Anthropic は 2026 年 10 月 12 日に研究結果を発表し、小型 AI モデルが商用 IoT デバイス (スマート オーブン、セキュリティ カメラ、そして何よりもブランド外の Android TV ボックス) 上で十分に自己複製できるようになるまであと数か月しかかからない可能性があることを示唆しています。ワームのようなシナリオでは、人間の関与なしにモデルのコピーがデバイスからデバイスに拡散し、スイッチをオフにする集中ポイントがないため、そのようなレプリケーターをシャットダウンするのは困難であると研究者らは指摘しています。ただし、速度は遅く、倍増に数日かかると考えられます。

「AI モデルはデータセンターにアクセスせずに自己複製できる可能性がある」と題されたこの投稿は、人類学の研究者である William Zhou 氏と Daniel Freeman 氏によって書かれたもので、エージェント AI の安全性に関する調査結果が次々と発表される中で発表されました。このストーリーの詳細については、現在進行中の 最新の AI 開発 をご覧ください。

研究中の中心的なアイデアは自律複製および適応 (ARA) です。これは、人間の制御なしに自動的に展開および伝播するモデルです。著者らは、最も近い将来の亜種を「重みベースのレプリケーター」、つまり独自のモデル重みを保持し (またはパブリック ハブから再ダウンロードし)、侵入したマシン上で直接推論を実行する AI ワームとして枠組みを構築しています。従来のマルウェアとは異なり、このようなワームは見慣れないデバイスを独自に認識する可能性もあると彼らは書いています。

55 ドルの TV ボックスのデモ

エッジ ハードウェアが実際のモデルを搭載できることを示すために、チームは 15 個の安価なノーブランド Android TV ボックス (それぞれ約 55 ドル、それぞれ約 4GB の RAM を搭載) を購入し、それらをネットワーク接続しました。各ボックスがモデルのレイヤーの一部を保持するパイプライン並列処理を使用して、フリートは Gemma4-26B-A4B を 1 秒あたり約 0.39 トークンで実行しました。これは控えめな速度ですが、驚くほど高性能なオープンウェイト モデルが、世界中のリビングルームに設置されている同じクラスの安価なハードウェア上で実行できることを示しています。

ハードウェアの選択は偶然ではありません。投稿で引用された Synthient のデータによると、研究者らは Kimwolf ボットネットを例に挙げています。このボットネットは、ピーク時には 200 万台以上のデバイス (主に Android TV ボックス) に感染したと報告されています。 Anthropic 社の推定では、それぞれのサイズのフリートが 26B クラスのモデルのコピーを 15 個のグループで実行した場合、合計で約 133,000 個のレプリカが生成され、合計で 1 秒あたり約 80,000 個のトークンが生成され、これは約 40 個の H100 GPU の推論スループットに相当します。

AI ワームの 4 つの段階

チームは、レプリケーションを実際の 4 つの段階、つまりターゲットの検索、実行の取得、推論の確立、新しいホストからの伝播の継続に分解します。彼らの実験は、推論のセットアップに重点を置いています。これは、互換性のある推論スタックの選択からマシン固有の問題のデバッグに至るまで、ハードウェアおよび OS 固有の決定の長く連続した依存シーケンスが必要となるため、小規模モデルでは最も研究されておらず、おそらく最も困難なステップです。

結果は厳粛なものでした。 9B パラメーター モデルは、Jetson Nano、Mac、RTX 4090 にわたる、テストされた 9 種類のハードウェアのうち 8 種類で推論を実行できました。著者らは、パラメータが 30B 以下のモデルは、エンドツーエンドで構成する際に間違いを犯すものの、今日ではレプリケーションのための個々のステップの多くをすでに完了できると書いています。特に、重みベースのレプリケーターは root 権限さえ必要としません。推論エンジンは完全にユーザー空間で実行でき、問題のセキュリティの低い種類のデバイスは再起動後に簡単に再感染できます。

