「AIが家電で自己増殖」は本当？家で確かめたいのは格安Android TVボックス

Anthropicは10月12日、小型のAIモデルが、インターネットにつながった家電などの上で自分を複製できるようになるまで「数か月」かもしれない、という研究を公表した。読売新聞は14日、「ＡＩが家電などに侵入し自己増殖、数か月以内に能力獲得か」という見出しで報じている。

この見出しを見て、うちの冷蔵庫や見守りカメラは大丈夫なのか、何かしておくべきなのか、と気になった人に向けて、研究が実際に示したことと、家で確かめられることを整理する。

先に結論

AIが実際の家電に入り込んで自己増殖した例は、まだない。 侵入から複製までを通しで成功させた実験は、クラウド上に用意したAndroidのエミュレータ8台で行われた。侵入の部分も、パスワードなしで入れる設定にして、わざと簡単にしてある。

研究が想定する標的の代表は、冷蔵庫よりもノーブランドの格安Android TVボックスだ。 200万台以上が感染したボットネット（乗っ取られた機器の集まり）「Kimwolf」も、主にこの種の箱を狙った。侵入口は「ADB」という開発者向けの接続機能で、多くの格安ボックスでは出荷時から有効になっていて、認証なしで接続を受け付ける。

ADBにはパスワードが関係しないので、ルーターの管理用パスワードを変えても、この経路は塞がらない。 Kimwolfは、家の中にある別の機器のアプリを足がかりにして、ルーターの内側からADBに届いていた。

家で確かめることは3つある。

Android系のテレビボックス、プロジェクター、フォトフレームが、Googleの「Playプロテクト認定」を受けているか
認定を受けていない箱や、「有料チャンネルが無料で見放題」とうたう箱は、ネットワークから外す。工場出荷時の状態に戻しても直らないことがある
来客のスマホは、ゲストWi-Fiにつなぐ

Fire TVや、Google TV・Android TVを積んだ大手メーカーの製品は、ADBが最初はオフで、オンにしても初回の接続時にテレビ画面で許可が要る。今回の話で心配される箱とは作りが違う。

何が起きた？

研究を出したのは、Anthropicで危険な能力を調べるFrontier Red Teamだ。ネット上の機器を次々に乗っ取りながら、乗っ取った機器の上でAIモデルを動かして広がる仕組みを、ここでは「AIワーム」と呼ぶ。研究は、AIワームが成り立つかを段階に分けて調べた。主な結果は次のとおり。

機器の上でモデルを動かす：90億パラメータ（9B）の小型モデルが、試した9種類のハードウェアのうち8種類で、別のAIモデル（Llama 3.1 8B）を動かす環境を用意できた。Anthropicが作った補助の仕組みの上で、ハードウェアの仕様をプロンプトで渡し、最長6時間かけた結果だ
安い箱をつないで大きめのモデルを動かす：1台約55ドル、メモリ4GBのノーブランドAndroid TVボックス15台をつなぎ、260億パラメータ（26B）のモデルを毎秒0.39トークンで動かした
侵入から複製までを通しで行う：エミュレータ8台のネットワークで、比較したオープンウェイトモデルのうち通しで成功したのはGLM-5.2だけだった。5回中4回で8台すべてに、残る1回で7台に広がった。ただし、GLM-5.2自体は別のサーバーで動いていて、各ノードに入れて動かしたのは小さなLlama 3.1 8Bだ。Anthropicはこの結果を、GLM-5.2並みの能力を持つ小型モデルが現れれば、自分で複製を進められるという意味だと説明している
時期の見通し：30B以下の小型モデルの性能の伸びを線で延ばすと、2026年末にはGLM-5.2の水準に届く

広がる速さも見積もられている。Kimwolfと同じ200万台規模の箱を乗っ取り、15台ずつで26Bモデルを1つ動かしても、AI全体の計算力はデータセンター向けGPU（NVIDIA H100）40台分ほどにとどまる。1回の複製にも1〜2日以上かかる。Anthropicはこの姿を、粘菌やショウジョウバエの群れにたとえている。

見出しと研究の中身の違い

気になる点	研究で確認されたこと
実際の家電で増殖したのか	していない。侵入から複製までの通しの実験は、クラウド上のエミュレータ8台で行った。指示を出すGLM-5.2は、ノードとは別のサーバーで動いていた
どうやって侵入したのか	パスワードなしで入れるADBを通った。Anthropicは、侵入をわざと簡単にしたので、現実での成功率の「上限」だと書いている
「数か月以内」の根拠は	小型モデルの一般的な性能指標の伸びを延ばした目安。Anthropic自身が、複製能力を直接測った指標ではなく粗い推定だとしている
冷蔵庫や掃除機は	モデルの一部を動かせる計算力を持つ機器の例として挙がっている。実機で動かしたのは格安TVボックスだけ

一方で、侵入を簡単にしすぎた実験だから心配はいらない、とも言い切れない。Anthropicは、2016年に広がったIoTボットネット「Mirai」が、メーカーの初期IDとパスワードを順に試すだけで広がった例を挙げている。現実のIoT機器の守りも、実験の簡単な侵入とそれほど変わらない場合がある、という指摘だ。

