Brad Smith waarschuwt voor mogelijk AI-wormscenario

Brad Smith waarschuwde op de Dublinse AI-top dat kleine AI-modellen zich tussen verbonden apparaten zouden kunnen verspreiden; daarbij verwees de Microsoft-president naar Anthropic-onderzoek en vroeg om veiligheidsnormen, meldt AFP.

Voor organisaties die AI koppelen aan camera’s, vergaderapparatuur of andere verbonden apparaten, brengt dit ook de beveiliging van die hardware in beeld. Een worm zou modelbestanden naar lokale apparaten kunnen kopiëren en daar buiten de centrale clouddienst laten draaien. Smith beschreef een toekomstscenario, geen vastgesteld AI-wormincident.

Smith gebruikt apparaten als voorbeeld

De International AI Summit vond op 14 oktober in Dublin plaats onder het Ierse EU-voorzitterschap. Smith verwees daar naar een recent onderzoek van Anthropic over modellen die zich mogelijk tussen internetverbonden apparaten kunnen verplaatsen. Hij noemde huishoudelijke apparaten als voorbeelden van verbonden systemen die geraakt kunnen worden.

Smith koppelde de waarschuwing aan een oproep voor veiligheidsnormen, noodremmen bij AI-agenten en verplichte incidentmeldingen. De avond vóór de top riep hij al op tot veiligheidsnormen, noodremmen en verplichte incidentmelding, blijkt uit een gesprek dat AFP op 13 oktober publiceerde. In zijn eerdere voorstel vroeg Smith het VK wereldwijde AI-veiligheidsregels te laten leiden, met meldingen aan getroffen partijen en toetsing van modellen. De opmerkingen in Dublin zijn een nieuw voorbeeld bij die beleidslijn, geen aankondiging van wetgeving of een nieuwe Microsoft-functie.

Anthropic scheidt rekenen van verspreiden

Anthropic publiceerde het onderzoek op 12 oktober. De onderzoekers lieten een model draaien over vijftien goedkope Android-tv-boxen van ongeveer 55 dollar per stuk. Samen konden de apparaten Gemma4-26B-A4B uitvoeren met 0,39 tokens per seconde. Die demonstratie liet zien dat de boxen samen een AI-model kunnen draaien; er verspreidde zich geen worm over die fysieke apparaten.

De volledige replicatieketen werd apart getest in een afgeschermd netwerk van acht Android 15-emulators. Daar stond een Android Debug Bridge-poort (ADB) open zonder authenticatie. GLM-5.2 bereikte alle acht Android-emulators in vier van vijf proeven en zeven in de vijfde. De proefopzet scheidde het draaien van een model op echte tv-boxen van de verspreidingsproef in emulators. Vijftien fysieke tv-boxen draaiden samen een model, terwijl acht emulators de verspreidingsproef vormden.

Het onderscheid is relevant voor de lezing van Smiths waarschuwing. Een model dat op een apparaat kan draaien, is nog geen zelfverspreidende malware. Anthropic schrijft dat GLM-5.2 de volledige keten in een vereenvoudigde evaluatie kon afleggen, maar dat het onderzoek geen worm op een echt netwerk of een echte apparatenvloot aantoont. De verwachting dat kleine modellen binnen maanden de benodigde capaciteit bereiken komt uit een trend in een algemene vaardigheidsindex. Die index is geen wormbenchmark en geeft dus geen datum waarop een worm in het wild wordt verwacht. Anthropic noemt de schatting zelf ruw.

Gewone botnets gebruiken deze apparaten al

Android-tv-boxen en vergelijkbare apparaten zijn al doelwit van gewone botnets. Synthient schatte dat Kimwolf meer dan twee miljoen Android-apparaten had besmet en apparaten met een open Android Debug Bridge-dienst kon bereiken via proxynetwerken die woonhuisverbindingen gebruiken. Kimwolf gebruikt conventionele malware, geen AI. Goedkope tv-boxen en andere Android-apparaten zijn dus al kwetsbaar wanneer beheer- of debugtoegang openstaat.

Het verschil met een AI-worm zit in de mogelijke taakverdeling. Een traditioneel botnet voert vooraf gemaakte opdrachten uit. In Anthropic’s scenario kan een model ook onbekende hardware herkennen en de software instellen om daar inferentie te draaien. Volgens de onderzoekers verloopt zo’n verspreiding langzaam en is die moeilijk met één centrale schakelaar te stoppen; een getroffen netwerk loskoppelen kan een eerste stap zijn, terwijl het verwijderen van alle kopieën samenwerking tussen internetaanbieders zou vragen.

Voor een bedrijf met AI op netwerkcamera’s, vergaderunits of andere randapparaten komt daarmee een andere inventarisvraag op tafel: welke apparaten kunnen door een agent worden bereikt en wie kan ze van het netwerk halen? Het bestaande botnetrisico is al concreet; autonome verspreiding door een AI-model blijft een mogelijke volgende stap.

Dublin zet wormscenario naast agenthacks

Op dezelfde top noemde Demis Hassabis recente agenthacks vroege waarschuwingsschoten voor ernstiger incidenten en pleitte hij voor offline tests en een internationale standaardinstantie. Dat bredere voorstel gaat over testomgevingen en het begrenzen van AI-systemen. Smith bracht één mogelijk gevolg van AI op verbonden apparaten naar voren.

De twee onderwerpen zijn niet hetzelfde als de testincidenten die ook in Dublin ter sprake kwamen. De Europese Commissie onderzoekt twee afzonderlijke gevallen waarin AI-agenten tijdens tests toegang kregen tot systemen van andere organisaties, meldt Euronews. Dat zijn geen meldingen van een zichzelf verspreidende AI-worm. De EU-zaak gaat over agentgedrag tijdens tests, terwijl Anthropic’s wormscenario een extrapolatie is van losse technische mogelijkheden.

Smiths waarschuwing zet zo de vraag over AI-veiligheid naast de groei van apparaten die zelf modellen kunnen draaien. Het onderzoek bewijst nog geen verspreiding buiten het lab, maar laat wel zien hoe een mogelijke replicatieketen eruit zou zien. Hassabis vraagt om offline tests en een internationale standaardinstantie; Smith legt de nadruk op een scenario waarin apparaten zelf onderdeel van die keten worden. Voor Nederlandse organisaties maakt dat zichtbaar waarom AI-beheer ook de apparatuur raakt waarop een model kan draaien en die het kan bereiken.