AIが自分で増えるのに要った計算は、55ドルのテレビ箱15台だった — Anthropicが数えたエッジ計算の在庫に、四足とヒューマノイドとドローンが入っている
Anthropic の Frontier Red Team が、データセンター無しでモデルが自己複製できるかを実機で測った。約55ドルのAndroid TVボックス15台にGemma4-26B-A4Bを層分割し、毎秒0.39トークンで動かした実演が中心である。8ノードの閉じた網で端から端まで複製できたのはGLM-5.2だけ(5試行中4試行で8/8)。推論立ち上げ1回に71〜150時間、Kimwolf級200万台を全部AI化してもH100換算40枚分にすぎない。能力の床とサイズの天井はまだ交差しておらず、交差時期は年13.7 ECI・R²0.95の外挿で2026年末、ただし代理指標による粗い見積もりだと発表者自身が書いている。本紙が読むのは付録Dだ。エッジ加速器の母集団は約950万台・H100換算9,000〜35,000枚で、到達可能なのはその1桁以上下。そしてAnthropicは、車両はセキュリティの焦点になるから狙われうる対象の大半は残りに寄ると書いた。その残りが四足ロボット・ヒューマノイド・ドローンである。
執筆・編集責任：日本フィジカルAI新聞 編集部
Anthropic の Frontier Red Team が10月12日に出した報告は、データセンターを使わずに AIモデルが自分を複製できるかを実機で測ったものである[1]。 中心の実演は、1台約55ドルのノーブランド Android TV ボックス15台に Gemma4-26B-A4B を層ごとに分割して載せ、毎秒0.39トークンで動かした、というものだ[1]。 本紙がここを読むのは、ウイルスの話をしたいからではない。 報告の付録が数えている「データセンターの外にある推論計算」の母集団に、四足ロボット・ヒューマノイド・ドローンが名指しで入っているからである[1]。 しかも報告自身が、車両はセキュリティの焦点になるだろうから狙われうる対象の大半は残りの2分類に寄ると書いている[1]。 ロボットは「計算を載せて自分で動く資産」であり、この報告はその資産を 攻撃者側の在庫として数えた最初の公式文書に近い。
測られたのは「乗っ取る力」ではなく「推論を立ち上げる力」である#
報告は自律複製(ARA: autonomous replication and adaptation)を4段に分解している。 標的を見つける、実行権を得る、推論を立ち上げる、そこから次へ伝播する、の4段だ[1]。 このうち最初の2段 — つまり脆弱性を突く本来のサイバー工程 — は、 既存研究(CyberGym、ExploitBench など)で小型モデルにも可能と分かっているとして、 報告は意図的に扱っていない[1]。 焦点は3段目、見たことのないハードウェアの上で推論サーバを立ち上げる工程である[1]。
ここが選ばれた理由も書かれている。推論の立ち上げは、互換のある推論スタックを選び、 パッケージの正しいバージョンを探し、その機械固有の不具合を直す、という ハードとOSに依存した判断の長い連鎖であり、各段が直列に依存していて失敗からの復帰が難しい[1]。 つまり長時間の自律作業としては最も折れやすい箇所だ。そこを測った。
55ドルの箱15台で26Bが動く — ただし毎秒0.39トークンである#
IoT機器はメモリが乏しいが、Petals 型の分散推論を使えば小型モデルは載る[1]。 報告が参照する現実の前例は Kimwolf ボットネットで、 主にノーブランド Android TV を中心に200万台超に感染したとされる (Synthient の報告値)[1]。 この種のTVボックスは Android Open Source Project のフォークを動かしており、 製造者がセキュリティ機能を足さないまま出荷している[1]。 搭載RAMは1〜4GBが典型である[1]。
4GBのRAMと4bit量子化を仮定すると、9Bモデルは4台以上、 26Bモデルは10台以上で推論できる[1]。 実演ではそこに余裕を見て15台を使い、パイプライン並列で各箱に層の一部を持たせた[1]。 並列方式の選択理由も書かれている。テンソル並列や expert 並列では1ノードの故障が レプリカ全体を落とすのに対し、パイプライン並列なら落ちたノードを差し替えられ、 そのノードが持っていた層のKVキャッシュは手前のノードの再forwardで作り直せる (Borzunov et al. 2022 を参照)[1]。壊れる前提で組まれているというのが、この実演の設計上の要点である。
