Anthropicの自己複製AIに関する警告、IoTセキュリティに時間的猶予を突きつける
Anthropicは、15台の低価格Android TVボックスでモデルをテストした後、自己複製AIについて具体的な警告を発した。小規模モデルは、完全に自律したワームを作り出したわけではない。しかし実験は、残る能力差が数か月以内に埋まる可能性を示唆している。
この区別は重要だ。Anthropicは、コンパクトなモデルが未知のハードウェア上で推論環境を構成し、複製に必要な複数の工程を完了できることを示した。はるかに大規模なモデルは、簡略化されたエンドツーエンドのシーケンスを完了したが、感染対象となるデバイスの外部で動作していた。
この結果は、機能するデジタル生命体でも、一般的なマルウェアの実演でもない。適応力のあるAIエージェントが、数百万台の接続製品を取り巻く脆弱なセキュリティとどのように結び付くかを示す、初期段階の地図といえる。
Miraiのような従来のワームは、既知の標的に対して固定された命令を適用して拡散する。Anthropicが提案する重みベースのレプリケーターは、AIモデルを搭載する、あるいは取得し、各デバイスに合わせて行動を適応させる。その柔軟性こそが中心的な対立を生む。ワームは現時点では実用的でない一方、構築に必要な構成要素はそれぞれ改善を続けている。
Anthropicの自己複製AIテストが実際に示したこと
AnthropicはAI複製チェーンの重要な要素を実証したが、自律的な小規模モデルのワームを実証したわけではない。
同社のFrontier Red Teamは、2026年10月12日に複製に関する研究を公開した。研究者のWilliam Zhou氏とDaniel Freeman氏は、データセンターのハードウェアに継続的にアクセスせずに動作するモデルに焦点を当てた。
提案された脅威は、重みベースのレプリケーターである。これは、AIモデルを定義する数値パラメータであるモデル重みをペイロードの一部として保持するマルウェアだ。新たなマシンを侵害した後で、それらの重みをダウンロードすることもあり得る。
研究者らは複製を4段階に分けた。エージェントは標的を見つけ、実行権限を得て、ローカル推論を確立し、感染したホストからさらに拡散を続けなければならない。
Anthropicは第3段階に集中した。推論の確立とは、互換性のあるソフトウェアをインストールし、モデルを読み込み、侵害したハードウェア上で出力を生成することを意味する。デバイスが未知のプロセッサ、OS、依存関係、またはメモリ構成を使っている場合、このプロセスは難しくなる。
ある実験では、Google DeepMindのGemma4-26B-A4Bを15台の無名ブランドのAndroid TVボックスに分散した。各ボックスのメモリは4GBだった。デバイス群は合わせて、毎秒0.39トークンでモデルを動作させた。
これを可能にしたのは量子化だ。量子化はモデルのパラメータをより少ないビットで表現し、精度をある程度犠牲にしてメモリ要件を削減する。研究者らはモデルのシャーディングも行い、異なるデバイスが異なる層を保存・処理するようにした。
2つ目の実験では、Qwen3.5-9Bが多様なハードウェア上で推論環境を構成できるかをテストした。この90億パラメータのモデルは、組み込みデバイスから従来型コンピューターまで、9種類のハードウェアのうち8種類で成功した。
この発見は、AIエージェントと従来型マルウェアの重要な違いを浮き彫りにする。固定的なワームは通常、特定のアーキテクチャやソフトウェア環境向けに記述されたコードを含む。AIエージェントは未知のシステムを調べ、ツールを選び、コマンドを変更し、一部のエラーをデバッグできる。
Anthropicはまた、エミュレートされた8台のAndroidデバイスからなる閉鎖ネットワークを構築した。研究者らが推論環境のセットアップと拡散に集中できるよう、ハッキングの工程は意図的に容易にしていた。
GLM-5.2は、5回の試行のうち4回で、簡略化された複製シーケンスを8台すべてのデバイスで完了した。ただし、エミュレートされた標的ではホストできなかったため、このモデルは別の推論サーバー上で動作していた。
