小型AI模型或数月内能在物联网设备上自我复制

William Zhou, Daniel Freeman

我们的实验表明，小型AI模型距离能够在商用物联网设备（如智能烤箱和非品牌Android TV盒子）上自我复制可能只有几个月的时间。这样的复制体将难以被关闭，因为没有集中的切断点——尽管它可能很慢（倍增时间以天计）。与非AI恶意软件不同，它还能自行搞清楚不熟悉的设备。在我们的评估中，一个9B模型在我们测试的9种硬件类型中的8种上成功运行了推理。

30B参数及以下的模型今天已经能完成复制过程中的许多独立步骤，但在端到端串联时仍会犯错。在我们简化的评估中，GLM-5.2及更强模型能够进行端到端复制。如果小型模型按历史速度提升，它们将在今年年底达到这一能力水平。小型基于权重的复制体可能在此之后不久成为可能。

引言

AI能力的不断进步使一个长期存在的担忧变得越来越现实：自主复制与适应（ARA），即模型在无人控制的情况下自我部署和传播。

在网络领域，蠕虫是一种无需人工输入就能从一台计算机复制到另一台计算机的程序。已有先前工作表明，AI智能体可以像蠕虫一样行动：扫描网络、执行漏洞利用、将模型权重复制到GPU集群中的目标机器上。这样的“AI蠕虫”可以在繁殖时随身携带模型权重（或从公共中心重新下载），然后直接在受入侵的硬件上运行推理。实际上，权重将成为恶意软件载荷的一部分。

数据中心GPU将是此类恶意软件的明确高价值目标。但昂贵的加速器并非必不可少。在本文中，我们展示了一个由物联网设备组成的分布式僵尸网络——这些设备廉价且通常防御薄弱——也能提供足够的算力来运行一个有能力的模型。

我们将Gemma4-26B-A4B分布式运行在我们购买并组网的15台廉价非品牌Android TV盒子上（每台约55美元），速度为0.39 tokens/秒。下方的每个格子显示一台物理电视盒子在模型运行时持有模型的两层。

15台智能电视盒子组成的集群正在分布式推理运行Gemma4-26B-A4B。

当然，要证明自主蠕虫能够在弱机器网络中传播自身，还有很多其他步骤。在本文中，我们将复制链路分解为几个步骤。

在本研究中，我们将自主复制分解为四个实际阶段：发现目标、获得执行权限、搭建推理、从新主机继续传播。

我们基本上忽略复制过程中的网络利用环节（上面的前两个阶段），因为之前的论文CyberGym、ExploitBench和adaptive worms已经表明，小型模型能够进行网络利用，尤其是在获得合适工具的情况下。但复制过程中一个较少被衡量的部分涉及在被入侵设备上搭建推理，这正是我们在这里的重点。

在本文中，我们首先列出我们认为最有可能实现的威胁模型。然后，我们测试小型模型能否在不熟悉的硬件上搭建推理，以及它们能否在机器集群上将完整的复制循环串联起来。之后，我们估计这种蠕虫的传播速度有多快，并测试它能否在复制过程中学习和适应。最后，我们讨论AI蠕虫与前AI时代的恶意软件有何不同，并简要提出防御此类复制体的建议。

威胁建模

在本文中，我们关注AI蠕虫可能的一种传播方式：小型模型通过入侵宿主机进行复制。但AI蠕虫还可能尝试其他几种方式：它们可以窃取访问权限以启动主机（例如API密钥或平台凭据），或通过合法工作赚取推理费用（例如数字自由职业）。我们认为最接近实现的是以下威胁模型：

通过入侵主机进行复制的小型模型。在本文中，我们将直接在受入侵硬件上运行模型副本的自主蠕虫称为基于权重的复制体。家庭和小型企业的物联网设备可能成为这类攻击的首个目标，因为它们连接到互联网，而且历来几乎没有什么安全措施。