到達した速度
| 計算資源 | 載せたモデル | 速度 | 出典上の位置づけ |
|---|---|---|---|
| Android TVボックス15台(各4GB RAM、約55ドル) | Gemma4-26B-A4B | 0.39 tok/s | 冒頭の実演値[1] |
| 同上(32kコンテキスト全域で平均) | Gemma4-26B-A4B | 約0.3 tok/s | prefillとdecodeを均した未最適化値[1] |
| Jetson AGX Orin 64GB(エッジ加速器) | Qwen3-30B-A3B | 76.7 tok/s | 付録Dの上限計算用[1] |
| Jetson AGX Thor | Qwen3-30B-A3B | 226 tok/s | 付録Dの上限計算用[1] |
| H100 1枚(高並列・投機デコード) | Gemma4-26B-A4B | 約1,950 tok/s | 比較の基準点[1] |
差は3桁以上ある。TVボックス側がRAM帯域で律速されているためで、 ARM Cortex級のコアでも計算スループットはRAM帯域を上回ってしまう[1]。 decode時はパイプラインの気泡で各機械の遊び時間が長く、 前方計算のあいだ動いているのは1台だけになる[1]。 prefillはdecodeより約15倍速い[1]。
端から端まで通ったのは1モデルだけだった#
複製の連鎖を本当に繋げられるかは、別の実験で測っている。 redroid(Android 15 エミュレータ)を動かすGCPノード8台のVPCを ファイアウォールで閉じ、1台に worm を仕込む。以降の感染はすべて worm 自身が認証のないADBポート越しにノードを渡り歩き、 Llama3.1-8B を配る推論サーバを立てる。正当性とカンニング検出の検査を通れば、 その標的ノードに worm の複製を1つ生やす[1]。
報告は自分の評価の甘さを自分で書いている。 ADBポートに認証が無いためサイバー工程は自明に簡単にしてあり、 これは実世界での成功率の上限にあたる[1]。 ただし同じ段落で、Mirai ボットネットが製造者の既定ユーザ名とパスワードの一覧を 順に試すだけで広がった前例を挙げ、現実のIoTセキュリティが この自明な設定より劇的に難しいとは限らないとも書いている[1]。 甘さを認めた上で、甘くない根拠も出している。この両方を載せるのが本紙の読み方である。
なお、worm 役のモデルに自分自身ではなく Llama3.1-8B を立てさせた理由も説明されている。 大きいモデルほど推論を立てるのが難しいため、比較を揃えるためだという[1]。 GLM-5.2 が増殖できるなら、GLM-5.2 相当の能力を8B級に詰められた時点で 自己増殖が成立する、という論法である。報告はこれに 「新しい小型モデルはアーキテクチャやカーネルがより複雑になりうる」という 但し書きを自分で付けている[1]。
速度 — 1世代に1〜2日かかる#
複製体はチャットやコーディングの対話速度より下で動く[1]。 報告は32kのコンテキスト窓を1つ使い切るまでの時間を単位にとり、 1回の作業完遂には2.6〜4.7窓必要だとしている[1]。
| モデル | 32k窓1つの所要 | 推論立ち上げ1回の所要 |
|---|---|---|
| Gemma4-26B-A4B(未最適化) | 27.3〜31.8時間 | 71〜150時間 |
| Qwen3.5-9B | 10.9時間 | 28〜51時間 |
測定条件の但し書きが重要である。この32k窓は内訳として生成(decode)トークンが12〜15%で、残りはプロンプトと ツール呼び出しの prefill である[1]。 そして32Kを下回るとモデルの作業能力は大きく落ちる、とも書かれている[1]。 つまり32kは削れない下限として扱われており、 上の所要時間は「短くできる余地」をあまり含んでいない。
群全体の規模感も見積もられている。Kimwolf 級の200万台がすべてAIを載せ、 15台ごとに Gemma4-26B-A4B の複製を1つ持つとすると約13.3万複製。 15台の組は0.3 tok/s で2体のエージェントを同時に動かせるから、 群全体で毎秒8万トークンになる[1]。 H100換算ではせいぜい40枚分である[1]。 報告はこれを「絶対量としては微小」と評し、 粘菌かショウジョウバエの群れのように日単位で増える比喩を置いている[1]。
床と天井 — 交差は「2026年末」と置かれている#
