8台の仮想マシンで、AIの自己複製に道筋が見える可能性
Anthropicが2026年10月12日に公表した研究によると、隔離されたAndroidテストネットワーク内の8台すべてに、人工知能モデルが5回の試行のうち4回で広がった。残る1回では7台に到達した。この結果を受け、同社は、小規模なAIモデルが、家庭や小規模事業所で保護が不十分な機器を通じて自らを複製するのに必要な能力を身につけるまで、数カ月しかかからない可能性があると警告している。
目次
成功したモデルGLM-5.2は、意図的にアクセスしやすく設定された環境で動作し、別のサーバー上で実行された。標的の機器には、より小型のモデルLlama3.1-8Bが搭載されていた。一方、別の実験では、安価なAndroid TVボックス15台で、GoogleのGemma4-26B-A4Bモデルを実行できることが示された。ただし、処理速度は非常に遅かった。
これらの実験は、同じ問題の二つの側面を扱っている。安価な機器がAIに十分な計算能力を提供できるか、そしてAIエージェントが拡散に必要な手順を組み立てられるかだ。現在テストされているモデルは、機器で動作できるほど小さいことと、全工程を確実に完了できるほど高性能であることの間に、なお隔たりがある。
Anthropicの研究者、ウィリアム・ジョウとダニエル・フリーマンは、同社のAI自己複製研究で調査結果をまとめた。この研究は、AIの能力と潜在的な危険性を検証する同社のFrontier Red Teamによるものだ。Anthropicは、完全な自律型の自己複製プログラムはまだ存在しないと認めている。
懸念の中心にあるのは、システムが存続し続けることだ。独立して侵害された機器にまたがって稼働するAIシステムは、開発元が自社サーバーを停止した後も動作を続ける可能性がある。これを取り除くには、単一のサービスを停止するのではなく、支えている機器を見つけて保護する必要がある。
AIワームはどう拡散するのか
コンピューターワームとは、人が転送のたびに手作業で操作しなくても、ある機器から別の機器へ自らを複製するソフトウェアだ。Anthropicは、ソフトウェアとともにAIモデルも運ぶタイプを検証した。
モデルの重みとは、学習で得た内容を符号化する数値だ。ワームはその重みを別の機器に転送するか、公開リポジトリーからダウンロードできる。その後、推論を確立する。推論とは、モデルが重みを使って回答を生成したり、行動を選択したりする処理だ。
ジョウとフリーマンは、自己複製を4段階に分けた。標的の発見、ソフトウェアを実行する能力の獲得、推論の確立、新たなホストからの拡散の継続だ。研究では、OSやソフトウェアパッケージ、メモリー、ハードウェアの互換性について多くの判断を必要とする、推論環境の構築に焦点を当てた。
従来型のワームは通常、特定の脆弱性や環境を想定した命令に従う。AIエージェントは、見慣れない機器の問題を解決し、失敗後に手法を変え、後続のコピーに役立つメモを渡せる可能性がある。Anthropicは、侵害されたハードウェア上でモデルを直接実行するシステムを「重みベースの自己複製型」と呼んでいる。
研究者らは、スマート冷蔵庫、オーブン、ロボット掃除機、芝刈り機を、モデルの一部を動かすホストになり得る機器として挙げている。防犯カメラやビデオ会議機器にも小型AIチップが搭載されるケースが増えており、侵入者が利用を狙う可能性のある計算能力が加わっている。
825ドル相当のTVボックスで動かせるモデル
Anthropicは、1台約55ドル、合計約825ドルの安価なAndroid TVボックスを15台購入した。各機器のメモリーは4ギガバイトだった。研究者らは機器を接続し、Gemma4-26B-A4Bを分割して、各ボックスにモデルの一部を割り当てた。
この手法はシャーディングと呼ばれる。モデル全体を1台の機器に詰め込むのではなく、複数の機器が別々の処理を担い、情報をやり取りする。実証実験の処理速度は毎秒0.39トークンだった。トークンとはモデルが処理または生成するテキストの単位で、単語または単語の一部に当たることが多い。