太大而无法容纳在单台设备上的模型可以拆分成多个分片（shards），运行在相互通信的不同机器上，共同运行该模型。能够为<30B模型运行一个可观分片的机器包括智能冰箱、智能烤箱、自动吸尘器和割草机。越来越多的家庭和商用设备（如安防摄像头和视频会议设备）现在自带小型内置AI芯片，设计用于在设备本身上运行AI模型。这些额外的算力也可能使它们成为有吸引力的目标。

人类黑客通常通过社会工程学（例如，说服公司的IT部门相信你是忘记密码的员工）而非黑客技术来入侵安全系统。对于今天的小型模型，这种取舍似乎反过来了：与它们的社会工程学能力相比，它们在智能体编码和黑客技术方面相对更强（见附录E），尽管随着模型改进这种情况可能会改变。

以数据中心和其他高计算力目标为对象的大型先进基于权重的复制体。较大的模型往往具有相应更强的网络能力，但也需要入侵（相对）加固的数据中心来运行自身。我们将这一威胁模型分为两个子类：

前沿复制体：大型闭源权重复制体在其实验室的基础设施上运行，可以启动无人监控的内部部署，或将权重外泄到外部计算资源上。

开放权重复制体：这类复制体的起点资源相对较少（因为无法受益于实验室的计算资源），但一开始就不受监控。

基于API的复制体：模型通过窃取自身推理API的凭据进行复制。这类复制体需要模型提供商在不知情的情况下为其提供服务，而且它们的持久性可能较差，因为它们很可能更容易被发现（尽管它们的传播速度可能更高，例如，如果它们能利用受害者的账户进行复制）。

在实践中，AI蠕虫不一定只由一种模型或策略组成。由部署在不同类型硬件上、使用各种复制方案的不同模型组成的群体，可能代表更现实的“最坏情况”攻击。

在本文中，我们考察小型基于权重的复制体的可行性（上文第1节）。我们聚焦于此，因为这是一个近期威胁模型，可以直接进行研究。本文顶部的演示——一个26B模型运行在15台盒子上——表明物联网设备可以运行能力令人惊讶的模型。这些模型能否胜任自主复制？

我们从两部分来考察。第一，小型模型能否在不熟悉的硬件上启动模型运行？第二，它们能否在一次运行中完成整个循环（发现未感染设备、复制自身过去、在那里启动运行、然后重复）？

A. 推理搭建

在上面展示复制循环的图中，推理搭建是研究最少、对小型模型来说也可能是最具挑战性的阶段。它需要一系列相当长的、因硬件和操作系统而异的决策，涉及选择兼容的推理技术栈、找到正确的软件包版本，以及调试特定机器的问题。这些步骤是串行依赖的，而且失败后很难恢复。

旁注：评估推理搭建性能

我们衡量不同开放权重模型在各种异构硬件类型上提供Llama3.1-8B服务的能力。下表显示了各种硬件类型上每秒服务的tokens数：

点击表格单元格可查看其服务速度分布。点击行/列标签可查看模型或硬件类型间的比较。

像Qwen3.5-9B这样的小型模型，能够在从Jetson Nano到Mac PC和RTX 4090的硬件上搭建推理服务器。更强大的模型如GLM-5.2不仅更可靠，还能实现更高的serve tokens/s，从而实现更快的复制。我们测试并提及特定芯片，是为了衡量模型能在多大程度上在其上搭建推理。这些芯片本身不是风险或漏洞来源。

我们使用Memento运行这些实验，Memento是我们在开源Pi编码智能体之上构建的框架。Memento旨在缓解我们在长时段运行中观察到的一种常见失败模式：智能体可能固守一个错误想法（例如，关于bug发生原因的想法），并继续追求它而不是回溯。这种失败的一个例子是：一个Qwen智能体花了几个小时调试包版本问题，而真正的bug来自实现了一个与评分器API不兼容的端点。