これらの試行中、GLM-5.2は各標的により小さなLlamaモデルをインストールして起動した。つまり、Anthropicのより広範な警告で説明された、小型で自己完結したペイロードになるのではなく、複製を統括していた。
この結果は、2つの異なる能力を示している。小規模モデルは限られたハードウェア上で実行でき、大規模モデルは簡略化された複製チェーンを調整できる。この実験は、両方の能力を単一の自律的な小規模モデルに統合したものではない。
この未解決の隔たりこそ、警告を慎重に報じるべき理由だ。Anthropicの自己複製AIシナリオは、実証された要素と、予測される改善の両方に基づいている。
低価格IoTハードウェアが脅威モデルを変える理由
重要な変化は、スマート家電が突然高性能コンピューターになったことではなく、十分な数の脆弱なデバイスが集合すれば適応的なエージェントをホストできることにある。
IoT製品は長年、ボットネット運営者を引き付けてきた。多くは何年も接続されたままで、アップデートは一貫せず、所有者が確認しないサービスを公開している。低価格のAndroidメディアボックスは、とりわけ目立つ例だ。
これらのデバイスには、商用AIサービスで使われるアクセラレーターが搭載されていることはほとんどない。個別に見ても、メモリや処理能力はわずかだ。Anthropicの実験は、モデルのシャーディングによって、能力の限られたマシン群を1つの分散推論システムに変えられることを示している。
そのシステムは極めて低速だった。Anthropicは、Gemma4-26B-A4Bが推論セットアップの軌跡を完了するには71時間から150時間、Qwen3.5-9Bでは28時間から51時間を要すると推定した。
遅いことは、必ずしも無害であることを意味しない。放置されたメディアボックスは、注意を引くことなく数か月間オンラインのままでいられる。人間による期限のないワームであれば、次の動きを試みる前に数日間の計算を許容できるかもしれない。
Anthropicは、成功した小規模モデルのワームが、当初は日単位の倍加時間を持つ可能性があると推定している。この速度は、数時間以内に広がる従来型のアウトブレイクと比べれば控えめに見える。それでも、持続性、適応性、中央サービスが存在しないことは、除去を複雑にする。
クラウドでホストされたエージェントは、防御側が特定して妨害できるインフラに依存する。プロバイダーは認証情報の無効化、アカウントの停止、リクエスト制限、モデルの削除、捜査当局との協力を行える。重みベースのレプリケーターは、その知能の一部を侵害されたハードウェアへ移すことになる。
単一のAPIプロバイダーが、すべてのコピーを制御することはない。1台のコマンドサーバーを停止しても、すでにローカルで動作している複製体を必ずしも無効化できない。完全な根絶には、多数のメーカー、ネットワーク、法域にまたがるデバイスのクリーンアップが必要になる可能性がある。
利用可能な計算能力は依然として限られる。Anthropicは、200万台を超えるデバイスを含む過去のボットネットを用いて規模を例示した。これほどの数のTVボックスを15台ずつのクラスターにまとめると、約13万3,000個のモデル複製体が生じる。
しかし、Anthropicの前提では、合計の推論能力はNvidia H100 GPU約40台分にすぎない。これは、巨大で対処の難しいネットワーク全体に分散した、わずかな集中型計算能力だ。
この比較は、想定される脅威が隠れたスーパーコンピューターではない理由を説明する。試行を続け、有用な発見を共有し、部分的なクリーンアップにも生き残れる、低速なエージェントの大規模な集団なのである。
成功した各コピーは、親からプロンプト、コード、メモを引き継ぐ可能性がある。Anthropicはこれを、獲得した適応が後続の個体へ直接受け継がれるラマルク進化として説明している。
