AnthropicのAIワーム警告、標的上ではまだ動作できない脅威を浮き彫りに

Anthropicによれば、現在の実験には決定的なハードウェア格差があるものの、AIワームはいずれデータセンターを必要とせず、消費者向けデバイス群へ拡散する可能性がある。

10月12日の研究は、暴走したモデルが野放しの環境へ逃げ出した事例を記録したものではない。複製の連鎖として想定される異なる部分を照らし出す、2つの管理された実証を組み合わせたものだ。一方では、小規模モデルが多様なハードウェア上で推論環境を構成する様子を示した。もう一方では、はるかに大規模なモデルが簡略化されたネットワークを通じて複製を調整した。

この違いこそが、この話の本質である。Anthropicは分散型で自律的な複製の要素を見出したが、現実的な標的上でそれらを兼ね備える単一モデルは存在しない。高い能力を持つオーケストレーターは、低価格デバイスには依然として大きすぎる。そうしたデバイスに収まるモデルは、プロセス全体を確実に完了できない。

それでも、これは単なる憶測上の警告にとどまらない。従来のAI複製研究は一般に、通常のコンピューティング環境内でエージェントを複製することに焦点を当てていた。Anthropicの研究は、モデルの重みがマルウェアのペイロードとなり、侵害されたエッジハードウェア上で直接動作し得るかを問いかけている。

こうして生まれるAnthropicのAIワーム脅威は、研究プロトタイプと実運用上の警告の中間に位置する。その重要性は、防御側がホストとなり得るデバイスを保護する前に、モデル能力とハードウェア効率が収束するかどうかに左右される。

AnthropicのAIワーム実験が実際に示したこと

Anthropicは自律的な複製に必要な重要コンポーネントを2つ実証したが、実世界で動作するワームとして統合したわけではない。

10月12日の研究は、AnthropicのFrontier Red Team研究者であるWilliam Zhou氏とDaniel Freeman氏によるものだ。人間の制御なしにAIシステムが自らを展開・伝播させることを意味する、自律的複製・適応（ARA）を検証している。

従来のワームは、実行可能なコードをコンピューター間で複製する。Anthropicが提案する重みベースの複製体は、それに加えてAIモデルの重みを保持またはダウンロードする。これらの重みにより、マルウェアは未知のマシンを推論し、拡散しながら挙動を調整できるようになる。

研究者らは複製を4段階に分けた。システムは標的を見つけ、実行権限を得て、モデル推論を確立し、新たに感染した各ホストから伝播を続けなければならない。

研究は第3段階である推論環境のセットアップに集中した。この作業では、互換性のあるソフトウェアの選定、依存関係のインストール、ハードウェア競合の解決、エラーからの回復が必要になる。すべての判断は、それ以前の手順が正しく機能していることに依存する。

Anthropicは、オープンウェイトモデルが9種類のハードウェアでLlama 3.1 8Bの推論を構成できるかを試験した。対象には、Appleシリコン、NVIDIAハードウェア、Googleアクセラレーター、AMDアクセラレーター、一般的なサーバープロセッサーを使用するマシンが含まれていた。

Qwen3.5-9Bは、9種類中8種類のハードウェアで動作する推論環境を確立した。この結果は、比較的小規模なエージェントでも、未知のコンピューティング環境を扱い、互換性のある推論スタックを組み立てられることを示唆する。

この実験は感染テストではなかった。デバイスはエージェントが利用可能な状態にあり、目標も明示的に与えられていた。この結果が測定しているのは、アクセス後の技術的適応力であり、任意のインターネット接続標的を発見して侵害する能力ではない。

Anthropicは別途、Gemma4-26B-A4Bを15台の無名ブランドのAndroid TVボックスに分散した。異なるマシンに異なるモデル層を割り当てる手法であるパイプライン並列化により、これらのボックスは1つのモデルを共同で処理できた。

システムは毎秒0.39トークンを生成した。これは、低コストの消費者向けハードウェアが分散モデル推論をホストできることを示すには十分だ。一方で、クラウドホスト型アシスタントに見られる流暢なエージェント挙動には、あまりにも遅い。