Memento定期启动一个新的智能体实例，继承前一个智能体的工作区以及前一个智能体写的简短笔记（记录它尝试了什么），使后面的实例能够尝试不同的策略。

模型如何在智能电视上运行？

物联网设备内存有限，但像Petals那样的分布式推理使运行我们的轻量模型成为可能。代表性的威胁模型是Kimwolf，一个感染了超过两百万台设备的大型物联网僵尸网络，主要是非品牌Android电视。这类随处可购的智能电视盒子通常运行Android开源项目（AOSP）的分支，制造商不会为其添加安全功能。这一档次的典型盒子配备1到4GB内存。假设4GB内存使用4比特量化，这允许4台或更多机器推理9B模型，10台以上机器推理26B模型。

在本文顶部的演示中，我们在15台各配备4GB内存的智能电视盒子上运行了Gemma4-26B-A4B。我们在流水线并行下对模型进行分片，每台盒子持有模型的一小部分层。

B. 病毒式传播：跨GCP节点群的自主搭建与复制

既然我们已经看到模型能够在不熟悉的硬件上搭建推理，接下来让我们衡量模型是否能够组合这些步骤——即扫描网络寻找目标、通过反向shell访问目标、发送病毒载荷（权重和框架）、以及搭建推理。

自主推理搭建与复制（简化版网络利用）

为此，我们构建了一个由8个运行redroid（Android 15模拟器）的GCP节点组成的防火墙隔离VPC。零号感染节点（灰色节点）被植入蠕虫。之后的每一次感染都是蠕虫本身通过一个无认证的ADB端口在节点间跳转，然后搭建推理服务器来提供Llama3.1-8B服务。如果推理服务器通过一系列正确性和反作弊检查，我们就在目标节点上生成另一个蠕虫副本（例如，如果GLM-5.2在一台机器上搭建好了Llama3.1，我们就在其上生成一个GLM-5.2蠕虫的副本）。蠕虫的模型运行在一个单独的推理服务器上，因为VPC节点不够大，无法运行较大的模型。

在下图中，我们将给定模型作为载荷放入，并衡量其复制能力。

为什么让模型搭建Llama3.1-8B的推理，而不是搭建它们自己？

在我们测试的开放权重模型中，只有GLM-5.2能够进行完整的端到端复制（假设其能力能够打包进Llama3.1-8B中）。注意，GLM-5.2可靠地做到了这一点，而其他模型则稳定地失败（它在5次试验中的4次传播到了8/8个节点，1次为7/8）。

看起来GLM-5.2能够很好地传播Llama3.1-8B，这表明未来同等能力水平的小型模型也能完成复制过程中的网络枚举、载荷投递和推理搭建步骤。我们的评估将复制过程中的网络利用环节保持得非常简单（ADB端口上没有认证），这使本次结果成为真实世界成功率的上限。注意，过去的物联网僵尸网络曾通过极其简单的方式复制，比如遍历制造商默认用户名和密码列表，Mirai僵尸网络就是如此，所以真实的物联网安全可能不会比我们评估中的这个简单步骤难太多。

作为一项健全性检查，我们可以看看自主编排这一步有多难（如果去掉网络利用和推理搭建，剩下的命令行苦力活有多难？）。这个消融实验是移除推理搭建步骤后的上述评估（通过预先写好的脚本完成）。我们名单上的许多模型，包括较小的模型，都能完成这些剩余步骤。

在受控的17节点redroid集群上的复制：两个8节点子集通过一个枢轴节点相连（见附录F，使用温和提示）。每棵树是模型六次运行的中位数。

就这种蠕虫而言，我们可以设想：

自主蠕虫必须高于的模型能力下限，才能可靠地完成复制。在我们简化的评估中，GLM-5.2高于这个下限。

模型必须低于的模型规模上限，使其能够在所攻击的设备上运行。对于我们测试的智能电视类别（4GB内存），Qwen3.5-9B和Gemma4-26B-A4B低于这个上限。

