Das KI-Unternehmen Anthropic warnt vor einer neuen Generation selbst-replizierender Malware, die durch Fortschritte bei kleinen KI-Modellen entstehen könnte. Diese sogenannten „Small Weight-Based Replicators“ könnten bereits im kommenden Jahr in der Lage sein, sich autonom auf einer Vielzahl von Internet-of-Things (IoT)-Geräten wie Smart-Kühlschränken und Saugrobotern zu verbreiten. Anthropic betont, dass solche Schädlinge aufgrund ihrer dezentralen Natur und der Fähigkeit, unbekannte Geräte selbstständig zu konfigurieren, schwer zu bekämpfen wären.
Funktionsweise der potenziellen KI-Malware
Kleine KI-Modelle benötigen deutlich weniger Rechenleistung als große „Frontier Models“. Anthropic demonstrierte, wie diese Modelle, beispielsweise Gemma4-26B-A4B und Qwen3.5-9B, auf kostengünstiger IoT-Hardware wie Android TV-Boxen betrieben werden können. Durch Techniken wie die Quantisierung – eine Methode zur Reduzierung der Datengröße eines Modells – und das Aufteilen von Arbeitslasten in „Shards“ (Teilpakete) auf mehreren Geräten gelang es, die Inferenz – die Anwendung eines trainierten KI-Modells zur Generierung von Ergebnissen – zu etablieren.
Im Gegensatz zu herkömmlicher Malware, die spezifisch für bestimmte Hardware oder Software geschrieben werden muss, könnten diese KI-Würmer ihre Modellgewichte nutzen, um Konfigurationen dynamisch an die jeweilige Zielumgebung anzupassen. Die Modellgewichte würden effektiv Teil der Malware-Nutzlast. Ein solcher KI-Wurm könnte seine Modellgewichte entweder mit sich führen oder von einer öffentlichen Quelle herunterladen und die Inferenz direkt auf kompromittierter Hardware ausführen.
Der Angriffsablauf, wie von Anthropic skizziert, umfasst vier Schritte:
- Das Finden von Zielen
- Das Erlangen der Code-Ausführung
- Das Etablieren der Inferenz
- Die weitere Verbreitung auf neue Hosts
Ein wesentlicher Vorteil gegenüber traditionellen Computerwürmern – sich selbst verbreitende Programme – liegt in der Fähigkeit der KI-Agenten, „on the job“ zu lernen. Fehlschläge bei der Kompromittierung einer Plattform könnten dokumentiert werden, um zukünftigen Replikationen ineffektive Schritte zu ersparen.
Experimentelle Ergebnisse und Herausforderungen
Anthropic führte Experimente durch, bei denen leichte Open-Weight-Modelle auf realer oder simulierter IoT-Hardware liefen. Das Modell Gemma4-26B-A4B benötigte beispielsweise 15 Boxen mit jeweils nur 4 GB Arbeitsspeicher, um eine Inferenz zu erreichen. Qwen3.5-9B konnte andere große Sprachmodelle (LLMs) auf acht von neun getesteten Hardwaretypen konfigurieren.
Die Forschenden stellten jedoch auch erhebliche Herausforderungen fest. Die dynamische Einrichtung der Inferenz sei der am wenigsten erforschte und wahrscheinlich schwierigste Teil des Replikationszyklus. Dieser Schritt erfordert eine lange Abfolge von Entscheidungen, die auf der spezifischen Hard- und Software jedes Ziels basieren, einschließlich der Auswahl kompatibler Inferenzsoftware, der Installation von Abhängigkeiten und der Behebung plattformspezifischer Fehler.
Derzeit sind die getesteten leichten Modelle noch nicht in der Lage, eine vollständige End-to-End-Replikation autonom durchzuführen – also neue Geräte zu entdecken, auszunutzen, zu infizieren, einen Inferenzserver zu konfigurieren und den Prozess zu wiederholen. Der Prozess ist zudem langsam: Gemma4-26B-A4B erreichte nur 0,39 Tokens pro Sekunde, was eine vollständige Inferenz-Einrichtung von 71 bis 150 Stunden für das unoptimierte Modell bedeutet. Für Qwen3.5-9B lag dieser Wert bei 29 bis 51 Stunden. Anthropic merkte an, dass das größere Modell GLM-5.2 diese Schritte zuverlässig ausführen zu können scheint.
Offene Fragen und zukünftige Entwicklung
Anthropic schätzt, dass 30-Milliarden-Parameter-Modelle bereits viele der einzelnen Replikationsschritte beherrschen, auch wenn sie bei der End-to-End-Replikation noch Fehler machen. Bei der aktuellen Verbesserungsgeschwindigkeit könnten kleine Modelle bis Ende des Jahres ähnliche, wenn auch begrenzte, Ergebnisse erzielen. „Small Weight-Based Replicators könnten bald darauf möglich sein“, so das Unternehmen.
Wichtige Fragen bleiben jedoch unbeantwortet. Die im Experiment verwendeten Android-Geräte hatten beispielsweise eine unauthentifizierte Android Debug Bridge (ADB) exponiert. Dies ist ein Entwicklungs- und Debugging-Tool, das in Produktionsumgebungen nicht verwendet werden sollte, da es Angreifern vollen Zugriff auf das Gerät ermöglicht. Zudem wurde die Replikation nicht von den kleinen Modellen selbst durchgeführt, sondern von GLM-5.2 orchestriert, während die Ziele ein kleineres Llama-Modell ausführten.
Letztlich zeigt das Experiment, dass kleine agentische Modelle zunehmend in der Lage sind, komplexe, verteilte Inferenz-Infrastrukturen über mehrere Maschinen hinweg aufzubauen. Ob diese Modelle jedoch von sich aus die Selbstreplikation initiieren würden, muss noch geklärt werden. KI-Forscher Xiaohan Fu merkte an, dass die Studie nicht beweise, dass kleine Modelle autonom die Entscheidung zur Replikation treffen würden. Transparenz bei den genauen Anweisungen an die Modelle sei entscheidend, um die gezeigte Fähigkeit zur Replikation nicht mit einer tatsächlichen Bedrohung durch autonome Selbstreplikation zu verwechseln.
Thema: Anthropic. Quelle/Inspiration: Ars Technica.