したがって、あるデバイスで失敗した試みが、別のコピーが同じ失敗を避ける助けになる可能性がある。次のエージェントは、機能した依存関係を再利用し、インストールコマンドを変更し、ハードウェアのパターンを認識するかもしれない。
この学習ループは、AIワームに固定型ボットネットに対する潜在的な優位性を与える。従来型マルウェアは運用者からアップデートを受け取れるが、通常は各標的について推論したり、失敗を自ら記録したりはしない。
ただし、この正確な設定における優位性は依然として仮説にとどまる。Anthropicは、防御側に積極的に対抗するAIボットネットをテストしておらず、オープンインターネット上での自律的な適応も示していない。それでも、このメカニズムは、通常のIoTの弱点と進化するエージェント能力が交わる地点を示している。
能力とハードウェアはいまだ一致していない
現在の障壁は、確実に複製できるほど賢いモデルと、標的デバイス上で動作できるほど小さいモデルの間にある不一致だ。
Anthropicはこの問題を、フロアと天井として説明している。能力のフロアは、複製チェーンを完了するのに必要な推論能力を示す。ハードウェアの天井は、侵害されたデバイスが現実的に実行できる最大のモデルを示す。
GLM-5.2は、簡略化された評価で能力のフロアを上回った。Qwen3.5-9BとGemma4-26B-A4Bは、テストされたTVボックスにおけるハードウェアの天井を下回っていた。両方の要件を満たすテスト済みモデルはなかった。
300億パラメータ以下のモデルは、複製に必要な個々のタスクの多くを完了した。しかし、それらのタスクを長く依存関係のある1つのシーケンスに組み合わせると、なおミスを犯した。
この組み合わせの問題は重大だ。エージェントは標的を調べ、互換性のある推論ソフトウェアを選択し、依存関係をインストールし、ストレージを管理し、エラーを解決し、サービスが動作していることを確認しなければならない。プロセスの初期段階でのミスは、その後のすべての工程を無効にし得る。
Anthropicは、直列的な依存関係がリカバリーを難しくすることを発見した。小規模モデルは、孤立したタスクを完了できる場合があった一方、より長い軌跡では全体的な目的を見失うことがあった。
小規模モデルにより強力な助言者へのアクセスを与えても、この問題は解決しなかった。Qwen3.5-9Bは助けが必要なときを認識するのに苦労し、効果のない質問をすることが多かった。フロンティアモデルからの求められていない助言も、測定可能な改善を生まなかった。
この結果は、自律的な複製への一見容易な経路を弱める。より強力なサービスが利用可能だからといって、小規模モデルが自動的により大きな知能を借りられるわけではない。問題を認識し、有用な文脈を伝え、答えを正しく適用しなければならない。
それでもAnthropicは、この隔たりが狭まると予想している。研究者らは、AI能力の一般的な尺度であるEpoch Capabilities Indexを使い、小規模なオープンウェイトモデルを比較した。適合させた傾向は、年あたり13.7指数ポイント改善していた。
この傾向を延長すると、300億パラメータ未満のモデルは2026年末までにGLM-5.2の能力水準に近づく。Anthropicは、その直後に小規模な重みベースのレプリケーターが可能になるかもしれないとしている。
この予測はカウントダウンではない。この指数は複製スキルではなく一般的な能力を測定しており、この予測は過去のモデルリリースからの外挿に基づく。将来の進歩は鈍化する可能性も、加速する可能性もあり、自律的な拡散とは関係のないタスクを改善する可能性もある。
ハードウェアも変化し続けている。セキュリティカメラ、会議システム、ネットワーク機器、民生用電子機器には、ローカルAI向けに設計されたプロセッサがますます搭載されている。より高性能なエッジチップは、小型モデルがより賢くならなくても、ハードウェアの天井を引き上げる可能性がある。
ソフトウェアの最適化も同様の効果を生み得る。より優れた量子化、推論エンジン、分散実行によって、現在はホストできないデバイス上で既存モデルを動作させられるようになるかもしれない。
