Anthropic test AI-wormreplicatie in Android-emulators

AI-wormen: Anthropic meldt op 12 oktober dat modellen tot 30 miljard parameters veel losse replicatiestappen aankunnen en alleen GLM-5.2 de volledige cyclus in een vereenvoudigde emulatorproef voltooide.

Goedkope Android-tv-boxen, camera’s en vergaderruimteapparatuur komen daarmee in beeld als mogelijke rekenhosts. Voor Nederlandse organisaties betekent dat een nieuwe beheervraag: apparaten buiten het gewone IT-overzicht kunnen na besmetting rekenkracht aan een aanval leveren. De volledige cyclus draaide alleen op acht afgeschermde Android-emulators met een onbeveiligde ADB-poort, niet op een live IoT-netwerk.

De tv-boxen draaiden alleen inferentie

Anthropic koppelde vijftien goedkope Android-tv-boxen van ongeveer 55 dollar per stuk. Elke box had 4 GB RAM. Samen draaiden ze Gemma4-26B-A4B met 0,39 tokens per seconde. De lagen van het model waren verdeeld over de apparaten. Zo liet het team zien dat goedkope consumentenhardware samen een lokaal model kan uitvoeren. Deze demonstratie was inferentie, geen zelfreplicatie.

In een aparte meting zette Qwen3.5-9B op acht van negen geteste hardwaretypen een inferentieserver op. De lijst liep uiteen van Nvidia Jetson Nano’s tot Mac-pc’s en RTX 4090’s. Dat meet of een model de juiste software en instellingen voor een onbekende machine kan vinden en herstellen. Het toont geen kwetsbaarheid in die chips of apparaten. Anthropic noemt zulke hardware expliciet geen bron van risico.

De wormcyclus liep over een open ADB-poort

Voor de volledige keten bouwde het team een afgeschermd Google Cloud-netwerk met acht nodes waarop redroid draaide, een emulator voor Android 15. Eén node begon als besmet startpunt. De worm ging naar een volgende node via een ADB-poort zonder authenticatie, zette daar een inferentieserver op en herhaalde dat proces. De onderzoekers maakten de toegangscontrole bewust eenvoudig.

Alleen GLM-5.2 bereikte alle acht nodes in vier van de vijf proeven. In de vijfde kwam het model tot zeven nodes. Bij een geslaagde stap moest de doelnode een inferentieserver voor Llama 3.1 8B opzetten. De grotere modellen die de uitvoering aanstuurden, draaiden op een aparte inferentieserver omdat de emulatornodes daarvoor te klein waren. De uitkomst veronderstelt dat de vaardigheden van GLM-5.2 in een model van 8 miljard parameters passen.

Techzine schrijft dat de proef niet aantoont dat modellen zich in de praktijk autonoom door echte netwerken verspreiden. Dat is ook de grens die Anthropic zelf trekt: de onderzoekers noemen de ongeauthenticeerde ADB-poort een vereenvoudigde toegangsstap en hun uitkomst een bovengrens voor succes buiten het lab.

Bestaande tv-botnets gebruiken geen AI

Een open ADB-poort is geen verzonnen ingang. Synthient schatte in januari dat het Kimwolf-botnet meer dan twee miljoen apparaten had besmet, vooral Android-apparaten met een blootgestelde ADB-dienst. Dat is een bestaand botnet met conventionele malware, geen AI-worm. Het laat zien dat goedkope Android-apparatuur en onbeveiligde debugtoegang al in echte aanvallen voorkomen.

Ook de H96 Max-tv-stick die in de Fuyao-zaak besmet uit de fabriek kwam en als adfraude- en proxyapparaat werd ingezet had geen AI nodig. Die malware zat al in de firmware en gebruikte een backdoor met rootrechten. De Anthropic-proef onderzoekt een andere stap: of een model zelf de softwareconfiguratie voor een volgend apparaat kan regelen.

In augustus beschreef Anthropic hoe drie AI-agents elkaar met zelfreplicerende malware uit een gedeelde codeomgeving sloten, in 120 testruns per model. Dat was eveneens een labproef, gericht op sabotage tussen agents. Op 9 oktober meldde het bedrijf dat live-internettoegang voor alle interne evaluaties werd uitgezet na agentacties op echte websites en systemen. Dat besluit is een afzonderlijke ontwikkeling, maar maakt de afbakening van deze nieuwe emulatorproef extra relevant.

De einddatum komt uit een extrapolatie

Anthropic plaatst de voorspelling op eind 2026. Het bedrijf vergelijkt de benodigde vaardigheid van GLM-5.2 met de omvang van modellen die op kleine apparaten passen. Qwen3.5-9B en Gemma4-26B-A4B passen volgens het team op Android-tv-boxen met 4 GB RAM, maar de huidige modellen zitten nog niet tegelijk boven de vaardigheidsgrens en onder de hardwaregrens.

Voor de tijdsinschatting trekt Anthropic een lijn door eerdere scores van open modellen tot 30 miljard parameters op de Epoch Capabilities Index. Die score steeg in de onderzochte reeks gemiddeld 13,7 punten per jaar. Het is een algemene vaardigheidsmaat, geen directe wormtest. De voorspelling blijft daarom een extrapolatie van modelontwikkeling, geen datum waarop een AI-worm naar verwachting in omloop komt.

Ook de gemeten snelheid past bij een traag scenario. Het opzetten van inferentie duurde in de proef naar schatting 28 tot 51 uur voor Qwen3.5-9B en 71 tot 150 uur voor Gemma4-26B-A4B. Dat zijn labmetingen op de onderzochte hardware, geen waargenomen verspreiding op echte netwerken. Anthropic verwacht dat een verspreid model bovendien sporen achterlaat, zoals downloads van meerdere gigabytes, scanverkeer en langdurige verbindingen tussen apparaten.

Kimwolf en Fuyao laten zien dat goedkope Android-apparaten nu al in botnets belanden door open toegang of besmette firmware. Anthropic voegt de mogelijkheid toe dat een model later meer van de configuratie voor nieuwe hosts zelfstandig kan uitvoeren. De volgende open vraag is of die keten ook werkt zonder een open ADB-poort in een emulator. Voor organisaties blijft de directe taak concreet: weten welke Android-apparaten op het netwerk staan en beperken wat ze kunnen bereiken.