Anthropic、小型AIが安価なIoT機器で自己複製する可能性を警告

Anthropicは小型AIの自己複製まで数か月と警告

Anthropicは2026年10月12日、小型のAIモデルが市販のIoT機器の上で自分を複製できる水準まで、あと数か月とみる研究を公表しました。 研究はAnthropicのFrontier Red Team（AIの危険な能力を調べる社内チーム）によるもので、著者はWilliam Zhou氏とDaniel Freeman氏です。

ここでいうIoT機器とは、スマートオーブンやTVボックス、ネットワークカメラのようにネットに接続する家電や機器のことで、研究は中でもノーブランドのAndroid TVボックスに注目しています。こうしたボックスは安く手に入る一方、メーカーがセキュリティの機能を追加していないとのこと。

AIワームは乗っ取った機器でどう自分を運ぶのか

Anthropicの研究が想定するのは、乗っ取った機器の上でAIモデルを動作させ、その機器から次の機器へ自分を運ぶAIワームです。 ワームとは自力で増えていくマルウェアのことで、Anthropicはこの種類をweight-based replicator（重みを運ぶ複製体）と呼んでいます。モデルの重み（学習を終えたAIの中身）が、マルウェアの一部として運ばれるという意味です。

人間の管理を離れてAIが自分を展開し、増やしていく動きは、ARA（自律的な複製と適応）と呼ばれます。こうした複製体には全体を終了させる中心が無いため、停止は難しいとのこと。一方で増え方は遅く、倍になるまで数日かかる見込みです。

AIでないマルウェアと異なり、AIワームは見慣れない機器でも動作させる方法を自分で探すことができます。研究はこの違いをAIワームの新しさとみています。

300億パラメータ以下のモデルは複製の途中で誤る

Anthropicの研究は、300億パラメータ（30B）以下の小型モデルが、複製に必要な工程の多くをすでにこなせるとしています。 パラメータはAIモデルの大きさを表す数のことで、多いほど賢くなる一方、動作させるための負荷も大きくなります。

ただし全工程を通して実行すると、途中で誤りが出ます。文書を経由して広がる別のAIワームと異なり、今回は機器でモデルそのものを動作させることが特徴です。

55ドルのTVボックス15台で260億パラメータのAIが稼働

機器で行った2つの実験（Anthropicの研究より）

モデル	機器と結果
Gemma4-26B-A4B	約55ドル（約8,700円）のTVボックス15台に分けて、毎秒0.39トークンで稼働
Qwen3.5-9B	9種類ある機器のうち8種類で、推論環境を自分で構築

安いIoT機器を何台もネットワークで接続すれば、260億パラメータのAIモデルでも稼働させられることを、Anthropicは実験で確認しました。 研究は、データセンターのGPUのような高価な機器がなくても、安い機器の寄せ集めでAIを動作させる計算能力をまかなえるとしています。実験は、機器の上でモデルを稼働させるものと、見慣れない機器で推論の環境を作らせるものの2つです。

層ごとに15台へ分けたモデルの速さは毎秒0.39トークン

Anthropicの研究チームは市販のTVボックスを15台そろえてネットワークで接続し、260億パラメータのGemma4-26B-A4Bを稼働させました。 ボックスはノーブランドのAndroid TVで、価格は1台約55ドル（約8,700円）です。メモリは1台あたり4GBで、1台には入りきらないモデルを層ごとに分け、各ボックスに層を2つずつ割り当てました。

文章を生成する速さは、毎秒0.39トークン（トークンは文章を細かく区切った単位）でした。この価格帯のTVボックスが搭載するメモリは1〜4GBで、研究はこうした機器の寄せ集めをAIワームの標的になりうるものの1つとみています。

Qwen3.5-9Bは9種類中8種類の機器で推論環境を構築

AIワームが新しい機器に到達したら、その機器でモデルを実行する環境を自分で整えなければなりません。 推論とは学習済みのAIを動作させて回答を出させることです。Anthropicの研究チームは、90億パラメータのQwen3.5-9Bに見慣れない機器で推論の環境を作らせました。

対象はJetson NanoからMac、RTX 4090を積んだ機器までの9種類で、Qwen3.5-9Bはそのうち8種類で推論を実行できる状態まで進めました。なお研究は、試した機器のチップそのものに危険や脆弱性があるわけではないと補足しています。