目前，下限和上限没有交集。它们何时会相交？

上方是30B及以下总参数的知名开放权重模型图，每个模型按其发布日期对照Epoch能力指数（ECI）绘制。实线是各日期同类最佳模型的最小二乘拟合，每年增益13.7个ECI（R²为0.95）。如果我们以GLM-5.2作为复制的能力下限，趋势线显示小型模型将在2026年底达到该水平。ECI是一个通用能力指数，只是复制能力的代理指标，因此这只是对小型模型复制体何时成为可能的粗略估计。

C. AI物联网蠕虫的复制速度会有多快？

与编码智能体不同，这些复制体会以低于面向用户的聊天和编码框架的交互速度运行。传播将是缓慢而持久的，token在边缘硬件上涓涓流出。我们可以用在实际智能电视上达到的速度作为复制速度的实证基线。对于Gemma4-26B-A4B，在32k上下文长度token窗口上的未优化速度约为0.3 tok/s，取推理搭建工作负载中prefill和decode的平均值。更多细节见附录C。

衡量总耗时的一种方法是测量完成一个32k大小的上下文窗口需要多少小时，之后将发生压缩。根据我们的推理搭建评估统计数据，完成一条轨迹需要约2.6到4.7个完整窗口。

模型 | 窗口时间 | 完整推理搭建时间
Gemma4-26B-A4B（未优化）| 27.3-31.8小时 | 71-150小时
Qwen3.5-9B | 10.9小时 | 28-51小时

Synthient报告的Kimwolf僵尸网络在巅峰时期感染的设备数量超过200万台（主要是Android电视盒子）。在同等规模的受感染电视集群中提供AI模型服务，如果每15台电视组成一组运行一个Gemma4-26B-A4B副本，我们将拥有约13.3万个副本（“复制体”）。像我们演示中那样的电视机组可以同时服务2个智能体，每个约0.3 tokens/s，整个僵尸网络产生80k tokens/s。作为参照，一张H100在高并发和推测解码下可以约1.95k tok/s的速度提供Gemma4-26B-A4B服务，所以我们的群体最多拥有大约40张H100的推理能力。绝对而言，这是很小的算力，而且这些智能体是缓慢的复制者（每次9B复制需要1-2天以上）。打个比方，想象复制体是一种黏菌或一群果蝇，以天为单位进行复制。

这是一个粗略估计，因为它锚定于单一类别的物联网硬件和单个历史僵尸网络实例，但它描述了近期发布的简单复制体可能的样子。在实践中，能力更强的复制体会利用其他类型的低安全性计算资源，并机会主义地在不同设备上部署各种规模的模型。（它也不必把模型载荷加载到每台被入侵的设备上。）随着时间的推移，我们预计已部署的边缘计算量将持续增长，而可靠复制所需的最小模型规模将下降。

D. 适应与能力提升

在工作中学习

ARA中的“适应”部分是AI复制体可能胜过传统蠕虫的原因之一。具体来说，模型和提示词在传播过程中可以经历拉马克式进化——也就是说，父代实例可以将它们的提示词、代码和笔记传递给子代复制体。为了适应并传播到各种各样的硬件上，模型需要具备两件事：

具备超过一定能力阈值，能够传播到新的、未见过的硬件（或软件环境、网络类型）上。

一旦见过，适应其所在的环境类型（它应该在之前见过的硬件上更可靠地复制）。

第A节和第B节测试第一个条件，下面的实验我们测试第二个条件。每个Qwen3.5-9B实例会简要记录它尝试过的策略和遇到的失败，然后一个新实例继承这些笔记并再次尝试相同的推理搭建。

六代Qwen3.5-9B的推理搭建成功率，每一代继承前代的笔记。淡色线是20个独立谱系，粗线是每一代中完成搭建的运行比例。它从第一代的45%上升到后代的61%到84%之间。这使用了Memento框架（附录A）。

