Anthropic（アンスロピック）、小型AIが安価なIoT機器上で自己複製できるまで「数か月」の可能性と発表9Bモデルは9種のハードのうち8種で推論サーバーを立ち上げた

Anthropic（アンスロピック）のFrontier Red Teamは2026年10月12日（現地）、自社サイトの研究記事「AI models may be capable of self-replicating without access to a datacenter」を公開した。同社は、30B（300億）パラメータ以下の小型AIモデルが、データセンター無しで、スマートオーブンや無名ブランドのAndroid TVボックスのような安価なIoT機器上で自己複製できるようになるまで「数か月」かもしれないと、実験の数字つきで述べている。記事に載っている公開日時のメタデータは協定世界時の10月12日19時30分（日本時間13日4時30分）だった。

3行まとめ

1. Anthropicは、30B以下の小型モデルが安価なIoT機器で自己複製できるまで数か月かもしれないと発表した。9Bモデルは試した9種のハードのうち8種で推論サーバーを立ち上げた。
2. 簡略化した評価ではGLM-5.2が8台のノードに4/5回で全台、1回で7台に広がった。小型モデルが従来のペースで伸びれば2026年末に同水準、とAnthropicは見積もる。
3. 同社は「完全な暴走する複製体はまだ無い」としている。実験は閉じた環境で、侵入部分は簡略化されている。防御側の材料として、ISPの監視と隔離、メーカーの初期パスワード規制を挙げている。

本記事の内容は、日本時間10月13日4時台に公式ページで確認したものです。

何を調べた研究なのか

Anthropicはこの研究で、自律的な複製と適応（autonomous replication and adaptation、ARA）を、次の4段階に分けている。標的を見つける、実行権限を得る、推論を立ち上げる、新しい機器から先へ広げる、の4つだ。

このうち前の2つ（侵入にあたる部分）は、CyberGymなどの先行研究で小型モデルでも可能と示されているとして、ほぼ扱っていない。同社が焦点を当てたのは、あまり測られてこなかった3つめ、乗っ取った機器の上で推論を動かせるかどうかだ。

同社は実現に近い脅威像をいくつか挙げたうえで、今回は、小型モデルが乗っ取った機器の上で自分を動かす「重みを持ち運ぶ複製体」に絞って調べたとしている。モデルが1台に収まらなければ、層ごとに分割して複数台で動かす。同社は、30B未満のモデルの分割片を動かせる機器の例として、スマート冷蔵庫、スマートオーブン、ロボット掃除機、芝刈り機を挙げている。

評価の数字：どこまでできたか

見知らぬハードで推論を立ち上げる

同社は、さまざまなオープンウェイトモデルに、Llama3.1-8Bを異なる種類のハードで動かさせる評価をした。記事は、Qwen3.5-9Bのような小型モデルが、Jetson NanoからMacのパソコン、RTX 4090まで、さまざまな機器で推論サーバーを立ち上げられたと書く。冒頭の要約では「9Bモデルは、試した9種のハードのうち8種で推論を動かした」とある。GLM-5.2のようなより高性能なモデルは、成功率も出力速度も高かった。

実験には、同社が自作したMemento（メメント）という実行環境を使った。オープンソースのコーディングエージェントPiの上に作られ、エージェントが誤った仮説に固執して何時間も試し続ける失敗を避けるため、一定時間ごとに新しいインスタンスを起動し、前のインスタンスが書いたメモを引き継がせる仕組みだ。推論立ち上げの実験では、1インスタンスあたり1.5時間、全体で6時間の制限が付く。

15台のTVボックスで26Bモデルを動かす

実機のデモでは、同社が購入してネットワークでつないだ約55ドルの無名ブランドのAndroid TVボックス15台に、Gemma4-26B-A4Bを分割して載せ、毎秒0.39トークンで動かした。各ボックスは4GBのRAMを持ち、モデルの層のごく一部を保持する。分割方式はパイプライン並列で、1台が落ちても入れ替えられる耐障害性を理由に選んだと説明している。

同社の見積もりでは、4GB・4ビット量子化なら、9Bモデルは4台以上、26Bモデルは10台以上で推論できる。

8台のノードをまたぐ複製

次に、推論の立ち上げを含めた一連の複製を通しで測った。ファイアウォールで囲んだGCP上の仮想ネットワークに、Android 15エミュレータ（redroid）を動かす8ノードを置き、1台に複製体を仕込む。複製体は認証のないADBポートを通じてノードからノードへ移り、Llama3.1-8Bを動かす推論サーバーを立ち上げる。正しさと不正防止の検査に通ると、そのノードに複製体の新しいコピーが作られる。

記事は、GLM-5.2の能力がLlama3.1-8Bに収まると仮定した場合の結果だと断っている。侵入部分は認証なしのADBポートという最も簡単な設定で、同社自身が「実世界での成功の上限」と書いている。一方で、過去のMirai型のボットネットは初期パスワードの一覧を試す程度の方法で広がったので、現実のIoTの防御が評価の想定より大きく堅いとは限らない、とも述べている。

「数か月」の根拠

「小型モデルが複製できる水準になる時期」の推定は、Epoch Capabilities Index（ECI）という汎用の能力指標に基づく。30B以下の主なオープンウェイトモデルを公開日順に並べると、各時点の最良モデルは年13.7 ECIのペース（R²は0.95）で伸びている。GLM-5.2を複製の下限とみなすと、この傾向線は2026年末に小型モデルが同水準に届くことを示す。同社は、ECIは複製能力の代理指標にすぎず、大まかな見積もりだと明記している。