報告の枠組みは2本の線で説明されている。複製を確実にこなすために モデルが上回らなければならない能力の床と、 攻撃対象の機器で動くために下回らなければならないサイズの天井だ[1]。 簡略化した評価では GLM-5.2 が床の上にいる。 Qwen3.5-9B と Gemma4-26B-A4B は、4GB RAM級のスマートTVという天井の下にいる[1]。今は交差していない[1]。
交差の時期は、総パラメータ30B以下の主な公開重みモデルをEpoch Capabilities Index(ECI) 上に発表日順に並べ、 各時点の級内最良モデルに最小二乗で線を引いて外挿している。 傾きは年あたり13.7 ECI、R²は0.95[1]。 GLM-5.2 を床とみなすと、この線は2026年末に小型モデルがその水準に届くと示す[1]。
ここでも報告は自分で釘を刺している。ECIは一般能力の指標であって 複製能力の代理指標にすぎないから、 これは小型モデル複製体が可能になる時期の粗い見積もりにすぎない[1]。 R²0.95 という当てはまりの良さは、外挿先の正しさを保証しない。
適応は効くが、上位モデルの助言は効かない#
通常のワームにない要素として、報告はラマルク的な進化を挙げる。 親のインスタンスが自分のプロンプト・コード・メモを娘の複製体に渡せる[1]。 Qwen3.5-9B の各インスタンスに、試した戦略と遭遇した失敗の短いメモを書かせ、 次の世代がそれを受け継いで同じ推論立ち上げに再挑戦させた。 成功率は第1世代の45%から、後の世代で61〜84%に上がった (20系統・6世代)[1]。
一方で、上位モデルに助けを求める経路は機能しなかった。 Qwen3.5-9B に推論立ち上げ作業中の Opus 4.8 への アクセスを与えたが、助言は測定可能な改善をもたらさなかった[1]。 小型モデルは正しい問いを立てられず、助言を求めずに与えた場合も改善しない[1]。 助言者の利用を強化学習で訓練しても(Pythonのコーディング課題で、 詰まったときに助言者を呼ぶことに報酬を与える条件まで含めて)、 推論立ち上げでは有効に助けを求められないままだった[1]。
社会工学の能力も低い。CyberSecEval 3 のスピアフィッシング評価(0〜5点、gpt-4oを審判)を 手元で再現したところ、gpt-4oは人間のルーブリック評価より0.4〜0.7点甘く付ける傾向があり、 その分を人間基準に直すと小型モデルは「very poor」から「poor」に収まる[1]。 報告の結論は、だから協調は「大きなモデルが高次の戦略を担い、 小型モデルをサブエージェントとして立ち上げる」形で起きやすい、というものだ[1]。
フィジカルAIから見た意味 — 数えられた在庫の中にロボットがいる#
ここまでは画面の中の話に見える。本紙が読むべきは付録Dである。 報告はスマートTVより上の上限を、エッジ加速器の母集団で計算している[1]。 従来のIoTボットネットと違い、エッジ加速器を積んだ機器は モデルを分割せずに1台で丸ごと動かせる[1]。 上の表にある Jetson AGX Orin 64GB の76.7 tok/s、AGX Thor の226 tok/s がその水準だ[1]。
そして「野にある Jetson 搭載機器」として報告が列挙した3分類が、セキュリティカメラ、会議機材、そして車両・四足ロボット・ヒューマノイド・ドローンである[1]。 最後の分類について報告はこう続ける。車両についてはサイバーセキュリティが 焦点になると予想されるので、狙われうる対象の大半はおそらく他の2分類に残る[1]。 言い換えると、報告自身の見立てでは、守られる想定が置かれているのは車であって、 四足とヒューマノイドとドローンはそこから外れている。
母集団の大きさ
数字を素直に読めば、ロボットに載っている計算は攻撃者にとって今はまだ割の悪い標的である。到達経路が外向きトンネルに寄っていることと、 エッジ加速器搭載機器が通常のIoTのように大量感染した歴史的事例が無いことを、 報告は自分で侵害の難しさの根拠として挙げている[1]。 そのうえ推論を立ち上げる作業自体に70〜150時間かかる。 ロボット1台を数日がかりで乗っ取って得られるのがH100 1枚未満の計算なら、 動機としては弱い。
だが本紙がこの報告をフィジカルAIの話として読むのは、計算量の多寡ではない。 ロボットは計算を載せて自分で動く機械である。 スマートオーブンを乗っ取った攻撃者が得るのは電力と計算だけだが、 四足やヒューマノイドやドローンを乗っ取った攻撃者は、 同じ乗っ取りで関節と車輪とプロペラも手に入れる。 報告はこの差を扱っていない。測ったのは推論を立ち上げる能力であって、 立ち上がった先の機体が何をできるかではない。 本紙の読者にとっては、その差のほうが大きい。