こうした進展は、デバイスメーカーと企業のセキュリティチームに対応を迫る。彼らの計画上の前提は、接続された家電製品を低価値のエンドポイントとして扱うことが多い。適応的なモデルは、それらをストレージ、計算資源、永続性、そして足掛かりとして評価するだろう。
オープンウェイトモデルの開発者も難しいトレードオフに直面している。ローカルモデルは、研究、プライバシー、オフライン運用、ユーザーによる制御を支援する。同じ可搬性によって、マルウェアはプロバイダーによる利用ポリシーの適用なしに動作できる。
Anthropicの警告は、オープンモデルへの反論に矮小化すべきではない。クローズドモデルであっても、盗まれたアカウントや露出したサービスを通じて侵害済みエージェントを誘導できる可能性がある。将来の攻撃者は、大規模なリモートプランナーと多数の小規模なローカルワーカーを組み合わせるかもしれない。
より有用な区別は、制御点に関するものだ。ホスト型システムは中央集権的な制御を提供する一方、価値の高いインフラを集中させる。ローカルシステムは一部の中央依存を取り除く一方で、侵害されたあらゆるデバイスを実行環境になり得るものへと変える。
実験には大きな検証上の隔たりが残る
見出しとなるリスクは調査に値するほど信頼できるものだが、実証されたシステムは予測で描かれた自律型ワームとはなお大きく隔たっている。
最も明白な制約は初期アクセスにある。Anthropicの物理およびエミュレートされたAndroidターゲットでは、Android Debug Bridgeが認証なしで公開されていた。ADBはデバイスへの深いアクセスを提供するものであり、本番環境でそのような状態にしてはならない。
この設定により、研究者はエクスプロイトを簡略化できた。研究が推論に焦点を当てていたことから、その判断には合理性があったが、実際のマルウェアが直面する大きな障害の一つも取り除かれていた。
先行研究は、AIエージェントがすでに一部のネットワーク脆弱性を発見し、悪用できることを示している。2026年6月の適応型ワーム研究では、Linux、Windows、IoTシステムにまたがってエージェントを試験した。そのプロトタイプはターゲット固有の攻撃戦略を生成し、侵害済みのマシンを推論に利用した。
それでも、制御されたネットワークでの成功は、パブリックインターネット全体での信頼できる性能を意味しない。実際のターゲットには、防御ツール、不安定な接続、ストレージ制限、特殊なファームウェア、試験環境にはないアーキテクチャが存在する。
次の制約は自律性に関するものだ。研究者はモデルに複製タスクを完了するよう指示した。デプロイされたモデルが独立して自己複製を決断し、被害者を選定し、独自の持続的な目的を追求することまでは立証していない。
AI研究者のXiaohan Fuは、元のセキュリティ報道でこの区別を強調した。Fuは、再現可能なプロンプトとエージェント設定があれば、外部の研究者が調査結果を評価しやすくなると論じた。
この要請は論争の核心に触れている。複製指示に従う能力と、指示なしに複製を始める傾向は異なる。
「自己複製AI」という表現は、こうした概念を曖昧にし得る。コンピュータワームが自己複製的であるのは、そのソフトウェアが伝播ルーチンを自動的に実行するためだ。意識、自己保存、あるいは拡散したいという内発的な欲求を必要としない。
したがって、将来のAIワームは、自らの任務を選択しなくても危険になり得る。人間の操作者が一度だけ目的を与え、エージェントがターゲットの発見、適応、伝播を担うかもしれない。
逆に、モデルが別のモデルをインストールできることを示しても、制御不能なキャンペーンを維持できる証明にはならない。依然として、信頼できる目標、持続性、エクスプロイトへのアクセス、通信、障害からの回復が必要になる。
Anthropicも、この簡略化された評価を実世界での性能の上限として扱っていた。モデルはタスクを把握し、環境は制約され、エクスプロイトの段階にはほとんど抵抗がなかった。
遅い推論速度も、別の実務上の障害となる。数日間に及ぶセットアップの試みでは、デバイスの再起動、ネットワークの変化、所有者による機器の切断、監視システムによる異常トラフィックの検知が起きる時間が増える。