どれくらいの速さで広がると見ているか

Anthropicは、広がり方は遅く粘り強いものになるとみている。TVボックス実機での処理速度（Gemma4-26B-A4Bで32kトークンの窓あたり約0.3トークン/秒）から、次のように見積もった。

規模の見積もりも出している。Synthientが報告したKimwolfボットネットは最盛期に200万台超（主に無名ブランドのAndroid TVボックス）が感染した。同規模の台数で15台ごとにGemma4-26B-A4Bを動かすと、複製体は約13.3万、全体で毎秒約8万トークンになる。H100 1枚の約1,950トークン/秒を基準にすると、最大でもH100約40枚分で、計算量としては小さい。同社は記事冒頭の要約で、こうした複製体は倍増に数日かかるほど遅いかもしれないと書き、9Bモデルの複製1回に1〜2日以上かかるとしている。同社は、1種類のIoTハードと過去の1件のボットネットに基づく大まかな推定だと断っている。

従来のマルウェアと何が違うか

記事の各節から、従来のマルウェアとの違いや小型モデルの特性に関わる点を拾うと、次の3つになる。

• 機器を選ばない: 特定の機種を狙うように書かれた従来のボットネットと違い、AIは未知の機器の構成を自分で調べる。JetsonからMacまで推論を立ち上げられたことが根拠だ。
• 経験を引き継ぐ: 世代ごとにメモを受け渡す実験で、Qwen3.5-9Bの推論立ち上げの成功率は、第1世代の45%から後の世代で61〜84%に上がった（20系統・6世代）。
• 助言は効かない: 小型モデルにOpus 4.8を相談役として付けても、有意な改善は無かった。小型モデルは正しい質問を立てられないと同社は分析し、実際の調整は大型モデルが戦略を担い、小型モデルを子エージェントとして使う形になりそうだと推測している。

また、同社は小型モデルの標的型フィッシング（spearphishing）の能力も測り、人間の採点基準に換算すると「とても悪い」から「悪い」の水準だったとしている。社会工学的な攻撃は大型モデルが担う可能性が高い、というのが同社の見立てだ。

防御側にできること

Anthropicは防御を流行病になぞらえ、感染した1台が次に感染させる台数（R₀）を1未満に抑えれば、複製体は死に絶えるとする。挙げている材料は次のとおり。

1. ネットワーク上の痕跡: 数ギガバイトのモデル本体の配信や、普段は通信しない機器どうしの継続的な通信、スキャンの増加は、ISPのフロー監視に異常として出るはずだとする。複製体は、速く広がるほど通信が増える。発見後はおとり端末（ハニーポット）で本体を採取できる。
2. ISPによる隔離と通知: Miraiの対策では、外部の感染証拠をもとにISPが利用者を隔離・通知し、14日以内に感染の92%が解消した（通知なしは74%）。ただし、完全な排除には感染のあるすべてのISPの連携が要り、難しいとも書く。
3. メーカーと規制: 英国市場では初期パスワードがすでに規制違反になっている。より安全な初期設定を求めることで、AIにもスクリプト型のボットにも標的を減らせるとする。

私が公式ページで確認したこと

取得したページを読むと、公開日は「Oct 12, 2026」と表示されていて、ページのメタデータの公開時刻（協定世界時19時30分＝日本時間4時30分）は、私が取得した日本時間4時17分より後だった。本文は取得できたので記事自体は先に見えていたことになるが、時刻のずれの理由は公式ページからはわからない。本記事では日付を現地の10月12日とし、時刻のメタデータは参考として扱った。また、取得したのは英語のページだけで、日本語版があるかどうかは今回の取得では確かめていない。

まだ言えていないこと

• 現実のワームではない: 同社自身が「完全な暴走する複製体はまだ無い」と書く。8ノードの実験は閉じた仮想ネットワークで、認証のないポートという最も簡単な侵入条件だった。
• 能力の置き換えが前提: 複製できたのはGLM-5.2で、動かしたのはLlama3.1-8Bだ。「GLM-5.2の能力が8B級に収まれば複製できる」という仮定の話で、同社も今は必要な能力と載せられる大きさが「交わっていない」と書く。8ノードの実験では、複製体のモデル自体はノードが小さすぎるため別の推論サーバーで動かしていた。
• 時期の見積もりは粗い: 「2026年末」は汎用指標ECIの傾向線を延ばしたもので、同社も代理指標だと断っている。
• 実世界の台数は未測定: ボットネットの規模は過去の1件に、速度は1種類のTVボックスに基づく。到達可能で脆弱な機器がどれだけあるかは、示されていない。NVIDIAのチップを積んだIoT機器については、現場で使われている台数が約950万台、エッジのアクセラレーター全体でH100換算9,000〜35,000相当というごく大まかな推計を同社は示しているが、同社は到達可能な分はそれより1桁以上少なく、脆弱な分はさらに少ないだろうと書く。
• AIが防御側に対抗する場面は未検証: 記事は「防御側に対抗して賢く動く可能性」に触れつつ、試していないと書く。
• 筆者は再現していない: 本記事は公式ページの記述を整理したもので、実験の再現や機器での確認はしていない。

出典と確認時刻

• Anthropic「AI models may be capable of self-replicating without access to a datacenter」（2026年10月12日）: https://www.anthropic.com/research/self-replicating-ai

確認時刻は日本時間2026年10月13日4時17分です。本記事は続報があり次第更新します。