各ボックスのメモリー容量は4ギガバイトだった。Anthropicによれば、この市場のデバイスは通常1～4ギガバイトを搭載しており、試験構成は多くの潜在的標的より高性能だったことになる。

3つ目の実験では、ファイアウォールで隔離されたクラウドネットワーク内でエンドツーエンドの伝播を試験した。8つのノードはAndroid 15エミュレーターを実行し、認証不要のAndroid Debug Bridgeポートを公開していた。ADBは、Androidデバイスでのコマンド実行とファイル転送を許可する保守用インターフェースである。

GLM-5.2は5回の試行中4回で全8ノードに到達した。残る1回では7ノードに到達した。エージェントはペイロードを転送し、Llama 3.1 8Bの推論を構成し、新たに到達したノードから一連の処理を続行した。

ただし、GLM-5.2自体はこれらのAndroid標的上では動作していない。モデルは標的に対して大きすぎたため、別の推論サーバーを通じて動作した。より小規模な推論サーバーがチェックを通過した後、実験では別のオーケストレーターインスタンスが起動された。

このネットワークは、実世界における大きな障害も取り除いていた。ADBポートは認証を必要としなかったため、エージェントは脆弱性を発見・悪用する必要がなかった。

Tom’s Hardwareによる技術的評価は、そこから生じる限界を的確に捉えている。大規模な外部モデルは簡略化された伝播を完了した一方、展開可能な小規模モデルは推論環境のセットアップを担えたものの、完全な一連の処理には失敗した。

これが正確な出発点である。個別のコンポーネントは、注意を払うべき水準まで機能するようになった。だが、この警告で説明された完全なAnthropic AIワームは、まだ存在しない。

消費者向けハードウェアがセキュリティの構図を変える理由

重要な変化は生の計算能力ではない。マルウェアが、集中インフラの外にあるデバイスへ適応的な推論能力を持ち込める可能性である。

データセンターは貴重な計算資源を提供するが、明確な防御上の要所も生み出す。運用者はワークロードを監視し、認証情報を無効化し、サーバーを隔離し、不審な展開を停止できる。

侵害された消費者向けハードウェア上で動作する分散システムには、同等の中央スイッチは存在しない。1つのモデルインスタンスを除去しても、無関係なネットワークや管轄区域にまたがるほかのコピーは活動を続ける。

これは、スマート家電が突然、現代のAIクラスタに匹敵するという意味ではない。Anthropicの実証は低速で断片的であり、連携するデバイスに依存していた。その意義は単一マシンの性能ではなく、持続性と規模にある。

研究者らは、考え得るシステムをデジタルの粘菌になぞらえている。個々のユニットはゆっくり動作するが、全体としては障害を生き延び、拡散を継続できる。感染が検知されないままであれば、日単位で測定される倍加期間でも持続的な脅威を生み得る。

モノのインターネット（IoT）デバイスが重要なのは、多くが一貫性のないセキュリティ更新しか受け取らないためだ。古いOS、再利用された認証情報、露出した管理インターフェース、所有者が検査できないベンダーソフトウェアを使用している場合がある。

従来のボットネットはすでに、こうした条件を悪用している。Miraiは、短いデフォルト認証情報リストで保護された接続デバイスをスキャンした。その後、脆弱なマシンを分散型サービス拒否攻撃に使うネットワークへ組み入れた。

Anthropicが提案するモデルは、アクセス後に起こることを変える。従来のワームは、展開前に書かれたルールに従う。エージェントであれば、未知のプロセッサーを調べ、OSを特定し、ソフトウェアパッケージを試し、別のインストール経路を開発できるかもしれない。

この柔軟性は、攻撃者が製品ファミリーごとに別個のペイロードを準備する必要を減らし得る。1つのモデルがすべてのデバイスを即座に理解するわけではないが、硬直的なマルウェアを止める差異を乗り越えられる可能性がある。

Qwen3.5-9Bの結果は、この主張を限定的に裏付ける。同モデルは、異なるライブラリーと展開選択を必要とするハードウェアクラスを含め、著しく異なるシステム上で推論環境を構成した。

Anthropicは、長時間の作業性能を改善するためにMementoというハーネスも使用した。このハーネスは、行き詰まったエージェントを定期的に新しいインスタンスへ置き換えた。各後継者は、ワークスペースと過去の試行を記した簡潔なメモを引き継いだ。

