KI-orme i det smarte hjem: Hvorfor selvreplikerende KI-modeller gør IoT-enheder til en ny angrebsflade

Når AI-modeller selv bliver til malware: Et paradigmeskifte inden for cybersikkerhed

Forestillingen om, at skadelig software udvikler sig selvstændigt, har hidtil primært tilhørt science fiction. Men en aktuel rapport fra Anthropic, udvikleren bag AI-assistenten Claude, bringer dette scenarie bekymrende tæt på virkeligheden. Virksomheden advarer om, at såkaldte Small Weight-Based Replicators – altså letvægts-AI-modeller, der indlejrer sig selv som nyttelast i andre systemer – inden for overskuelig fremtid kan indvarsle en ny klasse af computerorme. I særlig fokus: de milliarder af forbundne hverdagsenheder, der samles under betegnelsen Internet of Things (IoT).

For virksomheder, der satser på forbundne infrastrukturer, smarte produktionsanlæg eller automatiseret bygningsautomation, er dette ingen abstrakte laboratorieresultater – men en konkret anledning til at gentænke sin egen sikkerhedsstrategi.

Hvad Anthropics eksperiment viste – og hvad det ikke viste

Anthropic-forskere har i et kontrolleret forsøg undersøgt, om små, kvantiserede AI-modeller kan køre på billig IoT-hardware. Resultatet var på én gang ernøgternende og alarmerende: Modellen Gemma4-26B-A4B krævede blot 15 Android TV-bokse med hver 4 GB arbejdshukommelse for at etablere såkaldt inferens – det vil sige indlæsning af modelvægtene og generering af output. En anden model, Qwen3.5-9B, var i stand til at konfigurere sig selv på otte ud af ni forskellige hardwaretyper.

Det er teknisk bemærkelsesværdigt: Mens klassisk malware skal skrives til et specifikt hardware- eller softwaremiljø, kan en AI-baseret replikator dynamisk tilpasse sin konfiguration til det respektive målsystem. Anthropic beskriver det teoretiske angrebsforløb i fire faser:

• Identificere mål: Modellen scanner netværket for sårbare enheder.
• Opnå kodeudførelse: Adgang til enheden opnås via kendte sårbarheder.
• Etablere inferens: Modellen indlæser sig selv på den kompromitterede enhed og starter en inferensserver.
• Propagering: Processen gentager sig på yderligere enheder i netværket.

Endnu kan ingen af de testede letvægtsmodeller gennemløbe hele denne cyklus autonomt og pålideligt. Inferensen var desuden ekstremt langsom – ved Gemma4-26B-A4B var behandlingshastigheden blot 0,39 token pr. sekund, hvilket betyder, at en fuldstændig opsætning på en målenhed tager mellem 71 og 150 timer. Ikke desto mindre vurderer Anthropic, at modeller med 30 milliarder parametre allerede behersker mange af enkelttrinnene pålideligt.

„Such an 'AI worm' could carry its model weights with it as it reproduces – effectively, the weights would become part of the malware payload." – Anthropic

Den afgørende forskel fra klassiske IoT-orme

Den, der husker Mirai-botnet-angrebet fra 2016, som midlertidigt lammede internettet gennem massive DDoS-angreb via hackede IoT-enheder, kan forestille sig, hvilken dimension et AI-understøttet modstykke kunne antage. Den væsentlige forskel ligger i tilpasningsevnen: Klassiske orme som Mirai arbejder efter fast kodede regler. En AI-replikator kan derimod lære af fejl – hvert mislykket kompromitteringsforsøg efterlader en slags noteseddel til efterfølgende instanser, så de samme ineffektive trin ikke gentages.

Hertil kommer endnu et strukturelt problem: Der er ingen central server, man kan slukke for at stoppe udbredelsen. Modellen fordeler sig over hundredvis eller tusindvis af enheder uden at være afhængig af en central infrastruktur. Anthropic taler i denne sammenhæng om en fordoblingshastighed på flere dage – langsom efter menneskelig målestok, men potentielt ustoppelig, hvis ingen egnede modforanstaltninger slår til.

Vurdering: Hvor alvorlig er truslen egentlig?