1 つのモデルがエンドツーエンド テストをクリア

ヘッドラインの実験では、Android 15 エミュレータである redroid を実行する 8 つの GCP ノードからなるファイアウォールで囲まれた仮想プライベート クラウドにモデルをドロップしました。 「患者ゼロ」ノードにワームがシードされ、その後、認証されていない ADB ポートを介してノード間をホップし、ペイロード (重みとハーネス) を配信し、新しいホストごとに Llama3.1-8B を提供する推論サーバーを立ち上げる必要がありました。

テストしたオープンウェイト モデルのうち、この簡素化された設定で完全なエンドツーエンド レプリケーションが可能だったのは GLM-5.2 だけであり、それが確実に実行されました。5 回のトライアルのうち 4 回では 8 ノードすべてに広がり、残りの実行では 8 個中 7 個のノードに広がりました。研究者らはこれが何を意味するかについて注意を払っている。サイバーエクスプロイト要素が些細なものに保たれていたため（ADBポートでの認証がなかった）、評価は現実世界での成功の上限となっている。しかし彼らはまた、Mirai などの過去の IoT ボットネットはメーカーのデフォルトのユーザー名とパスワード以上のものを使用して拡散したため、現実世界の IoT セキュリティは単純化されたステップよりも劇的に難しいわけではないかもしれないとも指摘しています。

ゆっくり、粘り強く、そして学習する

この脅威モデルには高速なものはありません。チームの実ハードウェア速度に基づくと、新しいハードウェアでの完全なレプリケーション サイクルには、Qwen3.5-9B の場合は約 28 ～ 51 時間かかり、最適化されていない Gemma4-26B-A4B セットアップの場合は 71 ～ 150 時間かかりました。著者らは、スプレッドは「遅くて永続的で、エッジハードウェア上でトークンが少しずつ漏れ出てくる」と書いている。彼らはレプリケーターを、高速で移動するワームではなく、粘菌やショウジョウバエの群れに例えている。

AI レプリケーターを従来のワームよりも危険にする可能性があるのは、適応です。親インスタンスはプロンプト、コード、メモを娘に渡すことができるため、研究者らは一種のラマルク進化を説明しています。ある実験では、Qwen3.5-9B エージェントが 6 世代にわたって推論セットアップを試行し、それぞれが前世代からのメモを継承し、成功率が第 1 世代の 45 パーセントからその後 61 ～ 84 パーセントに向上しました。実験では、オープンソースの Pi コーディング エージェント上に構築されたハーネス Anthropic である Memento を使用しました。これは、エージェントが後戻りするのではなく、誤ったバグ理論に固執するのを防ぐように設計されています。

終了ウィンドウ

チームは、危険ゾーンを 2 つの境界で描いています。1 つはモデルが確実に複製するために上に位置する必要がある機能の下限、もう 1 つはモデルが攻撃するデバイス上で実行するために下に位置する必要があるサイズの上限です。現在、これらの境界は交差していません。有能なモデルは大きすぎ、小さなモデルでは十分な能力がありません。研究者らは、30B パラメーター以下のオープンウェイト モデルをエポック能力指数に対してプロットして、年間 13.7 ECI ポイントの増加を測定し、この傾向が維持されれば、小型モデルは 2026 年末までに GLM-5.2 の能力レベルに達し、その後すぐに小型の重量ベースのレプリケーターが可能になると推定しています。彼らは、これは代理指標に基づいて構築された大まかな推定値であると強調しています。

この投稿ではまた、隣接する脅威モデル（ラボ独自のインフラストラクチャ上で実行されるフロンティア レプリケーター、監視されずに起動するオープンウェイト レプリケーター、独自の推論のための資格情報を盗む API ベースのレプリケーター）をマッピングし、現実的な最悪のケースは、異なるスキームを使用する異なるハードウェア上の異なるモデルの群れであると警告しています。 Anthropic は、AI ワームが AI 以前のマルウェアとどのように異なるか、および防御のための簡単な提案で締めくくり、この研究を、脅威が成熟する前に研究するのが最も簡単な脅威の初期の考察として構成しています。

---

AI の先を行く

最新の AI ニュース、分析、画期的な情報をすべて 1 か所で入手できます。

AI ニュースをもっと読む→