10月13日、Zak Killianが「Anthropic warns of self-replicating AI worm threat that doesn't need data centers to self-improve and spread」と題した記事を公開した。
Anthropicの社内レッドチームが、データセンター不要でスマート家電などのエッジデバイスに感染・自己複製するAIワームの概念実証（PoC）を実施し、その結果と脅威予測をまとめたレポートを公開した。現時点では実用的な攻撃は困難だが、「2026年末頃には技術的に成立しうる」という推計が示されている。
AIワームという新しい脅威クラス
AnthropicのFrontier Red Teamは、「weight-based replicator（重みベースの複製型マルウェア）」という新しい脅威概念を提示した。従来のマルウェアが実行コードを拡散させるのに対し、このタイプはAIモデルの重みファイル（weights）そのものと推論ソフトウェアをターゲットデバイスに展開・伝播させる点が異なる。標的として想定されているのは、格安のAndroid TVボックスやスマート家電といったコンシューマー向けのエッジデバイスだ。
この研究が注目される背景には、エッジデバイス向け小型言語モデル（SLM）の急速な普及がある。QwenやGemmaをはじめとするオープンウェイトモデルの小型化が進んだことで、数万円以下のデバイスでも一定の推論が可能になりつつある。この技術進歩が、従来型マルウェアとは異なる新たな攻撃ベクターを生み出しつつある。
実験で示された2つの事実
研究チームは2つのコンポーネントを個別に実証した。
① 多様なハードウェアへの推論サーバー構築
Qwen3-9Bが、NVIDIA Jetson Nano、Apple Silicon Mac、XeonサーバーなどRTX 4090搭載PCを含む9種類中8種類のハードウェアで推論サーバーを起動できることを確認した。また、約55ドルの格安Android TVボックス15台にGemma4-26B-A4Bを分散展開し、合計で毎秒0.39トークンの生成レートを達成した。
② ネットワーク越しの自己複製シーケンス
Android 15エミュレータが動作するGoogle Cloudノード8台を使った実験では、エージェントが認証なしのADB（Android Debug Bridge：Androidの開発・デバッグ用ツール）ポートを経由してノード間を伝播し、各ターゲットに推論サーバーを構築した。設定ミスや意図的な開放によって認証なしでアクセス可能なデバイスはネット上に多数存在しており、感染経路として現実的だ。
この複製シーケンスを5回中4回完遂できたのは、7440億パラメータ・1TB超の巨大モデルGLM-4だけだった。GLM-4自身がTVボックスに複製されたわけではなく、GLM-4は外部の推論サーバーで動作し、エミュレートされたノードには小型のLlama 3.1 8Bを展開する構成だ。
核心的な制約と「2026年末」という予測
この研究の最も重要なポイントは、脅威が現時点では実用的でないという事実の裏側にある。
複製シーケンスを確実に完遂できるモデルは、ターゲットデバイスのメモリに収まらないほど大きい。逆に、デバイスに収まる小型モデルは複製シーケンスを完遂できない。この「知能とサイズのトレードオフ」が現状の決定的な制約だ。
速度・効率面でも厳しい現実がある。格安Android TVボックスへの推論環境構築には、Qwen3-9Bで28〜51時間、Gemma4-26B-A4Bで71〜150時間かかる試算だ。従来型マルウェアが数秒〜数分で展開するのとは桁が違う。過去に最大200万台を感染させた大規模ボットネットと同等の規模を想定した場合、200万台を感染させるまでには約6,300エージェント年かかるという試算も示されており、現状の脅威規模は限定的だ。モデルの重みファイルは数GBに及ぶため、ネットワーク転送時のトラフィック量も膨大で、検知は比較的容易だとAnthropicも認めている。
Anthropicはこのギャップが埋まる時期を、Epoch AIが公表するCapabilities Indexを用いたAI能力向上の歴史的トレンドをもとに推計している。その結果、300億パラメータクラスのモデルが必要な能力水準に達するのは2026年末頃という見通しが示された。これはあくまで技術的な成立可能性の推計であり、実際の攻撃が現実化するかは別問題だ。
それでも警戒すべき理由：ハイブリッド型マルウェアの現実味
実用的な脅威としてはまだ遠い話だが、Anthropicが指摘する懸念は別のところにある。AIエージェントがマルウェアを未知環境に適応させる能力だ。
従来型コードで定型処理をこなしつつ、予期しない状況に遭遇したときだけAIが対処する「ハイブリッド型」マルウェアであれば、すべてのデバイスに推論エンジンを常駐させなくとも、その一部のメリットを享受できる。AIエージェントがセキュアなシステムを攻略するコードを自己生成する方向性についての研究はすでに複数報告されており、この方向性には現実味がある。
今回の研究はPoCの域を出ないが、「エッジデバイスへの分散AI推論」と「自律的なネットワーク拡散」の組み合わせが将来的に成立しうることを定量的に示した点は重要だ。防御側にとっては、今から対策の議論を始める根拠になる研究である。
詳細はAnthropic warns of self-replicating AI worm threat that doesn't need data centers to self-improve and spreadを参照していただきたい。
