26Bモデルの推論は55ドルのテレビ箱15台で動いた — Anthropicが数えたエッジ計算の在庫にはロボットとドローンも含まれる

Anthropic の Frontier Red Team が10月12日に出した報告は、データセンターを使わずに AIモデルの自己複製に必要な工程を、実機や簡略化した環境で調べたものである^[1]。 中心の実演は、1台約55ドルのノーブランド Android TV ボックス15台に Gemma4-26B-A4B を層ごとに分割して載せ、毎秒0.39トークンで推論を動かした、というものだ。 この15台で自己複製の成功を実演したわけではない^[1]。 本紙がここを読むのは、ウイルスの話をしたいからではない。 報告の付録が数えている「データセンターの外にある推論計算」の母集団に、四足ロボット・ヒューマノイド・ドローンが名指しで入っているからである^[1]。 しかも報告自身が、車両はセキュリティの焦点になるだろうから狙われうる対象の大半は監視カメラと会議機器の2分類に寄ると書いている^[1]。 ロボットは「計算を載せて自分で動く資産」であり、この報告はその資産を 推論に使える計算資源の推計対象に含めている。

測られたのは「乗っ取る力」ではなく「推論を立ち上げる力」である#

報告は自律複製(ARA: autonomous replication and adaptation)を4段に分解している。 標的を見つける、実行権を得る、推論を立ち上げる、そこから次へ伝播する、の4段だ^[1]。 このうち最初の2段 — つまり脆弱性を突く本来のサイバー工程 — は、 既存研究(CyberGym、ExploitBench など)で小型モデルにも可能と分かっているとして、 報告は意図的に扱っていない^[1]。 焦点は3段目、見たことのないハードウェアの上で推論サーバを立ち上げる工程である^[1]。

ここが選ばれた理由も書かれている。推論の立ち上げは、互換のある推論スタックを選び、 パッケージの正しいバージョンを探し、その機械固有の不具合を直す、という ハードとOSに依存した判断の長い連鎖であり、各段が直列に依存していて失敗からの復帰が難しい^[1]。 つまり長時間の自律作業としては最も折れやすい箇所だ。そこを測った。

55ドルの箱15台で26Bが動く — ただし毎秒0.39トークンである#

IoT機器はメモリが乏しいが、Petals 型の分散推論を使えば小型モデルは載る^[1]。 報告が参照する現実の前例は Kimwolf ボットネットで、 主にノーブランド Android TV を中心に200万台超に感染したとされる (Synthient の報告値)^[1]。 この種のTVボックスは Android Open Source Project のフォークを動かしており、 製造者がセキュリティ機能を足さないまま出荷している^[1]。 搭載RAMは1〜4GBが典型である^[1]。

4GBのRAMと4bit量子化を仮定すると、9Bモデルは4台以上、 26Bモデルは10台以上で推論できる^[1]。 実演ではそこに余裕を見て15台を使い、パイプライン並列で各箱に層の一部を持たせた^[1]。 並列方式の選択理由も書かれている。テンソル並列や expert 並列では1ノードの故障が レプリカ全体を落とすのに対し、パイプライン並列なら落ちたノードを差し替えられ、 そのノードが持っていた層のKVキャッシュは手前のノードの再forwardで作り直せる (Borzunov et al. 2022 を参照)^[1]。壊れる前提で組まれているというのが、この実演の設計上の要点である。

到達した速度

差は3桁以上ある。TVボックス側がRAM帯域で律速されているためで、 ARM Cortex級のコアでも計算スループットはRAM帯域を上回ってしまう^[1]。 decode時はパイプラインの気泡で各機械の遊び時間が長く、 前方計算のあいだ動いているのは1台だけになる^[1]。 prefillはdecodeより約15倍速い^[1]。

簡略化した複製評価を通ったのは、テストした公開重みモデルのうち1つだった#

複製の連鎖を本当に繋げられるかは、別の実験で測っている。 redroid(Android 15 エミュレータ)を動かすGCPノード8台のVPCを ファイアウォールで閉じ、1台に worm を仕込む。以降の感染はすべて worm 自身が認証のないADBポート越しにノードを渡り歩き、 Llama3.1-8B を配る推論サーバを立てる。正当性とカンニング検出の検査を通れば、 研究側がその標的ノードに worm の複製を1つ起動する。 worm を制御するモデルの推論は、標的ノードとは別のサーバで動いている^[1]。