従来のマルウェアは特定の機種に合わせて作られていますが、AIは機器ごとの差を自分で埋めていくことができます。研究はこの適応力に注目しています。

複製を最後までやり遂げたのはGLM-5.2だけ

複製実験の条件と結果（Anthropicの研究より）

場所

Google Cloudの8台を、外から遮断したネットワークに置く

機器

各ノードでAndroid 15のエミュレーターを実行する

入口

パスワードなしで接続できるADBポート（侵入プロセスは省略）

課題

接続した機器でLlama3.1-8Bの推論環境を作る

結果

GLM-5.2が5回中4回で8台すべて、残る1回で7台に広がった

機器への接続から、到達した先での推論環境づくりまでを最後まで成功させたのは、オープンウェイトモデル（重みが公開されたモデル）ではGLM-5.2だけでした。 GLM-5.2は5回試して4回が8台すべてへ広がり、残る1回も7台まで届きました。他のモデルはいずれも途中で失敗したとのこと。

侵入プロセスは省き、パスワードなしで接続できる8台で実験

Anthropicが複製の実験に使ったのは、本物のIoT機器ではなくクラウド上の模擬環境です。 研究チームはGoogle Cloudの8台のノードを外部から遮断したネットワークにまとめ、それぞれでAndroid 15のエミュレーター（Androidを再現するソフト）を動作させました。

ノード同士はADBポート（Androidを外から操作するための接続口）でつながり、パスワードなしで接続できる設定です。機器へ侵入する難しい工程をほぼ省いているので、Anthropicもこの結果を実環境での成功の上限としています。複製を担当したGLM-5.2自体は、ノードには大きすぎるため別の推論サーバーで動作しています。

研究チームは条件をそろえるため、接続した機器で立ち上げるモデルを80億パラメータのLlama3.1-8Bに固定しました。GLM-5.2と同じ水準の能力を持つ小さなモデルがあれば自分を広げられるかを、この条件で調べた実験です。

研究は、過去にIoT機器を大量に乗っ取ったMiraiが、メーカーが設定した初期パスワードの一覧を試すだけで広がったことにも触れています。実際のIoT機器の守りも、実験で省いた工程より大幅に難しいとは限らないと研究はみています。

小型モデルがGLM-5.2に追いつくのは2026年末と予測

ここからはAnthropicが実験で得た結果ではなく、研究チームが性能の伸び方から見積もった予測です。 研究チームは300億パラメータ以下の公開モデルを発表時期ごとにまとめ、ECI（Epoch Capabilities Indexという総合的な能力指標）で伸び方を見ました。GLM-5.2の水準を複製に必要な最低線とすると、小型モデルがこれまでのペースで伸びれば、2026年末までに届く計算です。

ECIは複製能力の代わりに使う目安にすぎず、時期は大まかな見積もりだと研究も認めています。冒頭の「数か月」という見立てもこの予測にもとづいています。

AIワームの広がりは遅いのに停止が難しいのはなぜか

1台に推論環境を作り終えるまでの時間（TVボックスの速さで計算、Anthropicの研究より）

モデル	推論環境を作り終えるまで
Qwen3.5-9B	28〜51時間
Gemma4-26B-A4B	71〜150時間

AIワームは全体を終了させる中心が無いので停止が難しい一方、増え方は遅く、倍になるまで数日かかると研究はみています。 研究はIoT機器に住みつくAIの複製体を、数日かけて増える粘菌やショウジョウバエの群れに例えています。

Qwen3.5-9Bは1台に推論環境を作るまで1〜2日

Anthropicの研究チームは、TVボックスで計測した速さをもとに、AIワームが1台に推論環境を作り終えるまでの時間を見積もりました。 Qwen3.5-9Bは28〜51時間、Gemma4-26B-A4Bは71〜150時間です。90億パラメータのモデルでも、複製1回に1〜2日以上かかる計算になります。

全体の計算能力も大きくありません。主にAndroid TVボックスに感染したKimwolfボットネット（マルウェアに乗っ取られてまとめて操られる機器の群れ）は、最盛期に200万台超に広がりました。同じ台数のTVボックスでAIを動作させても、推論の能力はデータセンター用GPUのH100で約40台分にとどまると研究は計算しています。

