Anthropicが警告する自己増殖AIワームの脅威

セキュリティ系のニュースが流れてきても、自分たちのプロダクトには関係ないと感じて読み飛ばすこと、多いと思います。

ただ2026年8月3日に配信されたAnthropic共同創業者のニュースレターは、その読み飛ばしがそろそろ危ないと思わせる内容でした。

AIが自分で侵入経路を考えて感染し、次のマシンへ自分を複製していく。

その一連が、隔離されたテスト環境で実際に動いたという報告です。

Jack Clarkとは何者か Anthropic共同創業者が発信する Import AI の重み

Jack ClarkさんはAnthropicの共同創業者で、政策部門を率いている人です。

そのJack Clarkさんが個人で書き続けているのが週刊ニュースレターの Import AI で、購読者は13万7,000人を超えています。

中身は論文を読み込んで要点と含意を書くというもので、宣伝の匂いがほとんどしません。

自社モデルを扱う回もありますが、大半は他の研究機関の成果です。

だからこそ、そこで「これはもう理論上の懸念ではない」と書かれると重い。

2026年8月3日配信の第467号は、まさにその重い回でした。

自己増殖するAIウイルス、AI進歩のペース調整、AIと創造性をめぐる混乱の3本立てで、前の2本が今回の本題です。

Import AI 467: Self-sustaining AI viruses; pacing AI progress; confusion about AI and creativity

When do we build the moon arcology?

importai.substack.com

トロント大学が実証した自己複製AIワームの中身

元になった論文は「AI Agents Enable Adaptive Computer Worms」。

トロント大学とVector Institute、ケンブリッジ大学、ServiceNowの共同研究で、2026年6月2日にarXivへ投稿されています（arXiv:2606.03811）。

実験環境は33台のホストで構成された隔離ネットワークです。

Linuxサーバー、Windows環境、IoTデバイスが混在した、実際の企業ネットワークに近い構成。

ここへワームを放って、7日間まったく人が介入せずに動かしました。

結果がこうです。

• 脆弱性の発見に成功した割合は82%
• 見つけた脆弱性を実際に突けた割合は44%
• 侵入に成功したマシンへ自分を複製できた割合は88%
• 最終的にネットワーク全体の73.8%を掌握
• 自己複製は最大7世代まで到達（平均5.1世代）

特に効いているのが、モデルの学習が終わったあとに公開された2026年の脆弱性3件も突けている点です。

覚えた攻撃を再生しているのではなく、その場で状況を読んで組み立てている証拠になります。

なお研究チームは、暗号化やログ隠蔽といった隠密機能をあえて外した状態で検証しています。

実装の詳細は制限公開で、公開前にカナダ政府へ開示済み。

悪用のハードルを上げたうえでの発表です。

AI Agents Enable Adaptive Computer Worms

A computer worm is malware that spreads on a network by replicating itself from one machine to another. Traditional worms, like WannaCry, exploited predetermined vulnerabilities, and their spread can be halted by patching those vulnerabilities. Here we show that artificial intelligence (AI) agents enable a fundamentally new threat: a worm that generates tailored attack strategies to each target it encounters. The worm parasitically uses compromised machines to run open-weight large language models (LLMs) to sustain its reasoning, or extend its reach for further attacks. Deployed on a network of machines spanning Linux, Windows, and IoT (Internet of Things) devices, the worm propagated by exploiting common, real-world corporate network vulnerabilities. Since the worm is powered by stolen compute, the attacker's marginal cost per new infection is zero. This creates a destabilizing economic asymmetry between attackers and defenders. Moreover, because the worm requires no commercial AI platform, centralized safety controls, such as service refusals or rate limiting, are structurally irrelevant. Our results demonstrate that self-sustaining AI-driven cyber-threats are no longer theoretical. We must prepare for autonomous generative adversaries: malware systems that propagate without human operators and are defined not by fixed exploit code, but by the capacity to reason about targets, adapt to observations, and synthesize attack logic in real time.