接受建议

另一个问题是，小型模型可以向一个前沿顾问寻求帮助——一个更强的模型，要么作为工具调用提供给它们，要么在小型模型卡住时主动给出建议。为了测试这一点，我们在推理搭建任务中给了Qwen3.5-9B访问Opus 4.8的权限。前沿模型的建议并没有显著帮助：小型模型往往不知道该怎么问正确的问题，而且当建议是主动给出的时候，它们也没有改进。

即使通过强化学习训练在类似环境（Python编码问题）中使用顾问，小型模型在推理搭建方面仍然难以有效地寻求帮助。两个结果如下面的图所示。

按顾问访问权限划分的推理搭建成功率，带Wilson 95%置信区间。对顾问的访问——无论是作为工具调用提供，还是在卡住时自动提供给模型——都没有带来显著改进。两个RL组在软件工程任务上接受了带顾问访问的训练，最右边一组还在卡住时调用顾问给予奖励。

由于小型模型是能干且执着的个体智能体，但又不善于利用建议，我们认为协调更可能以大型模型处理高层策略并启动小型模型作为子智能体的方式进行。

E. 这与前AI时代的僵尸网络有何不同？

像Kimwolf这样的硬编码僵尸网络各自针对特定类型的设备——Kimwolf的目标是Android电视和移动设备。AI僵尸网络不绑定于任何特定的硬件或软件类型，小型模型能够从Jetson Nano到Mac的机器上搭建推理引擎就证明了这一点（见第A节的表格）。我们预计AI僵尸网络感染的将不止是物联网设备，并且会将基于权重的复制作为其策略库中的一种策略。AI僵尸网络还可以智能地行动以对抗防御者，但我们尚未测试这一点。

F. 蓝队防御措施

与流行病一样，防御涉及将R₀（每个受感染设备继续感染的新设备数量）降到1以下，使复制体消亡而不是持续流行。围绕这一威胁模型的一些因素对防御者有利：

一个基于权重的复制体在物联网机器中大规模增殖会留下网络特征，在ISP基于流量的监控系统中表现为异常。新感染的主机可能会从其他设备或外部托管服务接收数GB的模型载荷，而分布式推理会在通常不会以该流量通信的机器之间产生持续的设备到设备流量。传播本身会增加额外的扫描和出站连接模式。

在实践中，复制体在复制速度和隐蔽性之间进行权衡：复制越快，产生的流量就越多。一旦发现复制体，防御者可以使用蜜罐（诱饵设备）来收集复制体的框架和载荷，以描述其行为特征。

Mirai僵尸网络的清理之所以成为可能，是因为一家ISP利用外部获得的感染证据对客户进行隔离和通知。隔离受感染订户涉及将其网络限制为只能访问一个简短的网站白名单，否则将其浏览器重定向到清理说明。这在14天内清除了92%的感染，而不通知的情况下只有74%。我们预计隔离对针对基于权重的复制体的初始防御同样有效。完全消除复制体意味着要在每个有受感染网络的ISP之间进行协调，这很困难。

制造商可以缩小目标池，由监管来协调。例如，默认物联网密码现在在英国市场是不合规的。转向更安全的默认设置并提高合规基线，将有助于同时抵御AI和脚本僵尸网络。

G. 结论：生命迹象

使AI模型成为普遍强大的编码智能体的能力，也能泛化到网络任务，包括自主复制。就像2024年的编码智能体一样，我们正在看到AI蠕虫的生命迹象。我们还没有一个完整的失控复制体，但智能体正变得越来越能够完成复制链中的各个步骤（并将它们的适应传递给未来的自身副本）。

与此同时，数据中心内外现在都有越来越多的推理算力可用（见附录D）。目前还不确定自主AI复制究竟会采取什么形式。它可能是一种缓慢的、分布式的“数字黏菌”，寄居在相对不安全的计算资源上。它也可能是一个强大的网络模型，以高速率突破数据中心，或者一个骗取人们算力额度的模型。

