Kleine KI-Modelle könnten innerhalb weniger Monate in der Lage sein, sich zu kopieren und sich zwischen kommerziellen Geräten des Internets der Dinge zu verbreiten. Das geht aus einer Untersuchung des Frontier Red Team bei Anthropic hervor. Dieses Szenario unterscheidet sich von herkömmlicher Schadsoftware dadurch, dass das Modell selbst auf dem infizierten Gerät läuft. Dadurch entfällt ein zentraler Kontrollpunkt, der abgeschaltet werden könnte, um den Angriff zu unterbinden.
Die Forscher testeten 15 TV-Receiver mit Android-Betriebssystem zu einem Preis von etwa 55 US-Dollar pro Gerät. Ein Modell mit offenen Gewichten und 26 Milliarden Parametern konnte verteilt auf diesen Geräten mit einer Geschwindigkeit von 0,39 Token pro Sekunde ausgeführt werden. Das Experiment konzentrierte sich auf die Fähigkeit der Modelle, Inferenz auf ungewöhnlicher Hardware auszuführen, statt die Ausnutzung von Schwachstellen zu untersuchen – ein Aspekt, der bereits in früheren Forschungsarbeiten behandelt wurde.
Ergebnisse der Tests
Ein Modell mit 9 Milliarden Parametern konnte auf acht von neun vom Team getesteten Hardwaretypen Inferenz ausführen. Anschließend testeten die Forscher den vollständigen Replikationszyklus in einem geschlossenen Netzwerk mit acht simulierten Android-Geräten, wobei der Schritt des Eindringens absichtlich vereinfacht wurde.
Von den getesteten Modellen mit offenen Gewichten schloss GLM-5.2 den Zyklus ab und erreichte die acht Geräte in vier von fünf Versuchen. Anthropic beschreibt dieses Ergebnis als obere Grenze des erwartbaren Erfolgs in der realen Welt, nicht als Hinweis auf eine tatsächliche Verbreitungsrate.
Was könnte sich praktisch verändern?
Modelle mit 30 Milliarden Parametern oder weniger können bereits viele einzelne Schritte ausführen, machen jedoch Fehler, wenn diese zu einer einzigen Kette verbunden werden. Auf Grundlage der historischen Verbesserungsrate erwartet Anthropic, dass diese Modelle bis Ende 2026 das Niveau von GLM-5.2 erreichen könnten. Dadurch könnten „kleine, auf Gewichten basierende Replikatoren“ kurze Zeit später möglich werden.
Der von dem Unternehmen vorgenommene Vergleich deutet darauf hin, dass ein Netzwerk von der Größe des Kimwolf-Netzwerks, das mehr als zwei Millionen Geräte infizierte, etwa 133.000 Kopien eines Modells mit 26 Milliarden Parametern beherbergen könnte, wenn jedes der 15 Geräte eine Kopie ausführt. Die gebündelte Rechenleistung würde jedoch nicht mehr als etwa 40 Nvidia-H100-Grafikprozessoren entsprechen, und jede Replikation könnte mehr als einen Tag dauern. Das bedeutet, dass die Verbreitung langsam und rechenintensiv wäre.
Verteidigungsvorteile und derzeitige Einschränkungen
Im Gegensatz zu herkömmlichen Botnetzen, die für bestimmte Gerätetypen entwickelt wurden, könnte sich ein auf künstlicher Intelligenz basierender Wurm an unbekannte Hardware anpassen. Die Übertragung großer Modelle und kontinuierlicher Datenverkehr zwischen Geräten, die normalerweise nicht miteinander kommunizieren, könnte jedoch in den Überwachungssystemen der Internetanbieter deutlich auffallen. Auch die Abschaffung von Standardpasswörtern und verbesserte Sicherheitseinstellungen bei den Herstellern könnten die Zahl der angreifbaren Geräte verringern.
Redaktionelles Fazit: Die Experimente belegen nicht die Existenz eines derzeit in einer offenen Umgebung verbreitungsfähigen Schadprogramm-Replikators, da der Zyklus in einem geschlossenen Netzwerk und mit einem vereinfachten Eindringensschritt getestet wurde. Sie zeigen jedoch, dass das künftige Risiko nicht nur von einer zunehmenden Modellgröße abhängt, sondern auch von der Fähigkeit der Modelle, Erkundung, Ausführung, Replikation und die Übertragung des Gelernten an andere Kopien miteinander zu verbinden.