Anthropic: Kleine KI-Modelle könnten sich bald selbst replizieren

Anthropic sagt, kleine KI-Modelle, die jeder herunterladen kann, könnten sich bald ohne menschliche Hilfe selbst auf günstige, mit dem Internet verbundene Geräte kopieren. Sein Frontier Red Team, das Modelle auf gefährliche Fähigkeiten testet, veröffentlichte die Forschung am 12. Oktober 2026. Ein solches Programm bräuchte kein Rechenzentrum mehr, um zu laufen. Anthropic schätzt, dass ein kleines Modell dieses Niveau bis Ende 2026 erreichen könnte.

Was Anthropic getestet hat

Der Beitrag von Anthropic von William Zhou und Daniel Freeman beschreibt zwei Hauptexperimente.

Das erste prüfte, ob günstige Hardware überhaupt ein leistungsfähiges Modell ausführen kann. Das Team verband 15 No-Name-Android-TV-Boxen, die jeweils etwa 55 Dollar kosteten und 4 GB Arbeitsspeicher hatten. Zusammen führten sie Gemma4-26B-A4B aus, ein Open-Weights-Modell, das auf die Boxen aufgeteilt war. Es funktionierte, aber langsam. Der Beitrag nennt an einer Stelle etwa 0,39 Tokens pro Sekunde und an einer anderen etwa 0,3. Ein Token ist ein kleines Stück Text.

Das zweite testete die ganze Kette: eindringen, das Modell kopieren und auf dem nächsten Gerät von vorn beginnen. Das Team baute ein geschlossenes Netzwerk aus 8 Cloud-Maschinen, auf denen ein Android-Emulator lief. Eine vorbereitete Startmaschine löste die Ausbreitung aus. Jede Kopie wanderte über einen ADB-Port weiter, der kein Passwort hatte. ADB ist eine Debugging-Verbindung auf Android-Geräten. Anschließend richtete die Kopie einen Modellserver auf der neuen Maschine ein.

Welche Modelle erfolgreich waren

Nur ein Open-Weights-Modell schaffte die gesamte Kette, sagt Anthropic. Die Ergebnisse:

Test	Aufbau	Ergebnis
Ein Modell ausführen	15 Android-TV-Boxen, je etwa 55 Dollar	Gemma4-26B-A4B lief mit etwa 0,3 bis 0,39 Tokens pro Sekunde
Vollständige Ausbreitung	8 Cloud-Maschinen, offener ADB-Port	GLM-5.2 erreichte in 4 von 5 Versuchen alle 8, im fünften 7 von 8
Kleine Modelle	30 Milliarden Parameter oder weniger	Viele Einzelschritte erledigt, aber Fehler beim Verketten
Lernen über Kopien hinweg	Qwen3.5-9B, 6 Generationen, 20 Abstammungslinien	Die Erfolgsquote beim Einrichten des Servers stieg von 45 % auf 61 % bis 84 %

Andere Open-Weights-Modelle scheiterten im vollständigen Test zuverlässig, so der Beitrag. Ratschläge von Claude Opus 4.8 an Qwen3.5-9B machten keinen signifikanten Unterschied. Im September haben wir uns angesehen, wie viel Speicher Qwen3.5-9B braucht.

GLM-5.2 stammt vom chinesischen Labor Zhipu, dessen neueres GLM-5.3 im August mit offenen Gewichten erschien.

Die Grenzen des Tests

Anthropic betont, dass der Aufbau vereinfacht war. Das Eindringen war trivial, weil der ADB-Port kein Passwort verlangte, „was dies zu einer Obergrenze für den Erfolg in der realen Welt macht“, heißt es im Beitrag. Laut dem Beitrag wurde ein KI-Wurm dieser Art bisher nicht in freier Wildbahn beobachtet.

Al Jazeera berichtet, dass kein aktuelles Modell zugleich leistungsfähig und klein genug war, um sich auf dem im Test verwendeten Smart-TV zuverlässig selbst zu replizieren.

Wann es so weit sein könnte

Wenn sich kleine Modelle weiter im bisherigen Tempo verbessern, könnte eines bis Ende 2026 mit GLM-5.2 gleichziehen, schätzt Anthropic. Grundlage ist eine Trendlinie, die an den Epoch Capabilities Index angepasst wurde, einen kombinierten Wert für Modellfähigkeiten. Anthropic nennt die Schätzung grob. Reuters berichtet denselben Zeitrahmen bis Ende 2026.

Das Forschungsteam sagte Al Jazeera, dass Geräte in Haushalten und kleinen Unternehmen „das erste Ziel solcher Angriffe sein könnten, weil sie mit dem Internet verbunden sind“.

„Heute ist das keine existenzielle Bedrohung. Aber die Entwicklung ist besorgniserregend“, sagte Roman V Yampolskiy, Fachperson für KI und Cybersicherheit an der University of Louisville, gegenüber Al Jazeera.

Was Anthropic empfiehlt

Der Beitrag schlägt diese Abwehrmaßnahmen vor:

• Die Ausbreitung unter eins halten. Jedes infizierte Gerät sollte im Schnitt weniger als ein weiteres Gerät infizieren, damit ein Ausbruch abklingt.
• Netzwerkverkehr beobachten. Internetanbieter können nach Modellübertragungen von mehreren Gigabyte und nach ungewöhnlichem Verkehr zwischen Geräten suchen.
• Fallen stellen. Honeypots, also Lockgeräte, können den Code des Wurms erfassen.
• Isolieren und benachrichtigen. Während des Ausbruchs des Mirai-Botnetzes beseitigte die Benachrichtigung infizierter Kunden 92 % der Infektionen innerhalb von 14 Tagen, gegenüber 74 % ohne Benachrichtigung.
• Sicherere Standardeinstellungen ausliefern. Gerätehersteller sollten ihr grundlegendes Sicherheitsniveau anheben, und Regulierung kann helfen, das zu koordinieren.

Was das für Entwickler bedeutet

Für Teams, die vernetzte Geräte bauen oder betreiben:

• Debug-Ports schließen. Der Test breitete sich über einen ADB-Port ohne Passwort aus. Schalten Sie ADB über das Netzwerk bei Android-basierten Produkten ab oder verlangen Sie eine Authentifizierung.
• Bei großen Übertragungen alarmieren. Ein Modell, das sich kopiert, muss Gigabytes an Gewichten bewegen. Markieren Sie Downloads von mehreren Gigabyte auf Geräte, die normalerweise nie so viel abrufen.
• Günstige Geräte abtrennen. Setzen Sie TV-Boxen und smarte Haushaltsgeräte in ein eigenes Netzwerksegment, getrennt von Arbeitssystemen.
• Standardpasswörter abschaffen. Wenn Sie Geräte bauen, liefern Sie jedes Exemplar mit eigenen Zugangsdaten aus.
• Kleine offene Modelle verfolgen. Der Zeitplan von Anthropic hängt davon ab, wie schnell sich kleine Modelle verbessern. Prüfen Sie Ihr Risiko erneut, sobald neue erscheinen.