Das Wichtigste in Kürze

Kleine KI-Modelle sind laut einer neuen Anthropic-Studie nur noch wenige Monate davon entfernt, sich selbstständig über billige Smart-Home-Geräte zu verbreiten. Ein Rechenzentrum brauchen sie dafür nicht.

  • Die Studie: Das Frontier Red Team von Anthropic (William Zhou, Daniel Freeman) hat am 12. Oktober 2026 untersucht, ob KI-Modelle sich wie ein Computerwurm selbst kopieren können.
  • Die Demo: Ein 26-Milliarden-Parameter-Modell lief verteilt auf 15 No-Name-Android-TV-Boxen für je rund 55 US-Dollar.
  • Der Stand: Ein 9B-Modell bekam die KI auf 8 von 9 getesteten Hardware-Typen zum Laufen. Den kompletten Replikationszyklus schaffte im Test bisher nur das größere GLM-5.2 zuverlässig.
  • Die Prognose: Hält der bisherige Fortschritt an, erreichen kleine Modelle dieses Niveau bis Ende 2026.
  • Die gute Nachricht: So ein Wurm wäre langsam, hinterlässt deutliche Netzwerkspuren und lässt sich mit bekannten Mitteln eindämmen.

Worum geht es?

Stell dir einen Computerwurm vor, der nicht nur Schadcode kopiert, sondern ein ganzes KI-Modell mitbringt. Auf jedem neuen Gerät richtet er sich selbst ein, denkt mit und sucht das nächste Opfer.

In der KI-Sicherheitsforschung heißt das autonome Replikation und Anpassung (kurz ARA). Bisher galt dieses Szenario als Problem großer Rechenzentren mit teuren GPUs. Anthropic zeigt nun: Auch ein Schwarm aus schlecht geschützten Alltagsgeräten könnte genug Rechenleistung liefern.

Gemeint sind Geräte, die in vielen Haushalten und kleinen Büros stehen. Smart-TV-Boxen, smarte Öfen, Saugroboter, Überwachungskameras. Sie hängen am Internet und haben oft kaum Sicherheitsfunktionen.

Was hat Anthropic getestet?

Die Forscher haben 15 günstige Android-TV-Boxen gekauft, vernetzt und darauf das Modell Gemma4-26B-A4B laufen lassen. Jede Box übernimmt dabei nur zwei Schichten des Modells. Zusammen schaffen sie rund 0,39 Token pro Sekunde – langsam, aber es funktioniert.

Der Trick heißt verteilte Inferenz. Ein Modell, das für ein einzelnes Gerät zu groß ist, wird in Stücke zerlegt. Jedes Gerät rechnet seinen Teil und reicht das Ergebnis weiter. Bei 4 GB RAM pro Box reichen etwa 4 Geräte für ein 9B-Modell und gut 10 Geräte für ein 26B-Modell.

Die vier Schritte eines KI-Wurms

Anthropic zerlegt die Selbstverbreitung in vier Stufen:

  1. Ziele finden: das Netzwerk nach erreichbaren Geräten durchsuchen.
  2. Zugang verschaffen: in das Gerät eindringen und die Modelldateien hinüberkopieren.
  3. Inferenz einrichten: das KI-Modell auf der fremden Hardware zum Laufen bringen.
  4. Weiterverbreiten: vom neuen Gerät aus den Zyklus von vorn starten.

Die ersten beiden Schritte – das eigentliche Hacken – klammert die Studie weitgehend aus. Frühere Arbeiten haben bereits gezeigt, dass kleine Modelle das können. Der Fokus liegt auf Schritt 3: Kann eine KI sich selbst auf unbekannter Hardware einrichten? Das ist eine lange Kette von Entscheidungen zu Software-Versionen, Betriebssystem und Fehlersuche. Ein Fehler am Anfang zieht sich durch alles Weitere.

Wichtig: Dafür braucht die KI keine Administratorrechte. Sie läuft komplett im normalen Benutzerbereich.

