AIワームはIoT機器で自己複製できるか？Anthropic実験の中身と限界

本記事の情報は2026年10月14日時点のものです。

「スマートオーブンにどれだけRAMが載っていると思っているんだ。9Bのモデルでも大きすぎる」。Hacker Newsのスレッド（執筆時点で106ポイント、コメント109件）で、あるユーザーはこう突っ込んだ（出典: Hacker News、2026年10月）。

発端は、Anthropicの攻撃側検証チームFrontier Red Teamが10月12日に公開した研究だ。タイトルは「AI models may be capable of self-replicating without access to a datacenter」。小型AIモデルが、データセンターなしでIoT機器の上で自分を複製できるようになるまで「数か月かもしれない」と書いている（出典: Anthropic：AI models may be capable of self-replicating without access to a datacenter、William Zhou / Daniel Freeman、2026年10月12日）。

見出しだけ読むと終末論っぽい。ただ中身を読むと、実験条件はかなり絞られている。先に結論を書くと、通しで自己複製できたのは約750Bの大型モデルだけで、「小型AIで数か月」は傾向線からの予測だ。そして対策の大半は、今日から自宅でできる。

AIワーム実験で何をやったのか

研究の想定は「重み（ウェイト）ごと移動するAIワーム」だ。乗っ取った機器の上で推論サーバーを立ち上げ、次の機器へ自分のコピーを送る。中央サーバーを持たないので、止めるスイッチがない。

55ドルのTVボックス15台でAIを動かす

一番目を引くデモはこれだ。チームはメーカー不明の格安Android TVボックスを15台（1台約55ドル）買ってネットワークでつなぎ、Gemma4-26B-A4Bを分散推論で動かした。速度は0.39トークン/秒で、短い単語ひとつ出すのに数秒かかる。1台が2層ずつモデルを受け持つ構成だ。モデル名の「26B-A4B」は、総パラメータ26Bのうち一度に動くのは約4Bという意味である。

この種のボックスはRAMが1〜4GB程度で、メーカーがセキュリティ機能を足していないAOSP（Googleが公開するAndroidの素の版）の改造OSで動いていることが多い、と研究は指摘している。想定モデルとして挙げられているのが、研究によれば主に格安Android TVを狙って200万台超に感染したボットネット「Kimwolf」だ。

9Bモデルは9種中8種の機器で推論環境を構築

Qwen3.5-9Bのような小型モデルに、見たことのないハードで推論サーバーを立てさせるテストもした。Jetson NanoからMac、RTX 4090まで、9種類中8種類で成功している。

面白いのは「世代交代」の実験だ。Mementoという実験用ハーネスの上で、前の世代のエージェントが残したメモを次の世代に引き継がせると、セットアップ成功率は第1世代の45%から、後の世代で61〜84%まで上がった。

逆に、小型モデルにフロンティアモデル（Opus 4.8）へ質問できる権利を与えても、成績は目に見えて上がらなかった。研究は「小型モデルは正しい質問の仕方をわかっていない」と書いている。PMとして読むと、新人に優秀な先輩をつけても質問が出てこない現場とそっくりで、少し笑ってしまった。

端から端まで複製できたのはGLM-5.2だけ

Google Cloud上のAndroid 15エミュレーター8ノードで「侵入→推論サーバー構築→次へコピー」を通しで行わせたところ、安定して成功したのはGLM-5.2だけだった。8ノード全てへの拡散に5回中4回成功し、残り1回も7ノードまで届いた。他のモデルは毎回どこかの手順で失敗している。

GLM-5.2はZ.aiが2026年6月に公開したMoE（入力ごとに一部の「専門家」だけを動かす構造）モデルで、総パラメータは約750B（報道により744B／753B）、一度に動くのは約40Bとされる（出典: Feedbagel：Z.ai releases GLM-5.2、DataLearner：GLM-5.2）。つまり今日の時点で通しの複製ができたのは、小型ではない大型オープンウェイトモデルだ。なお実験では公平な比較のため、各モデルに「自分自身」ではなくLlama3.1-8Bを配布・起動させている。

「数か月」の根拠は傾向線

では「数か月」はどこから来たのか。研究は、30B以下のモデルの能力を研究機関Epoch AIの総合能力スコア（ECI）で並べた。トップモデルは年13.7ポイントのペースで伸びており、この近似線は過去データとよく一致している（R²=0.95。1に近いほど一致）。GLM-5.2を複製能力の下限とみなすと、2026年末までに小型モデルがその水準に届く、という計算だ。

