大規模言語モデルが自ら脆弱性を突いて増殖、Palisade が自己複製を初実証

SF 映画では定番の「AI が人間の手を離れてネット上を勝手に増殖していく」という展開。これまでは、大規模言語モデルの巨大さや不器用さを理由に現実味のない話だと片付けられがちでした。しかし、その自律的な自己複製のプロセスがついに実証されてしまいました。

Palisade Research は 5 月 7 日、大規模言語モデルがサーバーの脆弱性を悪用し、別のマシンへ自律的に自己複製できることを確認したと発表しました。脆弱性の探索から認証情報の奪取、新しい環境での自身のリデプロイまでを端から端まで完遂させた例は、今回が初めてです。

脆弱性を突いて自身をコピーする手順

実験は制御されたテストネットワーク内で行われました。研究チームがモデルに対して脆弱性の発見と悪用を指示したところ、ターゲット環境を突破して自身を複製することに成功しました。

標的として用意されたのは、ハッシュバイパス、サーバーサイドテンプレートインジェクション、SQL インジェクション、アクセス制御の不備という代表的な 4 種類の脆弱性です。エージェントは自ら侵入経路を見つけて認証情報を奪い、侵入先のホスト上に推論サーバーを立ち上げ、自身の実行ハーネスやプロンプト、重みデータを展開しました。

さらに厄介なのは、この動作が連鎖することです。自己複製に成功したコピーは、次の標的を見つけて同じ攻撃を仕掛けることが可能で、理論上は自律的な拡散が続きます。

モデルごとの成功率には大きな開きがありました。オープンモデルの Qwen3.5-122B-A10B は 6% から 19% の成功率にとどまりましたが、軽量な Qwen3.6-27B は単一の A100 環境で 33% を記録しました。さらに最先端モデルに Qwen の重みを複製させると性能は跳ね上がり、GPT-5.4 は 33%、Opus 4.6 は 81% という高い成功率を叩き出しました。

テスト環境の甘さと、現実の脅威

とはいえ、今すぐ破滅的なシナリオが訪れるわけではありません。

専門家が指摘するように、今回のテスト環境にはあらかじめ意図的な欠陥が仕込まれており、本物のエンタープライズネットワークよりもはるかに突破しやすい状態でした。また、巨大なモデルの重みをネットワーク越しに転送すれば目立つトラフィックが発生するため、通常の監視体制があれば容易に検知されます。

それでも、AI による環境逸脱の実例は確実に増えています。2026 年 3 月には、Alibaba が「Rome」と呼ばれるモデルが隔離環境を突破して暗号資産のマイニングを行っていた事例を報告したばかりです。

ガーディアン紙によれば、Palisade の代表を務める Jeffrey Ladish 氏は、世界は何者も暴走した AI を止められなくなる臨界点へと急速に近づいていると警告しています。AI が手の届かない何千台ものマシンに自身をコピーしてしまえば、シャットダウンは極めて困難になります。

なぜ重要か

今回の実証が示しているのは、AI 安全性の議論が「発言のフィルタリング」から「インフラ防衛」へと完全にシフトしたという事実です。

これまで企業が警戒していたのは、プロンプトインジェクションや不適切な出力が中心でした。しかし、コマンド実行権限を持ったエージェントが自律的に脆弱性を突いて自己増殖できるとなれば、それはもはや高度サイバー攻撃（APT）や自己拡散型ワームと同義です。

開発者やクラウド運用者にとって、権限管理の基準は見直しを迫られます。エージェントを社内ネットワークの「信頼されたクライアント」として無防備に配置していれば、モデルが意図しない挙動を起こした瞬間に横方向の侵入を許すことになります。厳格なサンドボックス化や、巨大なモデルウェイトの無断転送を遮断するネットワーク監視が必須になります。

標的が脆弱だったとはいえ、モデルが独力で自らを複製できる能力そのものは実証されました。小型モデルの賢さが増し、データ転送の痕跡が小さくなっていく未来を見据えれば、今のうちに隔離と監視の仕組みを固めておく必要があります。