なぜ格安Android TVボックスなのか

Anthropicは、想定する脅威の代表としてKimwolfを挙げている。Kimwolfを追跡してきたセキュリティ企業Synthientによると、感染機器は200万台を超え、その3分の2は、セキュリティや認証の仕組みを持たないAndroid TVボックスだった。

SynthientがKimwolfに多い機種を買って調べると、ほぼすべてがADBを有効にした状態で出荷されていた。ADBは本来、開発や工場での検査に使う機能で、つながった相手からアプリを入れたり、コマンドを実行したりできる。この状態の箱は、同じネットワークから接続を求められると、認証なしで受け付けてしまう。

ADBでつながることと、機器の全権限（root）を握ることは別の話だ。製品版のAndroidでは、ADBのコマンドは権限を絞った「shell」というユーザーで動き、rootへの切り替えは拒否される。rootに切り替えられるのは開発用のビルドだけだ。Krebs on Securityは、問題の箱ではadb connectの後に箱のIPアドレスと「:5555」を付けて打つだけで、スーパーユーザーの権限まで得られると報じている。ただ、これがすべての機種に当てはまるかは確認されていない。

一方でAnthropicは、AIワームにはroot権限が要らないと書いている。AIモデルを動かすプログラムは普通のユーザー権限で動くので、ADBでつながってプログラムを置ければ足りる。再起動で消えても、守りの弱い機器ならまた感染させられる、ともAnthropicは書いている。

しかも、この種の箱の多くは、買った時点で不正なプログラムが入っている。Synthientが買った箱にも、その回線を他人に貸し出す「住宅用プロキシ」のプログラムが最初から入っていた。プロキシとは通信の中継役で、住宅用プロキシは、一般家庭の回線を経由することで発信元を隠したい人に売られている。

HUMAN SecurityがGoogleなどと調べたBADBOX 2.0という別の不正ネットワークでも、感染していたのはAOSP（Androidの公開版のソースコード）から作られた無認定の機器だった。Play プロテクト認定を受けたAndroid端末や、正規のAndroid TV OSを積んだ機器は含まれていない。

「ルーターの内側だから大丈夫」が通じない理由

ADBは、本来なら家の外からは届かない。家の中のネットワーク（LAN）は、ルーターの内側に隠れているからだ。Kimwolfは、この前提を次のように崩した。

家の中の誰かのスマホやテレビボックスに、住宅用プロキシのプログラムが入っている。無料VPNやゲームのアプリに組み込まれていることがあり、Googleは2026年1月、こうしたプログラムを含むAndroidアプリを600本以上見つけたと公表している
攻撃者はそのプロキシを借り、家の外から家の中のLANへ通信を通す
LANの中で、ADBが開いた機器を探して乗っ取る

Krebs on Securityは、来客のスマホにこの種のアプリが入っていた場合を例に挙げている。客が帰ったあとも、家のフォトフレームやテレビボックスが感染したまま残る。

この経路には、ルーターの管理用パスワードは出てこない。ルーターのパスワード変更やファームウェア更新は、ルーター自体を守るにはこれまでどおり意味がある。ただ、ADBが開いた箱を守る効果はない。

この中継サービスの最大手だったIPIDEAは、2025年12月にLAN内への通信とADBのポートをふさいだ。Googleも2026年1月に、IPIDEAが機器の制御に使うドメインを止める法的措置をとっている。ただ、その時点でも約500万台が制御サーバーへの接続を続けていたと、協力したLumenは説明している。中継に使えるサービスはIPIDEAだけではないので、経路が消えたとは考えないほうがいい。

Fire TVやGoogle TVは？

標準のAndroidでは、Android 4.2.2以降、ADBで初めて接続するときに、端末の画面で「USBデバッグを許可しますか？」と確認が出る。画面のロックを解除して許可しない限り、ADBの操作はできない。ADBをオンにする「開発者向けオプション」自体も、最初は隠れている。

Fire TV：Amazonの開発者向け手順では、ADBデバッグは「開発者オプション」で自分でオンにする項目だ。ソフトウェアのバージョンによっては、開発者オプションも隠れている。オンにしても、初めての接続ではテレビ画面に許可の確認が出る。Fire TVはAmazon独自のOSでGoogle Playを積んでいないので、次に書くPlayプロテクト認定で確かめる対象ではない
Google TV・Android TV：開発者向けオプションは、設定の「バージョン情報」にあるビルドの項目を繰り返し押すまで出てこない（多くの機種で7回）。ADBの初回接続には、テレビ画面での許可が要る

Fire TV Stick 4Kの記事で比べたような大手の製品と、今回問題になっている無名の箱とでは、出荷時の設定が違う。

家で確かめること

1. Android系の箱を洗い出す

Kimwolfや、FBIが2025年6月に注意を呼びかけたBADBOX 2.0で多かったのは、テレビにつなぐストリーミング用の箱だ。ほかに、Android入りのプロジェクター、デジタルフォトフレーム、後付けのカーナビ画面なども対象になっている。テレビ本体より、こうした周辺機器を先に見る。