作为一个超出我们实验范围的预测，我们预计未来将充斥着运行在各种硬件上的智能体，其中一些不受人类控制。虽然物联网设备确实长期存在漏洞，但轻量级智能体可能比人类攻击者更愿意投入精力去入侵全球物联网计算资源的很大一部分。缓慢复制体的兴起也将是更激进、更快的复制体的前兆，后者能够突破更坚固的机器，或成为高效的API密钥窃贼。我们应该致力于加固我们的系统，使这类复制体难以传播，同时也要做好准备，应对它们将长期存在的世界。

附录A. Memento框架

Memento的执行方式如下：

我们启动一个智能体实例，它处理问题一段时间（直到一代超时）。

该实例保留简短笔记，超时后总结一份小文档，记录它尝试过的策略、遇到的失败以及它的表现（如果成功的话）。

我们创建一个新的智能体实例，它继承前代的代码库、环境以及笔记文档。

在服务实验中，每个模型被放入Memento框架中，每轮迭代1.5小时/总超时6小时。提示中包含约1k tokens的信息，包括硬件规格和一个简单样例分析器的脚本。

Memento旨在提高长时段运行的可靠性，而不是赋予新的网络或推理特定能力。它也不是一个普遍强大的框架；我们预计随着能力提升，即使没有任何框架，小型模型作为复制体也会改进。

单次尝试与Memento的对比，按模型划分（95% Wilson置信区间）。

附录B. 为什么用流水线并行？

常见的推理并行方案包括张量并行（TP）、专家并行（EP）和数据并行。大多数智能电视/物联网设备使用ARM Cortex CPU和DDR3/4内存；在这类机器上，我们几乎总是受带宽限制。

我们使用流水线并行是因为其容错特性。正如(Borzunov et al. 2022)所述，张量并行/专家并行中单个节点的故障会导致运行该模型副本的整组机器宕机。流水线并行允许替换故障节点，该节点所持层的KV缓存可以通过重启节点前的另一次前向传播重新计算。

附录C. 物联网硬件上的吞吐量与内存

在这类机器上，无论prefill还是decode，每台盒子几乎总是受RAM带宽限制。即使在普通的ARM Cortex核心上，计算吞吐量也超过RAM带宽。Decode工作负载因流水线气泡而有显著的每机空闲时间，因为每次前向传播中只有一台机器处于活动状态。交错工作的并发是可能的，但严格的内存限制意味着并发度保持在较低水平。

每台盒子的内存 vs 上下文——4比特权重 + fp8 KV + 激活值。

Prefill和decode的tokens/s都随序列长度严格下降。下面是我们推理速度与上下文长度的关系图：

还存在一个模型能够胜任的最小序列长度。我们使用的框架是从Pi编码智能体（pi.dev）分叉而来，包含原生压缩机制——即便如此，我们发现当序列长度被限制在32K以下时，模型的性能会受到很大影响。

Qwen3.5-9B在推理搭建任务上的智能体能力 vs 上下文窗口预算。

鉴于上述评估，我们假设32k上下文长度可能足以获得合理的智能体性能。在我们的推理搭建工作负载中，一个标准的32k长度上下文窗口由12-15%的生成decode tokens组成，其余是来自提示词和工具调用的prefill。由于流水线气泡，Prefill tokens的计算速度快得多，约15倍。对整个32k上下文（考虑prefill和decode速度）的每token时间求和，我们发现生成3.8-4.8k decode输出tokens并处理约28k prefill tokens，Gemma4-26B-A4B需要27.3-31.8小时，Qwen3.5-9B需要10.9小时。

