Kein zentraler Ausschalter: Wenn sich KI-Modelle selbst kopieren
Bisher läuft leistungsfähige KI in Rechenzentren. Wer sie stoppen will, weiß, wo der Schalter ist. Ein neuer Test des KI-Anbieters Anthropic zeigt, dass sich das ändern könnte: Kleine, frei verfügbare Modelle können sich in vereinfachten Tests selbst auf gewöhnliche Geräte kopieren und dort weiterlaufen. Was die Studie zeigt und wo ihre Grenzen liegen.
Quelle: Sicherheitstests eines KI-Anbieters, veröffentlicht am 12.10.2026. Ergebnisse aus Testumgebungen.
- →Ein Sicherheitsteam hat getestet, ob sich kleine, frei verfügbare KI-Modelle ohne Rechenzentrum selbst auf andere Geräte kopieren und dort zum Laufen bringen können.
- →Einzelne Schritte schaffen schon kleine Modelle. Den ganzen Ablauf von Gerät zu Gerät schafften in vereinfachten Tests bisher nur größere offene Modelle. Die Autoren schätzen, dass kleine Modelle bis Ende 2026 aufholen könnten.
- →Solche Kopien wären schwer zu stoppen, weil es keinen zentralen Punkt zum Abschalten gibt. Sie wären aber langsam, und den Einbruch in die Geräte haben die Forscher bewusst einfach gehalten.
- →Für Unternehmen heißt das: Kontrolle über KI hängt künftig nicht nur am Anbieter, sondern auch an jedem eigenen Gerät mit offenen Zugängen.
KI ohne Rechenzentrum
Am 12. Oktober hat das Sicherheitsteam von Anthropic eine Untersuchung veröffentlicht. Die Frage: Können sich KI-Modelle selbst vermehren, ohne Zugang zu einem Rechenzentrum? Dazu muss ein Modell mehrere Schritte schaffen. Es muss auf fremder Hardware die Software einrichten, die es zum Laufen braucht, sich auf ein weiteres Gerät kopieren und dort dasselbe wiederholen.
Die einzelnen Schritte gelingen schon kleinen Modellen. Ein Modell mit 9 Milliarden Parametern brachte sich auf 8 von 9 getesteten Gerätetypen selbst zum Laufen. Modelle bis 30 Milliarden Parameter scheiterten aber meist daran, die Schritte zu einem ganzen Ablauf zu verbinden. Das größere offene Modell GLM-5.2 schaffte das in vereinfachten Tests: In 4 von 5 Versuchen verbreitete es sich auf alle 8 Rechner, im fünften auf 7. Andere offene Modelle scheiterten zuverlässig.
Wie wenig Hardware dafür reicht, zeigt eine Vorführung: Die Forscher betrieben ein Modell verteilt auf 15 Android-TV-Boxen zu je rund 55 Dollar. Schnell war das nicht: Es erzeugte etwa alle zweieinhalb Sekunden ein Wortstück. Es lief aber.
Kein Punkt, an dem man abschaltet
Das eigentliche Problem beschreiben die Autoren so: Ein Modell, das sich über viele Geräte verteilt, wäre schwer zu stoppen, weil es keinen zentralen Punkt zum Abschalten gibt. Es wäre allerdings langsam. Die Zahl der Kopien würde sich erst in Tagen verdoppeln. Nach einer Trendrechnung der Autoren könnten kleine Modelle bis Ende 2026 das Niveau erreichen, das heute GLM-5.2 hat.
Einschränkung: Den Einbruch in die Geräte haben die Forscher bewusst einfach gehalten, über eine offene Debug-Schnittstelle von Android ohne Passwort. Die Autoren sprechen deshalb von einer Obergrenze für den Erfolg in der Wirklichkeit. Die Trendrechnung nennen sie selbst eine grobe Schätzung. Die Studie stammt von einem KI-Anbieter im Rahmen seiner eigenen Sicherheitsforschung.
Kontrolle beginnt beim eigenen Gerät
Die getesteten Modelle sind frei verfügbar. Kein Anbieter kann sie zurückrufen oder abschalten. Ob sich solche Kopien ausbreiten könnten, hängt deshalb auch davon ab, wie viele Geräte mit offenen Zugängen im Netz erreichbar sind: Smart-TV-Boxen, Kameras, Steuerungen, vergessene Testrechner. Das ist ein bekanntes Problem der IT-Sicherheit. Neu ist, dass ein KI-Modell solche Lücken eigenständig nutzen könnte.
