KI-Würmer könnten zuerst billige IoT-Geräte treffen

Was Anthropic gemessen hat und was nicht

Das Frontier Red Team von Anthropic hat am 12. Oktober ein Papier von William Zhou und Daniel Freeman veröffentlicht. Darin heißt es, kleine KI-Modelle könnten nur noch Monate davon entfernt sein, sich auf handelsüblichen Internet-of-Things-Geräten wie smarten Backöfen und No-Name-Android-TV-Boxen selbst zu kopieren. Die folgenden Zahlen stammen aus dem Papier.

Qwen3.5-9B richtete seine Server auf Hardware ein, die von Jetson-Nano-Platinen bis zu Macs und RTX-4090-Grafikkarten reicht. Die Autoren zerlegen die Replikation in vier Stufen: Ziele finden, Ausführung erlangen, Inferenz einrichten und vom neuen Wirt aus weitermachen. Die ersten beiden hielten sie bewusst trivial. Das Testnetz bot einen Android-Debug-Port ohne Authentifizierung, weshalb Anthropic sein Ergebnis eine Obergrenze für den Erfolg in der Praxis nennt. Das Fazit ist bescheiden: Einen vollständigen Rogue-Replikator gebe es noch nicht, nur 'Lebenszeichen'.

Warum billige Geräte die wahrscheinlichen ersten Wirte sind

Geräte in Haushalten und kleinen Betrieben könnten die ersten Ziele sein, schreiben die Autoren, weil sie mit dem Internet verbunden sind und bisher kaum geschützt waren. Anthropic kaufte 15 No-Name-Android-TV-Boxen für je etwa 55 US-Dollar, vernetzte sie und ließ das Modell Gemma4-26B-A4B mit 0,39 Token pro Sekunde darauf laufen, wobei jede Box einige Schichten des Modells hielt.

Boxen dieser Klasse haben meist 1 bis 4 GB Arbeitsspeicher. Mit je 4 GB und 4-Bit-Kompression können vier oder mehr Boxen ein 9B-Modell bedienen und zehn oder mehr ein 26B-Modell. Deshalb kann ein Schwarm schwacher Geräte etwas Leistungsfähiges tragen.

Die nächste Frage ist die Größenordnung. Das Botnetz Kimwolf infizierte über 2 Millionen Geräte, meist No-Name-Android-TV-Boxen. Würde jede Gruppe von 15 solchen Geräten eine Kopie des 26B-Modells betreiben, schätzt Anthropic rund 133.000 Kopien und insgesamt 80.000 Token pro Sekunde, etwa die Inferenzleistung von 40 Nvidia-H100-Beschleunigern. Das ist wenig Rechenleistung, und ein Replikator würde sich langsam ausbreiten, mit einer Verdopplungszeit von Tagen. Der Schaden entsteht in diesem Modell aus einem Fußabdruck ohne zentralen Ausschalter, denn die Rechenleistung selbst ist klein. Die Schätzung stützt sich, wie die Autoren anmerken, auf eine Hardwareklasse und ein früheres Botnetz.

Das Datum Ende 2026 stammt aus einer Trendlinie

Anthropics Datum Ende 2026 stammt aus einer geraden Anpassung an offene Modelle mit höchstens 30B Parametern, deren Wert im Epoch Capabilities Index um etwa 13,7 Punkte pro Jahr steigt, bei einem Bestimmtheitsmaß von 0,95.

Nur GLM-5.2 schaffte unter den getesteten offenen Modellen die ganze Kette und erreichte in 4 von 5 Läufen alle 8 Knoten, im fünften 7. Nimmt man es als Fähigkeitsuntergrenze und eine TV-Box mit 4 GB als Größenobergrenze, erreicht ein kleines Modell diese Untergrenze laut Trendlinie um das Jahresende. Die Autoren nennen den Index nur einen Näherungswert für die Replikationsfähigkeit und das Datum eine grobe Schätzung.

Zwei weitere Ergebnisse gehen in beide Richtungen. Als jede Kopie von Qwen3.5-9B die Notizen der vorigen erbte, stieg ihre Erfolgsquote beim Einrichten der Inferenz von 45 Prozent in der ersten Generation auf 61 bis 84 Prozent in späteren. Der Zugriff auf ein stärkeres Beratermodell, Opus 4.8, brachte keinen messbaren Gewinn.

Externe Stimmen sind vorsichtig. Al Jazeera, die am 13. Oktober über das Papier berichtete, zitiert Roman Yampolskiy von der University of Louisville: Ein KI-Wurm könne über unbekannte Geräte nachdenken und sich ohne menschlichen Betreiber weiter ausbreiten, heute sei das aber keine existenzielle Bedrohung. Anthropic beantwortete die Fragen von Al Jazeera nicht, die außerhalb der Geschäftszeiten gesendet wurden.

Vier Prüfungen für Büros, Läden und kleine Standorte

Anthropic beschreibt die Abwehr wie eine Epidemie: R0, die Zahl neuer Geräte, die ein infiziertes Gerät ansteckt, unter 1 drücken, damit der Replikator ausstirbt. Für Betreiber heißt das vier Prüfungen.

Erstens: Listen Sie jedes Gerät mit Prozessor im Netz auf, darunter TV-Boxen, Kameras, Konferenzgeräte und Speicherboxen, schließen Sie eingehende Verwaltungsports und ersetzen Sie Standardzugangsdaten. Mirai verbreitete sich über Standardpasswörter der Hersteller, und der Testwurm brauchte nur einen Android-Debug-Port ohne Authentifizierung. Die britische Regelung für vernetzte Verbraucherprodukte, seit dem 29. April 2024 in Kraft, verbietet universelle und leicht erratbare Standardpasswörter, und Anthropic nennt solche Vorgaben als Weg, den Pool möglicher Ziele zu verkleinern.

Zweitens: Fragen Sie Ihren Internetanbieter oder Netzwerkdienstleister, ob er Flussdaten beobachtet. Ein Replikator hinterließe Modelldownloads im Gigabytebereich und stetigen Verkehr zwischen Geräten, die sonst nicht miteinander sprechen, und beides könnte die Überwachung beim Anbieter laut Papier sehen. Drittens: Fragen Sie, ob infizierte Kunden in Quarantäne gesetzt und benachrichtigt werden. Bei der Mirai-Bereinigung räumte ein Anbieter, der das tat, binnen 14 Tagen 92 Prozent der Infektionen ab, ohne Benachrichtigung waren es 74 Prozent.

Viertens: Fragen Sie Gerätelieferanten, wie sie den EU Cyber Resilience Act erfüllen. Die Europäische Kommission nennt den 11. September 2026 für die Meldepflichten bei aktiv ausgenutzten Schwachstellen und den 11. Dezember 2027 für die Hauptpflichten. Ein Lieferant ohne Antwort ist beim nächsten Austausch ein Kandidat für den Wechsel.

Weiterlesen: Lücken von 2014 öffnen Chinas Dienstleister noch Türen  |  Anthropics OSS Scanner liefert ungeprüfte Berichte