Anthropic hat davor gewarnt, dass sich kleine Modelle der künstlichen Intelligenz innerhalb weniger Monate der Fähigkeit nähern könnten, sich über kommerzielle Geräte des Internets der Dinge selbst zu verbreiten, etwa über kostengünstige Android-TV-Boxen und intelligente Backöfen. Dieses Szenario könnte zur Entstehung verteilter Netzwerke von Geräten führen, die KI-Workloads ausführen können, ohne direkt auf Rechenzentren angewiesen zu sein.
Die Warnung beruht jedoch weder auf einem unmittelbar bevorstehenden Angriff noch auf einem vollständigen Nachweis eines autonomen KI-Wurms. Forschern gelang es, das Modell Gemma4-26B-A4B von Google DeepMind auf 15 nicht näher bekannten Android-TV-Boxen zu verteilen. Sie konnten jedoch keinen vollständigen Ablauf demonstrieren, der mit dem Auffinden und Eindringen in Geräte beginnt und anschließend eine automatische Selbstkopie über echte IoT-Hardware hinweg umfasst.
Was hat das Experiment gezeigt?
Anthropic verwendete günstige Android-TV-Boxen und verteilte unterschiedliche Aufgaben auf die Modelle Qwen3.5-9B, Gemma4-26B-A4B, Llama3.1-8B, Opus 4.8 und GLM-5.2. Qwen3.5-9B und GLM-5.2 übernahmen die Einrichtung und Bereitstellung von Llama3.1-8B, während Gemma4-26B-A4B zeigte, dass das Modell auf 15 Geräten ausgeführt werden kann.
Der Test basierte auf einer vereinfachten Umgebung, in der die Zielgeräte einen nicht dokumentierten ADB-Zugang bereitstellten. Qwen3.5-9B konnte die für die Ausführung von Llama3.1-8B erforderliche Software auf acht von neun getesteten Hardwaretypen installieren und einrichten. GLM-5.2 erreichte die acht Knoten in vier von fünf Versuchen innerhalb eines kontrollierten simulierten Netzwerks, während die anderen Modelle den Vorgang nicht zuverlässig abschließen konnten.
Die Erfolgsquote von Qwen3.5-9B stieg von 45 % bei den frühen Versuchen auf 84 % bei späteren Generationen, nachdem das Modell Daten aus vorherigen Versuchen gespeichert hatte. Der Einsatz von Opus 4.8 als Unterstützung führte zu keiner messbaren Verbesserung.
Was ändert sich in der Praxis?
Anthropic schätzt auf Grundlage der Versuchsergebnisse und früherer Verbesserungsraten, dass Modelle mit höchstens 30 Milliarden Parametern bis Ende 2026 das erforderliche Fähigkeitsniveau erreichen könnten. Auf der untersuchten Hardware dauerte die Inferenz mit Qwen3.5-9B zwischen 28 und 51 Stunden und mit Gemma4-26B-A4B zwischen 71 und 150 Stunden, wodurch Verteidigern Zeit bleibt, die Aktivität zu erkennen und darauf zu reagieren. Mit verbesserten Modellen und besserer Hardware könnte sich diese Zeit jedoch verkürzen.
Vorgeschlagene Abwehrmaßnahmen und Grenzen der Warnung
Anthropic schlägt vor, die Übertragung großer Modelle und ungewöhnlichen Datenverkehr zwischen Geräten zu überwachen, Netzwerk-Honeypots zur Prüfung von Payloads einzusetzen, Abonnenten oder infizierte Geräte zu isolieren und die standardmäßigen Sicherheitseinstellungen von IoT-Geräten zu verbessern.
Das zentrale Ergebnis bleibt eine Warnung und kein Nachweis einer bestehenden Bedrohung. Selbst bei herabgesetztem Schutzniveau und vorab festgelegten Verbreitungszielen gelang es dem Experiment nicht, einen unabhängigen Wurm von Anfang bis Ende zu erzeugen. Dennoch zeigen die Ergebnisse, dass schwache IoT-Konfigurationen in Verbindung mit den verbesserten Fähigkeiten kleinerer Modelle, Geräte zu erkennen und einzurichten, die Eindämmung künftiger verteilter Angriffe erschweren könnten.