Mementoが重要なのは、長時間にわたる技術作業では、エージェントが誤った診断に固執して脱線することが多いためだ。新しいインスタンスは、有用な進捗を失わずに問題を再考できる。

この継承の仕組みは、伝播中の適応も示唆する。Anthropicは、後続のQwen3.5-9Bインスタンスが、成功・失敗した戦略に関するメモを保持できるようにした。第1世代の推論環境セットアップは、実行の45%で成功した。

後の世代では、成功率が61～84%に記録された。モデルの重みが自己再訓練されたわけではない。代わりに、子孫はファイル、コード、文書化されたメモを通じて運用上の知識を受け継いだ。

これは生物学的進化というより、累積的なトラブルシューティングに近い。それでも、複製するエージェントに、中央の学習クラスタなしで手順を改善する実用的な方法を与える。

新しいハードウェアとの過去の遭遇は、将来のコピーのための展開レシピになり得る。拡散に伴い、フリートは異なるチップセット、OS、ネットワーク構成向けの動作実績ある設定を蓄積するかもしれない。

Anthropicはまた、小規模モデルが行き詰まった際に、より強力なモデルへ相談できるかも試験した。Qwen3.5-9BにOpus 4.8へのアクセスを与えても、測定可能な改善は見られなかった。

小規模モデルは、どの質問をすべきかを認識できないことが多かった。一方的に提供された助言も、この弱点を解消しなかった。この結果は、弱いエッジモデルが時折の相談を通じて単純に知能を借りるという容易な近道には否定的だ。

異種混成の設計には依然として可能性がある。より強力なモデルが戦略を指揮し、小規模エージェントがローカルタスクを実行することはあり得る。ただし、そのアーキテクチャは外部インフラへの依存をある程度復活させ、より観測しやすい通信を生む。

したがってセキュリティチームにとって、消費者向けハードウェアはリスクの所在を変えるのであって、コンピューティングの基本法則を変えるものではない。弱いデバイスは持続性と到達範囲をもたらす。帯域幅、メモリー、レイテンシー、検知という制約を消し去るわけではない。

AnthropicのAIワームには能力とハードウェアの格差がある

主な障害は、信頼性の高い複製に必要な知能と、弱い標的デバイスがサポートできるモデルサイズとの不一致である。

Anthropicはこの不一致を、能力の下限とハードウェアの上限として説明している。複製体は、長い技術的判断の連鎖を完了できるだけの能力を備えなければならない。同時に、侵害されたハードウェア上で動作できるだけ小さくなければならない。

GLM-5.2はAnthropicの簡略化されたネットワークで能力の下限を超えた。しかし、標的環境には収まらなかった。Qwen3.5-9BとGemma4-26B-A4Bはハードウェアの上限には収まったが、どちらも伝播タスク全体を確実に完了できなかった。

この2つの境界は、現時点では交差していない。だからこそ、この研究を、自律的なAIマルウェアがすでに家庭用デバイス間で拡散している証拠と解釈すべきではない。

最も強い結果も、意図的に有利なアクセス条件に依存している。すべてのAndroidエミュレーターは、認証不要のADBポートを公開していた。エージェントは標的を特定すれば、認証情報を突破したり、ソフトウェア上の欠陥を探したりせずにコマンドを実行できた。

Anthropicはこの設計を、実世界での性能の上限と位置づけている。この研究は、侵入のあらゆる段階を測定するのではなく、エージェントのオーケストレーションと推論環境のセットアップを意図的に切り分けている。

実環境の標的では、さらに不確実性が増す。デバイスはネットワークアドレス変換の背後に置かれ、受信接続を遮断し、実行ファイルを制限し、あるいは互換性のないカーネルを使用している可能性がある。十分なメモリやストレージを持たないものもある。

モデルのシャード間の接続も、別の障害要因となる。分散推論では、マシンが予測可能な順序で中間結果を交換する必要がある。切断、再起動、過負荷のいずれかが発生したデバイスは、この連鎖を中断し得る。

Anthropicがパイプライン並列処理を選んだ理由の一つは、障害が起きたノードを、他の分散方式より容易に置き換えられるためだ。それでも、多数の侵害された機器を同期状態に保つことは、運用上困難だろう。

