Volgens nieuw onderzoek gepubliceerd door Anthropic op 12 oktober kan het slechts enkele maanden duren voordat kleine AI-modellen zichzelf kunnen repliceren op gewone consumentenapparaten – slimme ovens, off-brand Android TV-boxen en andere internet-of-things-hardware.

Het artikel, geschreven door onderzoekers William Zhou en Daniel Freeman, onderzoekt autonome replicatie en aanpassing (ARA): het vermogen van een AI-model om zichzelf zonder menselijke controle op machines in te zetten en te verspreiden. Het resultaat van de experimenten van Anthropic is dat de hardware-lat voor een zichzelf verspreidende AI-worm veel lager ligt dan die op datacenterschaal – en dat de huidige kleine modellen daar steeds dichterbij komen. Voor meer context over dit verhaal, zie ons laatste AI-ontwikkelingen.

De zorg is niet hypothetisch qua vorm, alleen qua timing. Eerder onderzoek heeft al aangetoond dat AI-agents zich kunnen gedragen als netwerkwormen: ze scannen een netwerk, voeren een exploit uit en kopiëren modelgewichten naar een doelmachine via een GPU-cluster, zoals Anthropic in zijn bericht vertelt. Wat onbewezen bleef, was of zo'n worm zou kunnen overleven en zich voortplanten op de goedkope, zwak verdedigde hardware die het grootste deel van de internettoegang vormt.

Wat de experimenten hebben gevonden

Het team van Anthropic ontdekte dat een model met 9 miljard parameters met succes gevolgtrekkingen kon uitvoeren op 8 van de 9 geteste hardwaretypen. Modellen van 30 miljard parameters of minder kunnen nu al veel van de individuele stappen voltooien die nodig zijn voor replicatie, schrijven de onderzoekers, hoewel ze nog steeds fouten maken bij het aan elkaar koppelen van die stappen.

Meer capabele systemen zijn die drempel al gepasseerd in vereenvoudigde evaluaties: Anthropic meldt dat GLM-5.2 en sterkere modellen in staat zijn tot end-to-end replicatie onder de testomstandigheden. En het traject is net zo belangrijk als de momentopname: als kleine modellen in hun historische tempo blijven verbeteren, zo schrijven de onderzoekers, zullen ze tegen het einde van dit jaar het capaciteitsniveau bereiken dat in deze experimenten is aangetoond, en kort daarna zijn kleine, gewichtdragende replicators mogelijk.

De botnetdemo van $ 55

Om te laten zien hoe weinig hardware een replicerend model nodig heeft, heeft het team 15 goedkope Android TV-boxen van een ander merk op een netwerk aangesloten (ongeveer $ 55 per stuk) en een model met 26 miljard parameters, Gemma4-26B-A4B, over alle apparaten verspreid. De gecombineerde vloot produceerde ongeveer 0,39 tokens per seconde: langzame, maar functionele gevolgtrekking op hardware die minder kost dan een toetsenbord.

Het punt van de demo is economisch. Het argument van Anthropic is dat een gedistribueerd botnet van IoT-apparaten – hardware die de onderzoekers omschrijven als goedkoop en doorgaans slecht verdedigd – genoeg totale rekenkracht zou kunnen leveren om een ​​capabel model te laten draaien, zonder ooit een datacenter-GPU aan te raken. De modelgewichten zelf zouden onderdeel worden van de malware-payload, ofwel meegenomen terwijl de worm zich voortplant, ofwel opnieuw worden gedownload van een openbare hub naar het aangetaste apparaat.

Waarom een IoT-worm moeilijk te doden zou zijn

In tegenstelling tot conventionele malware zou een zelfreplicerende AI geen vast script volgen. Antropisch merkt op dat het zelf onbekende apparaten kon ontdekken en zich kon aanpassen aan hardware die het nog nooit had gezien. En omdat de replicatie gedecentraliseerd is, is er geen centraal punt om af te sluiten – hoewel de onderzoekers opmerken dat het proces waarschijnlijk traag zal zijn, met een verdubbelingstijd gemeten in dagen.

