米国のAI企業アンソロピック（Anthropic）は2026年10月12日、小さなAIモデルが安いIoT機器（ネットにつながる家電などの機器）に自分を写し、機器から機器へ広がれるかを試した結果を公開しました。調べたのは、安全の評価を受け持つ社内のチーム「フロンティア・レッド・チーム（Frontier Red Team）」です。広がる流れのうち、多くの手順は小型モデルでもできました。一方で、最後まで通して広がれたのは、試した公開モデルのうち1つだけでした。それも、入口を簡単にした模擬の網での結果です。そのモデル自身は網の外のサーバーで動き、各機器で動かしたのは別の小さなモデルでした。
この記事はアンソロピックのブログ（10月12日）と、アーズ・テクニカ（Ars Technica）、ザ・バージ（The Verge）、セキュリティウィーク（SecurityWeek）の記事（10月13〜14日）にもとづきます。
ワームは人の操作なしに、機械から機械へ自分を写して広がる悪いプログラムです。アンソロピックが調べたのは、AIモデルの中身（重み）を持ち運び、乗り移った機器の上でそのモデルを動かして、次の機器を探すワームです。同社はこれを「重みを運ぶ複製（weight-based replicator）」と呼んでいます。
同社によると、こうしたワームには止めるための中心の場所がないので、止めにくくなります。一方で広がるのは遅く、数が倍になるのに何日もかかるかもしれません。
同社は広がる流れを4つに分けました。相手の機器を探す、機器に入り込む、入った機器でAIを動かす、そこから次へ広がる、の4つです。このうち探す・入り込むの2つは、小型モデルでもできることを先行の研究が示しているとして、ほとんど扱っていません。今回主に試したのは、入った機器の上でAIを動かす部分です。
まず、1台約8000円（約55ドル。1ドル150円で換算）のノーブランドのアンドロイドのテレビ用機器を15台買ってつなぎ、グーグルの公開モデルを分けて載せました。それぞれの機器がモデルの一部を受け持ち、全体で毎秒0.39トークン（文章を区切った小さな単位）の速さで動きました。
次に、知らない機械の上で、別のAIを動かす準備を自力でさせました。部品（パラメーターと呼ぶ、モデルの中の数値）が90億の小さなモデルでも、9種類の機械のうち8種類で準備を終えました。試した機械は、小型の開発用ボードのジェットソン・ナノ（Jetson Nano）から、マック、高性能なGPU（AIの計算に使うチップ）のRTX 4090を積んだパソコンまで幅があります。
最後に、模擬のアンドロイド機器8台をつないだ網を作り、探す、写す、動かすを通してさせました。最後まで広がれたのは、中国のジー・エーアイ（Z.ai）の公開モデル GLM-5.2 だけでした。ただし、GLM-5.2 自身は網の外の別のサーバーで動き、各機器の上では80億の部品の別のモデル（Llama3.1-8B）を動かしました。成功と数えたのは、GLM-5.2 と同じ力をこの大きさの小型モデルに詰め込めた、と仮定した場合です。また、機器の入口には認証がなく、入り込む部分をここまで簡単にしているので、アンソロピックはこの結果を、現実の機器での成功の上限と書いています。
| 試したこと | 結果 | 比べたもの |
|---|---|---|
| 📺 テレビ用の機器15台（1台約8000円、メモリ4ギガバイト）に、260億の部品を持つ公開モデル Gemma4-26B-A4B を分けて載せる | 毎秒0.39トークンで動いた | なし（動くかどうかの試し） |
| 🛠️ 知らない機械の上で、別のAI（Llama3.1-8B）を動かす準備を自力でする（90億の部品の Qwen3.5-9B） | 9種類の機械のうち8種類で成功 | 力の強い GLM-5.2 は、成功がより確実で、動かしたAIの速さも上だった |
| 🔁 模擬の網の8台に、最後まで通して広がる（入口は認証なしにしてある） | GLM-5.2 は5回中4回で8台すべて、1回で7台GLM-5.2 自身は網の外の別のサーバーで動き、各機器の上では Llama3.1-8B を動かした | 試したほかの公開モデルは、毎回最後まで届かなかった |
| 📝 前の回のメモを次の回に引き継ぐ（Qwen3.5-9B、20系統×6世代） | 準備の成功率が、1世代目の45%から、2世代目以降は61〜84% | 1世代目（引き継ぐメモがない回） |
| 💬 行き詰まったとき、強いモデル（Opus 4.8）に助言をもらえるようにする | 成功率ははっきりとは上がらなかった | 助言なしの場合 |
数字はどれもアンソロピックの試験による（2026年10月12日のブログ）。外部の再現はない。
260億・90億などは、モデルの部品（パラメーター）の数。
アンソロピックによると、部品が300億以下の小型モデルは、広がる流れの多くの手順をもうこなせます。ただし、手順を通して組み合わせると間違えます。同社は、小型モデルの力が今までの速さで伸びれば、2026年の終わりまでに GLM-5.2 の水準に届くと見込んでいます。この見込みは一般的な能力の指標から引いた線で、広がる力そのものを測った物差しではないと、同社自身が断っています。