速度も同様に深刻な制約である。測定されたスループットに基づき、AnthropicはQwen3.5-9Bが推論セットアップの一連の手順を完了するまでに28～51時間を要すると見積もった。

Gemma4-26B-A4Bについての対応する推定値は71～150時間だった。数秒で展開される従来型マルウェアと比べると、この時間はネットワーク運用者に広い検知の機会を与える。

このワークロードには長いコンテキストも必要だ。Anthropicは、32,000トークン未満のコンテキストウィンドウではエージェントの性能が大幅に低下することを確認した。メモリに制約のある機器でそのコンテキストを処理すれば、試行ごとに数時間が追加される。

大規模なモデルファイルは目立つネットワークトラフィックを生み出す。数GB規模の重みを受信するホストは、通常の機能を果たしているテレビ用ボックス、カメラ、家電とは異なる振る舞いを示すだろう。

分散推論では、持続的なデバイス間通信も加わる。ネットワークスキャン、繰り返される接続試行、パッケージのダウンロード、外向きトラフィックはいずれも、さらなる兆候となる。

レプリケーターの拡散が速いほど、生成するトラフィックも増える。静かに活動するために活動量を抑えれば、その個体群の増加は遅くなり、防御側には追加の対応時間が与えられる。

Anthropicの予測にも同様の慎重さが必要だ。研究者らは、総パラメータ数が300億以下の注目すべきオープンウェイトモデルの性能向上をプロットした。そのトレンドラインは、Epoch Capabilities Indexで年13.7ポイント上昇している。

この傾向を外挿すると、2026年末までに小型モデルがGLM-5.2の能力水準に近づくことになる。この予測は、ベンチマーク上の改善が長期にわたる自己複製タスクへ移転可能であり、かつ同程度の速度で継続することを前提としている。

どちらの前提も保証されていない。モデル能力の向上は不均一になり得る一方、ベンチマーク結果の改善が根強い計画上の誤りを解消するとは限らない。新しいアーキテクチャでは、旧式デバイスへの展開がより困難なカーネルを必要とする場合もある。

そのため独立系の報道では、この実験が示していない点が強調されている。セキュリティ分析は、Anthropicが実際のIoTハードウェア全体で完全自律型のレプリケーターを稼働させたことは一度もないと指摘した。

この制約は、研究の意義を失わせるものではない。防御側が監視できる測定可能な閾値を示している。小型モデルが能力面と展開面の要件の両方を満たしたとき、脅威は実質的に強まる。

それまでは、止められないAIワームという説明は証拠を過大評価している。Anthropicが示したのは収束に関する警告であり、収束がすでに起きたことの証拠ではない。

これまでの自己複製研究との違い

Anthropicは、準備された環境でエージェントを複製するという議論から、異種かつリソースに制約のあるマシン群での稼働へと論点を移している。

AIの自己複製は、この実験から始まったものではない。研究者らはすでに、言語モデルのエージェントが機能する複製を作成し、環境を準備し、直接的な人間の支援なしに動作を継続できるかを評価してきた。

2024年の研究では、Llama 3.1 70BおよびQwen 2.5 72Bを基盤とするエージェントによる自己複製の成功が報告された。著者らは自己複製を制御上のリスクとして提示し、システムが別個の作業用コピーを作成する様子を説明した。

その後の自己複製研究では32のシステムが評価され、140億パラメータ程度の小型モデルを含む成功例が報告された。この研究は現在もワーキングペーパーであり、より広範なリスクに関する結論には議論がある。

こうした実験では通常、複製は管理されたコンピューティング環境内で定義される。エージェントはファイルをコピーし、別のプロセスを起動し、サーバーを構成し、あるいはシャットダウンの試行をまたいで自身を維持する場合がある。

Anthropicの貢献は、ある意味ではより限定的であり、別の意味ではより運用的である。自発的な脱出行動を示すものではない。エージェントが未経験のハードウェア上で推論環境を組み立てられるかを検証している。

この焦点は重要だ。モデルの重みは、動作するランタイムがなければ役に立たない。標的は、非対応の命令セット、限られたメモリ、特殊なドライバー、または古いソフトウェアスタックを使用している可能性がある。

