Ein Team des Frontier Red Team von Anthropic führte ein KI-Modell auf einer Gruppe von 15 kostengünstigen Android-TV-Geräten aus. Die Herstellungskosten beliefen sich auf etwa 825 US-Dollar. In dem Experiment wurde untersucht, wie nahe kleine KI-Modelle der Fähigkeit kommen, sich über mit dem Internet verbundene Geräte zu kopieren. Die Hardware arbeitet mit einer Geschwindigkeit von 0,39 Token pro Sekunde. Das ist für die übliche Interaktion langsam, könnte aber für Software ausreichen, die ohne das Warten auf einen Benutzer arbeitet.
Die Forschung bedeutet nicht, dass Anthropic eine KI-Wurmsoftware entwickelt hat, die sich automatisch über das öffentliche Internet verbreiten kann. Die Experimente fanden in isolierten Umgebungen statt und umfassten Abkürzungen und Annahmen, die den Zugriff auf die Geräte erleichterten. Die von den Forschern William Zhou und Daniel Freeman veröffentlichten Ergebnisse deuten jedoch darauf hin, dass einige der verbleibenden technischen Hindernisse vorübergehend sein könnten.
Vier Glieder der Replikationskette
Die Forschung nennt vier Aufgaben, die ein Computerwurm für seine Replikation benötigt: ein Ziel finden, Zugriff darauf erlangen, die Inferenz ausführen und anschließend auf ein anderes Gerät wechseln. Nach Ansicht der Forscher zeigten kleinere Modelle bereits einige der für die Ausnutzung erforderlichen Fähigkeiten. Die größte Herausforderung bestehe jedoch darin, das Modell auf ungewohnter Hardware sowie unter ungewohnten Betriebssystemen und mit ungewohnten Abhängigkeiten auszuführen.
In den Tests war Qwen3.5-9B in der Lage, einen Inferenzserver einzurichten, auf dem ein Llama3.1-8B-Modell auf acht von neun Hardwaretypen lief. Dazu gehörten Jetson Nano, Mac-Geräte und Computer mit RTX-4090-Karten. GLM-5.2 war zuverlässiger und erzielte einen höheren Durchsatz, war jedoch zu groß, um direkt auf den Zielgeräten ausgeführt zu werden.
In einer durch eine Firewall geschützten Google-Cloud-Umgebung mit acht Knoten, auf denen Android-Emulatoren liefen, erreichte GLM-5.2 in vier von fünf Versuchen alle acht Knoten und im fünften Versuch sieben Knoten. Ein separater Server wurde für die Ausführung von GLM-5.2 verwendet, während der Wurm ein kleineres 8B-Modell auf den Zielgeräten installierte. Außerdem blieb ein nicht dokumentierter Android-Debug-Bridge-Port geöffnet, ein Faktor, der nicht unbedingt die Bedingungen eines realen Netzwerks widerspiegelt.
Speicher verbesserte die Replikationschancen
Die Fähigkeit der Agenten, die Inferenz einzurichten, verbesserte sich, wenn nachfolgende Kopien Notizen lesen konnten, die frühere Versuche hinterlassen hatten. Beim Ausführen von Qwen3.5-9B über 20 Stämme, von denen jeder sechs Generationen durchlief, stieg die Erfolgsquote von 45 % in der ersten Generation auf einen Bereich zwischen 61 % und 84 % in den späteren Generationen.
Die Forscher bezeichneten diese Methode als „lamarckistische Vererbung“, da Erfahrungen von einer Kopie an die nächste weitergegeben werden, ohne das Modell erneut zu trainieren. Qwen3.5-9B die Möglichkeit zu geben, den leistungsfähigeren Opus 4.8 um Rat zu fragen, führte hingegen zu keiner statistisch signifikanten Verbesserung, weil das kleinere Modell nicht immer wusste, welche Fragen es stellen sollte.
Was ändert das in der Praxis?
Das derzeitige Paradox besteht darin, dass das Modell, das den vollständigen Replikationsprozess ausführen kann, meist zu groß ist, um auf den kompromittierten Geräten zu laufen, während die für diese Geräte geeigneten kleinen Modelle die Aufgabe nicht zuverlässig genug bewältigen. Die Forscher schätzen, dass TV-Geräte mit 4 GB ein 9B-Modell, verteilt auf vier oder mehr Einheiten, sowie ein 26B-Modell, verteilt auf zehn oder mehr Einheiten, ausführen können. Der aus 15 Geräten bestehende Cluster von Anthropic führt das Gemma4-26B-A4B-Modell aus.
Die Einrichtung einer einzelnen Inferenz auf dieser Geräteklasse kann je nach Modell zwischen 28 und 150 Stunden dauern. Ein Softwareagent benötigt jedoch keine menschliche Geduld, wodurch eine langsame Verbreitung über eine enorme Zahl von Geräten eine andere Möglichkeit darstellt als herkömmliche schnelle Angriffe.
Ausgehend vom Kimwolf-Netzwerk, das mehr als zwei Millionen Geräte infizierte, bei denen es sich größtenteils um günstige Android-TV-Geräte handelte, berechneten die Forscher, dass die Aufteilung einer vergleichbaren Zahl in Cluster aus jeweils 15 Geräten etwa 133.000 Kopien des Modells hervorbringen könnte, mit einer Gesamtrate von ungefähr 80.000 Token pro Sekunde. Diese Leistung entspricht höchstens etwa 40 Nvidia-H100-GPUs, allerdings auf Kosten von Geräten und Betriebskosten, die einer anderen Partei gehören.
Grenzen des Risikos und Möglichkeiten zur Erkennung
Die Ergebnisse sind weiterhin weit davon entfernt, die Existenz eines sich selbst über das Internet verbreitenden Wurms zu belegen. Die Tests stützten sich auf offene Ports und kontrollierte Umgebungen. Außerdem basieren die Schätzungen der Forscher für Ende 2026 auf allgemeinen Trends bei den Modellfähigkeiten und garantieren keine vergleichbare Leistung bei einem tatsächlichen Replikationsprozess.
Andererseits könnten die Anforderungen an die Verbreitung die Erkennung dieser Art von Software ermöglichen. Die Übertragung mehrere Gigabyte großer Modelle zwischen Geräten hinterlässt Netzwerkverkehr, den Internetanbieter überwachen können. Die Forschung weist darauf hin, dass die Isolierung infizierter Teilnehmer ein erster Verteidigungswall sein könnte, wie es bei der Bekämpfung des Mirai-Netzwerks der Fall war, als eine Maßnahme eines Anbieters innerhalb von 14 Tagen zur Entfernung von 92 % der Infektionen führte. Die vollständige Beseitigung der Kopien erfordert jedoch eine Koordinierung zwischen allen Internetanbietern, deren Netzwerke infizierte Geräte enthalten.