Anthropicの自己複製AI研究を解説｜IoT機器と企業ネットワークの備え

Anthropicは2026年10月12日、Frontier Red Teamの研究記事で、データセンターへのアクセスなしにAIモデルが自己複製する可能性を調べた結果を公開しました。評価した9種類のハードウェアのうち8種類で、9Bモデルが推論を起動できたと説明しています。

企業のIT・事業責任者にとっての焦点は、すでにAIワームが企業ネットワークで広がったかどうかではありません。IoT機器やエッジ機器が、侵害後にAIモデルの実行場所や端末間通信の中継点になり得ることを、資産管理と監視設計へ反映できるかが論点です。

今回の評価は認証なしのADBポートを使う隔離環境で実施され、現実のネットワークに自律ワームを放った実証ではありません。研究の数値、実験条件、将来予測を分けて読み、自社では初期パスワード、不要なポート、端末間通信、感染時の検疫手順から確認します。

※本記事は2026年10月15日時点の情報です。

AIシステム開発の種類・工程・費用・会社選定までの全体像については、無料ホワイトペーパー「AIシステム開発の完全ガイドブック」で詳しく解説しています。

Anthropicの研究が示したこと｜9Bモデルが9種中8種で推論を起動

Anthropicが扱う自律的な複製・適応（ARA）は、モデルが人間の制御なしに自らを展開し、別の機器へ伝播する概念です。研究では、対象の発見、実行権限の獲得、推論環境の構築、新しいホストからの伝播という4段階に分けて、どこが難しいかを見ています。

このうち今回の中心は、侵害した機器でモデルを動かす「推論環境の構築」です。ハードウェアやOSに合わせて推論スタックを選び、パッケージのバージョンをそろえ、機器固有のエラーを直す必要があります。小型モデルがこの連続した作業をどこまで進められるかを、異なる機器で評価しました。

Qwen3.5-9Bの推論セットアップは、Jetson Nano、Mac、RTX 4090など9種類中8種類で成功しました。原則はLlama3.1-8Bですが、Jetson Nanoだけはメモリ制約のためLlama3.2-3Bを使いました。企業ネットワークでの自律複製ではなく、異なる機器へ推論環境を合わせる能力を示す結果です。

IoT機器が計算資源になる仕組み｜15台のTVボックスで分散推論

AIモデルは、必ずしも1台の高性能GPUで動かす必要はありません。Anthropicは、4GB RAMの安価なAndroid TVボックス15台にGemma4-26B-A4Bを分割して配置し、パイプライン並列で推論させました。冒頭のデモでは0.39 tokens per secondを記録しています。

研究の前提では、4-bit量子化と4GB RAMを使う場合、9Bモデルは4台以上、26Bモデルは10台以上の機器で推論できます。1台の端末が大きなモデル全体を保持できなくても、複数台を束ねればモデルの断片を動かせる構成です。

速度はユーザー向けチャットのように速くありません。Gemma4-26B-A4Bのセットアップ全体は71〜150時間、Qwen3.5-9Bは28〜51時間という見積もりです。遅いから安全なのではなく、侵害後の活動が長時間にわたり、通常業務の通信へ紛れる時間も長くなると捉える必要があります。

自社の資産台帳では、サーバーだけを対象にすると抜けが生じます。監視カメラ、会議システム、ディスプレイ、ゲートウェイ、ロボットなど、OSや更新方式が異なる機器を含め、推論用の計算資源と通信経路を一覧化してください。MCPサーバーの公開ポートと認証を点検する考え方も、外部から到達できる資産を洗い出す際の参考になります。

現時点の評価と予測を分ける｜GLM-5.2は簡略環境で8/8へ到達

自己複製の連鎖を調べる評価では、ファイアウォールで隔離したGCPの8ノードとAndroid 15エミュレーターを使いました。各ノードには認証なしのADBポートがあり、モデルは対象を探し、アクセスし、ペイロードを送り、Llama3.1-8Bの推論サーバーを構築します。

テストしたオープンウェイトモデルのうち、簡略化した環境でエンドツーエンド複製を達成したのはGLM-5.2だけでした。5回の試行では、4回が8/8ノード、1回が7/8ノードへの拡大です。認証を省いた評価であり、Anthropicによれば現実世界の成功率に対する上限値です。

Anthropicの整理では、複製に必要な能力の下限と、攻撃対象の機器で動かせるモデルサイズの上限は、現在は交差していません。30B以下のモデルのECI傾向線からは、GLM-5.2相当の能力に小型モデルが2026年末までに届く可能性が読み取れます。ECIは複製能力ではなく、一般能力の代理指標にすぎません。

この違いを取り違えると、予測だけで対策を始めるか、実験条件を理由に先送りするかの両極端になります。研究が示す材料は、未知の機器へ推論環境を構築する小型モデルの能力と、弱い認証条件で伝播するモデルの存在です。

企業ネットワークで先に見るべき兆候｜スキャン・大容量転送・異常な端末間通信

遅い複製体は、短時間に大量の攻撃を完了するとは限りません。Anthropicの見積もりでは、Qwen3.5-9Bの推論セットアップに28〜51時間かかります。その間に、対象探索のスキャン、モデルの重みや実行環境の転送、普段は接続しない端末との継続通信が発生します。

監視では、単発の通信量だけを閾値にするより、端末ごとの平常状態との差を見る方が現実的です。管理サーバーへしか接続しない機器が社内の複数端末へ連続接続するケースや、通常より長い外向き通信を検知します。