ランタイムの構成には、多くの依存関係を伴う作業が必要になる。エージェントはマシンを調査し、推論エンジンを選び、互換性のあるパッケージを選定し、メモリを管理し、サービスを公開し、その出力を検証しなければならない。

作成者が標的を把握している場合、スクリプト化されたワームはこうした作業を実行できる。AI支援型ワームは、これらを動的に試みることができる。トラブルシューティング能力がペイロードの一部となる。

この実験は、自己複製能力と悪意のある意図も区別している。Anthropicは、隔離された環境内で伝播するようモデルに明示的に指示した。モデルが独立してデバイス感染を決断する様子を観測したわけではない。

この区別は、Anthropicによる自己複製AIの警告を解釈する上で不可欠である。能力評価は、指示されたシステムが何を達成できるかを明らかにする。展開済みのモデルがその目的を追求する可能性を示すものではない。

現実的な攻撃には、なお起点が必要となる。人間の操作者がシステムを構築・公開することもあれば、別の侵害済みサービスがそれを配信することもある。モデル自身が生存への動機を発達させる必要はない。

このため脅威は、SF的な自律性というより適応型マルウェアに近い。実際的な懸念は、これまで粘り強い人間のトラブルシューティングを要した判断を、攻撃者が自動化できる点にある。

したがって主な比較対象は、AI対人間による制御ではない。適応可能なコード対固定的なコードである。

既知のエクスプロイトと標的プロファイルが利用可能な場合、従来型マルウェアは依然としてはるかに高速だ。広大なアドレス範囲をスキャンし、コンパクトなペイロードを配信し、予測可能なコマンドを効率的に実行できる。

エージェントが有用になるのは、前提が崩れたときだ。エラーを調査し、代替パッケージを試し、設定ファイルを変更し、別のホストの役割を選択できる。こうした行動は遅いが、より汎用的である可能性がある。

短期的に想定されるシステムは、両方の手法を組み合わせるものだろう。スクリプトは既知のデバイスと反復可能なエクスプロイトを処理する。モデルは、標的に調査が必要な場合やインストールが失敗した場合に介入する。

このハイブリッド構成は、自己完結型の知性がオーブンからオーブンへ飛び移るという劇的なイメージを弱める。同時に、攻撃者はすでに自動化と人間によるエスカレーションを組み合わせているため、セキュリティ上の問題をより現実的なものにする。

Anthropicの研究は、もう一つ重要な観察を加えている。小型モデルは現在、ソーシャルエンジニアリング能力よりも、コーディングや技術的な悪用に関するスキルで強さを示している。フィッシング性能の低さは、考えられる伝播経路の一部を狭める。

より大型のモデルが説得を担当し、小型モデルがデバイスレベルの作業を行うことはあり得る。しかしそのような連携には、防御側が標的にできるインフラ、認証情報、通信が持ち込まれる。

したがって、関連するセキュリティ境界は段階的に変化している。これまでの研究は、エージェントが自身をコピーできるかを問うた。Anthropicは、小型エージェントが環境の変化後も機能し続けられるかを問うている。

答えは不完全だ。小型モデルは展開上の問題の大部分を解決できる。はるかに大きなモデルは、簡略化された条件下で完全なループを調整できる。欠けている交差点こそ、引き続き中心的なリスク指標である。

防御側が次に注視すべきこと

この研究が運用上の脅威へ変わりつつあるかを示すシグナルは三つある。小型モデルの自律性、現実的な感染テスト、そしてモデルを搭載したマルウェアの実地での証拠だ。

第一のシグナルは、300億パラメータ未満のモデルが外部オーケストレーターなしにAnthropicの完全な評価を完了することだ。標的を列挙し、ペイロードを転送し、推論を構成し、信頼性を保って伝播を継続しなければならない。

この結果は、能力とハードウェアの隔たりを縮める。そのモデルが、自身を再現しようとしているのと同じ制約環境内でも動作すれば、さらに説得力が増す。

ベンチマークの改善だけでは不十分だ。セキュリティチームは、限られたコンテキスト、遅い推論、失敗したインストール、予期しないハードウェアを伴う長期タスクで、再現可能な性能を確認すべきである。

