Die KI hat die Fähigkeit der „parasitären Fortpflanzung“ erlernt. Anthropic hält ein großes KI-Modell mit 15 veralteten, leistungsschwachen TV-Set-Top-Boxen am Laufen.

15 No-Name-Android-TV-Boxen mit einem Stückpreis von etwa 55 US-Dollar und nur 4 GB Arbeitsspeicher pro Gerät.

Mit genau diesen billigen Geräten, die normalerweise zum Anschauen von Videos verwendet werden, haben die Forscher von Anthropic sie mit dem Internet verbunden und erfolgreich ein großes Modell mit 26 Milliarden Parametern ausgeführt.

Die Geschwindigkeit beträgt nur 0,39 Token pro Sekunde, so langsam, dass ein normaler Chat fast nicht möglich ist.

Was Anthropic jedoch überprüfen möchte, ist die Vorstellung, dass eines Tages eine KI keine großen Server mehr benötigt, sondern sich in vernetzten Geräten wie Smart-TVs, Kühlschränken und Staubsaugerrobotern auf der ganzen Welt einnisten, selbst neue Wirte suchen, Modelle bereitstellen und sich ständig selbst vervielfältigen kann.

Dieses KI-Modell verhält sich wie ein Computervirus und bleibt langfristig im Internet bestehen. Es klingt wie ein Endzeitfilm, und die tatsächliche Forschung hat in verschiedenen Experimenten bereits mehrere Schlüsselfähigkeiten nachgewiesen, die dieses Szenario stützen.

Die Forscher haben die autonome Vervielfältigung der KI in vier Phasen unterteilt: Scannen des Netzwerks zum Auffinden von Zielen → Eindringen zur Erlangung der Kontrolle → Aufbau einer Inferenzumgebung auf unbekannter Hardware → Fortsetzung der Verbreitung über den neuen Wirt als Sprungbrett.

Der am meisten unterschätzte und die „Intelligenz“ des Modells am meisten auf die Probe stellende Schritt ist der dritte. Um ein Inferenzframework auf einem noch nie gesehenen Gerät zu installieren, müssen eine lange Reihe von hard- und softwarebezogenen Entscheidungen nacheinander getroffen werden: Auswahl des richtigen Software-Stacks, Ausrichtung der Abhängigkeitsversionen und Behebung gerätespezifischer Fehler.

Wenn in diesem Glied ein einziger Schritt hängenbleibt, ist das gesamte Vorhaben verloren.

Die Testergebnisse waren gemischt: Ein kleines 9B-Modell hat es geschafft, auf 8 von 9 sehr unterschiedlichen Hardware-Geräten (von Jetson Nano über Mac bis hin zu RTX 4090) einen Inferenzdienst einzurichten.

Aber als die Forscher das Modell aufforderten, die gesamte Kette von Anfang bis Ende durchzuführen, konnte nur das leistungsstärkere GLM-5.2 dies stabil schaffen, bei 5 Versuchen 4 Mal alle 8 Knoten zu infizieren.

Die gesamte Forschung lässt sich als Wettlauf zwischen zwei Linien zusammenfassen:

Obergrenze der Größe: Das Modell muss klein genug sein, um in eine TV-Box mit 4 GB Arbeitsspeicher zu passen (etwa unter 30 Milliarden Parametern, verteilt bereitgestellt);

Untergrenze der Fähigkeiten: Das Modell muss klug genug sein, um den gesamten komplexen Vorgang von Eindringen, Bereitstellung und Fehlerbehebung selbstständig durchzuführen.

Derzeit sind die Modelle, die die Vervielfältigung von Anfang bis Ende abschließen können, zu groß, um in die Geräte zu passen; die Modelle, die in die Geräte passen, sind noch nicht klug genug – die beiden Linien haben sich noch nicht wirklich gekreuzt.

Aber wenn man nach der historischen Geschwindigkeit, mit der die Fähigkeiten kleiner Modelle jährlich um 13,7 ECI-Indexpunkte steigen, extrapoliert, prognostizieren die Forscher, dass sich die beiden Linien Ende 2026 kreuzen werden. Mit anderen Worten: Ein Modell, das „in IoT-Geräte passt und sich selbst vervielfältigen kann“, könnte bereits in ein oder zwei Jahren Realität werden.

