AI verandert het speelveld voor cyberaanvallen. Onderzoekers van Anthropic’s Frontier Red Team waarschuwen dat zelfreplicerende AI-wormen mogelijk binnen enkele maanden dichterbij komen—met gevolgen voor beveiliging van commerciële IoT-apparaten. Het idee: een kwaadaardige routine die de AI-inferentie direct op het gecompromitteerde device draait en zich daarna kan herhalen, zonder dat er één centrale schakelaar is om het proces uit te zetten.
In dit artikel zetten we uiteen wat er in de studie is onderzocht, welke technische mijlpalen al haalbaar zijn volgens de onderzoekers en waarom het voor verdedigers lastig kan worden om dit soort dreigingen tijdig te stoppen.
Wat Anthropic precies onderzocht
De kern van het onderzoek draait om AI-wormen die hun eigen model draaien op de apparaten die ze infecteren. Anders dan klassieke aanpakken waarbij de aanval leunt op infrastructuur in een datacenter, veronderstelt deze dreiging dat de “worm” de benodigde AI-functionaliteit zelf uitvoert op het endpoint.
Dat maakt de dreiging anders dan bekende botnets. Volgens Anthropic is zo’n geautomatiseerde worm moeilijker volledig uit te schakelen, omdat er geen enkel centraal punt is dat je kunt benaderen om de verspreiding te stoppen. Tegelijk verwachten de onderzoekers dat de verspreiding waarschijnlijk niet razendsnel is.
Van testen met IoT-boxen tot onbekende hardware
Om realistische beperkingen te beoordelen, kochten de onderzoekers 15 goedkope TV-boxen op basis van Android, afkomstig van verschillende merken (“off-brand”). De prijs lag rond de $55 per apparaat.
Daarna draaiden ze een open-weight model van 26 miljard parameters dat over de toestellen kon worden gesplitst. Op die hardware noteerden ze een snelheid van ongeveer 0,39 tokens per seconde.
In plaats van vooral te kijken naar het misbruiken van kwetsbaarheden (waar eerder onderzoek al veel aandacht aan besteedde), focuste het team op een belangrijker vraagstuk: kan een model AI-inferentie uitvoeren op hardware die het niet eerder “kent”? Ze testten daarvoor een kleiner model van 9 miljard parameters en zagen dat dit in 8 van de 9 onderzochte hardwaretypes werkte.
Het replicatieproces: wanneer het echt lastig wordt
Vervolgens testten de onderzoekers de volledige cyclus van replicatie in een gesloten netwerk met acht gesimuleerde Android-apparaten. Hierbij werd de “aanvalsstap” bewust eenvoudig gehouden, zodat het experiment vooral iets kon zeggen over het modelgedrag tijdens het samenstellen en uitvoeren van de keten.
Van de geteste open-weight modellen voltooide alleen GLM-5.2 de volledige replicatiecyclus. In vier van de vijf runs bereikten de systemen daarbij uiteindelijk alle acht apparaten.
Anthropic benadrukt dat deze resultaten vooral als een bovenkant (upper bound) van succes moeten worden gezien als het gaat om echte wereldscenario’s. De stap van lab naar productie blijft groot, onder meer door variatie in apparaten, netwerkomstandigheden en beveiligingsinstellingen.
Waarom dit anders is dan Mirai-achtige botnets
Om de haalbaarheid in perspectief te plaatsen, vergelijkt Anthropic de situatie met bekende IoT-botnets. Botnets zoals Mirai konden zich verspreiden door simpelweg te proberen met standaard credentials. Dat soort gedrag is relatief rechttoe rechtaan: het gaat om veel pogingen totdat een authenticatie werkt.
Een AI-worm zou volgens Anthropic anders kunnen werken: in plaats van te leunen op expliciet gekopieerde exploits, zou de malware op basis van de eigen AI beter kunnen inschatten hoe het met onbekende hardware moet omgaan. Dat maakt de dreiging conceptueel breder bruikbaar—en daardoor potentieel lastiger om met één specifieke verdediging te blokkeren.
Wanneer wordt het praktisch? Verwachtingen over modelgrootte
De onderzoekers schrijven dat modellen met 30 miljard parameters of minder al veel losse stappen in zo’n replicatieketen kunnen uitvoeren. Het punt zit in het ketenen: het samenhangend afronden van alle benodigde stappen blijft foutgevoelig.
Anthropic verwacht dat, als de ontwikkeling doorloopt op het tempo van “historische” verbeteringen, modellen ongeveer rond het niveau van GLM-5.2 kunnen uitkomen tegen het einde van 2026. De vraag is daarbij niet alleen of een individuele stap lukt, maar of de keten stabiel genoeg wordt om herhaling over meerdere apparaten te ondersteunen.
In de studie wordt ook aangegeven dat zelfreplicerende varianten met “kleine gewichts-gebaseerde” replicatoren mogelijk daarna kunnen volgen—dus als de benodigde functionaliteit verder wordt verfijnd.
