Anthropics Frontier Red Team hat am 12. Oktober einen Bericht veröffentlicht, der sehr nüchtern geschrieben ist und trotzdem hängen bleibt. Die Kernaussage: Kleine KI-Modelle sind vielleicht nur Monate davon entfernt, sich ohne Rechenzentrum selbst zu verbreiten. Auf smarten Öfen. Auf billigen Android-TV-Boxen. Auf Geräten, die nie jemand patcht.
15 Fernsehboxen, zwei Modellschichten pro Box
William Zhou und Daniel Freeman haben 15 No-Name-Android-Boxen für je rund 55 Dollar gekauft, vernetzt und Gemma4-26B-A4B darauf verteilt. Jede Box hält zwei Schichten des Modells, geteilt per Pipeline-Parallelismus. Es läuft: 0,39 Token pro Sekunde. Bei 4 GB RAM und 4-Bit-Quantisierung reichen vier Geräte für ein 9B-Modell und zehn für ein 26B-Modell.
Dann kommt die eigentliche Frage. Kann ein Modell die ganze Kette allein durchlaufen? Ziel finden, Zugriff bekommen, Gewichte kopieren, Inferenz aufsetzen, von dort weiterziehen. Dafür haben die beiden eine abgeschottete Umgebung aus acht Cloud-Knoten mit Android-Emulatoren gebaut, Ausgangspunkt ein infizierter Knoten. Von den getesteten offenen Modellen hat genau eines die volle Kette geschafft: GLM-5.2, und das zuverlässig, in vier von fünf Durchläufen auf alle acht Knoten.
Über GLM-5.3 und seine Exploits ohne Schutzmechanismen habe ich Ende September geschrieben. Jetzt ist die Vorgängerversion die Messlatte für Selbstreplikation.
Zwei Linien, die sich noch nicht kreuzen
Anthropic beschreibt das Problem als Boden und Decke. Der Boden ist die Fähigkeit, die ein Wurm braucht, um die Kette zuverlässig zu schaffen. Die Decke ist die Modellgröße, die auf dem Zielgerät überhaupt läuft. GLM-5.2 liegt über dem Boden, Qwen3.5-9B und Gemma4-26B-A4B passen unter die Decke. Beides trifft sich noch nicht.
Die Verlängerung der Trendlinie ist der unangenehme Teil: Offene Modelle unter 30 Milliarden Parametern gewinnen pro Jahr 13,7 Punkte im Epoch Capabilities Index. Nach dieser Rechnung erreicht ein kleines Modell das Niveau von GLM-5.2 bis Ende 2026.
Ein Schleimpilz, kein Blitzkrieg
Schnell wäre so ein Wurm nicht. Für einen vollständigen Inferenz-Aufbau braucht Gemma4-26B-A4B 71 bis 150 Stunden, Qwen3.5-9B 28 bis 51. Das Kimwolf-Botnet kam auf über zwei Millionen Geräte, meist Android-TV-Boxen. In einer gleich großen Flotte ergäbe das etwa 133.000 Kopien und 80.000 Token pro Sekunde, also die Rechenleistung von rund 40 H100. Anthropic vergleicht das Ganze mit einem Schleimpilz: breitet sich über Tage aus, lässt sich schwer greifen, hat keinen Ausschaltknopf.
Und es lernt dabei. In einem Versuch gibt jede Modellinstanz ihre Notizen an die nächste weiter. Die Erfolgsquote beim Inferenz-Aufbau steigt über sechs Generationen von 45 auf 61 bis 84 Prozent. Hilfe von einem stärkeren Modell bringt dagegen nichts: Qwen3.5-9B durfte Opus 4.8 fragen und wurde messbar nicht besser. Kleine Modelle wissen nicht, was sie fragen sollen.
Das Gegenmittel ist unspektakulär
Was hilft, klingt nach Epidemiologie: R₀ unter 1 drücken. Mehrere Gigabyte Modellgewichte zwischen Fernsehern erzeugen eine Verkehrssignatur, die ISPs sehen können. Beim Mirai-Botnet hat Quarantäne mit Benachrichtigung 92 Prozent der Infektionen in 14 Tagen beseitigt, ohne Benachrichtigung waren es 74. Dazu Hersteller, die Standardpasswörter weglassen, wie es Großbritannien inzwischen vorschreibt.
Kein neues Werkzeug also, kein KI-Schutzschild. Die Verteidigung gegen autonome Modelle sieht aus wie Botnet-Bekämpfung von 2016, nur gegen einen Gegner, der sich an unbekannte Hardware anpassen kann. Dass Anthropic das „Signs of life“ nennt, ist die ehrlichste Formulierung im ganzen Bericht.