同社は広がる規模と速さも試算しました。過去に200万台を超える機器に入り込んだボットネット（乗っ取った機器の群れ）「キムウルフ（Kimwolf）」と同じ台数なら、15台ごとに1つのモデルを動かすと、写しは約13万3000になります。計算の量は、全部合わせて多くてもデータセンター向けのGPU「H100」約40枚分です。90億の部品のモデルなら、1回広がるのに1〜2日以上かかります。
AI研究者のシャオハン・フー（Xiaohan Fu）氏はアーズ・テクニカに、試験はよく作られているとしたうえで、この研究だけでは、小型モデルが自分で広がることを選ぶとまでは言えないと話しました。あわせて、モデルに渡した指示の文（プロンプト）など試験の設定まで公開すれば、ほかの研究者が確かめやすくなると勧めています。
トロント大学のニコラ・パペルノー（Nicolas Papernot）氏はザ・バージに、AIワームの危険は具体的で、すぐに手を打つべきだと話しました。これまで人が攻める手間に見合わず狙われなかった機器も、もっと大事な相手を攻める足場として狙われうる、と言います。ザ・バージは、ワームとして試したモデルにアンソロピック自身のモデルがなかったことと、同社が以前から、公開モデルは閉じたモデルより危険が大きいと主張してきたことにも触れています。
アンソロピックは守る側に有利な点も挙げています。新しく入り込まれた機器は、数ギガバイトあるモデルの中身を受け取ることがあります。ふだん話さない機器どうしのあいだで、通信が続くこともあります。こうした通信は、ネットの接続会社（ISP）が見張っていれば、ふだんと違う流れとして見えるはずです。
過去のボットネット「ミライ（Mirai）」では、接続会社が感染した契約者の通信を絞って知らせたところ、14日で92%の感染が消えました。知らせなかった場合は74%でした。同社は、AIワームに対しても、同じやり方が最初の守りとして同じくらい役に立つと見ています。機器のメーカーが初期のパスワードをやめるなど、出荷時の設定を固くすることも挙げています。英国では、初期のパスワードを使った機器はすでに規則に合わなくなっています。
アーズ・テクニカは、試験の機器で開いていた開発用の入口（ADB）は、本来は製品で開けたままにしてはいけないものだと書いています。
| 📢 公表されている説明 | ⚠️ こちらで確認できていないこと |
|---|---|
| 部品が300億以下の小型モデルは、広がる流れの多くの手順をもうこなせる。ただし通して組み合わせると間違えるアンソロピックの試験 | ⚠️ 同じ試験を、外部が同じ条件で走らせた結果（プロンプトなどの細かい設定は公開されていない） |
| 小型モデルは、年内に GLM-5.2 と同じくらいの力に届くアンソロピックの見込み。一般的な能力の指標の伸びから引いた線で、広がる力そのものを測った指標ではないと同社が断っている | ⚠️ 広がる力そのものが、この速さで伸びるか |
| 実際の家電の守りは、試験の入口の簡単さとあまり変わらないかもしれないアンソロピックの説明。過去のボットネット「ミライ」が、メーカーの初期のパスワードを試すだけで広がった例を挙げる | ⚠️ 実際の家電や事務所の機器で、どれだけの台数に入り込めるか |
| 200万台規模に広がっても、計算の量は全部合わせて多くてもH100約40枚分。1回広がるのに1〜2日以上かかるアンソロピックの試算。過去のボットネット「キムウルフ」の台数と、15台の試験の速さから計算 | ⚠️ 外で実際に動いているAIワームの例 |
凡例：📢＝当事者が公表している説明 ⚠️＝出典に書かれておらず、こちらで確認できていない点
説明は、アンソロピックのブログ（2026年10月12日）による。
ネットにつながる安い機器を、店や事務所にたくさん置いている会社や施設に関係します。
たとえば、職員が30人ほどの介護施設が、見守りのカメラ、録画機、オンライン会議用の機器、事務所のNAS（ネットにつなぐ記憶装置）を使っているとします。アンソロピックは、防犯カメラや会議用の機器のように、AI用の小さなチップを積んで出荷される機器は、狙われやすくなるだろうと書いています。施設ではまず機器を一覧にし、初期のパスワードのままのもの、開発用の入口が開いたままのもの、メーカーの更新が止まったノーブランド品に印を付けます。そのうえで、見守りの機器と事務所の機器を別の網に分け、機器どうしのあいだで大きな通信が続いていないかを、取引のある保守会社と確かめます。
アンソロピックの試験では、小型モデルは広がる流れの多くの手順をこなせても、最後まで通すことはできませんでした。最後まで通せた GLM-5.2 の結果も、入口に認証のない模擬の網でのもので、GLM-5.2 自身は網の外で動いていました。小型モデルが年内にその水準に届くというのは同社の見込みで、外部の再現はまだありません。同社が挙げた守り方は、初期のパスワードをなくすなど出荷時の設定を固くすることと、機器どうしのふだんない通信を見張ることです。