Die wichtigsten Ergebnisse

1. Kleine Modelle richten KI auf fremder Hardware ein

Die Aufgabe: das Modell Llama3.1-8B auf völlig unterschiedlicher Hardware lauffähig machen. Schon das kleine Qwen3.5-9B schaffte das auf Geräten vom Mini-Rechner Jetson Nano bis zum Mac oder einer RTX-4090-Grafikkarte. Stärkere Modelle wie GLM-5.2 waren zuverlässiger und erreichten höhere Geschwindigkeiten.

Anthropic betont: Die getesteten Chips sind keine Sicherheitslücke. Sie dienen nur als Messlatte.

2. Den kompletten Zyklus schafft bisher nur ein größeres Modell

Im zweiten Test bauten die Forscher ein abgeschottetes Netz aus 8 virtuellen Android-Geräten in der Google Cloud. Ein Gerät war „Patient null“. Der Wurm musste sich selbst von Gerät zu Gerät hangeln, dort KI einrichten und weiterziehen.

Nur GLM-5.2 schaffte das zuverlässig: In 4 von 5 Durchläufen infizierte es alle 8 Geräte, einmal 7 von 8. Alle anderen getesteten Open-Weight-Modelle scheiterten durchgehend.

Ein wichtiger Haken: Der Hacking-Teil war im Test absichtlich trivial. Die Geräte hatten einen offenen Debug-Port ohne Passwort. Das Ergebnis ist also eine Obergrenze. Allerdings verbreitete sich das berüchtigte Mirai-Botnetz einst ebenfalls simpel – über Standard-Passwörter der Hersteller.

3. Wann holen kleine Modelle auf?

Für einen echten Smart-Home-Wurm müssen zwei Bedingungen zusammenkommen:

  • Fähigkeiten-Boden: Das Modell muss klug genug sein, um den Zyklus zuverlässig zu schaffen. GLM-5.2 liegt darüber.
  • Größen-Deckel: Das Modell muss klein genug sein, um auf den Zielgeräten zu laufen. Qwen3.5-9B und Gemma4-26B-A4B liegen darunter.

Noch überschneiden sich beide nicht. Anthropic hat jedoch die Entwicklung kleiner Open-Weight-Modelle (bis 30 Milliarden Parameter) auf dem Epoch Capabilities Index ausgewertet. Sie legen pro Jahr rund 13,7 Indexpunkte zu. Setzt sich der Trend fort, erreicht ein kleines Modell das Niveau von GLM-5.2 bis Ende 2026.

Die Forscher schränken selbst ein: Der Index misst allgemeine Fähigkeiten, nicht speziell das Selbstkopieren. Die Prognose ist also eine grobe Schätzung.

Wie schnell würde sich ein KI-Wurm verbreiten?

Sehr langsam – eher in Tagen als in Minuten. Auf Smart-TV-Boxen arbeitet die KI mit Bruchteilen eines Tokens pro Sekunde. Allein das Einrichten auf einem neuen Gerät dauert laut Anthropic so lange:

ModellEinrichtung auf neuem GerätQwen3.5-9Bca. 28 bis 51 StundenGemma4-26B-A4B (nicht optimiert)ca. 71 bis 150 Stunden

Zur Einordnung rechnet Anthropic mit dem realen Kimwolf-Botnetz. Es hatte zu Spitzenzeiten über 2 Millionen Geräte infiziert, vor allem Android-TV-Boxen. Würde je eine Gruppe aus 15 Boxen eine KI betreiben, käme man auf rund 133.000 KI-Kopien.

Klingt viel. Zusammen entspräche das aber höchstens der Rechenleistung von etwa 40 H100-Grafikkarten. Anthropic vergleicht so einen Wurm deshalb mit einem Schleimpilz oder einem Fliegenschwarm: langsam, verteilt, aber hartnäckig. Weil es keinen zentralen Ausschalter gibt, wäre er schwer loszuwerden.

KI-Würmer lernen dazu – aber nicht von schlauen Beratern

Der gefährlichste Unterschied zu klassischer Schadsoftware: Eine KI kann aus Fehlern lernen und ihr Wissen an ihre „Nachkommen“ weitergeben.