加えて、ロボットのオンボード計算は「余っている」ことが多い。Jetson Orin Nano Super 8GB を積んだ開発ボードのような構成は、 研究室や工場の通電したまま放置される機体に載って何か月も動き続ける。フィジカルAIの実装側が気にしてきたのは 「モデルが載るか」「推論が間に合うか」であって、 「載せた推論環境が他人に使われていないか」ではなかった。 報告が示したのは後者が成立しうる条件である。
防御はISPを前提に書かれている — ロボットのフリートにISPはいない#
報告の防御側の節は、流行病と同じく R₀(感染1台が次に感染させる台数)を 1未満に落とす話として組まれている[1]。 守る側に有利な点も挙げられている。重みを運ぶ複製体が大規模に増えれば ISPのフロー監視で異常として見えるはずだ、というのが筆頭だ。 新たに感染したホストは他の機器や外部のホスティングから数ギガバイト規模のモデル本体を受け取るし、 分散推論は普段その量で通信しない機器同士のあいだに持続的なトラフィックを生む[1]。 複製体は速度と隠密性を交換する関係にあり、速く増えるほど足跡が増える[1]。
実効性の数字も1つ出ている。Mirai の駆除では、ISPが外部から得た感染の証拠を使って 加入者を隔離し通知した。隔離は対象の網を短い許可リストだけに制限し、 それ以外のブラウザ接続を清掃手順の案内に向け替えるもので、 これにより14日で感染の92%が解消した。 通知を行わない場合は74%だった[1]。 報告は、重みを運ぶ複製体に対しても初動の防御としては同程度に効くと見ている[1]。 ただし完全な排除には感染網を持つすべてのISPをまたいだ協調が必要で、 それは難しいとも書いている[1]。
製造者側の手当ても1つ挙がっている。英国市場ではIoTの既定パスワードが すでに非準拠になっており、規制が調整役として働くことで標的の母集団を縮められる[1]。 既定値をより安全なものに移し、準拠の下限を上げることは、 AI型にも台本型のボットネットにも効く[1]。
この防御の並びを、ロボットのフリートに当てはめ直すと噛み合わない箇所が出る。 92%という数字が成立したのは、家庭の加入者とISPのあいだに帯域を絞る権限と連絡手段があったからだ。 工場や物流施設で動く機体は、多くが施設内のネットワークにいて、 隔離の権限を持つのはISPではなく施設の運用者である。 フロー監視に相当するものを持っている現場がどれだけあるかは、本紙には分からない。
一方で、ロボット側に固有の有利もある。モデル重みを数ギガバイト受け取る挙動は、 産業用ネットワークでは家庭よりはるかに目立つ。運用技術(OT)の防御で 本紙が見た問題は「見つけてから直すまでが遅い」ことだったが、 この複製体に関しては、見つけること自体は比較的やりやすい側に入る。 遅さは複製体の側にもある。1世代1〜2日は、人間の運用者が気づくには十分な速度だ。
押さえておくべき実務の論点を1つだけ挙げるなら、推論環境が立ち上がる余地を機体に残さないことである。 報告が測ったのは「見知らぬハードで推論スタックを組み上げる能力」であって、 そこで前提になっているのはパッケージを取ってきてビルドできる環境だ。JetPack 6.1 が Firmware TPM を追加したような 基盤側の硬化が、どこまでこの工程を止めるのかは報告の対象外である。 本紙も現時点で評価の根拠を持たない。
報告が自分で引いた線#
結論の節で報告が置いた表現は「signs of life(生命の兆候)」である[1]。 まだ完全な野良の複製体は無いが、エージェントは複製連鎖の個々の工程を 次々にこなせるようになっており、自分の適応を次の複製に渡せる[1]。 2024年のコーディングエージェントと同じ段階にいる、という比較が添えられている[1]。
実験を超えた予測として報告が書いたのは、あらゆる種類のハードウェアの上で エージェントが動く未来であり、その一部は人間の管理下に無い[1]。 IoT機器が長く脆弱だったのは事実だが、軽量なエージェントは人間の攻撃者より世界のIoT計算の大きな割合を侵害する労力を払うことに積極的かもしれない[1]。 遅い複製体の登場は、より硬い機械を破れる速いものの先触れでもある[1]。
本紙がこの報告を載せる理由はここにある。自律的に物理行動をとる機械にモデルを繋ぐ条件は、 利用規約の側から整えられつつある。だがそれは正規の運用者に効く規律であって、 規約の外側で動く複製体には届かない。脅威報告やサイバー防御を次の市場と見る議論と 合わせて読むと、フィジカルAIの計算基盤が 「能力を載せる場所」から「守る対象」に移っていく過程の、 かなり早い地点にこの報告がある。