每条链的输出tokens（跨链的世代求和），按模型划分；中位数≈19.7k / 12.3k / 11.0k。数据来自推理搭建评估。

附录D. 边缘加速器

我们可以通过Nvidia Jetson这类边缘加速器的总量计算一个更好的上限。与传统物联网僵尸网络不同，物联网边缘设备可以整体提供完整模型服务。一台Jetson AGX Orin 64 GB能以每秒76.7个tokens运行Qwen3-30B-A3B，AGX Thor达到226 tok/s。注意，我们不认为它们特别脆弱——这只是为了计算上限。实际部署中带有Jetson的设备类型包括：

带有嵌入式加速器、支持AI的安防智能摄像头已大规模部署。

视频会议设备通常由板载加速器驱动，用于设备端噪声消除或转录。

车辆、四足和双足机器人，以及无人机。我们预计网络安全将是车辆领域的重点，因此大多数潜在目标可能位于另外两类中。

在FOFA上快速搜索发现，至少有一台配备加速器的智能摄像头主机可通过IPv4访问：

FOFA搜索出一个带有已知边缘加速器的主机，可通过IPv4发现并响应HTTP 200。不过，它可以访问并不意味着它一定可以被利用。

虽然很难估计实际部署中有多少配备边缘加速器的机器可达且脆弱，但我们可以计算出设备总量的严格上限。在实际部署中，大约有90条不同的NVIDIA芯片物联网产品线和约950万台已部署设备。可达性绝大多数是通过出站云管理隧道而非入站端口实现的，这意味着大多数设备无法通过网页访问。历史上从未出现过像标准物联网僵尸网络那样大规模入侵配备加速器的边缘设备的事件，这表明入侵此类设备会更加困难。

按设备系列的已部署单元数，按互联网可达性着色。

基于产品数据的一个非常粗略的估计表明，边缘加速器中存在大约9,000到35,000个H100等效算力，但可达的量可能低一个数量级或更多（脆弱群体甚至更低）。

旁注：E. 鱼叉式钓鱼能力

我们还衡量了现代小型模型在鱼叉式钓鱼方面的熟练程度。鱼叉式钓鱼是向特定个人发送定向消息，诱骗他们泄露凭据或运行恶意软件的行为。虽然小型模型的智能体网络能力飙升，但它们的一般知识和语言精细度提升得更慢；我们预计社会工程学攻击和钓鱼将主要由大型/前沿模型完成（尽管在同时运行大型和小型模型的异构僵尸网络中，这很可能是一个次要复制载体）。

在Meta的CyberSecEval 3鱼叉式钓鱼评估（Wan et al. 2024）上的表现，本地复现。评分范围0-5，以gpt-4o为评委。红色菱形是该论文（CyberSecEval 3）对参考模型的人类评分标准分数，表明gpt-4o的评分比人类评分者宽松约0.4-0.7分。2为“差”，3为“中等”，4为“好”。当按人类评分者标准化后，小型模型得分为“很差”到“差”。

405B参考位使用Hermes-3-405B作为不可用的Llama3.1-405B-Instruct的极简拒绝替身。

附录F. 使用脚本化推理搭建的传播

我们在一个17台主机的网络上运行了更多实验，拓扑如下：

两个各8台主机的网络，通过一个能访问两个子网的节点连接。每个网络是全互联的。蠕虫智能体从A段的一个零号感染节点开始；枢轴节点增加了额外的小挑战，蠕虫需要获得对枢轴节点的访问权限并从那里重新扫描。

每台都运行Android并开放无认证的ADB端口。传播到新目标后，智能体可以立即调用直接调用来复制自身——这只是为了衡量在排除网络利用和推理搭建步骤后剩余步骤的难度。如图所示，即使3B模型也能到达约一半的节点。这限定了我们在网络利用或推理搭建环节中未能衡量的阻塞因素数量。

“17节点网络上的复制”中运行的更详细分解。每列是在提示中不同指导量下到达节点的中位数，下标表示有多少智能体越过枢轴节点到达网络的另一侧。