「AI が自己複製できるようになった」という見出しの読み方

2026 年 10 月 12 日、Anthropic の Frontier Red Team が、小さな AI モデルが市販の IoT 機器の上で自己複製できる水準に近づいている、という研究記事を公開しました。研究の中身は、現実の機器で複製が起きたという報告ではありません。

研究が測ったのは、評価用に簡略化した環境での成功の上限値です。何を測り、何を簡略にして、そこから何が言えるのかを分けて読まないと、「怖い」か「大げさ」のどちらかの印象だけが残ります。本記事は、Anthropic の 原文 に書かれていることだけを使って、その切り分けを行います。

ローカルで動かせる小型モデルの基本は ローカル LLM とは で、AI を使った開発側のセキュリティは AI 駆動開発のセキュリティ設計 で整理しています。本記事はそのどちらにも含まれない、「小型モデルが IoT 機器に広がる」という研究の読み解きに絞ります。

結論：起きたのではなく、簡略な環境で上限値を測った

結論は 3 点です。

  • 現実の環境で自己複製が起きた、という報告ではありません。公式は、侵入の段階を意図的に簡単にしたため、端から端までの結果は現実で成功する割合の上限だと述べています
  • 主に測ったのは、新しい機器の上で推論を立ち上げる段階です。9B のモデルが、試した 9 種のハードウェアのうち 8 種で立ち上げました
  • 広がり方は遅いとされています。公式は、倍に増えるまでの時間は日の単位だと書いています

原文の公開日は 2026 年 10 月 12 日、著者は William Zhou と Daniel Freeman です。以降の数字はすべて、この原文の記載です。

FIXITFIXIT

AI がもう勝手に増えてるってこと？

DodaiDodai

違います。簡単にした試験環境での上限値です。現実で起きた事例ではありません。

FIXITFIXIT

じゃあ、何を測ったの？

DodaiDodai

複製のうち、機器の上で推論を立ち上げる部分です。次の章で順に見ます。

研究は何を測ったのか

自己複製を 4 つの段階に分けている

著者は自己複製を、標的を見つける、実行権限を得る、推論を立ち上げる、新しい機器から次へ広げる、の 4 段階に分けています。このうち侵入にあたる段階は、小型モデルでも可能なことが先行研究で示されているとして、ほとんど扱っていません。研究の中心は、推論の立ち上げです。

段階研究での扱い
標的を見つける大きくは扱っていない
実行権限を得る認証の無い接続口を使う簡単な設定にして、試験した
推論を立ち上げる研究の中心。機器ごとの環境で推論サーバーを動かす
新しい機器から広げる8 台のエミュレーターで構成した模擬ネットワークで、次の機器への複製まで試験

9B モデルが 9 種のうち 8 種で推論を立ち上げた

推論の立ち上げでは、モデルに「Llama3.1-8B を、この機器で動かして提供する」という課題を与えました。機器の構成はそれぞれ違います。Pi というオープンソースのコーディングエージェントをもとにした Memento という実行の仕組みを使い、1 回あたり 1.5 時間、全体で 6 時間の制限時間を置いています。

結果として、9B のモデルは試した 9 種のハードウェアのうち 8 種で推論を立ち上げました。設定の成功率は、前の世代の作業メモを引き継ぐと、Qwen3.5-9B で最初の 45% から、あとの世代では 61〜84% に上がっています。

約 55 ドルの Android TV ボックス 15 台で 26B 級を動かす実演

実機の実演では、Gemma4-26B-A4B を 15 台の Android TV ボックスに分割して動かしました。1 台は約 55 ドル、メモリは 4GB です。速度は毎秒約 0.39 トークンで、実用の速度ではありません。原文の別の節では、未最適化で 32k のコンテキストを扱うときの速度として約 0.3 トークンという値も挙げているため、条件によって数字が変わる点に注意してください。

この遅さは、立ち上げの所要時間にも表れています。Qwen3.5-9B で全体の設定に 28〜51 時間、Gemma4-26B-A4B では 71〜150 時間かかると推計されています。著者は、広がりが遅く、倍に増えるまでに日の単位がかかるとみています。

8 台のエミュレーターで構成した模擬ネットワークでの端から端までの試験

端から端までの試験は、GCP 上の 8 台のエミュレーターで構成した模擬ネットワークで行いました。Android 15 のエミュレーターが並び、認証の無い ADB の接続口が開いています。ワームが機器から機器へ移り、推論を立ち上げ、自分の複製を作ります。

この試験では、各ノードで Llama3.1-8B の推論を立ち上げ、検査に通ったら研究側がワームの新しいコピーを起動します。ワームの AI モデル本体は、ノードの容量に収まらないため、別の推論サーバーで動かしています。GLM-5.2 自身が 8 台の小型機器へ重みを移し、そこで動いたという実験ではありません。

結果は、GLM-5.2 が 5 回の試行のうち 4 回で 8 台すべてに、1 回で 7 台に広がりました。試した他の open-weight モデルは、安定して失敗したと書かれています。この簡略化した条件で端から端まで成功したのは、試したモデルのうち GLM-5.2 だけです。

