Anthropicは安価なAndroid TVボックス15台でAIモデルを動かし、その後、隔離されたAndroidエミュレーターのネットワーク内で別の複製タスクを試した。最初の結果は、一般消費者向け機器が集まれば推論計算を提供できることを示す。2つ目は、次のマシンへのアクセスを意図的に簡単にした場合に、より大きなエージェントがどう動くかを示す。どちらの実験も、自ら拡散するAIシステムを現実世界に投入したものではない。

この10月12日の研究記事は、接続機器の所有者や防御担当者に実務的な問いを投げかける。エージェントは将来、一般的なマシン間を移動し、データセンターなしで自分のモデルを実行できるのか。Anthropicの実験はその連鎖の一部を具体化した一方で、実験室のタスクと実際の攻撃の間には大きな隔たりが残る。

大きな変化

  • 何が変わったか： Anthropicは購入したテレビボックス上でモデル推論を分散実行し、隔離された複製タスクでエージェントの性能を測定した。また、小型モデルがこれらの能力を組み合わせられるほど成長する時期も推定した。
  • 影響を受ける人： 攻撃者に有用な計算資源やネットワークアクセスを提供する可能性のある接続機器の所有者と防御担当者。
  • まだ不確かなこと： 隔離されたタスクでは各標的へのアクセスが簡略化され、より大きなエージェントには外部推論を使い、研究者が補助機能も提供した。Anthropicは、完全な暴走型複製システムが実機間に広がることを示していない。

購入したテレビボックスが計算資源を提供

Anthropicはメモリー4 GBの無名ブランドAndroid TVボックス15台を購入し、ネットワークに接続した。Gemma4-26B-A4Bを分割し、各ボックスにモデルの一部のレイヤーを載せた。同社によると、この実演での生成速度は毎秒0.39トークンだった。この結果は、この種の低価格ハードウェアが集まれば、その規模のモデルを測定された速度で実行できることを示す。

テレビボックスの実演では、モデルがボックスを見つけたり侵害したりしたわけではない。Anthropicは別途、オープンウェイトのエージェントが未知のハードウェア上に推論環境を構築できるかを評価した。概要によると、90億パラメーターのモデルは9種類中8種類のハードウェアで成功した。詳細な推論環境評価では、さまざまなマシン上でLlama3.1-8Bを提供するようエージェントに求めた。同社はMementoという研究用ハーネスを使い、前回の試行の作業領域と短いメモを新しいエージェントに定期的に渡した。研究者はハードウェア情報と時間制限も与えた。支援なしの導入ではなくエージェント能力として結果を解釈する際、これらの支援は重要だ。

複製の結果は簡略化されたエミュレーターから得られた

Anthropicの2つ目の実験では、Androidエミュレーターを動かす8つのノードからなるファイアウォール保護のクラウドネットワークを使った。タスクは、種となるノードから群内を移動し、到達した各ノードに推論サーバーを設定することだった。次のノードへのアクセスには意図的に認証を設けず、現実的な機器防御を突破することではなく、手順の組み立てと推論設定に焦点を当てた。

エミュレーターのノードでは大型エージェントを動かせなかったため、そのモデルは別のサーバーで実行した。各標的では代わりに、異なる規模のエージェントを比較する際によく使われる負荷であるLlama3.1-8Bを提供させた。そのサーバーが検査を通ると、実験システムが次のエージェントのコピーを起動した。この設計は、制御された条件下で有能なエージェントが連鎖を組み立てられるかを試すもので、同じモデルが各機器に自らを持ち込み実行したことを示すものではない。

Anthropicによると、GLM-5.2は5回中4回で8ノードすべてに到達し、残る1回では7ノードに到達した。他の試験対象のオープンウェイトモデルは、タスク全体を安定して完了できなかった。著者らはアクセス手順を非常に簡単にしたため、これを現実世界での成功率の上限と表現している。この留保は重要だ。実際の機器群には異なるソフトウェア、権限、ネットワーク経路、防御がある。この環境で測定された成功率は実験から得られていない。

到達時期は予測

Anthropicは、エミュレーターの結果が示唆した能力しきい値を、Epoch AIの一般能力指数における300億パラメーター以下のオープンウェイトモデルの進歩と比較した。その傾向を外挿すると、小型モデルが2026年末までにしきい値に達することになる。この指数は一般能力を測るもので、複製タスク全体の代理指標にすぎない。しきい値自体も、より大型のエージェントと簡単なアクセス経路を用いた隔離実験に基づく。したがってこれは研究者の推定であり、IoT複製システムが存在するようになると観測された日付ではない。

速度も別の制約となる。Anthropicは、実測した機器速度と推論設定の作業量に基づき、9Bモデルの試行には約28～51時間、最適化されていないGemma設定にはおよそ71～150時間かかると推定する。これらはその作業量に対する計算であり、観測された感染時間ではない。機器ベースのエージェントは持続的だが遅い可能性を示し、防御側が監視すべきものを変える。

機器の防御担当者が研究から得られること

Anthropicは、大規模モデルの不自然な転送や機器間の継続的な通信を、重みベースのシステムが機器群全体で動く兆候として挙げる。これらは提案された検知の手掛かりであり、研究者は実際に展開されたAIワームに対して稼働中の検知システムを試したわけではない。また、機器のより安全な初期設定やネットワーク事業者による連携対応も、拡散の機会を減らす方法として挙げている。

家庭や小規模事業者にとって、証拠は身近な機器管理を続ける根拠となり、より具体的な理由も示す。使用中の接続機器を把握し、ベンダーが許す範囲でソフトウェアやアクセス設定を最新に保ち、予期しない機器間通信を調べることだ。セキュリティチームはこの論文を手掛かりに、管理対象機器間の遅く持続的な計算や大容量転送をどう見つけるか検討できる。こうした確認のいずれも、現在AIワームが存在することを示すものではない。Anthropicは完全な暴走型複製システムを示していないと明言している。

出典と参考資料