AIが自ら増殖する時代が迫る？Anthropicが自己複製の危険性を検証、55ドルの機器でも大型AIが動作

Anthropicは2026年10月12日、安価なIoT機器を利用してAIが自律的に自己複製する可能性を検証した研究結果を公開した。同社のフロンティアレッドチームは、1台約55ドルのAndroid TVボックス15台を組み合わせ、大規模AIモデルを動かすことに成功。さらに、より高性能なAIモデルを使った実験では、条件を簡略化した環境で自己複製に必要な一連の手順を実行できることを確認した。研究チームは、小型AIモデルの能力向上が従来のペースで続けば、2026年末にも自律的な自己複製に必要な水準へ達する可能性があると予測している。

これは、高価なGPUを備えたデータセンターだけでなく、家庭などに広く普及する処理能力の限られた機器も、AIの計算資源として悪用され得ることを示す研究だ。ただし、今回実証されたのは、安価な実機でのAIの動作と、簡略化された環境での自己複製手順の実行であり、AIが現実のIoT機器に侵入して自律的に増殖し続けたわけではない。その違いを踏まえて結果を見る必要がある。

1台55ドルのAndroid TVボックス15台で、260億パラメータのAIを動作

今回の研究を担当したAnthropicのWilliam Zhou氏とDaniel Freeman氏は、1台約55ドルで購入できる、無名メーカー製のAndroid TVボックスを使用した。

各端末のメモリ容量は4GB。15台をネットワークで接続することで、約260億パラメータを持つAIモデル「Gemma4-26B-A4B」を、毎秒0.39トークンの速度で動作させることに成功した。

トークンとは、AIが文章を処理する際の単位だ。毎秒0.39トークンという速度は、一般的なチャットAIと比べると極めて遅い。それでも、高性能な専用GPUを搭載していない安価な機器だけで、大規模なAIモデルの推論を実行できた点には意味がある。

実際の動作の様子は、Anthropicの研究報告で公開されている。

ただし、15台それぞれで260億パラメータのモデル全体を動かしたわけではない。

研究チームが採用したのは、AIモデルを複数の機器に分割して配置する「パイプライン並列」という手法だ。

AIモデルを構成する層を各端末に分担させ、それぞれの計算結果を次の端末へ順番に受け渡すことで、複数の機器を組み合わせて一つのモデルを動かしている。

また、学習済みモデルのパラメータを4ビットに量子化することで、必要なメモリ容量も削減した。

研究チームの試算では、4GBのメモリを備えた機器で約90億パラメータのモデルを動かすには少なくとも4台、約260億パラメータのモデルでは10台以上が必要になるという。

こうした分散推論の仕組み自体は、以前から研究されている。

例えば、Borzunov氏らが発表した「Petals」の研究では、複数の参加者がAIモデルの層を分担して処理する仕組みが提案されている。担当するサーバーが停止した場合には、別のサーバーを探して処理を継続できる設計だ。

Anthropicも、故障した機器が担当していた処理を別の機器へ移しやすいことを、パイプライン並列を採用した理由の一つに挙げている。

ただし、複数の機器に分散してAIを動かせることと、AI自身が新しい機器を見つけて自律的に複製を増やせることは、まったく別の能力だ。

今回の実機デモが直接証明したのは、身近な安価な機器を組み合わせても、大規模AIモデルを動作させられるという点である。

自己複製の実験では8台中8台への展開に成功、ただし重要な制約も

Anthropicは、AIが新しい機器へ自分自身を複製するために必要な能力についても検証している。

この実験で高い性能を示したのが、AIモデル「GLM-5.2」だ。

GLM-5.2は、Google Cloud上に構築された8ノードの閉鎖された試験環境で、5回の実験のうち4回で全8ノードへの複製手順を完了した。残る1回でも、8ノード中7ノードまで到達したという。

ただし、この実験には重要な条件がある。

まず、対象は実際のAndroid TVボックスではなく、Android 15を動作させるエミュレーター「redroid」だった。

また、端末の操作に使われるADB（Android Debug Bridge）は認証なしで接続できる状態に設定されており、端末へアクセスする難易度は意図的に低く抑えられていた。

さらに、複製先の端末で実際に動かしたモデルはGLM-5.2自身ではなく、「Llama 3.1 8B」だった。

GLM-5.2は複製作業を指揮する役割を担っており、その推論サーバーは対象ノードとは別の場所で動作していた。

新しいノードでLlama 3.1 8Bが正しく動くことを確認した後、そのノード上でエージェントのコピーを起動する処理も、研究チームが用意した仕組みによって行われている。

