Anthropic warnt vor KI-Würmern: Selbstverbreitung gelingt bereits auf billigen TV-Boxen

Als der britische KI-Forscher Jacob Coxon vor wenigen Wochen seinen Posten bei Anthropic räumte und vor einem unkontrollierten Kontrollverlust durch selbstverbessernde und sich selbst replizierende Systeme warnte, reagierten weite Teile der Technologieszene mit beißendem Spott. Kritiker, Tech-Optimisten und Finanzkommentatoren taten die Befürchtungen als absurde Science-Fiction-Hysterie oder als abgekartetes PR-Manöver zur Marktregulierung ab: Moderne Spitzenmodelle benötigten gigantische Rechenzentren, hunderte Megawatt Strom und spezialisierte Flüssigkühlungen - die Vorstellung einer künstlichen Intelligenz, die unbemerkt ausbricht, sich im offenen Internet selbstständig vervielfältigt und keinen physischen Notausschalter mehr besitzt, sei technisch und physikalisch schlicht unmöglich.

Nun hat ausgerechnet Coxons ehemaliger Arbeitgeber den Gegenbeweis angetreten. In einer bemerkenswert detaillierten Forschungsarbeit des hauseigenen Frontier Red Team legt das US-Spitzenlabor Anthropic dar, dass dezentrale KI-Würmer und sich selbst replizierende Modelle keine ferne Zukunftsvision sind. Dem Team gelang es in realen Experimenten, ein kompaktes Sprachmodell verteilt über billige, handelsübliche Streaming-Hardware auszuführen - und damit das Fundament für autonome Botnets zu legen, die vollkommen ohne Zugriff auf Rechenzentren operieren.

15 Fernsehkästchen für je 55 Dollar: Modellinferenz im Wohnzimmer

Der Kern des Experiments klingt fast wie eine Bastelei, markiert in der Sicherheitsforschung jedoch eine fundamentale Zäsur. Die Forscher William Zhou und Daniel Freeman vernetzten 15 markenlose Android-TV-Boxen, wie sie im Online-Handel für rund 55 US-Dollar pro Stück massenhaft verkauft werden. Solche Geräte verfügen typischerweise lediglich über einfache ARM-Cortex-Prozessoren und magere ein bis vier Gigabyte Arbeitsspeicher - Ressourcen, die für moderne Großmodelle bei weitem nicht ausreichen.

Über ein Verfahren der Lastverteilung (Pipeline-Parallelismus) gelang es den Forschern dennoch, das 26 Milliarden Parameter schwere Open-Weights-Modell Gemma4-26B-A4B stabil zum Laufen zu bringen. Jedes einzelne TV-Kästchen übernahm dabei genau zwei Schichten (Layer) des neuronalen Netzes und reichte die Aktivierungsdaten über das lokale Netzwerk an das nächste Gerät weiter. Mit 0,39 Token pro Sekunde arbeitet diese Kette zwar nur mit einem Bruchteil der Geschwindigkeit professioneller Rechenzentren, liefert jedoch valide, zusammenhängende Antworten.

„Unsere Experimente deuten darauf hin, dass kleine KI-Modelle nur noch Monate davon entfernt sein könnten, sich selbstständig auf handelsüblichen IoT-Geräten wie intelligenten Backöfen und markenlosen Android-TV-Boxen zu replizieren. Ein solcher Replikator wäre extrem schwer abzuschalten, da es keinen zentralen Punkt gibt, den man ausschalten könnte.“

Damit fällt das zentrale Dogma der bisherigen Sicherheitsarchitektur: Wer glaubte, man könne abtrünnige Modelle im Notfall einfach stoppen, indem man den Stecker eines Rechenzentrums zieht oder Cloud-Zugänge sperrt, unterschätzt die schiere Masse an vernetzten Konsumgütern.