In unserem Insight „Der KI-Notschalter ist nur der Anfang“ ging es darum, dass Unternehmen ihre eigenen Agenten stoppen können müssen. Diese Studie zeigt die andere Seite: Bei verteilten Modellen gibt es möglicherweise gar keinen Schalter mehr, nur noch die Kontrolle über die eigenen Geräte. Und wie schnell aus einem Test ein echter Vorfall werden kann, zeigt der Fall in „Wo endet der Test?“.
„Gegen KI im Rechenzentrum hilft ein Schalter. Gegen KI auf vielen Geräten hilft nur, ihr keine offenen Türen zu lassen.“
Dr. Michael Mohaupt, rethink.expert
Was der Test über KI-Agenten zeigt
Für den Test bauten die Forscher eine Arbeitsweise namens Memento: Ein Agent arbeitet eine Zeit lang, notiert knapp, was er versucht hat, und eine neue Instanz desselben Modells macht mit seinem Arbeitsstand und diesen Notizen weiter. Die Erfolgsquote beim Einrichten stieg dabei von 45 % in der ersten Generation auf 61 bis 84 % in späteren Generationen. Spätere Generationen hatten allerdings auch mehr Zeit, und die Autoren nennen Memento selbst keine allgemein starke Lösung.
Überraschender ist ein zweiter Befund: Das kleine Modell durfte ein deutlich stärkeres Modell, Claude Opus 4.8, um Rat fragen. Das half nicht messbar. Die Erklärung der Forscher: Kleine Modelle wissen oft nicht, welche Frage sie stellen müssten. Ein stärkerer Berater macht einen Agenten also nicht automatisch zuverlässiger.
Behauptung: „KI-Modelle verbreiten sich schon heute unkontrolliert im Netz.“
Einordnung: Nein. Die Studie zeigt, was in Testumgebungen möglich ist. Den Einbruch in die Geräte haben die Forscher bewusst trivial gehalten. Die Autoren sprechen deshalb von einer Obergrenze für das, was in der Wirklichkeit gelingen würde.
Behauptung: „Ein solches Netz aus KI-Kopien wäre extrem leistungsfähig.“
Einordnung: Eher nicht. Auf 15 TV-Boxen erzeugte ein Modell etwa alle zweieinhalb Sekunden ein Wortstück. Selbst ein Netz von über 100.000 Kopien entspräche nach Schätzung der Autoren nur etwa 40 Hochleistungs-Grafikprozessoren.
Behauptung: „Das ist ein Problem der KI-Anbieter, nicht der Unternehmen.“
Einordnung: Nur zum Teil. Die getesteten Modelle sind frei verfügbar, ein Anbieter kann sie nicht zurückrufen. Ob sie sich ausbreiten können, entscheidet sich auch daran, wie viele Geräte mit offenen Zugängen im Netz hängen.
Vier Schritte für Unternehmen
Geräte inventarisieren: Welche vernetzten Geräte gibt es, von der TV-Box im Besprechungsraum bis zum Testrechner, und wer ist für sie verantwortlich?
Offene Zugänge schließen: Debug- und Fernwartungszugänge ohne Passwort abschalten, Standardpasswörter ändern, Geräte vom Internet trennen, die keinen Zugang brauchen.
Ungewöhnliche Rechenlast erkennen: Geräte, die plötzlich dauerhaft unter Last laufen oder viel Datenverkehr erzeugen, sollten auffallen.
Eigene KI-Einsätze mit Grenzen planen: Festlegen, auf welchen Systemen Agenten Software installieren dürfen und wie sie sich stoppen lassen.
Sich selbst vermehrende KI-Modelle
In vereinfachten Tests ja, in der Wirklichkeit ist das nicht belegt. Größere offene Modelle verbreiteten sich im Test auf mehrere Rechner. Den Einbruch in die Geräte hielten die Forscher aber bewusst einfach.
Weil sie nicht an einem Ort läuft. Ein Modell im Rechenzentrum lässt sich zentral stoppen. Kopien auf vielen einzelnen Geräten müssten einzeln gefunden und abgeschaltet werden.
Im Test vor allem Geräte mit offenen Zugängen, etwa Android-TV-Boxen mit freigeschalteter Debug-Schnittstelle. Grundsätzlich jedes vernetzte Gerät mit genug Rechenleistung und ungeschütztem Zugang.
Vor allem bekannte Sicherheitsregeln konsequent umsetzen: vernetzte Geräte erfassen, offene Zugänge schließen, ungewöhnliche Last erkennen. Für eigene KI-Agenten sollte klar sein, wo sie Software installieren dürfen und wie sie sich stoppen lassen.
Welche Geräte und Systeme in Ihrem Unternehmen könnte eine KI erreichen? Wir prüfen mit Ihnen, wo offene Zugänge liegen und wie Sie KI-Einsätze kontrollieren und stoppen.
KI-Einsatz besprechen →