Kleine KI-Modelle könnten schon in absehbarer Zeit in der Lage sein, sich selbstständig über günstige, vernetzte Geräte zu verbreiten. Eine aktuelle Untersuchung von Anthropic skizziert dafür ein Szenario, das beunruhigend simpel wirkt: Billige Hardware, ein kompaktes Modell und ein offen erreichbarer Netzwerkdienst könnten ausreichen, damit eine KI sich von Gerät zu Gerät kopiert. Noch fehlt den Forschern ein entscheidendes Puzzleteil – dennoch halten sie es für möglich, dass diese Hürde bis Ende 2026 fällt.

Warum ausgerechnet Billig-Hardware attraktiv ist

Als potenzielle Wirte nennen die Autoren vor allem IoT- und Consumer-Geräte, die häufig schwach abgesichert sind: smarte Haushaltsgeräte, einfache Streaming-Boxen oder No-Name-Android-TV-Boxen. Gerade dort treffen drei Faktoren zusammen: große Verbreitung, seltene Updates und Sicherheitslücken durch unsichere Standardeinstellungen.

Wie viel Rechenleistung selbst in solchen Geräten steckt, zeigte ein praxisnaher Test: Das Team verband 15 Android-TV-Boxen (jeweils rund 55 US-Dollar) zu einem kleinen Cluster und verteilte ein Modell so, dass jede Box zwei Schichten übernahm. In Summe erreichte der Verbund etwa 0,39 Token pro Sekunde. Das ist zwar weit von „schnell“ entfernt, könnte aber laut Studie bereits reichen, damit ein Modell autonom Aufgaben abarbeitet.

Der kritische Schritt: Laufenlassen auf fremder Hardware

Im Mittelpunkt der Studie steht weniger das Eindringen in Geräte, sondern ein Schritt, der in Diskussionen oft unterschätzt wird: die Inferenz-Umgebung auf unbekannter Hardware zuverlässig aufzusetzen. Dazu gehören unter anderem die Auswahl der passenden Laufzeit, kompatible Paket- und Bibliotheksversionen sowie das Beheben gerätespezifischer Fehler.

Das eigentliche „Einbrechen“ lassen die Autoren weitgehend außen vor – auch weil frühere Arbeiten bereits gezeigt hätten, dass kleinere Modelle grundsätzlich in der Lage sind, Exploits zu nutzen. In den Anthropic-Tests schaffte es ein Modell mit 9 Milliarden Parametern, die Inferenz auf 8 von 9 unterschiedlichen Plattformen zum Laufen zu bringen (unter anderem auf Jetson Nano und macOS). Der Fokus: Kann ein Modell sich selbst so einrichten, dass es arbeitsfähig wird?

Ein Labortest für den „Wurm“-Ablauf

Um eine komplette Verbreitungskette zu testen, bauten die Forscher ein isoliertes Netzwerk aus acht Cloud-Knoten auf, inklusive Android-15-Emulator. Die Idee: Ein „Wurm“ sollte sich über einen offen erreichbaren ADB-Port von Knoten zu Knoten bewegen und jeweils einen Inferenz-Server installieren.

In diesem Setup gelang das von mehreren getesteten Open-Weight-Modellen zuverlässig nur einem: GLM-5.2. In vier von fünf Durchläufen erreichte es alle acht Knoten, einmal immerhin sieben.

Wichtig ist dabei die Einordnung: Weil der Angriffspfad im Versuch bewusst vereinfacht wurde, seien die Resultate eher als obere Grenze zu verstehen. Gleichzeitig erinnert die Studie daran, dass sich auch historische Botnetze nicht immer über hochkomplexe Methoden ausbreiteten: Mirai nutzte seinerzeit unter anderem schlicht Standardpasswörter.

Aus Sicht der Autoren könnte die Fähigkeit, die GLM-5.2 hier zeigt, bis Ende 2026 auch von anderen kleinen Modellen erreicht werden – insbesondere, wenn der Fortschritt bei Modellen bis etwa 30 Milliarden Parameter so weitergeht wie bisher. Diese Zeitangabe verstehen die Forscher ausdrücklich als grobe Schätzung.

