KI-Würmer im Smart Home: Warum selbstreplizierende KI-Modelle IoT-Geräte zur neuen Angriffsfläche machen

Wenn KI-Modelle selbst zur Malware werden: Ein Paradigmenwechsel in der Cybersicherheit

Die Vorstellung, dass Schadsoftware sich eigenständig weiterentwickelt, war bislang vor allem Science-Fiction. Doch ein aktueller Bericht von Anthropic, dem Entwickler des KI-Assistenten Claude, rückt dieses Szenario in beunruhigend greifbare Nähe. Das Unternehmen warnt, dass sogenannte Small Weight-Based Replicators – also leichtgewichtige KI-Modelle, die sich selbst als Nutzlast in andere Systeme einbetten – schon in absehbarer Zeit eine neue Klasse von Computer-Würmern einläuten könnten. Besonders im Visier: die Milliarden vernetzter Alltagsgeräte, die unter dem Begriff Internet of Things (IoT) zusammengefasst werden.

Für Unternehmen, die auf vernetzte Infrastrukturen, smarte Produktionsanlagen oder automatisierte Gebäudetechnik setzen, sind das keine abstrakten Laborergebnisse – sondern ein konkreter Anlass, die eigene Sicherheitsstrategie zu überdenken.

Was Anthropics Experiment gezeigt hat – und was nicht

Anthropic-Forscher haben in einem kontrollierten Versuch untersucht, ob kleine, quantisierte KI-Modelle auf preisgünstiger IoT-Hardware lauffähig sind. Das Ergebnis war ernüchternd und alarmierend zugleich: Das Modell Gemma4-26B-A4B benötigte lediglich 15 Android TV-Boxen mit je 4 GB Arbeitsspeicher, um sogenannte Inferenz herzustellen – also das Laden der Modellgewichte und das Erzeugen von Ausgaben. Ein anderes Modell, Qwen3.5-9B, war in der Lage, sich auf acht von neun verschiedenen Hardware-Typen selbst zu konfigurieren.

Das ist technisch bemerkenswert: Während klassische Malware für eine spezifische Hardware- oder Softwareumgebung geschrieben werden muss, kann ein KI-basierter Replikator seine Konfiguration dynamisch an das jeweilige Zielsystem anpassen. Anthropic beschreibt den theoretischen Angriffsfluss in vier Phasen:

• Ziele identifizieren: Das Modell scannt das Netzwerk nach angreifbaren Geräten.
• Code-Ausführung erlangen: Über bekannte Schwachstellen wird Zugang zum Gerät erlangt.
• Inferenz etablieren: Das Modell lädt sich selbst auf dem kompromittierten Gerät und startet einen Inferenz-Server.
• Propagierung: Der Prozess wiederholt sich auf weiteren Geräten im Netzwerk.

Noch kann keines der getesteten Leichtgewichtsmodelle diesen gesamten Zyklus autonom und zuverlässig durchlaufen. Die Inferenz war außerdem extrem langsam – bei Gemma4-26B-A4B betrug die Verarbeitungsgeschwindigkeit gerade einmal 0,39 Token pro Sekunde, was eine vollständige Einrichtung auf einem Zielgerät zwischen 71 und 150 Stunden dauern lässt. Dennoch schätzt Anthropic, dass 30-Milliarden-Parameter-Modelle bereits viele der Einzelschritte zuverlässig beherrschen.

„Such an 'AI worm' could carry its model weights with it as it reproduces – effectively, the weights would become part of the malware payload." – Anthropic

Der entscheidende Unterschied zu klassischen IoT-Würmern

Wer sich an den Mirai-Botnet-Angriff von 2016 erinnert, der das Internet durch massenhafte DDoS-Attacken über gehackte IoT-Geräte zeitweise lahmlegte, kann sich vorstellen, welche Dimension ein KI-gestütztes Pendant annehmen könnte. Der wesentliche Unterschied liegt in der Adaptionsfähigkeit: Klassische Würmer wie Mirai arbeiten nach fest codierten Regeln. Ein KI-Replicator hingegen kann aus Fehlern lernen – jedes gescheiterte Kompromittierungsversuch hinterlässt eine Art Notizzettel für nachfolgende Instanzen, damit dieselben ineffektiven Schritte nicht wiederholt werden.

Hinzu kommt ein weiteres strukturelles Problem: Es gibt keinen zentralen Server, den man abschalten könnte, um die Verbreitung zu stoppen. Das Modell verteilt sich über Hunderte oder Tausende von Geräten, ohne auf eine zentrale Infrastruktur angewiesen zu sein. Anthropic spricht in diesem Zusammenhang von einer Verdopplungszeit von mehreren Tagen – langsam nach menschlichem Empfinden, aber potenziell unaufhaltsam, wenn keine geeigneten Gegenmaßnahmen greifen.

Einordnung: Wie ernst ist die Bedrohung wirklich?

