10月13日、AnthropicのWilliam ZhouとDaniel Freemanが「AI models may be capable of self-replicating without access to a datacenter」と題した記事を公開した。小型AIモデルがデータセンターを必要とせず、IoTデバイスを踏み台にして自律的に自己複製できる可能性を、研究・実験環境での再現実験をもとに詳しく論じている。
55ドルのAndroid TVボックス15台で26Bモデルが動く
研究の出発点となるデモは衝撃的だ。市販のオフブランドAndroid TVボックス（1台約55ドル）を15台ネットワーク接続し、Gemma4-26B-A4B（※本稿執筆時点では詳細不明）を分散推論で動作させることに成功した。速度は0.39トークン/秒と遅いが、「動く」という事実が重要だ。
このような安価なIoTデバイスが標的になりうる理由は明確だ。スマートオーブン、セキュリティカメラ、自動掃除機といったホームデバイスはインターネットに常時接続しており、セキュリティ対策が歴史的に手薄だ。メモリは1〜4GBが典型的だが、4GBのRAMを持つデバイスを4台以上集めれば4ビット量子化で9Bモデルが動き、10台以上あれば26Bモデルが動く計算になる。
参照として挙げられているのが実在のIoTボットネットKimwolfで、200万台超のオフブランドAndroid TVに感染した事例だ。メーカーがセキュリティ機能を追加しないAOSP（Android Open Source Project）フォークを使っているデバイスが標的になった。
「AIワーム」の自己複製チェーン
研究では自己複製のプロセスを以下の4段階に分解している：
- ネットワーク列挙（標的の探索）
- 初期アクセスとペイロード配送（侵入とモデル重みの転送）
- 推論セットアップ（侵害したデバイスで推論を起動）
- 複製の継続（新たな標的へ繰り返す）
このうちステップ1・2の「サイバーエクスプロイト」については、CyberGymやExploitBench、adaptive wormsの先行研究がすでに小型モデルの有効性を示している。今回の研究が焦点を当てるのは、最も研究が進んでいないステップ3、「見知らぬハードウェア上での推論セットアップ」だ。
9種類のハードウェアで検証
JetsonNanoからRTX 4090、Mac PCまで9種類のハードウェアに対して、各種オープンウェイトモデルがLlama3.1-8Bの推論サーバーを自力で立ち上げられるかを評価した。
- Qwen3.5-9B（※本稿執筆時点では詳細不明）：9種類中8種類での推論起動に成功
- GLM-5.2（※本稿執筆時点では詳細不明）：信頼性が高く、エンドツーエンドの完全複製が可能
30B以下のモデルはすでに個々のステップの多くをこなせるが、エンドツーエンドで連鎖させると失敗が出る。現時点でGLM-5.2以上の能力を持つモデルが完全な複製を達成できる閾値とされる。
長時間の自律エージェント実行では「間違った仮説に固執して抜け出せなくなる」障害が頻繁に発生したため、研究チームはオープンソースのコーディングエージェントPi（※本稿執筆時点では詳細不明）をベースにMementoというハーネスを独自開発。一定周期で新しいエージェントインスタンスを起動し、前のエージェントが残したメモを引き継ぎながら別戦略を試みる仕組みで対処している。
GCPノード8台でのエンドツーエンド自律複製実験
研究の核心は、GCP上に構築した隔離VPC（8ノード）でのフル複製実験だ。Androidエミュレータredroidを各ノードで動かし、認証なしのADBポート経由で「patient zero」から他ノードへワームが自律的に感染していくシナリオをシミュレートした。
結果：GLM-5.2は5回の試行中4回で8/8ノード全台への感染に成功（残り1回は7/8）。他のモデルは軒並み失敗している。
実験ではサイバーエクスプロイト部分を意図的に簡略化（認証なしADB）しているため、これは現実より楽な条件での上限値だ。ただし過去の実際のIoTボットネットMiraiは、デフォルトのメーカーIDとパスワードのリストを試すだけで大規模感染を達成していた。現実のIoTセキュリティがこの実験の「簡略化した条件」より大幅に堅牢とは言い切れない。
小型モデルの能力向上ペースが問題
研究が警鐘を鳴らす点は現在の能力そのものではなく、改善速度だ。
- 30B以下のモデルはすでに個別ステップの多くを実行できる
- 小型モデルが歴史的なペースで改善を続ければ、2026年中にGLM-5.2相当の能力に達する可能性がある
- そうなれば、小型の重みベース自己複製ワームが現実の脅威になりうる
従来のマルウェアとAIワームの本質的な違いも指摘されている。通常のマルウェアはコードに固定された動作しかできないが、AIワームは見知らぬデバイスでも自力で問題を解決できる。シャットダウンも難しい。集中管理ノードがないため遮断する単一の拠点が存在せず、倍増時間は「数日単位」と遅いものの、実質的に止めにくい分散型の脅威になりうる。
防御策
論文では防御側の対策についても複数の方針が示されている。主軸となるのはモデルウェイトの配布・保存の制限で、特にIoTデバイス上への大規模モデル展開そのものを絞る方向だ。加えて、ネットワーク異常検知によるモデル重みファイルの大量転送の早期検出や、ADBのような管理用プロトコルへのデフォルト認証の徹底といった、既存のIoTセキュリティ強化策の組み合わせが推奨されている。研究チームはこれらを「技術的に解決可能な問題」と位置づけており、脅威の顕在化より先に対策を整備することが重要だと強調している。
詳細はAI models may be capable of self-replicating without access to a datacenterを参照していただきたい。
