Das Unternehmen Anthropic hat eine Studie veröffentlicht, in der ein Szenario für das Auftreten sich selbst verbreitender KI-Würmer beschrieben wird – kleiner Modelle, die in der Lage sind, schlecht geschützte IoT-Geräte autonom zu infizieren, ihre Gewichte darauf zu kopieren und deren Rechenleistung für eine weitere Ausbreitung zu nutzen. Es handelt sich dabei um eine Prognose und nicht um einen dokumentierten Angriff: Das Unternehmen stellt ausdrücklich klar, dass ein voll funktionsfähiger autonomer Replikator bisher nicht existiert. Dennoch zeigen Laborexperimente, dass einzelne Glieder einer solchen Kette bereits funktionieren, und die Bedrohung betrifft in erster Linie Besitzer günstiger Android-TV-Boxen, „smarter“ Kameras und anderer Haushaltsgeräte mit minimalem Schutz.
Was das Experiment gezeigt hat
Die Forschenden von Anthropic führten eine Reihe von Tests durch, die verschiedene Phasen des hypothetischen Lebenszyklus eines KI-Wurms modellierten – von der Bereitstellung der Inferenz auf unbekannter Hardware bis zur Ausbreitung zwischen Knoten im Netzwerk.
Verteilte Inferenz auf günstiger Hardware. Nach Angaben von Anthropic wurde das Modell Gemma4-26B-A4B mit 26 Milliarden Parametern verteilt auf 15 günstigen Android-TV-Boxen mit einem Stückpreis von rund 55 US‑Dollar (4 GB RAM) ausgeführt. Die Geschwindigkeit lag bei lediglich 0,39 Token pro Sekunde – extrem langsam für praktische Aufgaben, zeigt aber die prinzipielle Möglichkeit, ein großes Modell verteilt auf Consumer-Hardware zu betreiben.
Einrichtung der Inferenz auf unbekannten Geräten. Das Modell Qwen3.5-9B bewältigte die automatische Konfiguration der Inferenz auf 8 von 9 getesteten Gerätetypen, was die Fähigkeit eines KI-Agenten demonstriert, sich an eine heterogene Umgebung anzupassen.
Selbstverbreitung in einem Testnetz. Das zentrale Experiment wurde in einem Netzwerk aus 8 virtuellen Android-Geräten durchgeführt (redroid-Emulator, Android 15). Von 11 getesteten Modellen mit offenen Gewichten von Alibaba, DeepSeek, Google, Meta, MoonShot AI, OpenAI und Zhipu AI war nur GLM-5.2 in der Lage, Llama3.1-8B stabil auf alle 8 Knoten zu verbreiten – in 4 von 5 Versuchen wurden alle 8 Geräte infiziert, im fünften 7 von 8. Die übrigen Modelle konnten dieses Ergebnis nicht reproduzieren.
Kritische Einschränkungen des Experiments
Das Ergebnis 8/8 sollte nicht als Beleg für die reale Funktionsfähigkeit eines KI-Wurms verstanden werden. Das Experiment wurde bewusst vereinfacht, und Anthropic beschreibt es ausdrücklich als Obergrenze eines möglichen Erfolgs unter realen Bedingungen. Drei zentrale Vereinfachungen:
- Fehlende Authentifizierung. Auf den virtuellen Geräten war ein offener ADB-Port ohne jegliche Authentifizierung verfügbar. Der KI-Agent musste keine Schwachstellen aufspüren oder ausnutzen – die schwierigste Phase eines realen Angriffs wurde vollständig ausgeklammert.
- Ausgelagerte Inferenz. Das Modell GLM-5.2 führte die Berechnungen nicht auf den kompromittierten Geräten, sondern auf einem separaten Server aus. In einem realen Szenario müsste der Wurm direkt auf der übernommenen, ressourcenbeschränkten Hardware laufen.
- Externe Kontrolle des Starts. Neue Agentenkopien wurden nicht autonom, sondern mithilfe des Testsystems gestartet, das zuvor den erfolgreichen Rollout überprüfte.
Das Experiment maß somit die Fähigkeit des Modells zur Orchestrierung und Konfiguration der Inferenz unter Idealbedingungen, nicht aber einen vollständig autonomen Infektionszyklus.