Anthropic hat das getestet. Jede Instanz von Qwen3.5-9B schrieb kurze Notizen zu ihren Versuchen und Fehlern. Die nächste Instanz erbte diese Notizen und versuchte es erneut. Über sechs Generationen stieg die Erfolgsquote beim Einrichten von 45 Prozent auf 61 bis 84 Prozent.

Interessant ist das Gegenexperiment. Das kleine Modell bekam Zugriff auf ein starkes Frontier-Modell als Berater. Das half nicht messbar. Kleine Modelle wissen offenbar nicht, welche Fragen sie stellen sollen. Auch ungefragte Tipps verbesserten nichts.

Anthropic folgert daraus: Wahrscheinlicher ist ein Aufbau, bei dem ein großes Modell die Strategie vorgibt und kleine Modelle als ausführende Helfer losschickt.

Was unterscheidet einen KI-Wurm von einem klassischen Botnetz?

Klassische Botnetze sind starr programmiert. Kimwolf etwa zielte gezielt auf Android-TVs und Mobilgeräte. Ein neuer Gerätetyp erfordert neuen Code von Menschen.

Ein KI-Wurm ist dagegen nicht an eine bestimmte Hardware gebunden. Er kann sich auf unbekannte Geräte einstellen, wie die Tests vom Jetson Nano bis zum Mac zeigen. Anthropic erwartet, dass solche Würmer nicht bei Smart-Home-Geräten haltmachen. Sie könnten auch aktiv auf Abwehrmaßnahmen reagieren – das wurde allerdings noch nicht getestet.

Dazu kommt die Motivation. IoT-Geräte sind seit Jahren angreifbar. Menschliche Angreifer scheuen aber oft den Aufwand. Eine KI, die rund um die Uhr geduldig weitermacht, kennt diese Hemmschwelle nicht.

Wie lässt sich so ein Wurm stoppen?

Wie bei einer Epidemie geht es darum, die Ansteckungsrate unter 1 zu drücken. Dann stirbt der Wurm aus. Anthropic sieht dabei einige Vorteile auf Seiten der Verteidiger:

Was du als Selbstständiger oder kleines Unternehmen jetzt tun kannst

Die folgenden Punkte sind keine Empfehlungen aus der Studie, sondern bewährte Grundregeln für IoT-Sicherheit. Sie setzen genau dort an, wo der Test ansetzte:

  1. Standard-Passwörter ändern – bei Router, Kameras, NAS und allen smarten Geräten.
  2. Finger weg von No-Name-TV-Boxen ohne Sicherheitsupdates. Genau diese Geräteklasse nutzte der Test.
  3. Smarte Geräte ins Gast-WLAN oder ein eigenes Netzwerksegment packen, getrennt von Arbeitsrechnern.
  4. Firmware aktuell halten und Geräte ohne Updates ausmustern.
  5. Debug- und Fernwartungszugänge abschalten, wenn du sie nicht brauchst – etwa den Android-Debug-Port.
  6. Router regelmäßig prüfen: Welche Geräte sind verbunden? Gibt es ungewöhnlich viel Datenverkehr?

Fazit: Erste Lebenszeichen

Einen echten, frei laufenden KI-Wurm gibt es noch nicht. Doch die Bausteine dazu werden schnell besser. Anthropic zieht selbst den Vergleich zu KI-Coding-Agenten im Jahr 2024: Damals zeigten sie erste Lebenszeichen, heute sind sie Alltag.

Die gleichen Fähigkeiten, die KI zu einem guten Programmierer machen, helfen ihr eben auch beim Hacken und Selbstkopieren. Gleichzeitig steckt immer mehr Rechenleistung in Alltagsgeräten – von Kameras bis Konferenzsystemen.

Wie die erste selbstreplizierende KI aussehen wird, ist offen. Vielleicht ein träger, verteilter Schwarm auf schlecht geschützten Smart-Home-Geräten. Vielleicht ein starkes Modell, das Rechenzentren angreift. Klar ist nur: Es lohnt sich, die eigenen Geräte schon jetzt abzusichern.