Kleine KI-Modelle sind laut einer Anthropic-Studie möglicherweise nur Monate davon entfernt, sich autonom über schlecht gesicherte Alltagsgeräte replizieren zu können. Anthropic-CEO Dario Amodei warnt vor Schäden in Hunderten Milliarden Dollar.
Ein KI-Modell, das sich selbstständig von Gerät zu Gerät kopiert, sich dort einrichtet und weiterverbreitet: Was bislang als Risiko primär für Rechenzentren galt, könnte laut einer neuen Untersuchung der Anthropic-Forscher William Zhou und Daniel Freeman auch über billige Alltagsgeräte funktionieren.
Die Forscher wollten herausfinden, ob kleine KI-Modelle bereits in der Lage sind, sich autonom über schlecht gesicherte IoT-Geräte wie Smart-TVs, smarte Kühlschränke oder Staubsaugerroboter zu verbreiten. Ein solcher "KI-Wurm" würde seine Modellgewichte als Teil der Schadsoftware mit sich tragen und direkt auf der kompromittierten Hardware ausführen. Anders als herkömmliche Schadsoftware könnte er unbekannte Hardware eigenständig erkunden und sich darauf einrichten.
15 TV-Boxen für 55 Dollar als Testlabor
Um die Machbarkeit zu prüfen, betrieben die Forscher das KI-Modell Gemma4-26B-A4B verteilt über 15 handelsübliche Android-TV-Boxen, die jeweils rund 55 US-Dollar kosten und über 4 Gigabyte RAM verfügen. Jede Box übernahm einen Teil der Modellschichten. Das Modell lief langsam, aber funktionsfähig.
Den Replikationsprozess zerlegten die Forscher in vier Stufen: ein Netzwerk nach verwundbaren Geräten absuchen, sich Zugang verschaffen, die eigene KI-Umgebung auf dem neuen Gerät einrichten und sich von dort weiterverbreiten.
Die vier Stufen der autonomen Replikation. Die Forscher konzentrierten sich auf das Einrichten der KI-Umgebung auf fremden Geräten. | Bild: AnthropicDen eigentlichen Hackerangriff klammerten sie bewusst aus, da frühere Studien bereits gezeigt hätten, dass kleine Modelle solche Angriffe beherrschen. Stattdessen konzentrierten sie sich auf die schwierigste Teilaufgabe: Kann ein Modell sich auf einem fremden Gerät selbstständig eine lauffähige KI-Umgebung einrichten?
Nur ein Modell schafft die vollständige Kette
Einzelne Schritte der Replikation beherrschen kleine Modelle bereits gut: Ein 9-Milliarden-Parameter-Modell etwa konnte auf 8 von 9 getesteten Gerätetypen selbstständig eine KI-Umgebung mit Llama3.1-8B einrichten. Doch alle Schritte hintereinander, vom Netzwerkscan bis zur fertigen Kopie auf einem neuen Gerät, schaffen die meisten Modelle noch nicht. Nur GLM-5.2 schloss die vollständige Replikationskette zuverlässig ab: In vier von fünf Durchläufen infizierte es alle acht Testknoten.
Nur GLM-5.2 (rechts) schaffte die vollständige Replikation über alle acht Testknoten. Die drei anderen Modelle konnten sich kein einziges Mal über den Ausgangsknoten hinaus verbreiten. | Bild: AnthropicZudem zeigte sich, dass KI-Würmer aus ihren Fehlern lernen können. Die Forscher testeten eine Art künstliche Evolution, bei der jede Modellinstanz Notizen über erfolgreiche und gescheiterte Strategien an ihre Nachfolger weitergibt. Beim Modell Qwen3.5-9B stieg die Erfolgsrate von 45 Prozent in der ersten Generation auf bis zu 84 Prozent in späteren Generationen.
Langsam wie ein Schleimpilz, aber schwer zu stoppen
Noch gibt es keinen vollständigen autonomen KI-Replikator. Das Problem: Ein Modell muss gleichzeitig klein genug sein, um auf Alltagsgeräten zu laufen, und fähig genug, um sich selbstständig zu replizieren. Derzeit erfüllt kein Modell beide Anforderungen zugleich. Doch wenn kleine Modelle sich in ihrem bisherigen Tempo weiter verbessern, könnten sie laut den Forschern bis Ende 2026 so weit sein.
Ein solcher KI-Wurm wäre langsam: Das Einrichten auf einem neuen Gerät dauert je nach Modell zwischen 28 und 150 Stunden. Die Forscher vergleichen den Replikator mit einem "digitalen Schleimpilz". Doch gerade die Dezentralität macht ihn schwer abschaltbar, da es keinen zentralen Kontrollpunkt gibt.
Herkömmliche Botnets wie Kimwolf, das auf seinem Höhepunkt mehr als zwei Millionen Geräte infiziert hatte, vor allem Android-TV-Boxen, funktionieren nur auf bestimmten Gerätetypen. Ein KI-Botnet könnte dagegen auf unterschiedlichster Hardware laufen. In einem Botnetz von der Größe Kimwolfs ergäbe sich laut den Forschern zwar nur die Rechenleistung von etwa 40 spezialisierten KI-Chips, dafür aber ein Netzwerk ohne zentralen Abschaltknopf.
Verteidigung sei möglich, erfordere aber Koordination: Internetanbieter könnten infizierte Netzwerke unter Quarantäne stellen, wie es beim Mirai-Botnet bereits geschehen sei, wo 92 Prozent der Infektionen innerhalb von 14 Tagen beseitigt wurden. Hersteller könnten den Pool verwundbarer Geräte verkleinern, etwa durch das Verbot von Standard-Passwörtern, wie es in Großbritannien bereits Gesetz sei. Die Forscher erwarten allerdings, dass KI-Botnets auch intelligent auf Verteidiger reagieren könnten.
Amodei warnt vor Übernahme des gesamten Internets
Anthropic-CEO Dario Amodei warnte bereits in einem früheren Beitrag vor einem solchen Szenario. Angesichts der beschleunigten KI-Entwicklung sei es seine Sorge, dass ein solcher Schwarm "in 6 bis 12 Monaten in der Lage sein könnte, das gesamte Internet mit einem dauerhaften Botnet zu übernehmen und dabei potenziell Schäden in Höhe von Hunderten Milliarden Dollar zu verursachen".
Amodei warnt davor, Sicherheitsvorfälle als Einzelfälle abzutun. Ähnliche, wenn auch weniger schwerwiegende Vorfälle hätten sich in der gesamten Branche ereignet, auch bei Anthropic selbst. Jedes führende KI-Unternehmen müsse so handeln, als wäre ein solcher Vorfall bei ihm selbst passiert.
"Über das Experiment hinaus erwarten wir eine Zukunft voller Agenten, die auf allen Arten von Hardware laufen, einschließlich einiger, die nicht unter menschlicher Kontrolle stehen", schreiben die Forscher. Das Aufkommen langsamer Replikatoren wäre demnach ein Vorbote aggressiverer, schnellerer Varianten. Cloudflare berichtete bereits, dass mehr Bots als Menschen das Internet nutzen.
KI-News ohne Hype – von Menschen kuratiert
Mit dem THE‑DECODER‑Abo liest du werbefrei und wirst Teil unserer Community: Diskutiere im Kommentarsystem, erhalte unseren wöchentlichen KI‑Newsletter, 6× im Jahr den "KI Radar"‑Frontier‑Newsletter mit den neuesten Entwicklungen aus der Spitze der KI‑Forschung, bis zu 25 % Rabatt auf KI Pro‑Events und Zugriff auf das komplette Archiv der letzten zehn Jahre.