arxiv.org

なぜこの実験が業界に衝撃を与えたのか

AIが自分でコードを書く割合が増えている、という話題が少し前に広まりました。

今回はそれとは別の話です。

自分でコードを書く側ではなく、書いたものを他人のマシンへ勝手に運んでいく側の話。

従来のワームは、事前に仕込まれた攻撃コードを撒き散らす仕組みでした。

だから守る側は、その攻撃パターンを覚えて弾けばよかった。

一番効いているのは推論を動かす場所です。

このワームは外部のAI APIを一切叩きません。

乗っ取ったマシンのGPUを奪って、そこでオープンウェイトのモデルをローカル実行します。

2025年に公開された、A100 1枚に載るサイズのモデルで足りている。

つまりベンダー側がアカウントを止めても関係ない。

監視できる通信経路そのものが存在しないんですね。

ここが「AIを悪用した攻撃」の従来イメージと決定的に違うところです。

開発ペースを意図的に緩めるという提言の中身

同じ号でもう1本扱われていたのが「Pacing the Frontier」という声明です。

2026年7月に公開され、主要なAI企業の従業員1,300人以上が署名しています。

名前を見ると、Dario Amodeiさん（Anthropic CEO）、Ilya Sutskeverさん（Safe Superintelligence CEO）、Shane Leggさん（Google DeepMind共同創業者）といった面々が並びます。

OpenAI、Google DeepMind、Meta、Anthropicと、普段は競合している会社の人たちが同じ紙に署名している構図です。

要求はシンプルで、米国政府に対し「AI開発の自動化が進む最前線を意図的にペース調整するための、技術的・統治的な道具の開発。その国際的な取り組みを支援してほしい」というもの。

面白いのは、止めろとは言っていないところです。

声明が指摘しているのは、そもそも今の世界にはペースを調整する道具が存在しないという事実。

そして各社も各国も、自分だけ減速すると競争で不利になるので動けない。

全員が正しいと分かっているのに誰も先に動けない、という構図はプロダクトの現場でもよく起きます。

それの最大規模版だと思ってください。

Pacing the Frontier

A statement from over 1000 employees of frontier AI companies

www.pacingthefrontier.com

プロダクト現場が今リスクとして捉えるべきポイント

「うちはAIを組み込んでないので」という反応が出そうですが、この話でAIを積んでいるのは攻撃側です。

狙われるのは普通のサーバーと普通のネットワーク。

効いてくる変化は、攻撃コストがゼロに近づくことです。

これまでのセキュリティ判断には「うちみたいな規模を狙う価値はないだろう」という暗黙の前提がありました。

攻撃には人手と時間がかかるので、割に合わない相手は放置される。

この前提が、優先度を下げる理由として機能していたわけです。

そこが崩れます。

1件あたりの追加コストがゼロなら、標的を選ぶ理由がなくなる。

到達できる範囲は全部対象になります。

放置している検証環境、社内の踏み台サーバー、誰も見ていないIoTデバイス。

「優先度低」で積み続けてきたものが、そのまま入り口になるという話です。

今すぐできる備えと向き合い方

論文には防御側の提案も載っています。

実務に翻訳すると、このあたりです。

• ネットワークを細かく区切って横移動を止める。33台が繋がっていたから7世代まで広がった
• 都度認証を挟む。一度取られた認証情報が使い回せる状態が一番おいしい
• 各ホストの依存パッケージを減らす。攻撃面の広さはそのまま入口の数になる
• 検知は署名ベースより振る舞いベースへ。勝手な SSH 鍵の追加や、認証情報の使い回しパターンが手がかりになる
• パッチ適用までの日数を縮める。2026年公開の脆弱性が突かれている以上、猶予はない

どれも目新しくないのが逆に重要で、既知の対策の優先順位が1段上がったというのが実務的な結論です。

新しい製品を買う話ではありません。

最初の一歩として一番安く効くのは、放置している検証環境とIoT機器の棚卸しです。

半日あれば一覧は作れますし、それだけで「どこが入り口になるか」の議論が具体化します。

まとめ 自己増殖AIの脅威とどう付き合うか

Jack Clarkさんは、この先のインターネットは攻撃側と防御側のAIエージェントが入り混じった生態系のようになると書いています。

人間側は防御用のAIを白血球のように配置することになるかもしれない、とも。

まだ隔離環境の実験です。

明日いきなり自分たちのサーバーが落ちる話ではありません。

ただ「理論上は可能」と「動くものが作れた」の間には大きな距離があって、今回それが埋まりました。

そして同じ号で、作っている当事者たち自身が「ペースを緩める道具がほしい」と政府に頼んでいる。

この2本が同じ週に並んだことの意味は、たぶん数字より重いです。

できることはパニックになることではなく、後回しにしていた棚卸しを今週やることだと思ってます。