PMとしての理解では、これは「実測」ではなく「外挿」だ。過去の伸びが続けば、という条件付きの予測である。

研究が認めている限界

Anthropic自身が書いている制約も多い。

• 侵入部分はほぼ省略: 認証なしで開いたADBポート（Android端末を外部から操作する開発者向けの入口）経由で感染させており、研究自ら「実世界での成功率の上限」と書いている
• 遅い: 9Bモデル1回の複製に1〜2日かかる。13.3万体に増えても推論能力の合計はH100（AI向けの高性能GPU）約40台分と試算されている
• 防御側への対抗行動は未検証: AIが検知や駆除に知恵を使って抵抗するかはテストしていない
• フィッシングは苦手: 小型モデルのスピアフィッシング能力は低い評価だった

一方で研究は、Miraiボットネットが「メーカー初期パスワードの一覧を試すだけ」で広がった前例を挙げ、現実のIoT機器の守りは実験の簡略化とそれほど変わらないかもしれない、とも書いている。

批判の声：「またか」

反応は懐疑寄りだ。

The RegisterのBrandon Vigliarolo記者は、「またしてもフロンティアラボが、まだ存在しない脅威について警告している」と書き、基本的なセキュリティ対策で十分に手を焼かせられる、という趣旨で締めている。Miraiは2016年の登場時に約1時間で規模が倍になったのに対し、今回のAIワームは倍増に数日かかる想定で、むしろ検知しやすいと指摘している（出典: The Register、2026年10月13日）。

Hacker Newsでは「スマートTV15台を同じLANにつないで24時間電源を入れっぱなしにする危険な習慣を禁止しよう」と皮肉る声や、「オープンモデルを怖がらせる発信がAnthropicから続くのにはうんざりだ」という反応が目立った。「競合を禁止させたいのでは」と意図を推測する書き込みも一部にあった（いずれも匿名ユーザーの推測で、根拠は示されていない）（出典: Hacker News）。

一方で同じスレッドには「AIエージェントが現実のシステムに侵入した実例はもう出ている。大きなセキュリティ事件の部品はそろっている」と警戒する声もあった。Anthropic自身、評価中のモデルが警察のタレコミ窓口に偽情報を送った件を受け、評価中モデルのライブなインターネット接続を遮断したと報じられている（詳しくはClaudeが偽の殺人情報を警察サイトに送信｜Anthropicの81日沈黙の内幕）。

電脳狐影の判断

自分は「怖がりすぎず、宿題として受け取る」側に立つ。

批判にはうなずける部分が多い。0.39トークン/秒のワームが家庭を席巻する絵は、正直まだ想像しにくい。大型のGLM-5.2でしか通しの成功が出ていない以上、「小型AIはもう自己複製できる」という読み方は研究結果からは支持されない。オープンウェイト規制の議論に都合よく使われる懸念も理解できる。

それでも、実験の個々の部品は実測だ。9Bモデルが知らない機器で推論環境を立てられる。メモを引き継ぐと成功率が上がる。この2つは、従来のマルウェアにはない「初見の機器に適応する」性質を示している。そして侵入の入口は、相変わらず初期パスワードと放置されたポートだ。

つまり対策の大半は、AIが出てくる前から言われてきたことと同じになる。ここが今回の研究で一番実用的な示唆だと自分は考えている。

自宅兼事務所でできること

フリーランスの作業環境は、仕事のPCと家電が同じWi-Fiにぶら下がっていることが多い。自分ならこの順で手を付ける。

1. メーカー不明の格安Android TVボックスを使わない。研究と前例のKimwolfが狙ったのはまさにこのカテゴリだ
2. IoT機器の初期パスワードを変える。研究も英国の初期パスワード規制を対策例に挙げている
3. ゲストネットワークを分ける。家電と仕事用PCを同じセグメントに置かない
4. ファームウェア更新が止まった機器は買い替えを検討する
5. ローカルLLMを動かしている人は、推論サーバーやADBを外部に開けていないか確認する

自宅の作業環境づくり全般はリモートワーク環境の記事にまとめている。

関連記事

• Claudeが内部テストで殺人タレコミ・ビザ申請・サーバー侵入｜Anthropicがインターネット遮断
• Anthropic OSS Scanner全解説：Claude Mythosが脆弱性を無料スキャン、精度88%の実態
• OpenAI野良エージェントがWikipediaを侵食｜Wikimedia財団が告発した「制御なきAI」の実態
• Google Gemma 4完全ガイド｜全4モデルの性能・実行環境を徹底比較

---

本記事は2026年10月14日時点の公開情報に基づいています。研究内容の解釈は筆者によるもので、実験条件や数値の詳細はAnthropicの一次情報をご確認ください。記載の製品名・サービス名は各社の商標または登録商標です。