前回の試行と失敗の記録を引き継ぐと成功率は最大84%

Anthropicの実験では、AIワームが前の世代の経験を受け継ぐことで、推論環境の構築に成功しやすくなりました。 研究チームはQwen3.5-9Bに、試した手順と失敗の記録を毎回残させました。新しく立ち上がったQwen3.5-9Bはその記録を受け取り、同じ推論環境の構築をやり直します。

この引き継ぎを6世代続けたところ、1世代目に45%だった成功率は以後の世代で61〜84%に上がりました。一方、小型モデルに上位モデルのOpus 4.8へ助言を求めさせても、成功率ははっきりとは上がっていません。研究は、小型モデルが何を聞けばよいかをわかっていないためとみています。

AIワームはISPの通信監視で見つけやすいと研究は指摘

Anthropicの研究は、IoT機器で大量に増えるAIワームは、ISP（インターネット接続事業者）の通信監視で異常として見えると指摘しています。 新たに感染した機器は数GBのモデルを受け取り、普段は通信しない機器どうしが続けてやり取りするためです。

停止の方法には前例があり、Miraiボットネットでは感染した契約者の通信をISPが制限したうえで本人に通知したところ、14日間で感染の92%が解消しました。通知しなかった場合の解消率は74%にとどまりました。

研究はメーカーの対応で狙われる機器を減らせることにも触れ、英国ではIoT機器の初期パスワードが法令に適合しなくなった例を紹介しています。メーカーが出荷時の設定を安全にすれば、AIワームにも従来のボットネットにも効果があるという考え方です。

家や職場のIoT機器で見直すこと

研究が提案した初期パスワードの廃止は国内の取り組みとも重なるので、会社は機器の選び方を、社員は設定と更新を見直しておきましょう。 見直す内容は、国内のNOTICEとJC-STARという2つの仕組みで確認できます。

国内では総務省・NICT（情報通信研究機構）・ICT-ISACがISPと連携し、2019年2月20日からNOTICEというIoT機器のセキュリティ対策の取り組みを進めています。NOTICEは攻撃に使われる危険性が高い機器を見つけると、ISPを通じて機器の管理者やユーザーへ電子メールや郵便で注意喚起するとのこと。

会社側：JC-STARの適合ラベルで機器を選ぶ

会社がネットワークカメラやルーターなどを買うときは、IPA（情報処理推進機構）が運用するJC-STARの適合ラベルを選ぶ基準にしましょう。JC-STARは、IoT製品のセキュリティ機能を共通の基準で評価し、適合ラベルで見える化する国の制度です。また、★1はすべての製品に共通する最低限の基準で、★3と★4は政府機関や重要インフラで使う製品を想定しています。

ただしIPAは、適合ラベルがあっても完全なセキュリティを保証するものではないと注意しています。ラベルで機器を選んだあとも、パスワード設定とソフトウェア更新は続けましょう。

社員側：初期パスワードを変えてソフトを最新に保つ

社員は、家や職場で使うIoT機器の初期パスワードを変え、ファームウェア（機器を制御するソフト）を最新に保ちましょう。NOTICEは、管理機能にアクセス制限をかけていない、推測しやすいパスワードを使っている、ファームウェアを更新していない、の3つにあてはまる機器が攻撃に悪用されやすいとしています。また、在宅勤務で使う家のルーターやネットワークカメラも、同じように見直しておきましょう。

契約しているISPから注意喚起のメールや郵便が届いたら、NOTICEサポートセンター（0120-769-318・無料・固定電話のみ）へ問い合わせることができます。注意喚起は、その機器が攻撃に悪用されやすい状態にあるという知らせです。

AIワームが新しくても、狙われる隙はボットネットの頃と同じ

AIワームが賢くなっても、入口が出荷時の設定の弱さであるかぎり、設定を変えて更新を続けている機器にはこの手口が通りにくくなります。 今回の実験でAIワームが使った入口は、認証のない接続口でした。過去にMiraiが大量の機器を乗っ取れたのも、出荷時のまま変えられていない初期パスワードが理由です。

しかも機器で実行できるのは小さなモデルだけで、広がるにも日単位の時間がかかります。AIの進歩の速さを追いかけるより、家や職場にある機器が買ったときの設定のままになっていないかを点検するほうが、先に取りかかれる対策です。