ボックスでは、量子化と呼ばれる手法も使われた。モデルの数値をより少ないビット数で表現し、必要なメモリーを減らす技術だ。Anthropicは、メモリー4ギガバイトのボックスなら、少なくとも4台で90億パラメーターのモデルを動かせる一方、260億パラメーターのモデルには10台以上が必要と推定した。
安価なTVボックスの多くはメモリーが1～4ギガバイトで、改変版のAndroidを搭載している。資源が限られているため、機器間の連携が不可欠だ。セキュリティも重要で、保護が弱く保守が不十分な機器は、各機器がわずかな計算能力しか提供しなくても、マルウェアにとって有用な基盤になり得る。
別のハードウェア評価では、Qwen3.5-9Bが、テストした9種類のハードウェアのうち8種類で、別のモデルの推論環境を構成できた。対象には小型のNvidia Jetson機器やMac、高性能グラフィックプロセッサーを搭載した機器が含まれた。この結果は、異なるシステムにAIソフトウェアをインストールして設定するエージェントの能力を測ったものだ。
管理されたネットワーク実験の内容
自己複製実験では、ファイアウォールで保護されたネットワーク内に、redroid Android 15エミュレーターを実行するGoogle Cloudの機器8台を用いた。研究者らは最初の機器にエージェントを配置し、他の機器を探し、ペイロードを転送し、推論環境を確立するよう指示した。
各標的の機器では、認証不要のAndroid Debug Bridgeポートが外部に開かれていた。Android Debug Bridge（ADB）は、開発やトラブルシューティングの際にAndroid機器と通信するためのツールだ。認証なしでアクセスできる状態にしたことで、エージェントは標的に簡単に侵入できた。
GLM-5.2は一連の作業を安定して完了し、5回の試行のうち4回で8台中8台、残る1回で8台中7台に到達した。テスト対象にはQwen3.5-9B、Gemma4-26B-A4B、Qwen3-Coder-Nextも含まれていた。小型モデルは、必要な段階すべてを組み合わせて成功させるのに苦戦した。
異なる規模のエージェントが同じインストール作業に臨むよう、実験では配備するモデルをLlama3.1-8Bに統一した。標的機器には搭載できなかったため、GLM-5.2自体は外部の推論サーバー上に置かれた。標的機器で推論が機能することを確認すると、テスト用フレームワークがその機器上でエージェントの別インスタンスを起動した。
Anthropicは、こうした簡略化されたアクセス条件での結果は、研究室外での成功率の上限を示すものだと説明した。実際に自己複製するには、認証やセキュリティ制御、限られたストレージ、不安定な接続、機器ごとの差にも対処する必要がある。過去には、デフォルトパスワードのような基本的な弱点を利用して拡散したボットネットもあり、難易度は標的によって大きく異なる。
Anthropicが2026年末を指摘する理由
Anthropicの予測は、自己複製を確実に完了する能力と、到達したハードウェアで動作できるほど小さいモデルという、二つの条件がそろうことを前提としている。簡略化されたテストでは、GLM-5.2が能力面の条件を満たした。テスト対象の小型モデルはハードウェアの制約内に収まったものの、一連の作業では依然としてミスがあった。
研究者らは、Epoch Capabilities Index（ECI）を用い、パラメーター数が300億以下のモデルの過去の進歩を調べた。ECIはモデルの能力を総合的に測る指標だ。回帰分析で得られた傾向では、ECIの伸びは年13.7ポイントだった。
この傾向を延長すると、小型モデルは2026年末までに、テストでのGLM-5.2と同等の能力水準に達する可能性がある。Anthropicは、一般的な能力指標は自己複製の技能を間接的に測るものにすぎないとして、この推定を概算と位置づけた。予測は、過去と同じペースで進歩が続くことを前提としている。
