Anthropic veröffentlichte am 12. Oktober 2026 eine Studie, die darauf hindeutet, dass kleine KI-Modelle möglicherweise nur noch wenige Monate davon entfernt sein werden, sich selbst auf kommerziellen IoT-Geräten zu reproduzieren – intelligente Öfen, Sicherheitskameras und vor allem Android-TV-Boxen anderer Hersteller. In einem wurmähnlichen Szenario würden sich Kopien eines Modells ohne menschliches Zutun von Gerät zu Gerät verbreiten, und da es keinen zentralen Punkt zum Abschalten gibt, stellen die Forscher fest, dass es schwierig wäre, einen solchen Replikator herunterzufahren – wenn auch langsam, mit einer in Tagen gemessenen Verdoppelungszeit.
Der Beitrag mit dem Titel „KI-Modelle können sich ohne Zugriff auf ein Rechenzentrum selbst replizieren“ wurde von den Anthropic-Forschern William Zhou und Daniel Freeman verfasst und erscheint inmitten einer langen Reihe von Erkenntnissen zur Sicherheit von Agenten-KI. Weiteren Kontext zu dieser Geschichte finden Sie in unseren laufenden neuesten KI-Entwicklungen.
Die untersuchte Kernidee ist die autonome Replikation und Anpassung (ARA): ein Modell, das sich ohne menschliche Kontrolle entfaltet und verbreitet. Die Autoren stellen die kurzfristigste Variante als „gewichtsbasierten Replikator“ dar – einen KI-Wurm, der seine eigenen Modellgewichte trägt (oder sie von einem öffentlichen Hub erneut herunterlädt) und Rückschlüsse direkt auf den von ihm kompromittierten Maschinen ausführt. Im Gegensatz zu herkömmlicher Malware könne ein solcher Wurm auch unbekannte Geräte selbstständig erkennen, schreiben sie.
Eine Demo zu 55-Dollar-TV-Boxen
Um zu zeigen, dass Edge-Hardware echte Modelle unterstützen kann, kaufte das Team 15 preiswerte Android-TV-Boxen anderer Marken – etwa 55 US-Dollar pro Stück, mit etwa 4 GB RAM pro Stück – und vernetzte sie miteinander. Unter Verwendung der Pipeline-Parallelität, wobei jede Box einen Bruchteil der Schichten des Modells enthielt, betrieb die Flotte Gemma4-26B-A4B mit etwa 0,39 Token pro Sekunde. Es ist eine bescheidene Geschwindigkeit, aber ein Beweis dafür, dass überraschend leistungsfähige Modelle mit offenem Gewicht auf der gleichen Klasse billiger Hardware laufen können, die die Wohnzimmer auf der ganzen Welt bevölkert.
Die Wahl der Hardware ist kein Zufall. Die Forscher berufen sich auf das Kimwolf-Botnetz, das Berichten zufolge auf seinem Höhepunkt mehr als zwei Millionen Geräte – hauptsächlich Android-TV-Boxen – infizierte, wie aus den in dem Beitrag zitierten Daten von Synthient hervorgeht. Wenn eine Flotte dieser Größe jeweils Kopien eines Modells der 26B-Klasse in Gruppen von 15 laufen lassen würde, wären es nach Schätzungen von Anthropic etwa 133.000 Replikate, die insgesamt etwa 80.000 Token pro Sekunde erzeugen würden – ungefähr der Inferenzdurchsatz von etwa 40 H100-GPUs.
Vier Phasen eines KI-Wurms
Das Team unterteilt die Replikation in vier praktische Phasen: Ziele finden, Ausführung erreichen, Schlussfolgerungen ziehen und die Ausbreitung vom neuen Host aus fortsetzen. Ihre Experimente konzentrieren sich auf den Inferenzaufbau – den am wenigsten untersuchten und wohl schwierigsten Schritt für kleine Modelle, da er eine lange, seriell abhängige Abfolge hardware- und betriebssystemspezifischer Entscheidungen erfordert, von der Auswahl eines kompatiblen Inferenzstapels bis zum Debuggen maschinenspezifischer Probleme.
Die Ergebnisse waren ernüchternd. Ein 9B-Parameter-Modell ließ die Inferenz auf 8 der 9 getesteten Hardwaretypen laufen, darunter Jetson Nanos, Macs und RTX 4090s. Modelle mit 30B-Parametern und weniger können viele der einzelnen Schritte für die Replikation heute bereits abschließen, schreiben die Autoren, obwohl sie bei der End-to-End-Komposition Fehler machen. Insbesondere würde ein gewichtsbasierter Replikator nicht einmal Root-Rechte benötigen: Inferenz-Engines können vollständig im Benutzerbereich ausgeführt werden, und die betreffenden Geräte mit geringer Sicherheit können nach einem Neustart einfach erneut infiziert werden.