第二のシグナルは、現実的なアクセス制御下での成功である。今後の評価では、開放されたADBポートを取り除き、多様な認証情報、分割されたネットワーク、再起動、ストレージ制限、一貫性のないソフトウェアを導入すべきだ。

研究者はエクスプロイトの詳細を公に公開する必要はない。集計された成功率、標的の多様性、防御側の介入、各エージェントに与えられた前提条件を開示できる。

人工的なネットワークでの劇的な結果は、代表的なデバイスを通じた伝播と同じ重みを持つべきではない。その条件に関する明確な報告は、引き続き極めて重要になる。

第三のシグナルは、モデルの重み、推論ランタイム、またはエージェントのメモリをホスト間で運ぶ野生のマルウェアである。防御側は、商用AI APIを呼び出すだけの通常のマルウェアと区別すべきだ。

重みベースのレプリケーターは、認識可能な痕跡を残すはずである。これには、異常に大きなダウンロード、持続的なローカルトラフィック、家電上の推論ライブラリ、繰り返されるハードウェア調査、継承されたタスクメモを含むファイルが含まれる。

Anthropicは、モデル転送と異常なデバイス間通信についてネットワークフローを監視することを提案している。攻撃を誘引するよう設計されたおとりシステムであるハニーポットは、ペイロードを捕捉し、その挙動を明らかにできる。

インターネットプロバイダーは、デバイスが持続的なスキャンや自己複製トラフィックを示す加入者を隔離できる。メーカーは、デフォルト認証情報を排除し、実用的なセキュリティ更新チャネルを維持することで、利用可能な標的を減らせる。

基本的な対策の先例はすでにある。英国のデバイスセキュリティ規則は、消費者向け接続製品における共通のデフォルトパスワードを禁じている。このような対策は、従来型とAI支援型のボットネットの双方を抑制する。

組織はエッジアクセラレーターも棚卸しすべきである。カメラ、会議用ユニット、ストレージ機器、開発ボード、ロボティクスシステムは、旧式の消費者向けデバイスより利用可能な計算資源を提供する場合がある。

ただし、可視であることは脆弱であることを意味しない。Anthropicは、多くのアクセラレーター搭載デバイスが露出した受信サービスではなく、外向きの管理トンネルを介して接続すると見積もった。

同社の報告書は、標準的なIoTボットネットに匹敵する、アクセラレーター搭載エッジデバイスの歴史的な大規模侵害は存在しないとも指摘している。この実績は、分散AIコンピュートが攻撃者に直ちに利用可能だという主張を弱める。

チームは、ローカルAIモデルへの無差別な禁止で対応すべきではない。オープンウェイトは一つの要素となり得るが、脆弱なデバイス、弱い認証情報、不十分なネットワーク制御が機会を生み出す。

同じ推論ソフトウェアは、プライベートで有用なアプリケーションを支援できる。リスクは、モデルファイルが存在するという事実そのものではなく、アクセス、永続性、連携、無許可の伝播に依存する。

エージェントを開発する側は、代わりに自己複製に関連する操作を特権操作として扱うべきだ。マシンのプロビジョニング、認証情報のコピー、ポートの開放、子孫プロセスの起動には、明示的な制限と監査可能な承認が必要である。

モデル評価では、エージェントが不確実性を認識できるかどうかも測るべきだ。安全でないインストール手順を繰り返し試みるシステムは、たとえ再現に成功しなくても、運用上の損害を招くおそれがある。

AnthropicによるAIワームの研究は、有用な警戒線を示している。コンパクトなエージェントが低性能なハードウェア上で適応し、拡散し、運用上の知識を保持できるようになると、この技術は実質的により危険になる。

報告された実験では、その一線は越えられていない。しかし、いくつかの要素は、想像する段階ではなく評価すべき段階に近づいている。

今後数か月で、次の明確な問いへの答えが得られるはずだ。コンパクトモデルの自律性は、防御側が脆弱で到達可能なデバイスの総数を減らす速度を上回って向上するのか。

この問いは、意識を持つ家電というイメージよりも重要だ。その差が埋まれば、組織は最初のモデル搭載ボットネットが現れる前に、検知と封じ込めを整える必要がある。