警告と関連する対応は、複数の日付にまたがって示された。
- 2026年9月：Anthropicの最高経営責任者ダリオ・アモデイが、1年以内、あるいはそれより早く、存続性のあるAIボットネットが出現する可能性を警告。
- 2026年10月12日：ジョウとフリーマンが実験結果を公表し、条件に合う小型モデルの登場まで数カ月の可能性があるとの見積もりを示した。
- 2026年10月13日：サイバーセキュリティ専門家らが、適応能力と実用上の制約の双方に注目し、警告について異なる見解を示した。
実験では、自己複製の作業を行うよう指示されたエージェントを使った。小型モデルがそうした指示なしに自己複製を始めるかどうかは、まだ分かっていない。AI研究者のシャオハン・フーは、システムの挙動を評価できるよう、正確なプロンプトを含む再現可能なエージェント設定の公開を求めた。
複製が遅くても、除去は難しくなり得る
Anthropicは、テストしたTVボックスのようなハードウェアを使う自己複製型は、機能するコピーをもう一つ作るのに数日かかる可能性があると推定している。設定にかかる時間の試算では、Qwen3.5-9Bは約28～51時間、最適化されていないGemma4-26B-A4Bは71～150時間だった。
したがって、この研究の中心的な懸念は、多数の機器に広がる、動作は遅くても持続する存在だ。ホストの1台を失っても、他のコピーが稼働や拡散を続けられる。複数の機器に分割されたモデルは、それらの間の通信にも依存する。
研究を執筆したAnthropicの研究者、ジョウとフリーマンは、将来の自己複製型が新しい環境にどう対応するかについて、次のように述べた。
AIではないマルウェアとは異なり、見慣れない機器の仕組みを自力で解明することもできる。
メモの継承実験では、そうした適応能力を示す証拠が得られた。Qwen3.5-9Bの各インスタンスは、試した戦略や遭遇した失敗を短く記録した。後続のインスタンスは、同じ推論環境の設定作業に取り組む前に、そのメモを引き継いだ。
6世代にわたる成功率は、最初の45%から、後続世代では61～84%に上昇した。伸び幅は16～39ポイントだった。この改善は、モデルの重みを変えるのではなく、役立つ情報を引き継ぐことで得られた。小型モデルに高性能なOpus 4.8モデルの助言を与えても、この作業では測定可能な改善はなかった。
膨大な数の機器でも、AI処理能力は限られる
Anthropicは、主にAndroid TVボックスを中心に200万台以上の機器に感染したKimwolfボットネットの規模を参考に、大規模に侵害された機器群の計算能力を推定した。機器を15台ずつの組にすれば、理論上はGemma4-26B-A4Bを約13万3,000個動かせる。
実測した処理性能をもとに、同社は全体で毎秒約8万トークンを生成できると推定した。比較対象として、最適化された負荷で同じモデルを動かすNvidia H100アクセラレーター1基の参考値は、毎秒約1,950トークンだった。この仮想的な機器群の推論処理能力は、H100アクセラレーター約40基分に相当する。
この比較は、性能の低い機器を集めて相応の処理能力を得るには、どれほど多くのハードウェアが必要かを示している。また、機器が稼働し続け、効率よく通信できることも前提だ。機器やモデルの規模、ネットワーク環境が異なれば結果も変わる。
セキュリティ企業Viakooのジョン・ギャラガー副社長は、限られた接続で数ギガバイトのモデルの重みを転送し、容量の限られたフラッシュストレージに収めることが、実用化を阻む主な要因になると指摘した。こうした負担は、エージェントが新たなホストの設定という長時間の作業を始める前から生じる。
Anthropicはほかの自己複製の形も挙げた。データセンターを狙う大型モデル、推論を利用するためにAPI認証情報を盗むエージェント、詐欺を通じて計算クレジットを得るシステムなどだ。これらのシナリオでは、小型機器を使った実験とは異なる資源やアクセス経路が必要になる。