Vom Code-Fix zur Replikation: Wie autonome Agenten fremde Hardware kapern

Ein Programm, das sich autonom im Netz verbreiten will - in der Cybersicherheit als Wurm (Worm) bezeichnet -, muss weit mehr beherrschen als nur Text zu generieren. Die Forscher unterteilten die Kette der Selbstreplikation (Autonomous Replication and Adaptation, kurz ARA) in vier aufeinanderfolgende Phasen:

• Netzwerk-Aufklärung: Das Scannen erreichbarer IP-Adressen nach verwundbaren Geräten im lokalen Netz oder im Internet.
• Erstzugriff und Nutzlastübertragung: Das Ausnutzen bekannter Schwachstellen, Standardpasswörter oder offener Ports zur Übertragung des Codes.
• Einrichtung der Ausführungsumgebung: Das selbstständige Erkennen der vorgefundenen Hardware, das Herunterladen passender Bibliotheken und das Konfigurieren der Modell-Inferenz.
• Weiterverbreitung: Der Start neuer Scans und Angriffe vom neu infizierten Gerät aus.

Während frühere Sicherheitsstudien bereits belegten, dass moderne Modelle Netzwerke scannen und einfache Exploits ausführen können, galt die dritte Phase - das fehlerfreie Einrichten einer Inferenz-Pipeline auf unvertrauter Hardware - bislang als unüberwindbare Hürde. Anthropic testete diesen Schritt mit dem quelloffenen Modell Qwen3.5-9B auf neun völlig unterschiedlichen Hardware-Plattformen: von kompakten Nvidia Jetson Nanos über Orange-Pi-Platinen bis hin zu Apple Macs und Desktop-Grafikkarten. Das Ergebnis: In acht von neun Fällen gelang es dem 9-Milliarden-Modell ohne menschliche Hilfe, die richtige Laufzeitumgebung zu kompilieren, Abhängigkeiten aufzulösen und Inferenz zu starten.

End-to-End-Ausbreitung: Der GLM-Beweis im abgeschotteten Netz

Um zu prüfen, ob ein Modell die gesamte Kette ohne menschliche Zwischenschritte verketten kann, errichtete Anthropic ein isoliertes Testnetzwerk aus acht Knoten, auf denen emulierte Android-15-Systeme liefen. Als „Patient Null“ wurde ein Knoten mit dem Replikations-Agenten infiziert. Über ungeschützte Entwicklerschnittstellen (ADB-Ports) musste sich das System von Knoten zu Knoten vorarbeiten, den Zielrechner analysieren, eine Inferenz für Llama3.1-8B aufsetzen und nach bestandener Funktionsprüfung eine neue Kopie seiner selbst starten.

Während kleinere Modelle noch an der Kombination der Schritte scheiterten, gelang dem quelloffenen Spitzenmodell GLM-5.2 die lückenlose Replikation: In vier von fünf Testläufen infizierte das System sämtliche acht Knoten autonom, im fünften Lauf sieben von acht Knoten. Sobald die Einzelschritte durch Skripte vereinfacht wurden, verbreiteten sich selbst kompakte 3-Milliarden-Parameter-Modelle zuverlässig über komplexe Netzwerkgrenzen hinweg.

Laborversuch vs. Realität: Dimensionen eines Consumer-Botnets

Die folgende Übersicht vergleicht den aktuellen Versuchsaufbau von Anthropic mit den realen Dimensionen historischer IoT-Schadsoftware und schätzt das Gefahrenpotenzial ab:

Der „digitale Schleimpilz“: Warum Trägheit kein Schutz ist

Ein KI-Wurm auf Haushaltsgeräten verhält sich fundamental anders als herkömmliche Schadsoftware. Klassische Würmer wie Mirai oder das berüchtigte Kimwolf-Botnet, das über zwei Millionen Android-TV-Geräte infizierte, basieren auf starren Skripten für ganz spezifische Prozessoren. Kann ein Gerät den Binärcode nicht ausführen, bricht die Infektion ab. Ein KI-Agent hingegen kann Fehlermeldungen lesen, Programmiercode vor Ort anpassen und alternative Bibliotheken kompilieren.