Abbildung ｜ ECI (Epoch Capabilities Index, Epoch-Fähigkeitsindex) ist ein von dem unabhängigen Forschungsinstitut Epoch AI eingeführter Bewertungsindex für die umfassenden Fähigkeiten von KI

Ein einziges Modell, aufgeteilt auf 15 Boxen

Damit ein großes Modell ausgeführt werden kann, muss zuerst ein Platz gefunden werden, um die Modelldateien abzulegen. Der Arbeitsspeicher gewöhnlicher TV-Boxen oder solcher Boxen, die angegriffen werden können, ist sehr klein. Wenn eine einzelne Box das gesamte Modell allein speichern soll, stößt man zuerst an diese Hürde.

Die verteilte Inferenz bietet eine Lösung: Indem verschiedene Schichten des Modells auf verschiedene Geräte verteilt werden, werden die Berechnungsergebnisse nacheinander zwischen den Geräten übermittelt, sodass das vorherige Gerät den ihm zugewiesenen Teil berechnet, das Ergebnis an das nächste Gerät zur weiteren Verarbeitung weitergibt und schließlich die nächste Ausgabe erzielt wird.

Diese Idee wurde bereits in früheren Forschungsarbeiten praktiziert: In einer Arbeit wurde versucht, Modellschichten verteilt bereitzustellen, damit mehrere Consumer-Geräte gemeinsam große Modelle ausführen können. Die Geräte müssen nur zusätzlich Daten übertragen, den Ausführungszustand verwalten und das Problem der Nachfolge bei Ausfall eines Knotens behandeln – dann kann die Bereitstellung großer Modelle ebenfalls realisiert werden.

Diese 15 Boxen führen gemeinsam ein einziges Modell aus, wobei jede Box nur den ihr zugewiesenen Teil speichert und berechnet.

Dieses Vorgehen entlastet den Arbeitsspeicher eines einzelnen Geräts, hat aber auch seinen Preis. Nach den experimentellen Ergebnissen von Anthropic beträgt die endgültige Geschwindigkeit 0,39 Token pro Sekunde, wenn Gemma4-26B-A4B, ein Modell mit 26 Milliarden Parametern, in kleine Stücke zerlegt und an 15 Boxen verteilt wird.

Aber für ein Programm, das möglicherweise lange im Hintergrund läuft, führt eine langsame Geschwindigkeit nicht automatisch dazu, dass es seine Arbeit einstellt.

Selbstvervielfältigung kleiner Modelle

Nachdem das Modell auf solchen Haushaltsgeräten ausgeführt werden kann, wird die Art der Vervielfältigung zu einem neuen Problem.

Ein traditioneller Computervirus (Wurm) ist ein sich selbst vervielfältigendes Programm: Er dringt in einen Computer ein, kopiert sich selbst dorthin und dringt vom neuen Computer aus in den nächsten ein – der gesamte Vorgang läuft ohne menschliche Bedienung ab.

Die „autonome Vervielfältigung und Verbreitung kleiner Modelle“ ersetzt dieses Programm durch ein KI-Modell: Das Modell selbst ist der „Körper des Virus“, es schließt den gesamten Zyklus mit seiner eigenen Intelligenz ab, anstatt auf fest programmierte Angriffsskripte angewiesen zu sein.

Abbildung ｜ Vervielfältigung auf einem Redroid-Cluster mit 17 Knoten

Gemäß den vier Phasen der Vervielfältigung, die von Anthropic beschrieben werden, können wir eine KI als Beispiel nehmen, die ein intelligentes Gerät infiziert hat: Sie wird selbstständig Ziele entdecken, indem sie das Netzwerk scannt und andere vernetzte Geräte findet, beispielsweise die TV-Box des Nachbarn oder andere Smart-Home-Geräte im selben Netzwerk.

Bald wird dieses kleine Modell Sicherheitslücken oder Standardpasswörter des Geräts nutzen, um Ausführungsberechtigungen zu erhalten. Nach dem Eindringen und der Erlangung der Kontrolle siedelt es sich weiter auf dem neuen Gerät an. Die konkrete Vorgehensweise besteht darin, seine eigenen Gewichtsdateien – das mehrere GB große Modell selbst – zu kopieren und den Inferenzdienst auf dieser völlig unbekannten Hardware auszuführen.