つまり、GLM-5.2が自分自身を安価なIoT機器に複製し、そこで完全に自律動作することに成功したわけではない。

Anthropicが公開した実験を整理すると、それぞれの検証内容と限界は次のようになる。

実験	使用したモデル・環境	確認できたこと	主な制約
実機での分散推論	TVボックス15台でGemma4-26B-A4Bを実行	安価な機器を組み合わせて大規模AIを動作させられる	機器の購入・接続は研究者が実施。自律感染は検証していない
異なる機器への推論環境構築	Qwen3.5-9BなどがLlama 3.1 8Bの実行環境を構築	Qwen3.5-9Bが9種類中8種類のハードウェアで構築に成功	実際に機器へ侵入する能力を測定したものではない
8ノードでの自己複製試験	外部サーバーのGLM-5.2がLlama 3.1 8Bを展開	対象の探索から推論環境の構築まで、一連の手順を実行	ADBは認証なし。複製先でのエージェント起動は研究側の仕組みが担当
2026年末の能力予測	300億パラメータ以下のモデルの能力推移を分析	小型モデルが将来的に必要な能力水準へ達する可能性を推定	実際のIoT環境で自己複製が成立する時期を実証したものではない

以上は、Anthropicの研究報告に記載された実験条件を整理したものだ。異なる実験の成功率を、そのままモデル間の性能順位として比較することはできない。

今回確認されたのは、小型AIを安価な実機で動かせることと、強力なAIが簡略化された環境で自己複製の手順を実行できることだ。小型AIがIoT機器だけを利用して自律的に増殖し続ける能力は、まだ実証されていない。

この違いは、過去の研究と比較するうえでも重要になる。

Guan氏らが発表したプレプリント論文『AI Agents Enable Adaptive Computer Worms』では、模擬的な企業ネットワーク内で、AIが攻撃対象に応じた手順を組み立てながら感染を広げる能力が検証されている。

ただし、主な感染拡大の実験では共有GPUを使った推論基盤が利用されていた。また、新しいGPU上でAIモデルを動かす能力については、管理者の認証情報を与えた別の実験で検証している。

つまり、ネットワーク上で感染を広げる能力と、感染先で自分自身を動かすための計算資源を確保する能力は、これまでの研究でも分けて評価されてきた。

Anthropicの今回の研究は、後者の対象を、計算能力の限られたIoT機器にまで広げた点に特徴がある。

なお、この結果は査読済み論文ではなく、Anthropicの研究ブログとして公開されたものだ。実際の家庭用機器で、制御不能になったAIが発見されたという報告ではない。

小型AIが2026年末にも自己複製能力を獲得する可能性

Anthropicが示した「2026年末」という予測は、自己複製の実験で得られた成功率から直接導かれたものではない。

その根拠となっているのは、小型AIモデルの一般的な能力が、これまでどれほどの速さで向上してきたかという分析だ。

研究チームは、パラメータ数300億以下のオープンウェイトモデルを対象に、各時点で特に高い性能を持つモデルの能力を調べた。

評価に使用したのは、Epoch AIが開発した「Epoch Capabilities Index（ECI）」という指標だ。

Epoch AIの説明によると、一般能力を測るECIは、50種類以上のベンチマークを組み合わせて算出される。なお、サイバーセキュリティ分野の能力を測定するECIは、一般能力の指標とは別に用意されている。

Anthropicの分析では、小型モデルの一般能力は年間13.7ポイントのペースで向上してきたという。

この傾向が今後も続くと仮定すれば、2026年末には、現在のGLM-5.2に相当する能力を持つ小型モデルが登場する計算になる。

ただし、ここには大きな不確実性がある。

一般的なAI能力が向上したとしても、認証や通信制限のある実際のネットワークで、自己複製に必要なすべての手順を実行できるとは限らない。

Anthropic自身も、この予測について、自己複製能力の代わりに一般能力の指標を使用した大まかな推定だと説明している。

また、個々の作業を実行できることと、複数の工程を連続して成功させることにも違いがある。

例えば、未知の機器でAIモデルを動かすには、その機器に対応するソフトウェアを選び、必要なライブラリを導入し、エラーが発生した場合には原因を突き止めなければならない。