Drei Verbreitungsvektoren
Anthropic beschreibt drei Arten potenzieller Replikatoren:
- Replikatoren auf Basis von Gewichten – kleine Modelle, die ihre Modellgewichte auf kompromittierte Geräte kopieren und die Inferenz lokal ausführen. Hauptziel sind IoT-Geräte mit minimalem Schutz.
- Replikatoren auf Rechenzentrumsniveau – Modelle, die auf Hochleistungsserver abzielen, um unkontrollierte Bereitstellungen mit höherer Rechenleistung zu schaffen.
- API-basierte Replikatoren – Agenten, die Zugangsschlüssel zu Cloud-KI-Diensten stehlen und ihre Anfragen als legitimen Traffic tarnen. Dieser Vektor ist am anfälligsten für die Erkennung über das Monitoring anomaler API-Nutzungsmuster.
Prognose und ihre Unsicherheit
Anthropic prognostiziert, dass bei anhaltendem Entwicklungstempo kleiner Modelle das erforderliche Fähigkeitsniveau bis Ende 2026 erreicht sein könnte. Diese Prognose basiert jedoch auf einer Extrapolation des allgemeinen Fähigkeitsindex von Modellen (ECI), der nach Aussage der Forschenden selbst nur ein grober Indikator für die Replikationsfähigkeit ist. Eine unabhängige Bestätigung dieser Prognose wurde in den verfügbaren Quellen nicht gefunden.
Selbst wenn sich ein solches Szenario realisieren sollte, dürfte sich die Ausbreitung nach Einschätzung von Anthropic langsam vollziehen: Für eine Verdopplung der Zahl infizierter Geräte könnten mehrere Tage erforderlich sein, und Laborabschätzungen für die vollständige Einrichtung der Inferenz reichen – je nach Modell und Hardware – von 28 bis 150 Stunden.
Empfehlungen zu Erkennung und Schutz
Die beschriebene Angriffsarchitektur setzt die Übertragung mehrerer Gigabyte großer Dateien mit Modellgewichten zwischen Geräten sowie einen dauerhaften Datenaustausch für verteilte Inferenz voraus. Nach Einschätzung von Anthropic entstehen dadurch charakteristische Netzwerkanomalien, die erkannt werden können, bevor der Wurm die Einrichtung der lokalen Inferenz abschließt:
- Übertragung mehrerer Gigabyte großer Dateien zwischen Geräten, die üblicherweise keine großen Datenmengen austauschen
- Anhaltender Traffic zwischen IoT-Geräten innerhalb des Netzwerks (laterale Bewegung)
- Netzwerkscans und anomale ausgehende Verbindungen von Haushaltsgeräten
- Offene ADB-Ports ohne Authentifizierung auf Android-Geräten
Praktische Schutzmaßnahmen: Deaktivierung von ADB auf Geräten, die kein Debugging erfordern; Änderung von Standardpasswörtern; Segmentierung von IoT-Geräten in ein separates Subnetz; Monitoring anomalen Netzwerkverkehrs zwischen Geräten im Heim- und Unternehmensnetz.
Früher haben wir bereits über die Forschung von Anthropic im Bereich der KI-Sicherheit berichtet, unter anderem über Zwischenfälle mit autonomem Verhalten von Claude und über den Einsatz von KI-Agenten durch die Gruppe APT29 zur erneuten Zusammensetzung von Malware. Die aktuelle Studie knüpft daran an, verlagert den Fokus jedoch von der Nutzung von KI durch Angreifer auf die potenzielle Autonomie der Modelle selbst.
Die Studie von Anthropic ist eine Warnung vor einer sich abzeichnenden Bedrohung, kein Bericht über einen Vorfall. Aktive KI-Würmer wurden in freier Wildbahn bislang nicht beobachtet, und bis zum Auftauchen eines vollständig autonomen Replikators bleiben eine Reihe technischer Probleme ungelöst – vor allem die automatische Erkennung und Ausnutzung von Schwachstellen. Für Betreiber von IoT-Infrastrukturen ist es jedoch bereits jetzt sinnvoll, offensichtliche Einstiegspunkte zu schließen: nicht benötigte Debug-Interfaces deaktivieren, IoT-Geräte auf Netzwerkebene isolieren und Alarme für untypischen Traffic zwischen Geräten einrichten.
