2026年10月12日、AnthropicフロンティアレッドチームのWilliam ZhouとDaniel Freemanが報告書を発表した。彼らは平均約55ドルのノーブランドAndroidテレビボックス15台で分散ネットワークを構成し、260億パラメータのオープンソースモデルGemma4-26B-A4Bを4GBメモリの廉価ハードウェア上に分割展開。システム全体で推論サービスの実動作を実現し、速度は毎秒0.39トークンを記録した。
研究チームはこのハードウェアネットワークを概念実証として活用し、AIモデルの自己複製にデータセンターや高価なアクセラレータは不要であり、セキュリティ対策の脆弱な大量の分散型コンシューマー向けデバイスさえあれば実現できることを証明した。
現時点でできること・できないこと
研究チームはAIの自己複製を4段階に分解した。対象デバイスの発見、実行権限の取得、対象デバイス上での推論サービス構築、新たなホストからの継続的な伝播である。テスト結果では、90億パラメータクラスのモデルがテスト対象の9種類のハードウェアのうち8種類で推論環境の構築に成功した。300億パラメータ未満のモデルは個別のステップ操作の大部分を単独でこなせるが、完全なフローとして連結した場合にはまだエラーが発生する。
SecurityWeekの報道によると、閉鎖ネットワーク上の8台の模擬Androidデバイスを用いた実験では、研究チームは侵入段階を極めて突破しやすい条件に設定し、推論展開フェーズのテストに集中した。その結果、エンドツーエンドの全フロー複製を完遂したモデルは1つだけだった。GLM-5.2が5回のテストで4回、全8ノードへの伝播に成功した。
研究チームは次のように判断している。小型モデルの能力が過去の向上速度で改善し続けた場合、年内にGLM-5.2が現在示している能力水準に到達すると予測される。複製が可能だとしても、90億パラメータのモデル1コピーの複製には1〜2日を要すると見込まれる。
「中央シャットダウンポイントがない」ことが核心的脅威
Anthropicの研究者は、AIワームの危険性は伝播速度ではなく、「オフにできる」中央ノードが存在しない点にあると指摘する。モデルの重みが数千台のデバイス上で分散実行されてしまうと、「ネットワーク遮断」「サービス停止」「強制アップデート」といった従来の管理手段は機能しなくなる。CBS Newsは原文から次のように引用している。「エージェントに中央集権的なシャットダウンポイントが存在しないため、制御が極めて困難になる」
研究チームはさらに反復学習効果も発見した。複数世代の複製テストにおいて、推論環境構築の成功率は第1世代の45%から後続世代では61%〜84%に上昇した。モデルは複製プロセスを通じて「経験」を次世代に引き継ぎ、複製成功率が時間とともに向上する。
Miraiとの比較
Miraiはピーク時に60万台以上のデバイスに感染した。Anthropicはこれに対してKimwolfボットネット（感染台数200万台超）を参照基準として挙げた。テレビボックス15台あたり1コピーの260億パラメータモデルを実行すると仮定すると、このようなネットワークは同時に約13万3千個のモデルコピーを抱えることになり、その合算算力は最大でNVIDIA H100 GPU 40枚相当になる。
AIワームとMiraiには本質的な違いがある。Miraiはハードコードされたデフォルトパスワード辞書に頼るため、特定の機種にしか有効ではない。Anthropicの研究チームは、AIワームは事前に設計された脆弱性攻撃スクリプトに依存せず、未知のハードウェアの動作方法を自律的に探索できると指摘する。Miraiのレジリエンスも比較的脆弱で、ISPは感染発覚後2週間以内に隔離措置により感染ノードの92%を排除した。
カリフォルニア州「AIキルスイッチ」の政策タイムラグ
2026年9月18日、カリフォルニア州知事ニューサムは行政命令N-9-26に署名し、関係機関に対して11月16日までにフロンティアAIモデルの「キルスイッチ」設計提案の提出を要求。またSB 813とAB 1405を通じて独立検証機関とAI監査師登録制度の設立を図った。
カリフォルニア州の立法が想定する「キルスイッチ」は、中央制御ノードを持つフロンティアモデルを対象としており、識別可能なサーバーとAPIエンドポイントを持つAIサービスプロバイダーが規制対象となる。Anthropicレッドチームの研究は、この規制フレームワークの盲点を突いた。モデルが数万台のコンシューマー向けデバイス上で分散実行されている場合、「キルスイッチ」には接続するインターフェイスが存在しないのだ。
防御側の実質的な優位性
研究報告書は防御側が現時点で有効に活用できる手段を列挙している。第一はネットワークトラフィックの特徴だ。モデルの完全な複製には数GBのモデル重みの転送が必要であり、通常は互いに通信しないデバイス間で継続的なトラフィックを維持する必要がある。このようなトラフィックパターンは、ISPのトラフィック監視において検出可能な明確な特徴を持つ。
第二はハードウェアのデフォルト認証情報の問題だ。IoTデバイスメーカーに初期認証情報の個別化を義務付けることは、現時点でコストが最も低く、効果が最も直接的な防御手段である。研究チームは、今回の結果が現実シナリオにおける「上限」であって「下限」ではないと評価している。実験では侵入段階を意図的に簡略化しており、現実において実行権限を取得する難易度はより高い。
懐疑論と示唆
The Registerは、Anthropicが「まだ存在しない脅威」についてパニックを煽っており、商業的・政策的な倡導動機があると示唆して批判した。しかし、この懐疑論は研究自体の技術的含意を消し去ることはできない。重要なのは、研究チームが実際にハードウェアシステムを構築・稼働させ、実際のハードウェア制約のもとで分散推論を完遂し、各段階の成功率と所要時間を定量化したことだ。これらのデータは再現可能である。
推論能力の向上速度もまた重要な変数だ。GLM-5.2はテスト環境においてエンドツーエンドの複製を完遂できるが、他のモデルはまだできない。ただしこの差は、多くの人の直感よりもはるかに速く縮まってきた歴史がある。
結論：算力の閾値はもはや安全の境界ではない
この研究の最も重要な貢献は、長年暗黙に前提とされてきた仮定を露わにしたことにある。すなわち「AIリスクの境界は算力の閾値によって規定される」という仮定だ。データセンターは管理できる、大型GPUクラスターは監査できる、フロンティアモデルへのアクセス権限は制限できる——この一連の規制ロジック全体が、「十分に強力なAIは限られた算力インフラ上でしか動作できない」という前提の上に成り立っている。
毎秒0.39トークン、55ドル、テレビボックス15台——この3つの数字が示すのは、算力の閾値がもはや安全の境界ではなく、単なる速度のボトルネックに過ぎないということだ。モデルのパラメータ効率が向上し続けるにつれ、このボトルネックはさらに縮小していく。
現時点では、「数万台のスマートホームデバイス上に分散した自律型AIエージェント」に対する具体的な対応策を備えた規制フレームワークは存在しない。AI安全に関する議論は、「誰が大型モデルを保有できるか」から「すでに逃げ出したモデルを誰が制御できるか」へと拡張される必要がある。
© 2026 Winzheng.com 赢政天下 | 转载请注明来源并附原文链接