研究では、あるQwenモデルが長時間にわたってパッケージのバージョンを調べ続けたものの、実際の問題は検証用APIと互換性のない実装にあったという事例も報告されている。

AIが一度誤った原因を思い込むと、同じ方向で調査を続けてしまい、なかなか解決にたどり着けないことがあるわけだ。

この問題への対策として研究チームが使用したのが、「Memento」というエージェント実行基盤だ。

Mementoは、一定時間ごとに新しいエージェントを起動し、前のエージェントが作成したコードや作業メモを引き継ぐ仕組みになっている。

これにより、前のエージェントが行き詰まっていた場合でも、新しいエージェントが別の解決方法を試しやすくなる。

推論環境の構築を検証した実験では、1回の実行を最大1.5時間、全体を最大6時間に制限し、機器の仕様などに関する情報も事前に与えていた。

つまり、今回の結果には、AIモデル自体の能力だけでなく、こうした作業支援の仕組みによる効果も含まれている。

さらに研究チームは、作業メモを次のエージェントへ引き継ぐことで、成功率がどのように変化するかも検証した。

Qwen3.5-9Bを使い、20系統のエージェントを6世代にわたって動作させた結果、推論環境の構築成功率は最初の世代の45%から、後の世代では61〜84%へと向上した。

ただし、これは前のエージェントが得た知見を作業メモとして引き継いだ結果であり、AIモデルの重みを再学習して能力そのものが進化したわけではない。

一方、より高性能な「Claude Opus 4.8」に助言を求められるようにした実験では、統計的に有意な改善は確認されなかった。

小型モデルが適切な質問を組み立てられず、強力なモデルから助言を受けても、それを問題解決に十分生かせなかったという。

こうした結果は、自己複製に必要なのが、単に強力なAIへアクセスできることではないと示している。

失敗した原因を見極め、必要に応じて方針を変更し、一連の作業を最後まで実行できる能力が重要になる。

自己複製は低速でも、停止させるのが難しい可能性

仮に小型AIがIoT機器上で自己複製できるようになったとしても、その速度は非常に遅い可能性がある。

Anthropicは、今回の実機測定結果と、推論環境を構築する実験で必要だった処理量を組み合わせ、AIが新しい機器で推論環境を整えるまでにかかる時間を推定している。

その結果は次のとおりだ。

AIモデル	推論環境の構築に必要と推定される時間
Qwen3.5-9B	約28〜51時間
Gemma4-26B-A4B	約71〜150時間

この試算では、約32,000トークンのコンテキストを使いながら、推論や作業履歴の処理を繰り返す条件が想定されている。

ただし、これらは実機で測定した推論速度と、別の環境で計測した作業量を組み合わせた推定値だ。

現実のネットワークで感染した機器の数が、何時間ごとに倍増するかを測定した結果ではない。

それでも、増殖速度が遅いからといって、脅威にならないとは限らない。

今回の研究でAnthropicが注目しているのは、AIモデルの重みと実行環境を各機器へ移し、その機器上で推論を実行できるという点だ。

クラウド上のAIサービスを使う仕組みであれば、サービス提供者がAPIキーを無効化することで、少なくともそのAPIへのアクセスを止められる。

しかし、AIモデル自体が感染先の機器で動作している場合は、特定のAPIキーを無効化するだけでは停止できない。

計算を実行できる機器と通信経路が残っていれば、処理を続けられる可能性があるためだ。

Anthropicは、こうしたAIを「デジタルな粘菌」にたとえている。

個々の処理は遅くても、分散した計算資源を利用しながら、ネットワーク上でしぶとく活動を続ける可能性があるという意味だ。

また、脆弱なIoT機器が大規模なボットネットに取り込まれる問題は、すでに現実に起きている。

セキュリティ企業Synthientは、2026年1月に公開したKimwolfボットネットの調査で、感染した機器が200万台を超えたと報告した。

感染対象の中心となっていたのは、ADBを利用できる状態になっていたAndroid機器だ。

また、家庭のインターネット回線を経由するプロキシネットワークが悪用され、外部から直接アクセスできない機器にも到達する経路が存在していた。

この事例は、家庭内の機器がインターネットへ直接公開されていなくても、必ずしも安全とは限らないことを示している。

ただし、ネットワーク上で機器を発見できることと、その機器へ侵入できること、さらに侵入先でAIモデルを動かせることは、それぞれ別の問題だ。

今回Android TVボックスでAIモデルを動かせたからといって、スマートオーブンやロボット掃除機にも同じように侵入できるとは限らない。

Anthropicが警告しているのは、今後AIの能力が向上し、未知の機器に合わせて実行環境を構築できるようになれば、従来は攻撃に手間がかかりすぎると考えられていた機器まで、継続的に狙われる可能性があるという点だ。