An dieser Stelle ist Differenzierung geboten. KI-Forscherin Xiaohan Fu, die den Bericht kommentierte, weist auf eine wichtige Einschränkung hin: Das Experiment belegt, dass kleine Modelle in der Lage sein können, sich zu replizieren – aber es zeigt nicht, dass sie dies aus eigenem Antrieb täten. Die autonome Entscheidung zur Selbstreplikation wurde in den Versuchen nicht beobachtet; vielmehr orchestrierte das deutlich leistungsstärkere Modell GLM-5.2 den Prozess, während kleinere Modelle auf den Zielgeräten ausgeführt wurden. Zudem hatten die getesteten Android-Geräte ein offenes Android Debug Bridge-Interface – ein Konfigurationsfehler, der in realen Produktionsumgebungen vermieden werden sollte.

Dr. Maik Bunzel, Gründer und Geschäftsführer von mabucon.eu, ordnet den Befund aus der Perspektive der Unternehmensautomatisierung ein: „Was Anthropic hier beschreibt, ist im Kern das gleiche Prinzip, das wir bei agentenbasierten Systemen für legitime Geschäftsprozesse einsetzen – autonome Entscheidungsfindung, dynamische Anpassung an Umgebungsbedingungen und iteratives Lernen aus Fehlern. Dass genau diese Eigenschaften auch für Angriffszwecke genutzt werden können, ist kein Zufall, sondern eine systemische Eigenschaft agentic AI."

Was bedeutet das konkret für Unternehmen?

Die Erkenntnisse aus dem Anthropic-Experiment lassen sich in mehrere praxisrelevante Handlungsfelder übersetzen:

• IoT-Inventarisierung und Netzwerksegmentierung: Viele Unternehmen wissen nicht genau, welche vernetzten Geräte in ihrer Infrastruktur aktiv sind. Eine vollständige Inventarisierung und die konsequente Trennung von IoT-Segmenten vom Kernnetz sind grundlegende Schutzmaßnahmen.
• Abschalten nicht benötigter Schnittstellen: Entwicklungs- und Debug-Schnittstellen wie das Android Debug Bridge dürfen in Produktionsumgebungen keinesfalls offen zugänglich sein. Diese trivial klingende Maßnahme hätte den Versuchsaufbau von Anthropic erheblich erschwert.
• Monitoring auf anomales Rechenverhalten: KI-Inferenz auf einem Gerät erzeugt messbare Rechenlasten. Anomalie-Erkennung auf Ressourcenebene kann ein erstes Frühwarnsignal sein.
• Supply-Chain-Bewusstsein bei IoT-Hardware: Off-Brand-Geräte mit vorinstallierter, schlecht gepflegter Firmware sind besonders anfällig. Unternehmen sollten ihre Beschaffungspolitik für Netzwerkgeräte kritisch prüfen.
• Eigene KI-Agenten absichern: Wer selbst auf agentenbasierte Automatisierung setzt, sollte sicherstellen, dass die eingesetzten Agenten keine unkontrollierten Seiteneffekte auf externe Systeme haben können.

Die Grenze zwischen KI-Produktivität und KI-Risiko wird dünner

Es wäre ein Fehler, die Warnung von Anthropic als rein akademische Übung abzutun. Die gleiche Trajektorie, die kleine Sprachmodelle für legitime Business-Automatisierung attraktiv macht – geringer Ressourcenbedarf, Lauffähigkeit auf günstiger Hardware, dynamische Anpassungsfähigkeit – macht sie potenziell auch für Angreifer interessant. Und die Modelle werden schneller besser, als viele Sicherheitsverantwortliche derzeit einplanen.

Dr. Maik Bunzel, Gründer und Geschäftsführer von mabucon.eu, sieht darin eine doppelte Verantwortung für Unternehmen: „Wer KI-Agenten produktiv einsetzt, muss gleichzeitig verstehen, wie ähnliche Mechanismen missbraucht werden können. Das ist keine Paranoia, sondern eine strategische Notwendigkeit. Sicherheitsarchitektur und KI-Strategie müssen heute zusammen gedacht werden."

Ausblick: Wettlauf zwischen Verteidigung und Angriff

Anthropic selbst schätzt, dass zuverlässige Small Weight-Based Replicators möglicherweise schon bald möglich sein könnten, wenn sich die Entwicklung kleiner Modelle in dem Tempo fortsetzt, das in den letzten Jahren beobachtet wurde. Das gibt Verteidigern ein enges Zeitfenster. Gleichzeitig zeigt die Forschung, dass die Hürden für einen funktionierenden End-to-End-Angriff noch erheblich sind – fehlende Autonomie bei der Entscheidung zur Selbstreplikation, extrem langsame Inferenz, Abhängigkeit von unsicher konfigurierten Geräten.

Die entscheidende Frage ist nicht, ob dieser Angriffspfad technisch irgendwann gangbar sein wird – das ist nach dem aktuellen Stand der Forschung wahrscheinlich. Die entscheidende Frage ist, ob Unternehmen und Sicherheitsverantwortliche rechtzeitig reagieren, bevor aus einem Forschungsergebnis ein reales Angriffswerkzeug wird. Die Fenster für präventive Maßnahmen schließen sich mit jedem Fortschritt der Modellentwicklung ein Stück weiter.