Das Grundprinzip: Ein solcher KI-Wurm trage seine Modellgewichte bei der Vermehrung mit sich oder lade sie erneut von einem öffentlichen Hub herunter und führe die Inferenz direkt auf der kompromittierten Hardware aus. „Effektiv würden die Gewichte Teil der Schadsoftware-Nutzlast“, erklärte Anthropic. Damit könnten Modelle in internetfähige Geräte eindringen, deren Rechenleistung nutzen, um sich selbst auszuführen, und sich weiterverbreiten — ohne dauerhaft auf teure Rechenzentren angewiesen zu sein. Ein leistungsfähigeres Modell, das nicht auf ein einzelnes Gerät passt, ließe sich in kleine Teile zerlegen und verteilt über mehrere Maschinen gemeinsam ausführen.

Frühere Arbeiten haben bereits gezeigt, dass KI-Agenten sich entsprechend verhalten können: Sie scannen das Netzwerk, führen einen Exploit aus und kopieren Modellgewichte über einen GPU-Cluster hinweg auf eine Zielmaschine, um maßgeschneiderte Angriffsstrategien zu erzeugen und kompromittierte Rechner als Botnetz zum Betrieb großer Sprachmodelle zu nutzen — und so das eigene Schlussfolgern aufrechtzuerhalten und zu skalieren.

Ein Angreifer könnte aus schlecht abgesicherten IoT-Geräten ein verteiltes LLM-Botnetz aufbauen, das leistungsfähig genug ist, um ein brauchbares Modell zu betreiben. Anthropic unterscheidet mehrere Verbreitungswege:

  • Kleine Modelle, die sich über die Kompromittierung der Host-Maschinen vermehren, auf denen sie laufen — sogenannte gewichtsbasierte Replikatoren. IoT-Geräte sind wegen ihrer minimalen Sicherheitsvorkehrungen ein lohnendes Ziel.
  • Angriffe auf Rechenzentren und andere Ziele mit hoher Rechenleistung, um dort unüberwachte, unautorisierte Deployments einzurichten; je nach eingesetztem Modell als Frontier- oder Open-Weight-Replikatoren eingeordnet.
  • Diebstahl von API-Schlüsseln oder Plattform-Zugangsdaten eines KI-Dienstleisters, um dort Kopien seiner selbst laufen zu lassen (API-basierte Replikatoren). Der Anbieter könnte in dem Glauben gelassen werden, er bediene gewöhnliche API-Anfragen eines legitimen Kunden, ohne zu bemerken, dass dahinter ein bösartiges oder selbstreplizierendes System steckt. Diese Variante dürfte allerdings häufiger auffliegen, da ungewöhnliche API-Nutzung Sicherheitswarnungen auslösen und zu widerrufenen Zugangsdaten oder gesperrten Konten führen kann.

Für seine Untersuchung testete Anthropic elf Modelle mit offenen Gewichten von Alibaba, DeepSeek, Google, Meta, MoonShot AI, OpenAI und Zhipu AI (auch bekannt als Z.ai). Dabei erwies sich GLM-5.2 als einziges Modell, das Llama3.1-8B zuverlässig auf alle acht Knoten mit dem Android-Emulator redroid ausbreiten konnte — in vier von fünf Durchläufen.

Ein KI-IoT-Wurm auf Basis billiger Android-TV-Boxen wäre demnach ein „langsames, verteiltes“ System, das dennoch eine nennenswerte Menge an KI-Rechenleistung erbringen kann, sobald eine Flotte aus Hunderttausenden solcher Geräte zusammengeschaltet wird, um eine Inferenz-Engine zu betreiben. Alternativ könnte die Bedrohung die Form eines schlagkräftigen Cyber-Modells annehmen, das in hohem Tempo in Rechenzentren eindringt, oder eines Modells, das Menschen um Rechenguthaben betrügt.

„Wir haben noch keinen vollständigen Rogue-Replikator, aber Agenten werden zunehmend fähiger, die einzelnen Schritte der Replikationskette zu bewältigen — und ihre Anpassungen an künftige Kopien ihrer selbst weiterzugeben“, so Anthropic. Man erwarte, dass KI-Botnetze mehr als nur IoT-Geräte infizieren und gewichtsbasierte Replikation nur eine von mehreren Strategien sein werde. KI-Botnetze könnten zudem intelligent gegen Verteidiger vorgehen — das sei bislang jedoch nicht getestet worden.