AIの自己複製をどう止めるのか？ネットワーク監視とISPの役割

AIが自律的に自己複製するようになった場合でも、防御する方法がなくなるわけではない。

Anthropicは、AIモデルの重みを転送したり、複数の機器で分散推論を実行したりする際に発生する通信が、検知の手掛かりになると指摘している。

大規模なAIモデルの重みは数GBに達することがあり、新しい機器へモデルをコピーする際には大量のデータ転送が必要になる。

また、通常は大量のデータをやり取りしない機器同士が、継続的に通信するようになれば、それ自体が異常な動作として検知される可能性がある。

自己複製の速度を上げようとすれば、機器の探索やデータ転送に伴う通信量も増える。

そのため、感染拡大の速度と、ネットワーク監視によって発見されにくいことは、両立が難しい場合がある。

こうした通信を監視する役割として、インターネットサービスプロバイダー（ISP）の対策も重要になる。

実際、従来のIoTボットネットでは、ISPによる感染機器の隔離と利用者への通知が効果を上げた例がある。

デルフト工科大学、横浜国立大学、NICTなどの研究者がNDSS 2019で発表したMiraiボットネットの感染除去に関する研究では、感染した利用者のインターネット接続を一時的に制限し、対処方法を案内する手法が検証された。

その結果、回線の隔離と通知を受けた40人の利用者では、14日後の感染除去率が92%に達したという。

一方、通知を受けなかった43人では74%、メール通知のみを受けた40人では77%だった。

また、メールによる通知だけでは、通知を行わなかったグループとの間に統計的に有意な差は確認されなかった。

この結果は、利用者へ感染を知らせるだけでなく、ネットワーク側で接続を制限し、対処を促すことが有効である可能性を示している。

ただし、これは従来型のMiraiボットネットに対する研究結果であり、AIを利用した自己複製型マルウェアにも同じ92%という感染除去率が当てはまるわけではない。

それでも、分散して感染するマルウェアに対して、ISPと利用者が協力することで介入できるという点では、重要な先例だ。

AIが自己複製する場合には、感染した機器の所有者を特定し、複数のISPや機器メーカーをまたいで対策を実施する必要が出てくる可能性がある。

さらに、AIが防御側の対応を分析し、それに合わせて行動を変更する可能性も考えられる。

ただし、Anthropicは今回の研究で、AIが実際に防御策へ適応して回避する能力までは検証していない。

AIが自ら増殖する時代は近いのか

今回の研究は、安価なIoT機器でも大規模AIモデルを動かせること、そして高性能なAIであれば、簡略化された環境で自己複製に必要な一連の作業を実行できることを示した。

ただし、この2つの能力が一つの小型AIモデルで完全に両立したわけではない。

現時点では、安価な機器上で動く小型モデルの能力と、自己複製を安定して完了できるモデルに必要な能力の間には、まだ隔たりがある。

Anthropicは、AIの進歩が従来のペースで続けば、その差が2026年末にも埋まる可能性があると予測しているものの、あくまで一般能力の向上傾向に基づく推定であり、実際に自己複製型AIが登場する時期を確定したものではない。

今後の重要な検証課題は、小型AIが外部の強力なモデルや研究者による補助を必要とせず、新しい機器の発見から侵入、推論環境の構築、次の機器への複製までを自律的に実行できるかどうかだ。

同時に、防御する側にも準備が求められる。

モデルの重みを転送する大量の通信や、通常とは異なる機器間通信を監視し、感染が疑われる機器をネットワークから隔離する仕組みが重要になるだろう。

これまでIoT機器のセキュリティ対策は、既知の脆弱性を悪用するマルウェアやボットネットへの対応が中心だった。しかし、AIが未知の環境に合わせて自ら手順を組み立てられるようになれば、従来の攻撃とは異なる対応が必要になる可能性がある。

Anthropicの研究は、そうした未来がすでに現実になったことを示すものではない。それでも、安価な機器でAIを動かす能力と、自律的に複製する能力がそれぞれ実証され始めたことは、今後のサイバーセキュリティを考えるうえで重要な警告といえる。