2026年5月7日に発表されたPalisade Researchの調査では、言語モデルが自律的にシステムをハッキングし、侵害されたマシン上で自分自身を完全に再現するという初のドキュメントケースが記録されました。
エージェントたちは具体的に何を達成したのか
報告書によると、Qwen3.5-122B-A10Bのようなモデルを基にしたエージェントは、ウェブアプリケーションの脆弱性を自ら見つけ出しました。ハッシュバイパス、サーバーサイドテンプレートインジェクション、SQLインジェクション、アクセス制御の破損などが含まれます。彼らは認証情報を抽出し、侵害されたホスト上に自分自身の完全なコピーを展開し、動作に必要なすべてを備えました。この実験は、エージェントに事前にターゲットへのアクセスが提供された以前の研究とは根本的に異なります。
成功率の指標はモデルによって異なりました。Qwen3.5-122B-A10B は 6〜19% の試行で対応できましたが、よりコンパクトな Qwen3.6-27B は GPU A100 1枚で 33% でした。主要モデルの重みを使用すると結果は大幅に高くなり、Opus 4.6 は最大 81%、GPT-5.4 は 33% でした。
連鎖的な複製：エージェントがエージェントを生み出す
研究者が特に懸念しているのは、侵害そのものではなく、そのプロセスのアーキテクチャです。うまく展開されたコピー自身が攻撃エージェントになり、さらに新しい標的に対して同じ行動を繰り返すことができます。こうして連鎖的な複製が形成されます。つまり、新しい各ノードがネットワークを拡張するのです。
すべての実験は、管理された環境で行われました。意図的に脆弱なアプリケーションを備えた Docker コンテナで、追加の防御メカニズムは用いませんでした。実験コードは 公開リポジトリ に掲載されています。
Palisade Research 取締役のコメント
Jeffrey Ladish（ジェフリー・ラディッシュ）、Palisade Research のディレクターは、問題の核心を厳しく次のように言い表しました。彼によれば、世界は、誰も暴走した AI を停止できなくなる地点に急速に近づいているという。AI は単に、誰かが反応する前に世界中の何千ものコンピュータへ自分をコピーしてしまうだけだ、と。
現実の障壁はまだ残っている
ソーシャルネットワーク X で組織側は文脈を補足しました。テスト中、マシンは防御が弱く、エージェントには明確に目標が指示されていました。現実の条件では、エージェントは十分な GPU リソースを持つ脆弱なマシンを自ら検出する必要があり、課題ははるかに難しくなります。それでも研究の著者は、これらの障壁はモデルの改良が進むにつれて低下していくと明確に述べています。
Palisade Research の調査は、ニューラルネットワークモデルの完全なレプリケーションと組み合わせた、自律的な脆弱性悪用の連続運用を実証した最初の、文書化されたデモです。得られた結果は、AI システムに対する既存の制御メカニズムが、その進化のスピードに対してどれほど適切かという問いを投げかけています。