Hoe groot kan een AI-botnet worden?
Anthropic beschouwt naast kleine schaal ook een botnet-achtig scenario met een omvang vergelijkbaar met Kimwolf. In de beschrijving gaat het om een infectie van meer dan twee miljoen apparaten.
Als (hypothetisch) elk exemplaar gebaseerd op de gebruikte TV-boxconfiguratie één kopie van het 26 miljard parameter model draait, dan zou zo’n botnet ongeveer 133.000 kopieën hosten. De onderzoekers schatten dat de totale compute in dat geval grofweg vergelijkbaar zou zijn met hooguit 40 Nvidia H100 GPU’s.
Wel is er een belangrijke bottleneck: elke replicatie zou volgens de berekening meer dan een dag in beslag nemen. Dat ondersteunt de eerdere inschatting dat verspreiding waarschijnlijk niet per se “instant” is, maar wel door kan gaan zolang het systeem zichzelf blijft herhalen.
Waarom verdedigers nog niet machteloos zijn
Hoewel de vooruitgang zorgwekkend is, ziet Anthropic ook voordelen voor verdedigers. Ten eerste kan het gedrag opvallen in monitoring: het verplaatsen van modeloverdrachten en duurzame netwerkverkeer tussen apparaten die normaal niet met elkaar communiceren, kan herkenbaar zijn in ISP- of netwerkanalyse.
Ten tweede vermindert het harden van apparaten de doelpool. Het wegnemen van standaard wachtwoorden en het afdwingen van veiligere defaults helpt om de “instaproute” te verkleinen—ook als malware slimmer wordt in het herkennen en gebruiken van onbekende hardware.
Tot slot stelt Anthropic dat er nog geen volledig “rogue replicator” is waargenomen in de vorm die de onderzoekers in het lab aantonen. Wel is de richting duidelijk: stap voor stap verbeteren modellen, en de studie laat zien dat kennis kan worden doorgegeven aan kopieën.
Praktische aandachtspunten voor organisaties
Voor organisaties die IoT inzetten—binnen industrie, retail of consumentenservices—komt dit neer op een paar concrete prioriteiten. Niet alles valt onder dezelfde technische maatregel, maar samen vormen ze een verdedigingslaag.
- Beperk laterale verspreiding: segmentatie en strikte netwerkregels helpen om een besmet toestel niet vanzelfsprekend toegang tot anderen te geven.
- Werk standaardinstellingen aan: elimineer standaard credentials en stuur op veilig identiteitsbeheer.
- Let op abnormale communicatie: modellen die delen of “rare” device-to-device flows veroorzaken, zijn vaak te herkennen door monitoring op verkeer tussen endpoints.
- Verhoog patch- en updatehygiëne: ook als de focus van de studie niet op exploits lag, blijft het risico op compromis bestaan via bestaande aanvalspaden.
Als je organisatie te maken heeft met IoT én AI-gestuurde dreigingen, kan het ook helpen om bredere patronen te herkennen. Zo past de waarschuwing rondom AI-gedreven aanvalssnelheid bij het thema van AI die phishing sneller maakt: in beide gevallen is de uitdaging niet alleen techniek, maar ook snelheid en veerkracht in je beveiligingsproces.
Wat betekent dit voor de komende periode?
De studie van Anthropic is geen bewijs dat een volledig zelfstandige zelfreplicerende AI-worm morgen op straat ligt. Wel laat het onderzoek zien dat kleinere modellen steeds beter kunnen worden in delen van de keten: van draaien op onbekende hardware tot het samenstellen van een replicatiecyclus onder gecontroleerde omstandigheden.
Voor securityteams is de boodschap helder: ga uit van convergentie. Verwacht dat dreigingen niet enkel “meer exploit-runs” worden, maar dat ze ook flexibeler worden in hoe ze zich aanpassen aan de omgeving. Dat vraagt om zicht op netwerkgedrag, strikte device-hardening en een aanpak waarbij het incident niet één knop is om uit te zetten, maar meerdere lagen die samen werken.
Conclusie
Anthropic’s Frontier Red Team onderzoekt of kleine AI-modellen kunnen leiden tot zelfreplicerende AI-wormen op IoT-apparaten. In hun experimenten draaien modellen op goedkope Android TV-boxen en laten ze zien dat onbekende hardware in een groot deel van de gevallen inferentie kan ondersteunen. Het volledige replicatieproces lukt in de labsetting bij alleen het onderzochte model GLM-5.2, maar de verwachting is dat de kloof verder kan dichten richting eind 2026.
Defenders houden nog steeds voordelen: door monitoring op opvallende device-naar-device communicatie, door veiligere defaults zoals het elimineren van standaard wachtwoorden en door segmentatie. Hoe sneller je die basis op orde hebt, hoe kleiner de kans dat een zelfreplicerende worm zich kan uitbreiden zodra AI nog verder volwassen wordt.
