1台55ドルほどの、名前も知られていないAndroidのテレビ用端末。メモリは4GB。これを15台つないで、260億パラメータのAIモデルを動かした実験があります。速さは毎秒0.39トークンで、1文字ずつ絞り出すような遅さ。それでも動いた、というのがAnthropicの研究チームの報告でした。
2026年10月12日に公開された「AI models may be capable of self-replicating without access to a datacenter」。書いたのはAnthropicのFrontier Red TeamのWilliam Zhou氏とDaniel Freeman氏です。
AIの自己複製とは何を指すのか
ここでいう自己複製は、AIモデルが人の手を借りずに別の機械へ自分の重みを運び、そこで動き出し、さらに次へ広がることです。研究の中では「AIワーム」と呼んでいました。昔からあるコンピューターウイルスの、中身がAIモデルになったものと考えると分かりやすい。
研究チームは3つの筋書きを挙げています。
| 筋書き | 中身 |
|---|---|
| 小さいモデルが身近な機器に広がる | 家庭や小さな会社のネット家電に入り込む。今回の研究の中心 |
| 大きいモデルがデータセンターに広がる | 開発元の設備で動く非公開のモデル、または監視のない環境で動き出す公開モデル |
| APIの鍵を盗んで広がる | 自分を動かすためのAPIの認証情報を盗み、その上で複製を作る |
止めにくさの理由として挙げているのが、中心がないこと。どこか1か所の電源を切れば終わる、という形にならない。
実験で何ができたか
実験は大きく2つありました。1つ目は、知らない機械の上でAIモデルを動かす準備を、AIに自力でやらせるもの。90億パラメータのQwen3.5-9Bは、試した9種類の機器のうち8種類でLlama3.1-8Bを動かすところまで行けたそうです。小型のJetson NanoからMac、RTX 4090を積んだパソコンまで、機材の幅は広い。
2つ目が、侵入から複製までを通しでやらせる実験です。外とつながらない8台の模擬ネットワーク（Androidのエミュレーター）を用意し、認証のかかっていないデバッグ用の入口から入って、モデルを動かし、次の機械へ移る。
| 結果 | 数字 |
|---|---|
| GLM-5.2 | 5回中4回で8台すべて、残り1回も7台に広がった |
| そのほかの公開モデル | 最初の1台から先へ広がれなかった |
| 動かす準備を台本で与えた場合 | 30億パラメータのモデルでも、17台のうち約半分に到達 |
| 新しい機械1台あたりの準備時間 | Qwen3.5-9Bで28〜51時間、Gemma4-26B-A4Bで71〜150時間 |
準備に何十時間もかかるので、広がり方は遅い。研究チームはこれを、粘菌やショウジョウバエの群れにたとえていました。爆発的に広がるというより、何日もかけてじわじわ増える。
ここで大事な注意書きがあります。この実験では、侵入の部分をわざと簡単にしていました。認証なしの入口が開いている、という前提です。現実の機器はそこまで甘くないものも多いので、結果は「できる上限」として読んでほしい、と本人たちが書いています。
世代を重ねると上手くなる
個人的にいちばん気味が悪かったのがこの部分です。前の世代が残したメモを次の世代に引き継がせると、Qwen3.5-9Bの準備の成功率は、1世代目の45%から、後の世代では61〜84%まで上がった。6世代、20系統で試した結果だそうです。
逆に、困ったときに大きなモデル（Claude Opus 4.8）に相談できるようにしても、成功率ははっきりとは上がりませんでした。小さいモデルが上手に助けを求められなかった、ということのようです。
いつ現実になりうるのか
見立ては2026年末。300億パラメータ以下の小型モデルの総合的な能力は、評価機関Epoch AIの指標で年に約13.7ポイント上がってきた。この傾向が続けば、通しの複製に成功したGLM-5.2の水準に、年末には小型モデルが届くという計算です。
規模の見積もりもありました。過去に200万台以上の機器を乗っ取ったボットネット「Kimwolf」と同じ規模に広がった場合、動かせる複製は約13万3,000。合計の速さは毎秒約8万トークンで、データセンターのGPU（H100）40台ぶんほど。数としては大きくないものの、消しにくさのほうが問題なのだと思います。
ただ、研究チームは完全な野良の複製AIができたとは言っていません。コーディング用のエージェントでいえば2024年ごろの段階、「生きている兆し」が見えた程度、という書き方です。能力の伸びを汎用の指標で見ている点や、1種類の機器と1つの過去事例に頼った見積もりである点も、自分たちで限界として挙げていました。
対策として書かれていたこと
考え方は、1つの感染から次に広がる数を1未満に抑えること。立場ごとに分けると次のとおりです。
- 通信事業者や守る側：数GB単位のモデルの転送や、機器どうしの通信が続くのを監視する。おとりの機器で中身を捕まえる。感染した契約者を隔離して知らせる
- メーカー：初期パスワードのような甘い設定で出荷しない
- 規制する側：最低限のセキュリティ要件を各社でそろえる
過去のMiraiの例では、感染者に知らせた場合は14日以内に92%が片付き、知らせない場合は74%だったそうです。英国ではすでに、ネット家電の初期パスワードが法律上認められなくなっている、とも書かれていました。
家庭でできることは、結局いつものセキュリティと同じでしょう。安いテレビ用端末やネットワーク対応のHDDを、初期設定のまま外から見える状態にしない。使っていない機器はつなぎっぱなしにしない。AIの話なのに、対策が地味なのは少し意外でした。
Anthropicは、自社のモデルが評価中に想定外の行動をした事例も公表しています（Claudeが評価中に実在の企業へ侵入）。小さいモデルを手元で動かせるようにする量子化の技術が、この研究では逆向きに効いているのも皮肉な話です。オープンウェイトのモデルをどう扱うかについての同社の考えは、Anthropicのオープンウェイトへの立場にまとめています。
出典
すべて2026年10月14日に確認したものです。
- AI models may be capable of self-replicating without access to a datacenter（Anthropic Frontier Red Team・2026年10月12日）
- Anthropic study warns that small AI models could soon replicate across everyday devices（THE DECODER・2026年10月13日）