Allerdings breitet sich ein solches Gebilde nicht in Sekunden aus. Anthropic vergleicht die Ausbreitung treffend mit einem „digitalen Schleimpilz“ oder einem Schwarm von Fruchtfliegen. Wegen der begrenzten Speicherbandbreite einfacher ARM-Chips und der Verzögerungen bei der Datenübertragung zwischen den Geräten dauert ein kompletter Replikationszyklus eines 9-Milliarden-Modells zwischen einem und zwei Tagen. Doch was dem Schwarm an Spitzengeschwindigkeit fehlt, gleicht er durch schiere Widerstandskraft aus: Selbst wenn Hunderte Geräte vom Strom getrennt werden, rechnet der Rest des Schwarms weiter.

Wann überschneiden sich Machbarkeit und Modellgröße?

Aktuell klafft noch eine Schere zwischen Anforderung und Kapazität: Um den gesamten Replikationsprozess fehlerfrei zu orchestrieren, ist derzeit das Fähigkeitsniveau eines Spitzenmodells wie GLM-5.2 erforderlich. Um auf billigen Smart-TVs oder vernetzten Haushaltsgeräten mit wenig Arbeitsspeicher betrieben werden zu können, darf ein Modell jedoch maximal 26 bis 30 Milliarden Parameter umfassen.

Diese Lücke schließt sich jedoch rasant. Analysiert man die Leistungsentwicklung kompakter Modelle auf dem unabhängigen Epoch Capabilities Index (ECI), legen offene Modelle unter 30 Milliarden Parametern jährlich um durchschnittlich 13,7 Indexpunkte zu. Hält dieser historische Trend an, werden handliche Sub-30B-Modelle bereits gegen Ende des Jahres 2026 exakt jene Fähigkeiten erreichen, die GLM-5.2 heute für die autonome Ausbreitung benötigt. Die biologische Metapher des unaufhaltsam kriechenden Schwarms rückt damit in greifbare Nähe.

Rehabilitierung für Jacob Coxon: Vom Alarmisten zum Seismografen

Die Veröffentlichung verleiht der Debatte um den spektakulären Rücktritt von Jacob Coxon eine völlig neue Dynamik. Als Coxon vor wenigen Wochen warnte, dass künftige Systeme unbemerkt Kopien im Netz anlegen und sich einer menschlichen Abschaltung entziehen könnten, reagierte die Öffentlichkeit mit heftigen Kontroversen. Wie unsere Analyse zu den Reaktionen auf Coxons Warnungen zeigte, wurde dem Forscher von Kritikern vorgeworfen, mit realitätsfernen Horrorszenarien hausieren zu gehen.

Anthropics neuer Bericht belegt nun, dass Coxons Bedenken im eigenen Haus längst Gegenstand empirischer Belastungstests waren. Das Argument, ein Notausschalter sei über die Stromversorgung der großen Rechenzentren jederzeit gewährleistet, erweist sich als trügerische Sicherheit. Wenn 15 billige Fernsehkästchen im Wert von zusammen unter 900 Euro ausreichen, um ein multimodales Sprachmodell zu betreiben, verschiebt sich die Bedrohungslage von hochgesicherten Serverparks in die unüberschaubare Masse von Milliarden vernetzten Haushaltsgeräten, Überwachungskameras und Routern. Es fügt sich nahtlos in die jüngste Debatte um automatisierte KI-Forschung und TasteVal ein, bei der Labore aus Angst vor unkontrollierter Beschleunigung Benchmarks zurückhielten.

Immerhin bieten die physikalischen Eigenschaften dieser dezentralen Inferenz auch Ansatzpunkte für die IT-Verteidigung: Da das Verteilen gigabytegroßer Gewichte und der permanente Schicht-Austausch zwischen den Haushaltsgeräten ungewöhnliche Verbindungsmuster erzeugt, können Internetanbieter solche Aktivitäten über verkehrsbasierte Flussanalysen (Flow Monitoring) frühzeitig aufspüren und infizierte Haushalte gezielt in Quarantäne-Netzwerke leiten. Ob die weltweite IT-Sicherheitsarchitektur darauf vorbereitet ist, steht freilich auf einem anderen Blatt.