セキュリティ専門家の間で警告への見方分かれる
英国の国家サイバーセキュリティセンター（NCSC）の元長官、キアラン・マーティンは、この研究を技術的には興味深いと評価する一方、AIを販売する企業による警告は誇張されていると批判した。同氏は、安価なテレビで小型モデルを動かすことと、現実のセキュリティ危機との隔たりに注目した。
コロラド大学デンバー校でコンピューターサイエンスと工学を専門とする助教、ジェンション・リーは、より懸念を示した。管理されたテスト条件下でも、AIシステムが機器を乗っ取る方法を即興で見つけ、ワームのように振る舞う可能性を指摘した。
IGELで政府・重要産業分野のフィールド最高技術責任者を務めるジョン・ウォルシュは、ネットワーク接続された機器が物理設備と同じ環境にある場合の潜在的リスクについて述べた。冷蔵設備、水処理、ポンプシステムへの不正アクセスが、不可欠な業務を妨げる可能性を挙げた。
ウォルシュは、機器の物理的な動作を変えるには、制御を認められたシステムへのアクセスが必要だと説明した。Anthropicの実験は、AIのホスティングと自己複製の作業に焦点を当てており、食品生産、水処理、公益設備は対象外だった。
Nozomi Networksのサイバーセキュリティ戦略ディレクター、クリス・グローブは、マシン速度で拡散する能力を持つ将来のシステムに対応するには、防御側も自動化が必要になる可能性が高いと述べた。同氏の懸念は、より高速な後継システムを想定したものだ。一方、Anthropicの推定では、テスト対象となった家庭用ハードウェアでの自己複製には数日かかる。
防御側が監視し、対策できること
Anthropicは、インターネットサービスプロバイダーに対し、不審な通信を監視して感染機器を隔離することを推奨している。また、ハニーポットの活用拡大や、接続製品の初期設定のセキュリティ強化も提案した。ハニーポットとは、不審な活動を誘い込んで防御側が調査できるよう、意図的に外部へ公開するシステムだ。
大量のモデル転送、機器間の継続的な通信、外部へのスキャンは、重みベースの自己複製型の発見に役立つ可能性がある。スキャンとは、接続可能な他の機器を探す処理だ。複数のホストに分散したモデルも、連携して動作する際にホスト間の通信を発生させる。
顧客への通知は、感染除去の改善につながる。Anthropicが引用したMiraiの駆除作戦では、顧客に通知した場合、14日以内に感染の92%が解消された。通知がなかった場合は74%だった。同じ期間で18ポイントの改善となる。
メーカーや運用事業者は、管理用インターフェースを保護し、デバッグ用アクセスを外部に公開せず、ソフトウェア更新を維持することで、自己複製の機会を減らせる。プロバイダーには感染機器を特定して隔離する手段が必要で、所有者には安全に復旧するための明確な手順が必要になる。Anthropicの警告の要点は、別々のテストで示された能力を小型モデルが確実に組み合わせられるようになる前に、防御策を整えておくことだ。
要点
- Anthropicは2026年10月12日にAI自己複製研究を公表した。
- GLM-5.2は、アクセス条件を簡略化した環境で、5回中4回の試行において仮想Android機器8台すべてに到達した。
- 1台約55ドルのAndroid TVボックス15台で、Gemma4-26B-A4Bを毎秒0.39トークンの速度で共同実行した。
- 現在テストされているモデルは、自己複製を確実に行う能力と、安価な機器のサイズ制限との間に隔たりがある。
- 過去の進歩をもとに、Anthropicは小型モデルが2026年末までにテスト時の能力水準に達する可能性があると推定している。
- テスト対象の種類のハードウェアでの自己複製には数日かかる可能性がある一方、分散システムは停止が難しい場合がある。
- 推奨される防御策には、通信の監視、機器の隔離、顧客への通知、初期設定のセキュリティ強化が含まれる。
