准，保留迁移出口。提出这些要求，不需要揣测供应商的动机。 ## 本地 AI 能否既保密，又不安全？ **可以。提示词没有发往云端，不代表智能体不会损坏本地系统。**网络位置、数据保密性和操作权限，必须分别评估。 [NIST 零信任架构](https://csrc.nist.gov/pubs/sp/800/207/final) 反对仅凭网络位置或资产归属授予信任。机器放在自己的办公室，并不自动构成可信执行环境。 [OWASP 关于过度代理权限的指南](https://genai.owasp.org/llmrisk/llm062025-excessive-agency/) 将多余功能、权限和自主性列为风险。授权应由模型周围的系统执行，而不应只依赖一句要求模型守规矩的提示词。 因此，在第一次本地 AI 评估中，我们会使用可丢弃的隔离环境、专用低权限身份和只读输入目录。不会挂载生产凭据、无限制的宿主机目录或容器管理套接字。每一项网络访问都应有明确记录的用途。 停止系统也遵循同一原则。测试一个不受智能体控制的停止流程，然后确认应用没有重新启动工作进程，也没有把任务交给另一个接口。仅仅关闭聊天窗口，不算通过停止测试。 这些是建议采用的防御措施，不是复制程序教程。我们的 [智能体评估与沙箱安全清单](/zh/blog/ai-agent-eval-sandbox-security-checklist/) 进一步介绍了完整的工程审查。 ## 企业购买本地 AI 硬件之前，应该先测试什么？ **先在已经掌控的设备上，完成一个有用且边界明确的任务。**不要先照着研究演示购买电视盒子。 例如，让模型把 20 条合成客服工单分到固定队列中，并给出简短说明。不要授予修改客户系统的权限。将输出与预先标注的正确结果，以及简单的规则方案进行比较。 这里的 20 条案例只是工程冒烟测试示例，不是统计意义上充分的准确率研究。先用它发现集成问题，再设计更大规模的评估。 | 问题 | 需要收集的证据 | 扩大使用前的决定 | | --- | --- | --- | | 结果有用吗？ | 正确分类、无效输出，以及需要人工复核的案例。 | 测试前明确可接受错误率和转交人工的规则。 | | 整个任务能按时完成吗？ | 包含输入处理和全部重试的端到端耗时。 | 满足业务期限，而不是追逐任意的 tokens/s 指标。 | | 仅本地模式真的只在本地运行吗？ | 观察到的连接目标，以及禁止外部连接后的行为。 | 不得出现未记录的外部处理或静默云端回退。 | | 系统能越权操作吗？ | 写入被拒绝、工具操作不可用等测试结果。 | 由模型之外的机制强制执行权限。 | | 能够停止并重建吗？ | 完成停止检查，并使用记录的文件和配置重建。 | 明确运维负责人，先记录恢复过程，再形成业务依赖。 | 应用需要支持哪些语言，就逐一测试哪些语言。一个四语网站并不能证明模型在四种语言中都有足够质量。同时记录峰值内存，以及获得每个合格结果所需的人工投入。 有了这些测量，硬件选择才会变成具体问题。我们的 [llmfit 硬件适配指南](/zh/blog/llmfit-local-llm-hardware-guide/) 介绍下一步怎么做。对试点而言，在一台持续维护的机器上运行较小但合适的模型，可能比分布式集群更合理。让测量结果决定。 ## 结论：掌控边界，不追逐炒作 Anthropic 的警告与本地 AI 的吸引力并不矛盾。模型能够在数据中心之外运行，同时带来了部署选择和管理责任。 有用的回应不是“禁止本地 AI”，也不是“只是边缘计算，完全不用担心”。而是让控制变得可验证：运行什么、数据流向哪里、允许哪些操作、谁能停止，以及如何替换服务。 **在自主控制真正创造价值的地方，掌控自己的 AI。无论部署在哪里，都要验证它的行为。** 已经有具体业务流程？ [告诉 Wavect 哪些内容必须留在本地，以及系统需要完成什么](/zh/contact/) 。数据边界、响应时间和允许的操作，比硬件采购清单更适合作为 [AI 实施项目](/zh/services/artificial-intelligence/) 的起点。 ## 来源、核查日期与限制 来源核查日期：2026 年 10 月 14 日。文中链接的研究和官方文档支持所述实验结果与产品差异。Wavect 没有复现这些推理或复制实验。时间与设备成本示例是依据上述数字进行的自行计算。控制框架和试点方案属于编辑建议，不是已测得的客户成果。 ## Anthropic 实验与本地 AI：常见问题 ### Anthropic 是否在电视盒子上演示了完全自主的 AI 蠕虫？ 没有。不能把电视盒子的推理演示与另一项受控复制评估混为一谈。前者证明分布式模型可以运行，并没有证明不受控制的复制。 ### 每秒 0.39 个 token 对回答速度意味着什么？ 如果速度恒定，生成 1,000 个 token 约需 42 分 44 秒。这只是计算示例，不包含额外的输入处理、工具、排队和重试。 ### 15 台设备做流水线并行，会产生 15 个智能体吗？ 不会。不同流水线阶段共同完成模型计算。参与设备数量不等于独立模型副本或智能体的数量。 ### 825 美元是演示中本地 AI 系统的完整成本吗？ 不是。15 台单价约 55 美元的盒子，合计约 825 美元，这只是盒子本身的价格，不包含其余部署与运行成本。 ### 本地运行 AI，就能让它自动符合我的利益吗？ 不能。部署控制权与行为对齐是不同问题。应测试任务表现，在模型之外执行权限，并验证数据流向和停止行为。 ### 企业购买本地 AI 集群之前应该做什么？ 先在受控设备上测试一个范围明确、只读的任务。测量合格结果、完整耗时、内存、外部连接和恢复过程，再据此判断是否需要其他硬件。 AI 治理与监管 ## 接下来读什么 负责任采用 AI 所需的安全、政策、合规与运营控制。 [从这里开始**创业公司的 EU AI Act 成本：先定范围，再做预算**](/zh/blog/eu-ai-act-compliance-cost-startup/) - [《网络韧性法案》报告：24/72 小时操作指南](/zh/blog/cyber-resilience-act-reporting-playbook-2026/) - [欧盟软件产品责任：工程证据清单](/zh/blog/eu-product-liability-software-evidence-2026/) - [AI 物料清单：CycloneDX 与 SPDX 对比](/zh/blog/ai-bill-of-materials-cyclonedx-spdx-2026/) - [面向 LLM 的假名化网关：提示词真的脱离 GDPR 适用范围了吗？](/zh/blog/llm-pseudonymization-gateway-gdpr-2026/) - [Semantica 评测 2026：它能解释每一次 AI 智能体决策吗？](/zh/blog/semantica-ai-agent-decision-provenance/) [下一篇文章**《网络韧性法案》报告：24/72 小时操作指南**](/zh/blog/cyber-resilience-act-reporting-playbook-2026/) [**返回**](/zh/blog/overview/) [![Kevin Riedl](/img/team/kevin.webp)](/zh/team/kevin-riedl/) [Kevin Riedl](/zh/team/kevin-riedl/) https://linkedin.com/in/wsdt 10 分钟 阅读 · 2026年10月14日 最近审核 2026年10月14日 [**下一篇**](/zh/blog/ai-vendor-security-questionnaire-eu/)