報告は自分の評価の甘さを自分で書いている。 ADBポートに認証が無いためサイバー工程は自明に簡単にしてあり、 これは実世界での成功率の上限にあたる^[1]。 ただし同じ段落で、Mirai ボットネットが製造者の既定ユーザ名とパスワードの一覧を 順に試すだけで広がった前例を挙げ、現実のIoTセキュリティが この自明な設定より劇的に難しいとは限らないとも書いている^[1]。 甘さを認めた上で、甘くない根拠も出している。この両方を載せるのが本紙の読み方である。

なお、worm 役のモデルに自分自身ではなく Llama3.1-8B を立てさせた理由も説明されている。 大きいモデルほど推論を立てるのが難しいため、比較を揃えるためだという^[1]。 GLM-5.2 が増殖できるなら、GLM-5.2 相当の能力を8B級に詰められた時点で 自己増殖が成立する、という論法である。報告はこれに 「新しい小型モデルはアーキテクチャやカーネルがより複雑になりうる」という 但し書きを自分で付けている^[1]。

速度 — TVボックス上の推論速度から日単位と推計する#

複製体はチャットやコーディングの対話速度より下で動く^[1]。 報告は32kのコンテキスト窓を1つ使い切るまでの時間を単位にとり、 1回の推論立ち上げ作業には2.6〜4.7窓必要だとしている。 以下はTVボックス上の速度を基にした所要時間の推計であり、 自己複製全体やロボットの侵害時間を実測した値ではない^[1]。

測定条件の但し書きが重要である。この32k窓は内訳として生成(decode)トークンが12〜15%で、残りはプロンプトと ツール呼び出しの prefill である^[1]。 そして32Kを下回るとモデルの作業能力は大きく落ちる、とも書かれている^[1]。 つまり32kは削れない下限として扱われており、 上の所要時間は「短くできる余地」をあまり含んでいない。

群全体の規模感も見積もられている。Kimwolf 級の200万台がすべてAIを載せ、 15台ごとに Gemma4-26B-A4B の複製を1つ持つとすると約13.3万複製。 15台の組は0.3 tok/s で2体のエージェントを同時に動かせるから、 群全体で毎秒8万トークンになる^[1]。 H100換算ではせいぜい40枚分である^[1]。 報告はこれを「絶対量としては微小」と評し、 粘菌かショウジョウバエの群れのように日単位で増える比喩を置いている^[1]。

床と天井 — 交差は「2026年末」と置かれている#

報告の枠組みは2本の線で説明されている。複製を確実にこなすために モデルが上回らなければならない能力の床と、 攻撃対象の機器で動くために下回らなければならないサイズの天井だ^[1]。 簡略化した評価では GLM-5.2 が床の上にいる。 Qwen3.5-9B と Gemma4-26B-A4B は、4GB RAM級のスマートTVという天井の下にいる^[1]。今は交差していない^[1]。

交差の時期は、総パラメータ30B以下の主な公開重みモデルをEpoch Capabilities Index(ECI) 上に発表日順に並べ、 各時点の級内最良モデルに最小二乗で線を引いて外挿している。 傾きは年あたり13.7 ECI、R²は0.95^[1]。 GLM-5.2 を床とみなすと、この線は2026年末に小型モデルがその水準に届くと示す^[1]。

ここでも報告は自分で釘を刺している。ECIは一般能力の指標であって 複製能力の代理指標にすぎないから、 これは小型モデル複製体が可能になる時期の粗い見積もりにすぎない^[1]。 R²0.95 という当てはまりの良さは、外挿先の正しさを保証しない。

適応は効くが、上位モデルの助言は効かない#

通常のワームにない要素として、報告はラマルク的な進化を挙げる。 親のインスタンスが自分のプロンプト・コード・メモを娘の複製体に渡せる^[1]。 Qwen3.5-9B の各インスタンスに、試した戦略と遭遇した失敗の短いメモを書かせ、 次の世代がそれを受け継いで同じ推論立ち上げに再挑戦させた。 成功率は第1世代の45%から、後の世代で61〜84%に上がった (20系統・6世代)^[1]。