• 対象探索：IoT端末から多数のIPやポートへ短時間に接続していないか。
• ペイロード転送：通常の更新では説明できない大容量ファイルを受け取っていないか。
• 端末間通信：同じネットワーク内で普段は接続しない機器同士が継続接続していないか。
• 再起動後の再発：停止・再起動しても同じ接続やプロセスが復活していないか。

異常を検知した後の動線も、監視ルールと同時に決めます。まず対象端末を通常ネットワークから切り離し、証拠保全と事業影響を確認します。調査用のハニーポットや検疫ネットワークへ移し、ペイロードと接続先を分析してから、更新・初期化・再接続を許可する順番です。

AIエージェントの権限を隔離する考え方は、AIエージェントの封じ込め失敗を考えるときにも共通します。端末やモデルが何を実行できるかを狭くし、通信と変更をログへ残し、人の承認なしに本番ネットワークへ戻さない設計が必要です。

導入・調達で確認すること｜初期パスワードと不要ポートを残さない

最初に見直すのは、AI専用の新しい製品ではなく、既存のIoT・OT機器です。英国NCSCは、ネットワークに配備する機器にデフォルトパスワードを残さないこと、不要なサービスとポートを閉じることを防御原則として示しています。製品選定時点で変更方法と管理者の責任者を確認してください。

• 認証情報：初期パスワードを廃止し、機器ごとの一意な認証情報を設定できるか。
• 公開範囲：インターネットから到達できるポートをなくし、管理経路を限定できるか。
• 更新と廃棄：ファームウェアの更新期限、サポート終了、初期化手順を台帳へ記録できるか。
• 検疫と復旧：異常時にネットワークから隔離し、業務影響を抑えながら再設定できるか。

検疫は、侵入を完全に防げなかった場合の現実的な防御層です。Miraiボットネットでは、ISPが感染回線を検疫ネットワークへ移し、顧客へ通知する方法により、14日以内に92%の感染を解消しました。通知なしの条件は74%でした。AIを含む新しい脅威でも、検知後に広がりを止める仕組みが被害の長さを左右します。

調達部門と情報システム部門だけでなく、機器を止められない現場の責任者も手順作りに参加させます。停止の影響、隔離中の記録、初期化後の確認者を決めておけば、緊急時の判断が個人の経験に依存しません。

AIエージェントの自律侵入を扱った評価用AIの自律侵入事例でも、権限を狭くし、実行環境と監視を分けることが判断材料になります。IoT機器についても、侵入前の認証、侵入後の通信、復旧時の再登録を別々の管理点として設計してください。

よくある質問

Q. Anthropicの研究は、AIワームが現実の企業ネットワークで自己複製したことを示していますか？

いいえ。認証なしのADBポートを使う隔離環境で、GLM-5.2が8ノード中8ノードへ広がった評価です。Anthropicは現実世界の成功率に対する上限値と説明しており、企業ネットワークでの実被害を示す結果ではありません。

Q. 9Bモデルは1台のスマートTVで動きますか？

研究の前提では、4GB RAM・4-bit量子化の場合、9Bモデルの推論には4台以上の機器が必要です。実際の必要台数はハードウェア、量子化、推論スタックなどで変わるため、研究の数字を製品仕様の保証として扱うことはできません。

Q. 企業はIoT機器の自己複製リスクに何から対応すべきですか？

まず、機器台帳で初期パスワード、外部公開ポート、管理経路、更新期限を確認してください。そのうえで、端末からの異常なスキャンや大容量転送を検知し、検疫ネットワークへ隔離する手順を実際に訓練します。

Q. AIによる自己複製を完全に防ぐには何が必要ですか？

完全な防止策を一つで実現するのではなく、認証情報の変更、不要ポートの削除、通信監視、検疫、復旧を重ねます。Anthropicは感染端末が次に感染させる数R₀を1未満にする考え方を示しており、侵入後の拡大を抑える運用が必要です。

まとめ

Anthropicの研究は、9Bモデルが9種類中8種類のハードウェアで推論を起動し、簡略化した隔離環境ではGLM-5.2が8ノードへ伝播したことを示しました。一方、認証なしのADBポートを使った評価であり、現実の企業ネットワークで自律ワームが自己複製した実証ではありません。

企業が今確認すべきなのは、将来予測の数字だけではありません。IoT・OT機器の初期パスワード、不要ポート、管理経路、更新期限を棚卸しし、異常なスキャン・大容量転送・端末間通信を検知して検疫へ移せるかを確かめます。遅い複製体にも対応できる監視と復旧の手順が、次の感染を抑えます。

関連記事

• AIエージェントの「封じ込め失敗」が相次ぐ理由を解説｜Anthropic・Googleの公表事案に学ぶ隔離設計
• MCPサーバーのセキュリティ実態を解説｜21000台超が露出・92%認証なしの点検ポイント
• 評価用AIの自律侵入事例を解説｜AIエージェント運用で見直すべき権限管理
• IPA「AIセキュリティ短信」を解説｜AIコーディングエージェントが開発工程の攻撃面になる
• Anthropic「Cyber Mission」を解説｜重要インフラ防衛とOSS無料スキャンで何が変わるか

▼開発を相談する前に読みたい無料ホワイトペーパー
・AIシステム開発の完全ガイドブック
・【2026年最新版】AI駆動開発の完全ガイドブック

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。