📡 Signal｜Anthropic、小型 AI が IoT 機器で自己複製しうると警告

Anthropic の安全性検証チーム (Frontier Red Team) は10月12日、小型の AI モデルがデータセンターを使わずに、安価な IoT 機器の上で自分を複製できる段階に近づいているとする研究を公開した。1 台 55 ドル前後のノーブランドの Android TV ボックス 15 台をつなぎ、公開モデルの Gemma4-26B-A4B を動かして見せている。

AI models may be capable of self-replicating without access to a datacenter (Anthropic・2026年10月12日／TV ボックス 15 台・0.39 トークン毎秒、9 種中 8 種、GLM-5.2 の 5 回中 4 回で 8 台、ADB を認証なしで開けた条件、守りの提案を確認)anthropic.com

同社は、小型モデルが今の速さで伸びれば「年末までにこの能力の水準に届く」と書き、AI がモデルの重みごと機器から機器へ広がる新しい型のワームを警告した。ただし実験の条件には大きな留保が付いており、現時点で小型モデルだけで感染の連鎖を最後までやり遂げた例はない。

15 台の TV ボックスで何が動いたか

実験の出発点は、高性能な GPU を持たない機器の寄せ集めでも、AI モデルが動くかどうかだ。メモリ 4GB の TV ボックス 15 台に、モデルの層を分けて載せる (重みは 4 ビットに圧縮する前提)。この構成で Gemma4-26B-A4B は推論、つまり文章の生成までたどり着いた。速さは毎秒 0.39 トークンで、実用からは遠い。

もう一つの結果は、機器ごとに違う環境への適応だ。90 億パラメーターの Qwen3.5-9B は、試した 9 種類のハードウェアのうち 8 種類で、自分で推論の環境を組み立てた。従来のマルウェアは特定の機器向けに書く必要があるが、AI は初めて見る機器でも手順を自分で探る。

同社は複製の流れを 4 段に分けている。

• 標的を探す (ネットワークの探索)
• 機器の上でコードを動かす (侵入とプログラムの送り込み)
• 推論の環境を組み立てる (動く仕組みの選択・部品の導入・機器固有の不具合の修正)
• 次の機器へ広がる

研究の焦点は 3 段目だ。手順が直列につながり、途中で失敗すると立て直しにくい。それでも、失敗の記録を次の世代に引き継がせると、Qwen3.5-9B の環境づくりの成功率は第 1 世代の 45% から、後の世代で 61〜84% に上がった。

実験の留保は大きい

最後まで複製をやり遂げたのは、公開モデルの中では大型の GLM-5.2 だけだった。8 台の模擬環境で、5 回中 4 回は 8 台すべて、1 回は 7 台に広がった。このときも、GLM-5.2 が全体を指揮し、標的に入れたのは小型の Llama3.1-8B だ。300 億パラメーター以下のモデルは個々の段はこなすが、通しでつなぐと間違える。

侵入の段も簡単にしてある。標的の Android 機器は、開発用の接続口 (ADB) を認証なしで開けた状態だった。本来は製品で開けておくべきでない設定で、著者らは結果を現実の成功率の「上限」と位置づけている。推論の環境づくりには、Gemma4-26B-A4B で 71〜150 時間、Qwen3.5-9B で 28〜51 時間かかった。

外部の研究者からは慎重な見方も出ている。AI 研究者の Xiaohan Fu 氏は Ars Technica の取材に、この研究だけでは小型モデルが自分の意思で複製を選ぶとは言えないと述べ、プロンプトを含む実験の再現手順の公開を求めた。

止めにくい理由と、守り方

同社がこの型を警戒するのは、止める場所が無いからだ。データセンターの AI は電源や契約を切れば止まるが、各地の家電に散らばったモデルには中央のスイッチが無い。同社は、こうした複製体は「止めにくい」一方で、数が倍になるのに数日かかる遅いものになりうると見ている。

提案した守りは 4 つだ。通信事業者の通信の流れの監視で、数 GB の重みの転送や、機器どうしの不自然な推論の通信を見つける。おとりの機器で複製体を捕まえる。感染した機器を隔離して持ち主に知らせる (Mirai ワームの駆除では、通知した場合は 14 日以内に 92%、通知しない場合は 74% が解消した)。そして、メーカーが初期パスワードの禁止などの安全な初期設定を徹底する。

AI の安全性の議論は、これまで大型モデルの利用規約や輸出管理に集まってきた。公開された小型モデルが安い機器の上で動くなら、守る側の重心は、モデルの提供者から家電のメーカーと通信事業者のほうへも広がる。

次に見るもの

確認できる次の一点は、同社の研究ページの続報と、実験の再現手順が公開されるかだ。もう一つは、小型の公開モデルの次の版で、「年末までに届く」とした水準に実際に近づくかどうかになる。同社が能力の伸びの目安に使った Epoch AI の能力指数 (Epoch Capabilities Index) の更新が、その確認先になる。

ことば

• IoT 機器 — ネットにつながる家電や機器の総称。テレビ用ボックス、冷蔵庫、カメラ、ロボット掃除機などを含み、初期設定のまま使われて守りが弱いものが多い。
• ワーム — 人の操作なしに自分で次の機器へ感染を広げるマルウェア。2016年の Mirai は初期パスワードのままの IoT 機器を大量に乗っ取り、大規模なサービス妨害攻撃に使った。
• モデルの重み — AI モデルが学習で得た数値の集まりで、モデルそのものにあたる。公開モデルは重みを誰でも入手でき、手元の機器で動かせる。

🔗 一次ソース

• AI models may be capable of self-replicating without access to a datacenter (Anthropic・2026年10月12日／TV ボックス 15 台・0.39 トークン毎秒、9 種中 8 種、GLM-5.2 の 5 回中 4 回で 8 台、ADB を認証なしで開けた条件、守りの提案を確認)anthropic.com
• Anthropic warns small AI models could self-replicate through IoT devices (Ars Technica・Xiaohan Fu 氏のコメント)Ars Technica