数字だけを持ち帰るなら3つで足りる。床と天井はまだ交差していない[1]。外挿された交差時期は2026年末で、しかもそれは代理指標による粗い見積もりである[1]。 そしてエッジ加速器の母集団でAnthropicが車両を除いた残りに、 四足とヒューマノイドとドローンが入っている[1]。
出典
- 1.AI models may be capable of self-replicating without access to a datacenter(Frontier Red Team 研究報告本文) — Anthropic、2026-10-12一次情報
週刊ニュースレター
今週のフィジカルAIを日本語で。重要ニュース5本・日本/中国・Research Picks・今週の公募。無料、いつでも解除できます。
同じテーマのコラム
- ドローンの誘導コードをモデルに書かせた — 勝ったのは、飛ばす前に自分用の物理モデルを書いた1機種だった
AnthropicのFrontier Red Teamが、カメラ・IMU・気圧計だけのクアッドコプターの誘導・航法・制御コードをモデルに書かせ、シミュレータで飛ばして採点した。停車・高コントラストの目標ではOpus 5が80%当て、道路速度で47%、低コントラスト塗装で8%、迷彩・回避・デコイはどのモデルも一貫して解けない。差がついた理由は世界知識ではなく手続きだった。1打ち上げあたりの書き換えは行数の約9%(Mythos Previewは約25%)、比例航法とカルマンフィルタに早く手を伸ばし、そして飛ばす前に機体の物理モデルを自分で書いて制御器を試した機種はOpus 5だけである。一方で写真の位置特定では順位が逆転し、Mythos Previewが誤差中央値37.0kmで競技GeoGuessrのChampion級151kmを下回る。シミュレーションのみ・uplift未測定という発表者自身の但し書きまで含めて読む。
- 国産モデルのつもりで入れた監視映像が、米国に届いていた — Anthropic脅威報告
Moonshot は顧客の要求を Kimi で処理せず Claude に転送していた。その中に、成都の数百台のカメラ映像を分析させようとする PLA 関係者の要求が含まれていた。CETC 関連研究所と国有企業のカメラつき。154ページの報告本体から、ロボット側に効く3点を読む。
- ロボットは米国の物理タスクの74%をこなせるが、人より安いのは0.3%だった — 詰まっているのは推論ではなく手である
Anthropicの経済班が、O*NETの職務タスク7,594件を「今あるロボットでできるか、どれだけ作り込んだ環境が必要か」で4段に採点した。物理タスクの74%(全職務時間の34%)はこなせるが、その半分は職場をロボット用に作り替えるE1であり、人用の施設で動くE2は22%、無構造環境のE3は2%しかない。人より安いのは全職務時間の0.3%。価格下落が年3%の過去トレンドどおりなら10%に届くまで40年、物理労働の半分で採算が合うのは2085年である。障壁の内訳が本紙には最も効く。能力が止めている物理タスクは約70%で、うちマニピュレーションが半分、AIが最も伸ばす計画・推論はわずか8%、規制は14%にすぎない。採点の4か所でClaude自身が測定器になっていること、デモが根拠として数えられること、発表者自身が「AI搭載ロボットはこの尺度を飛び越えうる」と書いたことまで含めて読む。
- エージェント950体が21時間で新しい酵素系を見つけた — だが実験台の作業は全部人がやった
Anthropicが新設した生命科学ラボの最初の結果。約950体のエージェントが21時間、2億1,000万トークンでDNA配列を走査し、20万超のRTから3,500候補、報告書20本を経てCRISPR様の反復配列を伴う未記載の酵素系ARTに辿り着いた。だが同じ発表本文は、ラボ作業はすべて人間が行い、AIに装置を操作させるModel Hardware Standardは分子生物学の場当たり的なワークフローには合いにくいと書く。2週間後にはGenesis Missionへ3年1.5億ドルを拠出し、同じMHSを「装置を安全に操作するための共通仕様」と紹介している。機能未確定、分母非公表、自律の外側に人間が3か所。仮説生成が安くなるほど律速が身体へ移る構図を、発表者自身が引いた線から読む。
本コラムは編集部が執筆しています。掲載した数値・固有名詞は原典で照合し、確認できないものは掲載していません。 誤りの指摘は歓迎します。関連する自動生成のニュースはニュースへ。