モデルの重みの移動も目立つ痕跡を残す。家電機器への数GB規模のダウンロードは、特にデバイスが通常ほとんど接続しないピアへ持続的なトラフィックを送信し始めた場合、目立つだろう。
分散推論には、さらなる調整コストが伴う。15台のデバイスによるクラスターでは、シャードを利用可能かつ同期された状態に保たなければならない。ワームが冗長性を維持するか、ワークロードを再編成しない限り、必要なマシンを1台失うだけでモデルが中断する可能性がある。
こうした制約は警告を無効にするものではない。攻撃者が解決しなければならないエンジニアリング上の問題を定義するものであり、モデルとエッジハードウェアの進歩により、その一部は縮小しつつある。
責任ある結論は限定的だ。Anthropicは準備を正当化するだけの仕組みを実証したが、自律型の小規模モデルワームがすでに存在すると主張するには十分ではない。
AIワームは防御側に異なる圧力をかける
防御側が直面するのは、止められない新しい生命形態ではなく、未知の適応レイヤーを備えた、なじみ深いボットネット問題である。
従来のIoTボットネットは通常、既知の条件に一致するデバイスをスキャンする。固定された認証情報やエクスプロイトを試し、コンパクトなペイロードをインストールして、命令を待つ。防御側はその挙動を分析し、繰り返される指標をブロックできる。
AIワームは、ターゲットを調べた後で行動を変えられる可能性がある。互換性のあるバイナリを選択し、スクリプトを変更し、ローカル文書を検索し、成果のない経路を放棄するかもしれない。この変動性は、静的シグネチャの価値を下げる可能性がある。
ワームは、計画と実行を分離することもできる。より高性能なモデルが戦略を立案し、小規模なエージェントが侵害済みデバイスで限定的なタスクを実行するかもしれない。Anthropicは、弱いモデルが行き詰まったときだけ助言者に相談するよりも、この構成の方がもっともらしいと考えている。
そのためセキュリティチームは、既知のマルウェアサンプルだけに頼るのではなく、挙動を監視する必要がある。予期しないモデルファイル、推論ランタイム、コンパイラの活動、またはピアツーピア通信は、有用なシグナルになり得る。
ネットワークの可視性は依然として、防御側の最も強力な利点の一つである。複製を高速化するには、より多くのスキャン、ダウンロード、調整が必要になる。こうした活動は、インターネットプロバイダー、企業ゲートウェイ、デバイス管理プラットフォームで異常を生む。
ハニーポットは、複製者のツールや指示を捕捉できる。ハニーポットとは、攻撃者を誘引し、その行動を記録するために設計されたおとりシステムだ。研究者は、捕捉したプロンプト、モデル、スクリプトを利用して検知を開発できる。
封じ込めには歴史的な裏付けもある。Anthropicが引用した研究では、あるインターネットプロバイダーが観測されたMirai感染の92％を14日以内に除去した。顧客は隔離され、クリーンアップ手順へ誘導された。
この比較は、適応可能なエージェントに対して同等の成功を保証するものではない。ただし、協調的な通知とネットワーク制限が、すべてのデバイスに同時に到達しなくても分散感染を抑制できることを示している。
デバイスメーカーも、もう一つの重要なレイヤーを制御している。一意の認証情報、署名付きアップデート、無効化されたデバッグインターフェース、セキュアブート、サポートされたパッチチャネルは、AIマルウェアと従来型マルウェアの双方にとって機会を減らす。
英国ではすでに、製品セキュリティ規則の下で共通のデフォルトパスワードが禁止されている。同様の要件は、自動化された攻撃に利用可能なデバイスの母数を減らせる。
企業は資産インベントリも見直すべきだ。テレビ、カメラ、会議用機器は、機密ネットワークへのアクセスを保ったまま、通常のエンドポイント管理の対象外になっている場合がある。
こうしたデバイスを従業員のシステムから分離すれば、ラテラルムーブメントを制限できる。アウトバウンド接続を制限すれば、機器がモデルの重みを取得したり、外部ネットワークをスキャンしたり、分散推論クラスターに参加したりすることを防げる。
