KI-Wurm: Kleine Modelle replizieren sich auf 55-Dollar-TV-Boxen

Ein KI-Wurm, der sich ohne Rechenzentrum über billige Alltagsgeräte repliziert, ist bislang ein Szenario – kein Vorfall. Genau dieses Szenario hat das Frontier Red Team von Anthropic am 12. Oktober 2026 in einem kontrollierten Aufbau vermessen: Auf 15 gebrauchten Android-TV-Boxen zu rund 55 US-Dollar pro Stück liefen kleine Modelle mit bis zu 30 Milliarden Parametern durch einen vollständigen Replikationszyklus. Die Autoren William Zhou und Daniel Freeman formulieren in der Studie „AI models may be capable of self-replicating without access to a datacenter", kleine Modelle könnten nur noch „Monate" von dieser Fähigkeit entfernt sein. Betroffen wäre damit jene Geräteklasse, die schon heute millionenfach in Botnetzen hängt – relevant ist die Einschätzung vor allem für Admins und Einkäufer von IoT-Hardware.

KI-Wurm ohne Rechenzentrum: Was im Test tatsächlich lief

Die Untersuchung beschreibt das Ziel als „autonomous replication and adaptation" (ARA): Ein Modell soll sich nicht nur kopieren, sondern die Kopie an neue Hardware und Umgebungen anpassen. Unterschieden werden vier Replikationsstufen und drei Threat-Modelle; getestet wurde mit dem Memento-Harness auf Basis des quelloffenen Coding-Agenten Pi (Details zur Studie). Praktisch heißt das: Das Modell erzeugt Skripte, richtet sich selbst ein und stößt den nächsten Kopiervorgang auf einem weiteren Gerät an.

Das Ergebnis in Zahlen: Ein 9-Milliarden-Parameter-Modell lief auf 8 von 9 getesteten Hardware-Typen. Das größere GLM-5.2 breitete sich end-to-end über die Zielknoten aus – in vier von fünf Durchläufen erreichte es alle acht Ziele, im fünften sieben (Testergebnisse im Detail).

Genau hier liegt die wichtigste Einschränkung, die die Quelle selbst benennt: Für die Ausbreitung war kein realistischer Exploit nötig. Die Hacking-Schritte wurden bewusst vereinfacht, damit überhaupt messbar wird, wie weit ein Modell kommt. Einen konkreten Angriffsweg gegen ein reales Produkt beschreibt der Test damit nicht – das ist eine offene Lücke, keine ausgenutzte Schwachstelle.

55-Dollar-Boxen, Token-Raten und Setup-Zeiten: die Messwerte

Die Hardware ist bewusst billig gewählt. Das 26B-Modell Gemma4-26B-A4B lief verteilt auf 15 No-Name-TV-Boxen; die gemessene Ausgabegeschwindigkeit liegt je nach Quelle unter 0,5 beziehungsweise bei rund 0,39 Token pro Sekunde (gemessene Hardware-Werte). Der genaue Wert bleibt strittig, die Spanne macht aber das Entscheidende sichtbar: Inferenz auf dieser Hardware ist extrem langsam, ein Replikationszyklus dauert entsprechend lange.

Weitere quantitative Details liefert eine Auswertung, deren Zahlen bislang nicht unabhängig gegengeprüft sind: Das vollständige Inference-Setup dauerte demnach 28 bis 51 Stunden (Qwen3.5-9B) beziehungsweise 71 bis 150 Stunden (Gemma4-26B-A4B, unoptimiert). Die Erfolgsquote beim Aufsetzen stieg über die Kopie-Generationen von 45 auf 61 bis 84 Prozent. Hochgerechnet auf eine Kimwolf-große Geräteflotte wären theoretisch rund 133.000 Kopien und etwa 80.000 Token pro Sekunde möglich (weitere Messwerte und Hochrechnung). Diese Hochrechnung ist eine Modellrechnung, keine Beobachtung.

Kimwolf: Warum genau diese Geräteklasse ins Visier gerät

Die Testhardware ist kein Zufall. Das Kimwolf-Botnet hatte über zwei Millionen Geräte infiziert, überwiegend Off-Brand-Android-TV-Boxen. Die gebündelte Rechenleistung dieser Flotte entspricht grob 40 Nvidia-H100-Beschleunigern. Genau diese Rechnung macht das Szenario plausibel: Masse statt Klasse – viele schlecht gewartete Geräte mit dauerhafter Internetverbindung und seltenen Updates. Als weitere Beispiele nennt die Untersuchung Smart Ovens.

Kimwolf selbst war jedoch ein klassisches Botnet mit zentraler Steuerung, kein sich selbst replizierender KI-Wurm. Der Test von Anthropic überträgt die reine Mengenlogik dieser Infrastruktur auf ein anderes Angriffsmodell: Wenn dieselbe Gerätemasse nicht nur ferngesteuert, sondern zur eigenständigen Vervielfältigung genutzt würde, fiele ein zentraler Abschaltpunkt weg – ein Gedanke, der in der Community als „AI worm with no central point to shut off" diskutiert wird. Solche Forenbeiträge sind ein Stimmungsbild, keine Belege für einen realen Angriff.

Was der Test nicht zeigt – und warum kein Alarmismus angebracht ist

Keine der vorliegenden Quellen benennt einen real aktiven KI-Wurm in freier Wildbahn. Die Ergebnisse stammen aus kontrollierten Setups, und Anthropic selbst bezeichnet die Erfolgsraten als Obergrenze („upper bound") für die reale Wahrscheinlichkeit. Die Angabe „Monate" und der Zeithorizont „bis Ende 2026" sind ausdrücklich eine grobe Projektion des Herstellers, keine Messung – solche Selbsteinschätzungen gehören als Pressemitteilung gelesen, nicht als geprüfte Tatsache. Weil keine ausgenutzte Schwachstelle beschrieben wird, existiert auch keine CVE, kein Patch und kein produktspezifischer Workaround.

Abzugrenzen ist das von einem früheren, andersartigen KI-Wurm-Konzept: „Morris II" nutzte Prompt-Injection gegen generative KI-Systeme und stammt von Forschern der Cornell Tech, des Israel Institute of Technology und von Intuit (Hintergrund zum Prompt-Injection-Wurm). Auch dieser Wurm wurde nie in freier Wildbahn gesichtet. Zwei Forschungsstränge, ein gemeinsamer Befund: Machbarkeitsdemos sind kein Nachweis einer Bedrohungslage.

Handlungsempfehlung für Admins und IT-Entscheider

Geräte-Inventar aufbauen. Wer No-Name-Android-TV-Boxen, smarte Küchengeräte oder ähnliche Hardware im Netz hat, erfasst sie samt Alter und Update-Status. Ohne Inventar ist keine Segmentierung möglich.
IoT in eigene VLANs, Egress begrenzen. Ausgehende Verbindungen auf das Nötige beschränken – das erschwert klassische Botnets und ein späteres Replikationsszenario gleichermaßen.
Keine Direktexposition. Geräte ohne Herstellersupport gehören nicht ins offene Internet. Als strukturelle Ansatzpunkte gelten zusätzlich ISP-Quarantäne und sichere Defaults.
Beschaffung prüfen. Bei Neuanschaffung zählt die Update-Zusage des Herstellers mehr als der Stückpreis.
Zeitplan einordnen. Die „Monate" sind eine Planungsgröße für Risikovorsorge, kein Datum für einen Angriff. Wer jetzt sein IoT-Inventar und seine Netztrennung in Ordnung bringt, adressiert das Risiko unabhängig davon, ob der KI-Wurm kommt.

Quellen