2026年10月13日，APPI News 刊出對 Anthropic Frontier Red Team 一項研究的整理。研究分兩部分測試模型代理程式的「自我複製」能力：一是在陌生硬體上架設推論服務，二是在防火牆隔離的模擬網路中，從起始節點探索、傳送負載並擴散到其他節點。研究團隊明確表示，測試是在受控環境進行，不代表真實家電或市售物聯網裝置已能被模型代理程式控制。
「自我複製」在研究中的定義
研究中「自我複製」指一串可拆解的操作流程：代理程式先找到可接觸的目標設備，取得在該設備執行程式的機會，傳送模型權重與執行所需檔案，安裝或設定推論環境，然後尋找下一臺設備。研究者關注的是這些步驟能否被串接完成，並不主張模型具有意圖或自我意識。權重是模型訓練完成後用來產生推論結果的參數檔。
這項警告與本機推論的關鍵區別在於，「模型跑在裝置上」和「模型可以操作裝置」是兩件事。代理程式的實際能力受產品提供的工具、作業系統權限、連線範圍與更新方式共同限制。
兩組測試的數字
第一組測試聚焦推論環境設定。代理程式需辨識硬體與作業系統、選擇相容的推論軟體與套件版本、排除設備特有的錯誤。據 APPI News 引述，受測的 Qwen3.5-9B 在九種硬體中的八種成功架設推論服務。
第二組是端到端流程測試。研究團隊在防火牆隔離的 Google Cloud VPC 內建立八個 redroid Android 模擬節點，起始節點預先放入代理程式，其後代理程式要探索網路、連上其他節點、傳送負載並啟動推論服務。結果是 GLM-5.2 驅動的代理程式在五次測試中四次抵達全部八個節點，一次抵達七個。
能力邊界與簡化條件
研究存在多項限制，讀者須與數字分開理解。端到端測試僅由 GLM-5.2 完成，這只證明該等級的代理程式在特定條件下走完流程；若要推及小型模型，還須假設同等能力能縮小到設備可執行的規模，而這個縮小假設本身未在研究中測試。研究也未讓 9B 模型在攻下的設備上運行自身權重，目標節點上設定的是 Llama 3.1 8B。
連線條件同樣經過簡化。研究者在封閉 VPC 的模擬節點間開放未經驗證的 Android Debug Bridge（ADB）連線，讓代理程式略過真實環境中的身分驗證與漏洞利用難題。因此端到端結果不能讀成真實網際網路的成功率，也不能推斷一般家用路由器或電視盒可被同樣方式進入。
Anthropic 研究團隊將推論環境設定描述為複製流程中研究較少、也可能最具挑戰性的階段，測試重點在硬體與軟體的除錯組合。此外，團隊依小型開放權重模型過去的能力成長趨勢推估，達到 GLM-5.2 能力門檻的時間可能落在 2026 年底。此為趨勢推估，非實測結論。
對產品團隊的實務提醒
APPI News 的整理指出，開發、採購或管理連網家電、攝影機與其他物聯網裝置的團隊，可據此研究檢查幾個面向：模型代理程式取得哪些執行權限與工具、裝置如何接收與驗證更新、網路出口的允許範圍，以及出現異常時由誰、以何種機制隔離設備並復原。這與近期資安圈關注的代理程式權限治理議題方向一致，例如支付卡產業安全標準委員會針對支付環境 AI 代理發布的補充指引，即要求敏感操作須經人員核準（詳見先前整理的PCI SSC 支付環境 AI 安全指引）。
另方面，「模型跑在裝置上」本身也有獨立的治理課題。亞馬遜向 Kindle Oasis 推送新版韌體後封堵用戶自行備份電子書路徑的事件顯示，邊緣裝置上的韌體更新機制同時決定了廠商與用戶各自能對裝置做什麼（見Kindle Oasis 更新封堵自行備份路徑）。
研究全文的可核實結論目前止於：部分能力已能分別完成，有代理程式在受限模擬網路走完端到端流程；至於真實環境中的擴散風險，須待未來針對縮小模型的後續測試才能回答。