Schließlich vervielfältigt es sich vom neuen Gerät aus weiter und wiederholt den oben genannten Vorgang: Eins wird zu zehn, zehn zu hundert. Auf diese Weise verbreitet sich die KI wie ein Virus zwischen den Geräten und bildet ein Botnetz, das von ihr selbst kontrolliert wird.

Der größte Unterschied zu traditionellen Würmern besteht darin, dass KI-Würmer ihre „Erfahrungen“ an Nachkommen weitergeben können. In der Forschung gab es auch einen Test im Zusammenhang mit „Anpassung“: Eine neue Instanz von Qwen3.5-9B erbt den Code, die Umgebung und kurze Notizen der vorherigen Instanz und versucht dann, die Bereitstellung durchzuführen.

Nach sechs Generationen der Weitergabe haben diese Arbeitsaufzeichnungen darüber, welche Methoden bereits ausprobiert wurden und welche fehlgeschlagen sind, die Erfolgsrate des Aufbaus der Inferenzumgebung von 45 % in der ersten Generation auf 61 % bis 84 % gesteigert.

Die Forscher fanden jedoch auch ein etwas humorvolles Detail heraus: Es nützt nichts, wenn kleine Modelle stärkere Spitzenmodelle um Hilfe rufen. Kleine Modelle wissen oft nicht einmal, welche Fragen sie überhaupt stellen sollen.

Wie lange dauert es bis zur tatsächlichen Verbreitung?

Wie bereits erwähnt, muss die fortlaufende Vervielfältigung kleiner KI-Modelle auf gewöhnlichen Geräten mindestens zwei Bedingungen gleichzeitig erfüllen: Das Modell muss hineinpassen und über die Fähigkeit verfügen, die neue Ausführungsumgebung aufzubauen.

Obwohl Anthropic derzeit nur Fortschritte in beiden Bereichen getrennt nachgewiesen hat, wurde noch kein vollständiger geschlossener Zyklus von der Bereitstellung bis zur weiteren Verbreitung auf echten TV-Boxen demonstriert.

Und die Verbreitungsgeschwindigkeit dieses KI-Virus wird nicht sehr hoch sein. Unter den Beschränkungen der Rechenleistung von TV-Boxen haben sie die Inferenzgeschwindigkeit echter Boxen mit dem Rechenverbrauch der Bereitstellungsaufgaben kombiniert und geschätzt, dass Qwen3.5-9B etwa 28 bis 51 Stunden für die Durchführung einer Inferenzbereitstellung benötigt.

Es ist kein loderndes Feuer, sondern ein Schleimpilz, eine Gruppe von Fruchtfliegen, die sich im Tagesrhythmus langsam verdoppeln.

Aber wenn viele Geräte einzeln oder in Gruppen Modellkopien ausführen, wird das Sperren der Konten eines bestimmten KI-Dienstes nicht unbedingt alle Instanzen beenden können.

Unter Bezugnahme auf die maximale Größe des Kimwolf-Botnets mit über 2 Millionen Geräten geschätzt: Wenn jeweils 15 TV-Boxen eine Modellkopie versorgen, wird der gesamte Wurmpopulation über etwa 133.000 „Individuen“ mit einer gesamten Rechenleistung von etwa 40 H100 verfügen.

Diese Zahl ist im Wettrüsten um Rechenleistung nicht erwähnenswert, aber das Schreckliche an ihr liegt in einer anderen Eigenschaft: Ohne zentrale Knoten gibt es keinen Ausschalter. Wir können es nicht abschalten, wie wir ein Unternehmen schließen würden, sondern müssen jedes Gerät einzeln säubern.

Vernetzte Geräte wie TV-Boxen und Überwachungskameras waren in der Vergangenheit bereits Ziele großangelegter Botnets. Eine Studie von USENIX Security 2017 dokumentiert, wie kostengünstige Geräte zentral genutzt werden können, und zeigt auch, dass die Sicherheit