På dette punkt er nuancering påkrævet. AI-forsker Xiaohan Fu, der kommenterede rapporten, påpeger en vigtig begrænsning: Eksperimentet dokumenterer, at mindre modeller kan være i stand til at replikere sig selv – men det viser ikke, at de ville gøre det af egen drift. Den autonome beslutning om selvreplikation blev ikke observeret i forsøgene; det var snarere den betydeligt mere kraftfulde model GLM-5.2, der orkestrerede processen, mens mindre modeller blev eksekveret på målenhederne. Desuden havde de testede Android-enheder et åbent Android Debug Bridge-interface – en konfigurationsfejl, der bør undgås i reelle produktionsmiljøer.

Dr. Maik Bunzel, grundlægger og administrerende direktør for mabucon.eu, sætter fundet i perspektiv ud fra en virksomhedsautomatiseringsvinkel: „Det, Anthropic beskriver her, er i kernen det samme princip, vi anvender i agentbaserede systemer til legitime forretningsprocesser – autonom beslutningstagning, dynamisk tilpasning til miljøbetingelser og iterativ læring af fejl. At netop disse egenskaber også kan udnyttes til angrebsformål, er ikke tilfældigt, men en systemisk egenskab ved agentic AI."

Hvad betyder det konkret for virksomheder?

Erkendelserne fra Anthropic-eksperimentet kan omsættes til flere praksisnære handlingsfelter:

• IoT-inventarisering og netværkssegmentering: Mange virksomheder ved ikke præcist, hvilke tilsluttede enheder der er aktive i deres infrastruktur. En fuldstændig inventarisering og konsekvent adskillelse af IoT-segmenter fra kernenetværket er grundlæggende beskyttelsesforanstaltninger.
• Deaktivering af unødvendige grænseflader: Udviklings- og debug-grænseflader som Android Debug Bridge må under ingen omstændigheder være åbent tilgængelige i produktionsmiljøer. Denne tilsyneladende trivielle foranstaltning ville have besværliggjort Anthropics forsøgsopsætning betydeligt.
• Overvågning af anomal beregningsadfærd: KI-inferens på en enhed skaber målbar beregningsbelastning. Anomalidetektion på ressourceniveau kan være et første tidligt advarselssignal.
• Supply-chain-bevidsthed ved IoT-hardware: Off-brand-enheder med forudinstalleret, dårligt vedligeholdt firmware er særligt sårbare. Virksomheder bør kritisk gennemgå deres indkøbspolitik for netværksenheder.
• Sikring af egne KI-agenter: Den, der selv anvender agentbaseret automatisering, bør sikre, at de anvendte agenter ikke kan have ukontrollerede sideeffekter på eksterne systemer.

Grænsen mellem KI-produktivitet og KI-risiko bliver tyndere

Det ville være en fejl at afvise Anthropics advarsel som en rent akademisk øvelse. Den samme trajektorie, der gør små sprogmodeller attraktive til legitim forretningsautomatisering – lavt ressourceforbrug, evnen til at køre på billig hardware, dynamisk tilpasningsevne – gør dem potentielt interessante for angribere. Og modellerne bliver bedre hurtigere, end mange sikkerhedsansvarlige aktuelt planlægger for.

Dr. Maik Bunzel, grundlægger og administrerende direktør for mabucon.eu, ser heri et dobbelt ansvar for virksomheder: „Den, der anvender KI-agenter produktivt, skal samtidig forstå, hvordan lignende mekanismer kan misbruges. Det er ikke paranoia, men en strategisk nødvendighed. Sikkerhedsarkitektur og KI-strategi skal i dag tænkes sammen."

Udsigt: Kapløbet mellem forsvar og angreb

Anthropic selv vurderer, at pålidelige Small Weight-Based Replicators muligvis snart kunne blive mulige, hvis udviklingen af små modeller fortsætter i det tempo, der er blevet observeret de seneste år. Det giver forsvarerne et snævert tidsvindue. Samtidig viser forskningen, at barriererne for et fungerende end-to-end-angreb stadig er betydelige – manglende autonomi i beslutningen om selvre plikering, ekstremt langsom inferens og afhængighed af usikkert konfigurerede enheder.

Det afgørende spørgsmål er ikke, om denne angrebssti teknisk set på et tidspunkt vil blive farbar – det er sandsynligt ud fra den aktuelle forskningstilstand. Det afgørende spørgsmål er, om virksomheder og sikkerhedsansvarlige reagerer i tide, inden et forskningsresultat bliver til et reelt angrebsværktøj. Vinduerne for præventive foranstaltninger lukker sig lidt mere for hver fremskridt inden for modeludvikling.