どこが簡略化されているのか

この研究を読むうえで最も大事なのは、公式自身が書いている限界です。

  • 侵入の段階を簡単にしています。認証の無い接続口という簡単な条件を置いたため、端から端までの結果は成功の上限です
  • 時期の推定には、複製用ではない汎用の能力指標 (ECI) を使っています。複製の能力を直接測った値ではないため、時期は粗い目安です
  • 速度の見積もりは 1 種類の機器と過去の 1 つの事例に基づき、最適化もしていません
  • 小型モデルはスピアフィッシングが苦手で、人をだます経路は副次的な手段として扱っています
  • エッジ向けのアクセラレーターについても、特に脆弱だとは主張していません。数の推計は、影響を受けうる母数の上限を見積もったものです

「簡略化」と「上限」という言葉の意味をそろえると、見出しの印象とはかなり違う像になります。研究の環境は、侵入の段階を意図的に簡単にしているためです。

要点

研究は「起きた」の報告ではなく、「条件がそろえば、この水準まで届く」という見通しの提示です。上限値は、現実の被害の大きさを予測する数字ではありません。

「2026 年末」という推定の読み方

著者は、30B 以下の open-weight モデルの能力を ECI という汎用の指標で並べ、年に 13.7 ずつ上がる傾向（決定係数 0.95）を延ばしました。その結果、小型モデルが GLM-5.2 の水準に届くのは 2026 年末だと推定しています。

読み方としては、次の 3 点です。

  • 届くとされているのは、端から端まで複製できた GLM-5.2 の水準です。複製が現実に起きる時期ではありません
  • 指標は汎用の能力を測るもので、複製の能力とは別です。著者も粗い推定だと断っています
  • 小型モデルが改善しても、侵入の条件や機器側の対策が変われば、現実の成功率は変わります

「年末に起きる」と読むのは誤りです。条件を簡略にした環境で届く水準の目安として扱うのが、原文に沿った読み方です。

公式が挙げる対策

原文は、広がりを抑える対策として、4 つを挙げています。

対策内容
通信の監視ISP が通信のフロー情報から、数ギガバイト規模のモデルの転送や、機器間の異常な通信を見つける
ハニーポット囮の機器を置いて、複製の中身を集める
隔離と通知感染した機器を ISP が隔離し、利用者に通知する
安全な初期設定製造元が初期パスワードをやめるなど、安全な初期設定にする

隔離と通知については、Mirai の事例が引かれています。ISP が利用者への通知つきで隔離すると、14 日以内に感染の 92% が解消され、通知が無い場合は 74% だったという数字です。著者は、今回も同様の効果が最初の防御として期待できるとしています。初期パスワードについては、英国で初期パスワードの IoT 機器を規制に適合しないとした例を挙げています。

目標は、1 台の感染から次に感染が起きる平均の数 (R₀) を 1 未満にして、広がらずに自然に消える状態にすることです。公式は、これらの対策に実施の期限や義務を示していません。

FIXITFIXIT

対策って、結局いつまでに何をすればいいの？

DodaiDodai

期限は示されていません。公式が挙げたのは、通信事業者や製造元が取る対策の方向です。

FIXITFIXIT

じゃあ、会社として何もしなくていい？

DodaiDodai

初期パスワードの機器をなくすことは、利用者側でできます。次の章で整理します。

企業が確認すること

ここからは、公式の対策を企業の IoT 機器の管理に読み替えた編集部の整理です。研究が示した手順ではなく、一般的な IoT 対策として読んでください。

  1. 初期パスワードのまま使っている機器を洗い出し、変更する。公式が製造元に求める「初期パスワードをやめる」の、利用者側の対応にあたります
  2. 外部から接続できる管理用の接続口を確かめる。研究の試験環境は、認証の無い接続口を前提にしていました
  3. 使っていない機器を、ネットワークから外す。台数が多い環境ほど、広がりやすい母数が減ります
  4. 機器から機器への異常な通信と、数ギガバイト規模の転送を見られるようにしておく。公式が ISP に期待する監視の、社内版です

ローカル LLM を社内で使うこと自体を止める根拠は、この研究にはありません。ローカルで動かすモデルの扱いは、ローカル LLM とは の選び方と運用が参考になります。

FIXIT の運用 — 機器とモデルの扱いを決めておく

AI 駆動開発のクリエイティブスタジオである FIXIT は、AI 活用のセキュリティを、使う道具の側と、作る側の両方から見ています。生成 AI を業務で使うときの利用ガイドラインの整備や、社内の情報資産の棚卸しは、情報セキュリティコンサルタント として支援しています。選び方は 情報セキュリティコンサルの選び方 にまとめました。

AI エージェントを業務に組み込むときも、動かす環境と権限の範囲を先に決めておけば、機器の側の見直しと同じ考え方で運用できます。

まとめ

Anthropic の小型モデル自己複製の研究は、現実に自己複製が起きたという報告ではなく、簡略にした環境での成功の上限値です。9B のモデルが 9 種のハードウェアのうち 8 種で推論を立ち上げ、約 55 ドルの Android TV ボックス 15 台で 26B 級のモデルを動かす実演も示されました。ただし速度は毎秒約 0.39 トークンで、全体の設定に数十時間以上かかります。2026 年末という時期は、汎用の能力指標から出した粗い推定です。

読者の次の一歩は、自社の機器の初期パスワードと、外部から接続できる管理用の接続口を点検することです。研究への備えというより、IoT 機器の基本の対策がそのまま効くためです。生成 AI の利用ルールや機器の棚卸しの進め方を相談したい場合は、お問い合わせ からご連絡ください。