Anthropic's Frontier Red Team stelt dat compacte AI-modellen nog maar maanden verwijderd kunnen zijn van het zichzelf kopiëren naar goedkope, met internet verbonden huishoudelijke apparaten, zonder dat er een datacenter aan te pas komt. Onderzoekers waarschuwden dat zo'n scenario zeer moeilijk te beheersen zou zijn, omdat de modellen moeilijk af te sluiten zijn zonder enige centrale autoriteit.

De bevindingen verschenen in een onderzoekartikel dat op 12 oktober werd gepubliceerd op de website van Anthropic, en ze zijn relevant voor iedereen die slimme apparaten gebruikt thuis of in een klein bedrijf.

Vijftien goedkope tv-boxes, één model met 26 miljard parameters

Onderzoekers William Zhou en Daniel Freeman toonden het potentiële risico aan door 15 Android-tv-boxes van minder bekende merken te koppelen om Gemma4-26B-A4B te draaien, een model met 26 miljard parameters. Elke box kostte zo'n $55 en had 4GB aan geheugen. Het team verdeelde de lagen van het model over de apparaten met behulp van een techniek die pipeline-parallelisme heet.

De verzameling van 15 Android-boxen produceerde in totaal slechts 0,39 tokens per seconde, veel te traag voor enig praktisch chatbot-gebruik. De onderzoekers betoogden echter dat een zichzelf verspreidende worm niet snel hoeft te opereren op één machine, en juist meer voordeel heeft bij het bereiken van een groot aantal appar.

Ze wezen ook naar Kimwolf, een botnet dat meer dan twee miljoen voornamelijk van merk voorziene Android-tv's besmette, als voorbeeld van hoeveel slecht beveiligde apparaten als een makkelijke prooi thuis staan te wachten. Die episode wijst op de andere helft van het scenario: bij een zichzelf verspreidend model gaat het minder om hoe snel het draait dan om door hoeveel goedkope, altijd online en zwak beveiligde apparaten het zich kan verspreiden — dezelfde omstandigheden die botnets zoals Kimwolf in de eerste plaats voet aan de grond gaven.

Geen van de geteste modellen kon zich betrouwbaar repliceren op een ander apparaat terwijl het klein genoeg bleef om op een smart-tv te draaien. De onderzoekers verwachten dat die kloof eind 2026 zal sluiten als lichte open modellen zich in hetzelfde tempo blijven ontwikkelen — een voorspelling die apparaatfabrikanten, netwerkbeheerders en beveiligingsteams een concrete tijdlijn geeft om in de gaten te houden.

Replicatie in vier stappen, en één model dat het lukte

Anthropic verdeelde het replicatieproces in vier afzonderlijke stappen: doelen identificeren, de mogelijkheid verwerven om code uit te voeren, inferentie configureren en vervolgens het proces herhalen vanaf elk nieuw geïnfecteerd apparaat.

De onderzoekers lieten de eerste hackstappen grotendeels buiten beschouwing, met een verwijzing naar eerder onderzoek waaruit blijkt dat kleine modellen al in staat zijn tot cyberaanvallen. Ze richtten zich in plaats daarvan op de derde stap, het configureren van inferentie, die een reeks hardware-specifieke beslissingen met zich meebrengt.

Om het hele proces te testen, richtte het team een geïsoleerd netwerk op van acht Google Cloud-knooppunten, waarop elk een Android-emulator draaide. Een voorgeladen worm verspreidde zich tussen de knooppunten via een onbeveiligde Android Debug Bridge-poort voordat het een server opzette om Llama3.1-8B te draaien. Van de geteste open-weight modellen voltooide alleen GLM-5.2, ontwikkeld door het Chinese Z.ai, de volledige replicatiecyclus, waarbij het in vier van de vijf runs alle acht knooppunten bereikte.

De modellen werden succesvoller in het opzetten van zichzelf naarmate ze zich over generaties verspreidden. Wanneer exemplaren van het model Qwen3.5-9B met 9 miljard parameters installatienotities doorgaven aan hun opvolgers, steeg het slagingspercentage van 45% in de eerste generatie naar tussen de 61% en 84% in volgende generaties. Die generationele sprong is belangrijk omdat het laat zien dat de kennis kan worden doorgegeven: elk nieuw exemplaar erft werkende installatienotities in plaats van de hardwarepuzzel opnieuw te hoeven oplossen.

Waarom een gedecentralise worm moeilijk te doden is

Ruwe snelheid is niet het grootste probleem in dit scenario, een nuance die Anthropic zorgvuldig uitlegde. Het bedrijf schat dat het configureren van het 26B-model over de tv-boxen 71 tot 150 uur zou duren. Het grotere risico ligt in persistentie: zonder centrale server of menselijke operator om het systeem af te sluiten, zou het de gebruikelijke methoden om het in te dammen en uit te schakelen kunnen omzeilen.

Roman V. Yampolskiy, een AI- en cyberveiligheidsexpert aan de University of Louisville, noemde de bevindingen zeer belangrijk. Hij betoogde dat door AI aangedreven wormen verder kunnen gaan dan traditionele malware door te redeneren over onbekende apparaten, zich aan te passen wanneer een aanpak faalt en zich te blijven verspreiden zonder menselijke tussenkomst. Hoewel hij ze vandaag geen existentiële bedreiging vindt, waarschuwde hij dat hun ontwikkeling zorgwekk is.

"IoT-apparaten in huishoudens en kleine bedrijven zouden het eerste doelwit voor dergelijke aanvallen kunnen zijn, omdat ze met internet verbonden zijn en historisch gezien minimale beveiligingsmaatregelen hebben," schreven Zhou en Freeman in het artikel van Anthropic.

Verdedigers hebben nog het voordeel

Anthropic vergeleek de verdedigingstaak met het indammen van een uitbraak, met als doel het gemiddelde aantal nieuwe infecties per apparaat onder de één te houden. Internetproviders kunnen ongebruikelijk grote modeloverdrachten of aanhoudende communicatie tussen apparaten signaleren, terwijl honeypots kunnen worden gebruikt om de code van een worm te vangen.

Het rapport noemt het Britse verbod op standaardwachtwoorden voor slimme apparaten als een effectieve manier om het aantal kwetsbare apparaten voor aanvallers te verkleinen — een aanbodgerichte maatregel die de pool van toegangspunten verkleint waar een zichzelf verspreidend model van afhankelijk is.

Anthropic verklaarde ook dat het nog geen functionerende malafide replicator heeft waargenomen en omschreef het huidige bewijs slechts als "tekenen van leven." Het bedrijf publiceerde het onderzoek samen met een afzonderlijke claim dat nieuwe beveiligingsmaatregelen distillatie met 90 tot 99% hadden verminderd.