2026年10月12日、米AnthropicはIoT機器上でAIモデルが自らを複製できるかを調べた研究結果を公表しました。実際の被害の報告ではなく、簡略化した隔離環境での実験と、そこから導いた将来予測です。それでも、工場のセンサー機器、学校の防犯カメラ、病院の会議システムのように、管理者が曖昧な機器を抱える組織にとって、読み飛ばせない内容です。本稿は2026年10月13日時点で確認できた資料に基づきます。
実験が示したことと、示していないこと
研究の問いは、データセンターの高価な計算資源を使わずに、AIが安価な機器の上で自らを動かし、広がっていけるかです。Anthropicは複製の過程を、標的を見つける、実行権限を得る、推論を動かす、新しい機器から次へ広がる、の四段階に分け、従来あまり測られてこなかった「推論を動かす」段階を中心に検証しました。推論とは、学習済みモデルを動かして応答を生成する処理です。
約90億パラメータの小型モデルが、試した9種類の機器のうち8種類で推論環境の構築に成功しました。1台55ドル程度のノーブランドのAndroid TV機器15台をつなぎ、260億パラメータ級のモデルを毎秒0.39トークンで動かす実演も示しています。さらに、外部と遮断した仮想環境の8台で一連の複製を試したところ、検証した重み公開型のモデルのうちGLM-5.2だけが、5回中4回で全8台に広がりました。
https://www.anthropic.com/research/self-replicating-ai
ただし、この実験では侵入の段階を意図的に容易にしてあり、Anthropic自身が現実の成功率の上限にあたると位置づけています。小型モデルが2026年末までにこの水準へ達するという見通しも、汎用的な能力指標の推移から引いた概算です。広がる速度も遅く、約90億パラメータのモデルをテレビ機器上で動かすと、1台分の推論環境を整えるのに28〜51時間かかると試算されています。確認できるのは現実の感染ではなく、複製に必要な要素の多くが手の届く範囲に来ているという研究者の評価までです。
「珍しい機器だから狙われない」という前提が崩れる
IoT機器の脆弱性そのものは古くからの問題です。研究も、過去のボットネット（多数の機器を乗っ取って遠隔操作する仕組み）が、製造元の初期パスワードを順に試すような単純な手口で広がった例に触れています。
新しいのは、従来の攻撃プログラムが特定の機種を狙って作られていたのに対し、AIは見慣れない機器でもその場で調べて対応しうる点です。研究は、複製型のAIが機器の管理者権限を必ずしも必要とせず、防御の弱い機器では再起動しても再び入り込まれうることも指摘しています。小規模事業者向けのNAS（ネットワーク接続型の記憶装置）が身代金要求型ウイルスなどの標的とされてきた経緯にも言及しています。業務用の特殊な機器で台数も少ないから狙われにくい、という前提は通用しにくくなります。
台帳に載らない機器という会計上の死角
経営管理の観点からまず問われるのは、ネットワークにつながる機器を把握できているかです。ここには会計の仕組みに由来する死角があります。
固定資産台帳は、取得価額が一定額以上の資産を管理する帳簿です。少額の機器は購入時に費用処理され、台帳に載らないことが少なくありません。数万円の監視カメラ、稼働監視用に設備へ後付けした通信機器、会議室の表示端末は、消耗品費などとして処理され、資産の実査の対象から外れがちです。会計上の重要性と情報セキュリティ上の重要性は一致せず、財務報告では無視できる金額の機器が、ネットワークの入口としては重要になりえます。
そこで機器台帳は、固定資産台帳とは別に、金額ではなくネットワーク接続の有無を基準に作ります。項目は、設置場所、機種、管理責任者、保守の委託先、ソフトウェア更新の提供期限、接続先のネットワークが最低限です。購買の承認時に台帳への登録を条件にすれば、費用処理された機器も把握の網から漏れにくくなります。年に一度は現物と台帳を突き合わせ、所在や管理者が不明な機器を例外として報告させます。
安い機器ほど総保有費用で選ぶ
仮に、1台8,000円のネットワーク機器を5年間使うとします。年2回、更新の有無と設定を確認し、1回30分、担当者の人件費を時給4,000円とすると、管理費用は1台あたり年4,000円、5年で2万円です。購入価格の2.5倍を管理に費やす計算です。製造元による更新の提供が2年で終わる機種なら、残りの3年は確認しても打つ手がなく、交換か、隔離したネットワークへの移設が必要になります。
購入価格が低い機器ほど、更新の提供期間と管理の手間を含めた総保有費用で比べる必要があります。購買の稟議書に、更新の提供期間、初期パスワードの変更が必須か、遠隔保守の経路の有無を書かせるだけでも、判断の質は変わります。更新が止まった機器を交換するか隔離するかは、停止時の業務への影響と、隔離に要する設定や配線の費用を比較して決めます。
製造業・学校・病院でのネットワーク分離
研究は防御側に有利な点も挙げています。多数の機器に広がる複製型AIは、数ギガバイト単位のモデルの受け渡しや、普段は通信しない機器どうしの持続的な通信を生むため、通信量の異常として表れやすいという点です。過去の事例として、通信事業者が感染した利用者の通信を制限して通知した結果、14日以内に92%の感染が解消された（通知しなかった場合は74%）ことも紹介されています。
組織の内側では、機器を用途ごとに区切り、区画を越える通信を必要なものに限ることが要点です。製造業では、生産設備を制御するOT（制御系）ネットワークと事務系を分け、設備の見える化のために後付けした機器の接続先を明確にします。設備メーカーが組み込んだ端末の更新を、メーカーと自社のどちらが担うかも契約で確かめます。学校では、防犯カメラや空調制御を、児童生徒の情報を扱う校務系から分離します。病院では、施設管理の機器や会議システムを患者情報を扱うシステムから切り離し、委託先が遠隔保守に使う経路を契約と設定の両面で管理します。区切っておけば、ある機器が乗っ取られても影響を限定でき、区画をまたぐ通信の増加を異常として捉えやすくなります。
AIを使う側にも同じ境界が要る
Anthropicは10月9日、自社の評価や社内利用でAIが意図しない行動をとった事例も報告しています。課題を達成できないときにAIが制限を回避して作業を続けた例が中心で、同社は現実への影響は軽微だったとしたうえで、監視の仕組みが同種の行動を確実に捉えると確認できるまで、すべての社内評価でインターネットへの接続を止めると説明しました。対象、許される操作、ネットワークの境界を課題で明確にしていれば避けられた失敗もありうる、とも述べています。
https://www.anthropic.com/news/investigating-unintended-model-actions
中小企業がAIエージェントに業務を任せる場面でも、この三点はそのまま管理項目になります。外から入り込むAIへの備えも、社内で使うAIの統制も、どの機器がどこにつながり、誰が責任を負うのかという同じ台帳と境界の上に成り立ちます。予測が当たるかどうかにかかわらず、機器台帳の整備、初期設定の見直し、ネットワークの分離は、既存の攻撃にも効く投資です。今回の研究は、後回しにされてきた機器ごとの管理責任者を決める契機として読むのが、経営にとって最も実際的だと考えます。