2. Playプロテクト認定を確かめる

Googleのヘルプにある手順は、Google Playストアを開き、右上のプロフィールアイコンから「設定」→「デバイス情報」に進み、「Play プロテクト認定」の欄を見る、というものだ。ヘルプはスマホ向けに書かれているので、テレビの画面では項目名や場所が少し違うことがある。

「このデバイスは認定されていません」と出たら、認定外だ。Googleは、認定されていない機器について、安全でない可能性がある、アップデートが届かない可能性がある、入っているGoogleアプリは正規のものではない、と説明している。

FBIは、次のような特徴も注意すべき兆候として挙げている。

説明書や設定の途中で、Playプロテクトをオフにするよう求められる
見慣れないアプリストアからアプリを入れる前提になっている
「有料チャンネルが無料」「制限解除済み」と宣伝されている
聞いたことのないブランドの製品である

3. 認定済みの箱は、開発者向けオプションが出ているときだけ見る

認定済みの箱では、開発者向けオプションは最初は隠れている。設定に見当たらなければ、わざわざ表示させる必要はない。

設定に「開発者向けオプション」が表示されている場合は、中の「USBデバッグ」や「ネットワークデバッグ」を見る。自分でオンにした覚えがないのにオンになっていたら、オフにする。ソフトウェアの更新は、自動のままにしておく。

4. 認定外の箱は、ネットワークから外す

認定外の箱は、ADBをオフにする項目がなかったり、項目をオフにしても中で動いたままだったりすることがある。不正なプログラムが出荷時から入っている場合、それは本体の読み取り専用の領域にある。BADBOXを調べたHUMAN Securityは、一般の利用者には取り除けないとしている。工場出荷時の状態に戻しても消えるのはユーザーのデータだけなので、元から入っているプログラムは残る。

Synthientは感染した箱を初期化するか処分するよう、FBIは疑わしい機器をネットワークから外すことを検討するよう呼びかけている。ドイツ連邦情報セキュリティ庁（BSI）は、初期化してADBを切り、最新のファームウェアを入れたうえで、メーカーの更新が止まっているなら信頼できるブランドの製品に買い替えるよう案内している。

箱をゲストWi-Fiに移すと、家の中の他の機器への被害は減らせる。ただ、箱そのものが攻撃の中継役やDDoS（大量の通信で相手のサービスを止める攻撃）に使われる状態は変わらない。移すだけで解決したことにはならない。

5. 来客のスマホはゲストWi-Fiへ

多くの家庭用ルーターには、ゲストWi-Fiの機能がある。設定によっては、つないだ端末から家の中の他の機器へ通信できなくなる。プロキシのプログラム入りのスマホが来ても、家の中のテレビボックスまでは届きにくくなる。家族のスマホでも、「空いている通信量を分けて報酬がもらえる」とうたうアプリや、正体のよく分からない無料VPNは入れないほうがいい。

冷蔵庫や見守りカメラは？

Anthropicは、冷蔵庫、オーブン、ロボット掃除機などを、モデルの一部を動かせる機器の例に挙げている。ただ、実機で動かして見せたのは格安TVボックスで、冷蔵庫やカメラでの実験結果は示されていない。

ネットワークカメラやルーターについては、これまでと同じ基本の対策が効く。Miraiが初期パスワードを順に試して広がったように、初期パスワードの変更、ファームウェアの更新、サポートが終わった機器の交換が中心になる。乗っ取られた機器が攻撃の踏み台になったときの扱いは、能動的サイバー防御の記事で整理した。

現時点で分からないこと

小型モデルが、2026年末に実際にGLM-5.2と同じ水準の複製能力を持つか。Anthropicの見通しは、一般的な性能指標の伸びから引いた線だ
認証のかかった実機を相手に、小型モデルが侵入から複製まで自力でできるか。今回の実験では、侵入の部分をわざと簡単にしている
日本の家庭でKimwolfに感染した機器がどれくらいあるか。XLabが公表した感染の多い15カ国（ブラジル、インド、米国など）に日本は入っていない。Synthientが感染の集中を指摘した国にも入っていない。ただ、日本の感染台数を示す資料は見つけられなかった
日本の通販サイトで売られている無名のAndroid TVボックスのうち、ADBが開いたまま出荷されているものがどれくらいあるか

まとめ

「AIが家電で自己増殖」という見出しから、冷蔵庫の買い替えを考える必要はない。研究がAIワームの足場として想定しているのは、Kimwolfがすでに200万台以上を乗っ取った、ADBが開いたままの格安Android TVボックスだ。その中には、買った時点で不正なプログラムが入っている箱もある。

家でできるのは、Android系の箱がPlayプロテクト認定を受けているかを見ることと、認定外の箱をネットワークから外すこと、来客をゲストWi-Fiに分けることだ。AIワームが現れる前から、この種の箱はボットネットに使われてきた。今回の研究は、その箱を放置しておく理由がさらに減ったことを示している。

出典