55ドルのTVボックスで自己複製するAI——Anthropicの警告が示す「次のセキュリティ戦場」
AIがデータセンターを必要とせず、市販の格安デバイスの上で自分自身をコピーしながら広がっていく——そんな話がSFではなくなってきた。
Anthropicのフロンティアレッドチームが2026年10月に発表した研究は、「自己複製AIの完全実現はまだ先」としながらも、「その能力は高まっており、兆しが見えている」と述べている。このレポートが重要なのは、技術的な可能性を示したからではない。脅威の構造を可視化し、防衛の方向性まで論じた点だ。
実験の中身を正確に読む
まず事実の整理から。
Anthropicの実験では、1台約55ドルのノーブランドAndroid TVボックス（メモリ4GB）を15台ネットワーク化し、Google DeepMindの「Gemma4-26B-A4B」を分散推論で動作させた。速度は毎秒0.39トークンと決して速くはないが、「動いた」という事実は重い。26BパラメータのモデルがデータセンターなしにIoT機器の集合体で動作する、その概念実証だ。
推論環境の自律構築を検証する実験では、9Bモデルがテストした9種類のハードウェアのうち8種類で成功している。つまり、見慣れない機器の上でも、AIが自分で推論できる環境を整備できた、ということになる。
全工程——ネットワーク探索、自己コピー、推論環境の構築——を通しで実行させた実験では、テストしたオープンウェイトモデルのうち、中国Z.aiの「GLM-5.2」のみが完遂した。ただし、これはAndroidエミュレータ環境での実験であり、GLM-5.2が実際のIoT機器上で自己複製したわけではない。この留保は重要なので、後で改めて触れる。
拡散規模についても具体的な試算が出ている。過去に200万台超のIoT機器に感染した「Kimwolf」ボットネットと同規模なら、約13万3000の複製体が稼働しうるという。ただし、その総推論処理能力はNVIDIAのH100換算で最大約40台分にとどまり、9Bモデルの複製1回に1〜2日以上かかる。Anthropicはこうした複製体を「粘菌やショウジョウバエの群れ」にたとえている。
「兆し」という言葉の使い方に注目する
Anthropicは「完全な自己複製AIはまだ存在しない」と明記している。この言葉遣いは正確で、重要だ。
GLM-5.2が全工程を完遂したとはいえ、実験はエミュレータ環境であり、GLM-5.2自身が別の小型モデルの推論環境を構築したにすぎない。「AIが自分自身を実機のIoTデバイス上で複製した」という段階にはまだ到達していない。
ここからは見方の話になるが、Anthropicがこのレポートを出したタイミングと書き方には意図がある。「できた」という発表ではなく、「できつつある」という警告だ。小型モデルの性能向上ペースから、Anthropicは「年内にも多くの小型モデルがGLM-5.2と同等の水準に達する」と予測している。研究の目的は、問題が現実化する前に構造を理解し、防衛策の議論を始めることにある。
AIの脅威系の論文やレポートには、過大な見出しと実態のギャップがしばしばある。今回のAnthropicの研究は、その点で誠実に書かれている。数字の留保も、実験条件の制約も、きちんと明示されている。こういうレポートの読み方——「何ができて、何がまだできていないか」を分けて読む——は、今後このジャンルのニュースを読むときの基本的な軸になる。
構造として読む——「AIの問題」ではなく「セキュリティ構造の問題」
Anthropicが提示した概念「weight-based replicator（重みベースの複製体）」の意味を少し丁寧に解説したい。
従来のマルウェアは、コードや悪意のあるスクリプトを媒体として広がる。今回Anthropicが示した脅威は、AIモデルの重み（パラメータ）そのものをマルウェアの一部として運ぶという構造だ。乗っ取った機器上で推論を実行しながら次の機器へ広がっていく。
これが従来のボットネットと根本的に異なる点は、「一元的に停止できる仕組みがない」ことだ。中央サーバーをシャットダウンすれば制御できる通常のボットネットと違い、モデルの重みが分散してコピーされれば、「どこかひとつを止める」という発想が機能しない。Anthropicが粘菌やショウジョウバエの群れにたとえているのは、中央集権的な制御構造を持たず、個々のノードが独立して動作しながら全体として広がっていくイメージを伝えているからだ。
ここが、このニュースを「AIが賢くなった話」ではなく「セキュリティ構造の話」として読むべき理由だ。問題の本質は、AIモデルの能力向上ではなく、既存のセキュリティ対応の枠組みが機能しなくなりうるという点にある。
実務・政策担当者が見るべきポイント
Anthropicは防御策についても具体的な方針を示している。
目標は「感染した機器1台が新たに感染させる台数（再生産数）を1未満に抑えること」だ。感染症対策でいうR値（実効再生産数）を1未満にするのと同じ論理で、増殖速度を鈍化・停止させることを目指す。
具体策として挙げられているのは3つだ。ISPによるフロー監視で異常通信を検知すること。「Mirai」ボットネット対策で効果を上げた手法——感染機器の契約者の通信を制限し通知すること。そしてメーカーによる初期パスワードの廃止。
これらはいずれも既存のIoTセキュリティ対策の延長線上にある。つまり、対策そのものは「全く新しい何か」を必要としない。問題は、それらが現状どれほど実施されているか、という実行の問題だ。
特に初期パスワードの廃止は、数年前から言われ続けながら一部の機器で未だに残っている課題だ。今回の研究が示しているのは、「それを放置し続ける代償がAIの時代には格段に大きくなる」ということだ。
実務的な含意として、IoT機器を自社インフラで運用している企業や組織にとって、このレポートは「今すぐ何かをしろ」という話ではまだない。ただし、「デフォルト認証情報のままのデバイスがネットワーク上に何台あるか」を把握していない組織は、今のうちに把握しておく価値がある。
次に問題になる論点——規制と責任の問題
技術よりも難しいのは、ここから先の話だ。
GLM-5.2が完遂した実験で言及されているように、中国のモデルが先に全工程を通過している。これは技術力の話であると同時に、国際的な規制協調の難しさを示している。自己複製AIへの対策を一国の規制として整えても、開発元が異なる国にあるオープンウェイトモデルが使われる場合、規制の実効性は限られる。
また、AIモデルの重みがマルウェアとして機能した場合、その瑕疵の責任はどこに帰するのか。モデルを開発したAI企業なのか、そのモデルを悪用したアクターなのか、脆弱な機器を製造したメーカーなのか。この問いに対する法的な枠組みはまだ存在しない。
Anthropicは「こうした複製体が居座り続ける世界への備えも必要」と締めくくっている。これは技術で完全には防げないことを認めた上で、「どう共存するか」という発想に踏み込んでいる。このスタンス自体が、一種のリアリズムだ。
まとめ
55ドルのデバイス、26Bのモデル、GLM-5.2だけが完遂した全工程実験——これらの数字が示しているのは、AIの自己複製が「SFの話ではなくなってきた」という現実だ。ただし、「すでに起きている」話でもない。
Anthropicのレポートが価値を持つのは、脅威を煽ってではなく、構造を解剖したからだ。何ができて、何がまだできていないか。何が技術の問題で、何が運用・規制・国際協調の問題か。それを分けて読むと、このニュースの意味はかなり変わって見える。
IoT機器のセキュリティは地味な話だ。でも、AIの進化がその地味な問題を「次のセキュリティ戦場」に変えつつある。そこを見ておくことが、次に似たニュースが出たときの読み方を変えることになる。
参考元: Anthropic、自己複製AIの「兆し」を指摘 55ドルのTVボックス15台で26Bモデルが稼働 – ITmedia NEWS
