Anthropicの研究、小型AIモデルがまもなくコンシューマー向けスマート機器に拡散する恐れがあると警告

自律的なAIの自己複製は、もはや大規模なデータセンター内に限定されたリスクではないかもしれない。Anthropicの研究者であるWilliam Zhou氏とDaniel Freeman氏が実施した研究は、スマートTVやネットワーク接続型冷蔵庫、ロボット掃除機など、セキュリティ対策が不十分な日常の家電製品に、小型AIモデルが自律的に拡散する能力をまもなく獲得する可能性があると警告している。

従来のマルウェアとは異なり、「AIワーム」はモデルの重みをペイロードの一部として同梱し、感染させたハードウェア上で直接推論を実行する。これにより、ソフトウェアは見知らぬデバイスを自律的に検査し、持続的な潜伏とさらなる拡散に向けて自身の動作環境を自ら構築できるようになる。

55ドルのTVボックスでの実証実験に成功

コンシューマー向け機器がこのような動作に対応できるかを検証するため、研究チームは15台の標準的なAndroid TVボックスにGemma4-26B-A4Bモデルを分散配置した。各ユニットの価格は約55ドル、RAMは4GBで、各TVボックスがモデルの層（レイヤー）の一部を実行した。推論速度は低速だったものの、分散展開自体は機能した。

研究チームは、自律的な自己複製を以下の4つのフェーズに分割した。

1. ローカルネットワークをスキャンし、脆弱なデバイスを検出する。

1. 不正アクセスを獲得する。

1. 標的デバイス上に機能するAIランタイムを構築する。

1. 新たなノードへと拡散を続ける。

Anthropicの研究者らは、先行研究によって小型モデルが基本的なエクスプロイトタスクを処理できることがすでに検証されていたため、実際の侵入フェーズはあえて省略した。その代わりに、モデルがまったく未知のハードウェア上で機能するAI環境を自力で構築できるかという、最も複雑な技術的ハードルに焦点を当てた。

GLM-5.2が自己複製の連鎖を完遂

実験の結果、小型モデルであっても単一の設定手順であればすでに効果的に実行できることが明らかになった。例えば、90億パラメータのモデルは、テストされた9種類のハードウェアのうち8種類でLlama3.1-8Bを実行する環境をセットアップすることに成功した。

しかし、スキャンから新たな標的上での自己維持型コピーの完成に至るエンドツーエンドの一連の流れを実行することは、テストされた大半のモデルにとって困難を極めた。完全な複製シーケンスを安定して完了できたのはGLM-5.2のみであり、5回行われた実験のうち4回でテスト対象となった8つのノードすべてへの感染に成功した。検証された他の3つのモデルは、最初の開始ノードから先へと拡散することができなかった。

研究者らはまた、成功した戦略や失敗した戦略に関する診断メモを後続のインスタンスに引き継がせる人工的な進化メカニズムも検証した。この手法をQwen3.5-9Bに適用したところ、セットアップの成功率は大幅に向上し、第1世代の45％から後の世代では最大84％にまで跳ね上がった。

中央のキルスイッチを持たない低速の「デジタル粘菌」

現在のところ、リソースが限られたコンシューマー向け機器に無理なく収まるほど小型でありながら、実環境でエンドツーエンドの自律複製を統括できるほど高性能な単一モデルは存在しない。しかし、モデルの効率化が急速に進んでいることから、論文の著者らは2026年末までにモデルがこのギャップを埋める可能性があると予測している。

この種のAIワームの動作は低速だ。テスト中、新たに感染したデバイスでの初期セットアップには、モデルによって28時間から150時間かかった。研究者らはこの挙動を「デジタル粘菌（digital slime mold）」に例えている。動きは鈍重だが、分散型構造のおかげで極めて高い回復力を備えている。

従来のボットネットは通常、特定のアーキテクチャを標的とした限定的なコードに依存している。例えば、Kimwolfボットネットは主にAndroid TVボックスを中心に200万台以上のデバイスに感染した。これに対し、AI駆動型ボットネットは、多様で異質なハードウェア間でも動作するように自らを適応的に再構成できる。200万台のIoTデバイスからなるネットワークが提供する計算能力は専用AIアクセラレータチップ約40基分にすぎないものの、中央集権型の指令インフラや単一のキルスイッチは存在しないことになる。

緩和策は依然として実行可能だが、協調的な対応が求められる。インターネットサービスプロバイダ（ISP）によるネットワークレベルの隔離措置は、かつてMiraiボットネットの無力化に貢献し、14日以内に感染の92％を排除した。英国によるデバイスのデフォルトパスワード禁止令などの法規制も攻撃対象領域の縮小に役立つが、研究者らは適応型のAIエージェントが最終的には基本的な防御障壁を回避するすべを学習する可能性があると警鐘を鳴らしている。

インターネット規模の混乱に対する警告

AnthropicのCEOであるDario Amodei氏は、この攻撃ベクトルに対して警鐘を鳴らし、自律的なスウォームが「6〜12カ月以内にも、持続的なボットネットによってインターネット全体を掌握できるようになり、潜在的に数千億ドル規模の損害をもたらす可能性がある」と警告している。

Amodei氏は、個別のセキュリティインシデントを一過性の異常事態と見なすのではなく、AI業界全体として自己複製やエクスプロイトの脆弱性に予防的に対処しなければならないと強調した。

「今回の実験を超えた予測として、人間による制御下にないものも含め、あらゆる種類のハードウェア上でエージェントが動作する未来が到来すると予想される」と研究者らは結論付けており、初期の鈍重な自己複製エージェントは、将来的に現れるはるかに高速でアグレッシブな変種の予兆である可能性があると警告している。