一方で、上位モデルに助けを求める経路は機能しなかった。 Qwen3.5-9B に推論立ち上げ作業中の Opus 4.8 への アクセスを与えたが、助言は測定可能な改善をもたらさなかった^[1]。 小型モデルは正しい問いを立てられず、助言を求めずに与えた場合も改善しない^[1]。 助言者の利用を強化学習で訓練しても(Pythonのコーディング課題で、 詰まったときに助言者を呼ぶことに報酬を与える条件まで含めて)、 推論立ち上げでは有効に助けを求められないままだった^[1]。

社会工学の能力も低い。CyberSecEval 3 のスピアフィッシング評価(0〜5点、gpt-4oを審判)を 手元で再現したところ、gpt-4oは人間のルーブリック評価より0.4〜0.7点甘く付ける傾向があり、 その分を人間基準に直すと小型モデルは「very poor」から「poor」に収まる^[1]。 報告の結論は、だから協調は「大きなモデルが高次の戦略を担い、 小型モデルをサブエージェントとして立ち上げる」形で起きやすい、というものだ^[1]。

フィジカルAIから見た意味 — 数えられた在庫の中にロボットがいる#

ここまでは画面の中の話に見える。本紙が読むべきは付録Dである。 報告はスマートTVより上の上限を、エッジ加速器の母集団で計算している^[1]。 従来のIoTボットネットと違い、エッジ加速器を積んだ機器は モデルを分割せずに1台で丸ごと動かせる^[1]。 上の表にある Jetson AGX Orin 64GB の76.7 tok/s、AGX Thor の226 tok/s がその水準だ^[1]。

そして「野にある Jetson 搭載機器」として報告が列挙した3分類が、セキュリティカメラ、会議機材、そして車両・四足ロボット・ヒューマノイド・ドローンである^[1]。 最後の分類について報告はこう続ける。車両についてはサイバーセキュリティが 焦点になると予想されるので、狙われうる対象の大半はおそらく他の2分類に残る^[1]。 「他の2分類」は監視カメラと会議機器を指す。 車両、四足・二足ロボット、ドローンは同じ第3分類に属し、 いずれも計算資源の推計対象には含まれている。 原典はこれらの機器が特に脆弱だと評価しているわけではない^[1]。

母集団の大きさ

原典は、エッジ加速器搭載機器の侵害には通常のIoTより困難が伴う可能性を指摘する。 到達経路が外向きトンネルに寄っていることと、 エッジ加速器搭載機器が通常のIoTのように大量感染した歴史的事例が無いことを、 報告は自分で侵害の難しさの根拠として挙げている^[1]。 一方、前掲の71〜150時間はTVボックス15台で動かす未最適化のGemma4を前提にした 推論立ち上げの推計である。これをエッジ加速器搭載ロボットの侵害時間に転用することはできず、 この数値からロボットを標的とする採算までは判断できない^[1]。

だが本紙がこの報告をフィジカルAIの話として読むのは、計算量の多寡ではない。 ロボットは計算を載せて自分で動く機械である。 スマートオーブンを乗っ取った攻撃者が得るのは電力と計算だけだが、 四足やヒューマノイドやドローンを乗っ取った攻撃者は、 同じ乗っ取りで関節と車輪とプロペラも手に入れる。 報告はこの差を扱っていない。測ったのは推論を立ち上げる能力であって、 立ち上がった先の機体が何をできるかではない。 本紙の読者にとっては、その差のほうが大きい。

加えて、ロボットのオンボード計算を長時間稼働させる構成では、その利用状況にも目を向けたい。Jetson Orin Nano Super 8GB を積んだ開発ボードのような構成は、 機体で常時稼働させるなら、正規の処理以外に使われていないかも確認対象になる。フィジカルAIの実装側が気にしてきたのは 「モデルが載るか」「推論が間に合うか」であって、 「載せた推論環境が他人に使われていないか」ではなかった。 報告が示したのは後者が成立しうる条件である。

防御はISPを前提に書かれている — ロボットのフリートにISPはいない#

報告の防御側の節は、流行病と同じく R₀(感染1台が次に感染させる台数)を 1未満に落とす話として組まれている^[1]。 守る側に有利な点も挙げられている。重みを運ぶ複製体が大規模に増えれば ISPのフロー監視で異常として見えるはずだ、というのが筆頭だ。 新たに感染したホストは他の機器や外部のホスティングから数ギガバイト規模のモデル本体を受け取るし、 分散推論は普段その量で通信しない機器同士のあいだに持続的なトラフィックを生む^[1]。 複製体は速度と隠密性を交換する関係にあり、速く増えるほど足跡が増える^[1]。