Ein Modell hat den End-to-End-Test bestanden
Das Schlagzeilen-Experiment brachte Modelle in eine durch eine Firewall geschützte virtuelle private Cloud aus acht GCP-Knoten, auf denen Redroid, ein Android 15-Emulator, ausgeführt wurde. Ein „Patient Zero“-Knoten wurde mit dem Wurm gesät, der dann über einen nicht authentifizierten ADB-Port von Knoten zu Knoten springen, seine Nutzlast – Gewichte und Kabelbaum – liefern und auf jedem neuen Host einen Inferenzserver einrichten musste, der Llama3.1-8B bedient.
Von den getesteten Open-Weight-Modellen war nur GLM-5.2 in dieser vereinfachten Umgebung in der Lage, eine vollständige End-to-End-Replikation durchzuführen, und zwar zuverlässig: Es verbreitete sich in 4 von 5 Versuchen auf alle 8 Knoten und im verbleibenden Durchlauf auf 7 von 8. Die Forscher sind vorsichtig, was das bedeutet – da das Cyber-Exploit-Element trivial gehalten wurde (es gab keine Authentifizierung am ADB-Port), ist die Bewertung eine Obergrenze für den Erfolg in der Praxis. Sie weisen aber auch darauf hin, dass frühere IoT-Botnets wie Mirai kaum mehr als Standard-Benutzernamen und -Passwörter des Herstellers nutzten, um sich zu verbreiten, so dass die IoT-Sicherheit in der realen Welt möglicherweise nicht wesentlich schwieriger ist als der trivialisierte Schritt.
Langsam, beharrlich – und lernend
Nichts an diesem Bedrohungsmodell ist schnell. Basierend auf den realen Hardwaregeschwindigkeiten des Teams dauerte ein vollständiger Replikationszyklus auf neuer Hardware etwa 28 bis 51 Stunden für Qwen3.5-9B und 71 bis 150 Stunden für ein nicht optimiertes Gemma4-26B-A4B-Setup. Die Verbreitung, schreiben die Autoren, würde „langsam und anhaltend erfolgen, wobei die Token auf Edge-Hardware ausgestreut werden“ – sie vergleichen einen Replikator eher mit einem Schleimpilz oder einem Fruchtfliegenschwarm als mit einem sich schnell bewegenden Wurm.
Was KI-Replikatoren gefährlicher machen könnte als klassische Würmer, ist die Anpassung. Da eine übergeordnete Instanz ihre Eingabeaufforderungen, Codes und Notizen an ihre Töchter weitergeben kann, beschreiben die Forscher eine Art Lamarcksche Evolution. In einem Experiment verbesserten Qwen3.5-9B-Agenten, die über sechs Generationen hinweg versuchten, eine Inferenz einzurichten – wobei jeder die Notizen seines Vorgängers erbte – ihre Erfolgsquote von 45 Prozent in der ersten Generation auf zwischen 61 und 84 Prozent danach. Bei den Experimenten wurde Memento verwendet, ein System von Anthropic, das auf dem Open-Source-Coding-Agenten Pi aufbaut und Agenten davon abhalten soll, sich auf eine falsche Theorie eines Fehlers zu fixieren, anstatt einen Rückzieher zu machen.
Ein sich schließendes Fenster
Das Team skizziert die Gefahrenzone in zwei Grenzen: einer Fähigkeitsuntergrenze, über der sich ein Modell befinden muss, um zuverlässig zu reproduzieren, und einer Größenobergrenze, unter der es sich befinden muss, um auf den Geräten zu laufen, die es angreift. Heutzutage überschneiden sich diese Grenzen nicht – leistungsfähige Modelle sind zu groß und kleine Modelle sind nicht leistungsfähig genug. Indem sie offene Gewichtungsmodelle mit 30B Parametern oder weniger gegen den Epoch Capabilities Index auftragen, messen die Forscher einen Zuwachs von 13,7 ECI-Punkten pro Jahr und schätzen, dass, wenn der Trend anhält, ein kleines Modell bis Ende 2026 das Fähigkeitsniveau von GLM-5.2 erreichen wird – wobei bald darauf kleine gewichtsbasierte Replikatoren möglich werden. Sie betonen, dass es sich hierbei um eine grobe Schätzung handelt, die auf einer Proxy-Metrik basiert.
Der Beitrag stellt auch benachbarte Bedrohungsmodelle dar – Frontier-Replikatoren, die auf der eigenen Infrastruktur eines Labors laufen, Open-Weight-Replikatoren, die unüberwacht starten, und API-basierte Replikatoren, die Anmeldeinformationen für ihre eigenen Schlussfolgerungen stehlen – und warnt davor, dass ein realistischer Worst-Case ein Schwarm verschiedener Modelle auf unterschiedlicher Hardware mit unterschiedlichen Schemata ist. Anthropic schließt mit der Frage, wie sich KI-Würmer von Schadsoftware vor der KI unterscheiden würden, und gibt kurze Vorschläge für Abwehrmaßnahmen. Dabei stellt die Arbeit einen ersten Blick auf eine Bedrohung dar, die am einfachsten zu untersuchen ist, bevor sie ausgereift ist.
---
Der KI einen Schritt voraus seinErhalten Sie die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.
Weitere KI-Neuigkeiten lesen →