Langsam – aber schwer abzuschalten

Ein zentraler Punkt: Selbst wenn so ein KI-Wurm möglich wäre, wäre er nicht „rasend schnell“. Das vollständige Aufsetzen einer Inferenz-Umgebung könnte auf günstiger Hardware sehr lange dauern. In den Berechnungen der Studie benötigt Gemma4-26B-A4B auf den TV-Boxen dafür etwa 71 bis 150 Stunden, Qwen3.5-9B etwa 28 bis 51 Stunden.

Gerade daraus ergibt sich aber ein anderes Risiko: Masse statt Tempo. Hochgerechnet auf Botnet-Größenordnungen, wie sie in der Vergangenheit bereits existierten (beispielsweise „Kimwolf“ mit über zwei Millionen infizierten Geräten), entstünde eine enorme Zahl verteilter Modellkopien. Die Studie kommt in einem Beispiel auf rund 133.000 Modellkopien und eine Gesamtleistung von ungefähr 80.000 Token pro Sekunde – grob vergleichbar mit der Leistung von etwa 40 H100-GPUs. Das Bild dahinter: weniger ein Sprint, mehr ein zäher „digitaler Schleimpilz“, der sich über Tage ausbreitet und sich nicht einfach über einen zentralen Schalter stoppen lässt.

Lerneffekt durch Weitergabe von Erfahrungen

Besonders bemerkenswert ist der Effekt, dass sich solche Systeme durch Erfahrungsaustausch verbessern können. In den Tests stieg die Erfolgsquote deutlich, wenn Instanzen eines kleineren Modells (Qwen3.5-9B) ihre Notizen zu gescheiterten Versuchen an die nächste „Generation“ weitergaben: von 45 Prozent auf 61 bis 84 Prozent.

Überraschend: Hinweise eines deutlich stärkeren Modells (wie Opus 4.8) halfen in diesem Kontext nicht messbar. Die Begründung der Autoren: Kleinere Modelle stellen oft nicht die richtigen Rückfragen, um von solchen Ratschlägen zu profitieren. Zusätzlich wären KI-Würmer im Unterschied zu klassischen Botnetzen weniger stark an einen Gerätetyp gebunden, weil sie ihre Umgebung je nach Zielsystem anpassen könnten.

Was Verteidiger tun können

Trotz des düsteren Szenarios sieht die Studie Ansatzpunkte für Gegenmaßnahmen. Ein Vorteil für Defender: Modell-Dateien sind groß, und ein ständiger Austausch zwischen Geräten produziert auffälligen Netzwerkverkehr. Das könnte – zumindest in Teilen – in Provider- und Unternehmensnetzen detektierbar sein. Außerdem gilt: Je schneller ein Wurm versucht, sich zu verbreiten, desto sichtbarer wird er.

Als Beispiel aus der Vergangenheit führen die Autoren Maßnahmen gegen Mirai an: Eine Quarantäne infizierter Anschlüsse in Kombination mit aktiver Kundenbenachrichtigung reduzierte Infektionen deutlich schneller (92 Prozent Bereinigung innerhalb von 14 Tagen) als Quarantäne ohne Benachrichtigung (74 Prozent).

Darüber hinaus nehmen die Autoren Hersteller und Gesetzgeber in die Pflicht, etwa durch sichere Standardeinstellungen. In Großbritannien sind Standardpasswörter für IoT-Geräte bereits untersagt – ein Schritt, der zumindest die einfachsten Masseninfektionen erschwert.

Fazit: Noch kein fertiger KI-Wurm, aber erste Warnsignale

Einen voll funktionsfähigen, frei „lebenden“ KI-Wurm sehen die Forscher aktuell noch nicht. Sie sprechen jedoch von ersten „Lebenszeichen“ und empfehlen, sich auf eine Realität einzustellen, in der selbstreplizierende KI-Systeme grundsätzlich möglich werden – und dann vermutlich dauerhaft als neue Bedrohungsklasse existieren.