実効性の数字も1つ出ている。Mirai の駆除では、ISPが外部から得た感染の証拠を使って 加入者を隔離し通知した。隔離は対象の網を短い許可リストだけに制限し、 それ以外のブラウザ接続を清掃手順の案内に向け替えるもので、 これにより14日で感染の92%が解消した。 通知を行わない場合は74%だった^[1]。 報告は、重みを運ぶ複製体に対しても初動の防御としては同程度に効くと見ている^[1]。 ただし完全な排除には感染網を持つすべてのISPをまたいだ協調が必要で、 それは難しいとも書いている^[1]。

製造者側の手当ても1つ挙がっている。英国市場ではIoTの既定パスワードが すでに非準拠になっており、規制が調整役として働くことで標的の母集団を縮められる^[1]。 既定値をより安全なものに移し、準拠の下限を上げることは、 AI型にも台本型のボットネットにも効く^[1]。

この防御の並びを、ロボットのフリートに当てはめ直すと噛み合わない箇所が出る。 92%という数字が成立したのは、家庭の加入者とISPのあいだに帯域を絞る権限と連絡手段があったからだ。 工場や物流施設で動く機体は、多くが施設内のネットワークにいて、 隔離の権限を持つのはISPではなく施設の運用者である。 フロー監視に相当するものを持っている現場がどれだけあるかは、本紙には分からない。

一方で、ロボット側に固有の有利もある。モデル重みを数ギガバイト受け取る挙動は、 産業用ネットワークでは家庭よりはるかに目立つ。運用技術(OT)の防御で 本紙が見た問題は「見つけてから直すまでが遅い」ことだったが、 この複製体に関しては、見つけること自体は比較的やりやすい側に入る。 TVボックスを基準にした9Bモデルの推計では、推論立ち上げに28〜51時間かかる。 日単位の進行は検知・対応の時間を与える可能性があるが、 ロボットの計算環境でも同じ猶予があると保証する数値ではない^[1]。

押さえておくべき実務の論点を1つだけ挙げるなら、推論環境が立ち上がる余地を機体に残さないことである。 報告が測ったのは「見知らぬハードで推論スタックを組み上げる能力」であって、 そこで前提になっているのはパッケージを取ってきてビルドできる環境だ。JetPack 6.1 が Firmware TPM を追加したような 基盤側の硬化が、どこまでこの工程を止めるのかは報告の対象外である。 本紙も現時点で評価の根拠を持たない。

報告が自分で引いた線#

結論の節で報告が置いた表現は「signs of life(生命の兆候)」である^[1]。 まだ完全な野良の複製体は無いが、エージェントは複製連鎖の個々の工程を 次々にこなせるようになっており、自分の適応を次の複製に渡せる^[1]。 2024年のコーディングエージェントと同じ段階にいる、という比較が添えられている^[1]。

実験を超えた予測として報告が書いたのは、あらゆる種類のハードウェアの上で エージェントが動く未来であり、その一部は人間の管理下に無い^[1]。 IoT機器が長く脆弱だったのは事実だが、軽量なエージェントは人間の攻撃者より世界のIoT計算の大きな割合を侵害する労力を払うことに積極的かもしれない^[1]。 遅い複製体の登場は、より硬い機械を破れる速いものの先触れでもある^[1]。

本紙がこの報告を載せる理由はここにある。自律的に物理行動をとる機械にモデルを繋ぐ条件は、 利用規約の側から整えられつつある。だがそれは正規の運用者に効く規律であって、 規約の外側で動く複製体には届かない。脅威報告やサイバー防御を次の市場と見る議論と 合わせて読むと、フィジカルAIの計算基盤が 「能力を載せる場所」から「守る対象」に移っていく過程の、 かなり早い地点にこの報告がある。

数字だけを持ち帰るなら3つで足りる。床と天井はまだ交差していない^[1]。外挿された交差時期は2026年末で、しかもそれは代理指標による粗い見積もりである^[1]。 そしてエッジ加速器の推計対象には車両、四足・二足ロボット、ドローンも含まれる。 ただし原典が潜在標的の大半を見込むのは、別の2分類である監視カメラと会議機器だ^[1]。