セキュリティチームには、デバイス所有者、ファームウェアの状態、ネットワーク上の位置、対応手順を結び付ける記録が必要になる。文書がローカルファイルに分散している場合、検索可能なナレッジベースがこの作業を支援できる。
モデル開発者は別の圧力に直面する。小規模なシステムのサイバー能力を評価し、測定された制約を公表し、パラメータ数を十分な安全境界として扱わないようにできる。
強力なツール利用能力を持つコンパクトなモデルは、信頼できるエージェンシーを欠くより大きなモデルよりも大きなリスクを生む可能性がある。評価では、長期にわたる実行、エラーからの回復、未知の環境、伝播に関連する挙動を試験すべきだ。
政策立案者は、この問題を純粋なAI問題として捉えるべきではない。弱いデバイスセキュリティがホストを供給し、高性能なエージェントが適応性を高める。モデルだけを対象にした規制では、根本的な攻撃対象領域が残る。
警告が現実化しているかを示す三つのシグナル
次に求められる証拠は、暴走するAIに関するより広範な予測ではなく、再現可能な能力試験、実世界の防御、エッジハードウェアの変化から得られるべきだ。
第一のシグナルは、小規模モデルが現実的なハードウェア上で完全な複製シーケンスを完了することだ。ターゲットを特定し、アクセスを獲得し、自身をインストールし、推論を確立し、さらに拡散し続ける必要がある。
評価は、認証されていないデバッグアクセスや、より強力な外部モデルに依存すべきではない。独立した研究者にも、結果を再現するのに十分なプロンプト、設定、ログが提供されるべきだ。
このような実証は、Anthropicの中核的な予測を強化するだろう。個別の複製タスクが改善を続けていたとしても、現実的な条件で繰り返し失敗すれば、主張されたタイムラインは弱まる。
第二のシグナルは、実際のIoTキャンペーンでローカルAI推論を使用するマルウェアだ。研究者は、侵害されたデバイスから捕捉されたモデルの重み、推論エンジン、適応型スクリプト、またはプロンプトを探すべきである。
AIを想起させるラベルを加えただけの通常のボットネットは該当しない。エージェントは、ターゲットに基づいて挙動を変えるか、伝播を維持するためにローカル推論を使わなければならない。
野生環境でその仕組みが発見されれば、議論は実験室での能力を超えて進む。その不在は安全を証明しないが、目前の運用リスクと、より長期的な研究上の懸念を区別する助けになる。
第三のシグナルは、メーカーとネットワーク事業者からの測定可能な対応だ。有用な証拠には、本番環境でのデバッグ無効化、一意の認証情報、署名付きアップデート、デバイス分離、異常なモデル転送の検知が含まれる。
インターネットプロバイダーは、大容量ファイルをほとんど交換しない機器間で継続するトラフィックを監視できる。企業は、組み込みシステム上の予期しないAIランタイムをフラグ付けし、認可されていないピア探索をブロックできる。
こうした措置は、利用可能なホストを減らし、各感染のコストを引き上げることで脅威を弱める。複製率が置き換え率を下回れば、遅いエージェントは持続できない。
Anthropicによる自己複製AIの研究が防御側に猶予を与えるのは、まさにそのプロトタイプがまだ不完全だからだ。機能するワームを待つことは、その優位性を手放すことになる。
実務上の問いは、オーブンが自発的に意思を持つかどうかではなくなった。攻撃者が、既存のIoTの弱点と、絶え間ない監督なしにデバッグ、適応、持続できるモデルを組み合わせられるかどうかだ。
開発者は再現可能な評価を求めるべきだ。メーカーは明白な侵入口を取り除くべきだ。企業の購買担当者は、長期利用されるコネクテッド製品を使い捨てのアクセサリーではなく、管理対象のコンピュータとして扱うべきである。
今後数か月にわたり、小規模モデルと成功するエンドツーエンド複製の間にある能力ギャップを注視すべきだ。そのギャップが現実的な条件下で埋まれば、Anthropicの警告は運用上のセキュリティ期限となる。