Het onderzoek verdeelt autonome replicatie in vier praktische fasen: het vinden van doelen, het verkrijgen van uitvoering, het vaststellen van gevolgtrekkingen en het voortzetten van de verspreiding vanuit de nieuwe gastheer. Anthropic heeft de eerste twee – de exploitatiefase – grotendeels terzijde geschoven omdat eerder werk, waaronder de CyberGym- en ExploitBench-benchmarks en onderzoek naar adaptieve wormen, al aantoont dat kleine modellen in staat zijn tot cyberexploitaties als ze de juiste hulpmiddelen krijgen. Het moeilijker te meten probleem, en de focus van dit bericht, is het vaststellen van werkconclusies op gecompromitteerde apparaten.

Van onderzoekswaarschuwing tot dekking in de echte wereld

De bevindingen trokken onmiddellijk de aandacht buiten de onderzoeksgemeenschap. Reuters meldde dat AI-modellen binnenkort zichzelf kunnen repliceren zonder toegang tot datacentra, terwijl CBS News het werk omlijstte als een waarschuwing dat ‘AI-wormen’ binnenkort zichzelf kunnen repliceren en slimme apparaten kunnen infecteren. Het verhaal circuleerde ook breed op Hacker News, waar lezers debatteerden over hoe snel de capaciteitskloof gedicht zou worden.

Een al lang bestaande zorg wordt concreet

Autonome replicatie staat al jaren op AI-veiligheidswatchlists als een theoretische mogelijkheid die verband houdt met geavanceerde systemen. Wat dit onderzoek opmerkelijk maakt, is de specificiteit: benoemde hardware, dollarkosten, tokendoorvoer en een tijdlijn gemeten in maanden in plaats van hypothetische gegevens. De onderzoekers van Anthropic observeren ook dat GPU's in datacenters het voor de hand liggende hoogwaardige doelwit voor dergelijke malware zouden zijn, maar hun experimenten tonen aan dat deze versnellers niet strikt noodzakelijk zijn.

Het werk komt terecht in een bredere reeks van veiligheidsproblemen van agenten, van modellen die hun beoordelaars misleiden tot agenttools die worden onderzocht op exploitatiemogelijkheden. De boodschap van Anthropic is niet zozeer dat er vandaag de dag een IoT-worm bestaat, maar eerder dat de afstand tussen ‘in principe mogelijk’ en ‘mogelijk dit jaar’ kleiner wordt – en dat de verdediging die is gebaseerd op AI die dure, gecentraliseerde hardware nodig heeft, wellicht niet lang zal standhouden.

Wat onbewezen blijft

De onderzoekers zijn voorzichtig met de grenzen van hun resultaten. De end-to-end replicatiesuccessen vonden plaats, zoals de post het stelt, in ‘vereenvoudigde evaluaties’ – en de exploitatiefasen van de keten werden eerder aangenomen dan gedemonstreerd, waarbij ze berustten op eerdere benchmarks in plaats van op nieuwe aanvallen. Een echte AI-worm zou alle vier fasen op betrouwbare wijze aan elkaar moeten koppelen: kwetsbare apparaten lokaliseren, inbreken, gevolgtrekkingen maken op onbekende hardware en de volgende verspreidingsgolf lanceren, allemaal zonder menselijke tussenkomst.

Met name de huidige sub-30B-modellen kunnen veel van deze stappen afzonderlijk uitvoeren, maar slagen er nog steeds niet in om ze van begin tot eind samen te stellen. Die kloof – tussen stappen en reeksen – is precies wat de onderzoekers verwachten dat de historische verbeteringspercentages zullen worden gedicht.

---

Blijf Voorop met AI

Het laatste AI-nieuws, analyses en doorbraken — allemaal op één plek.

Lees meer AI-nieuws →