Der adaptive KI-Wurm CleverHans lernt während seiner Ausbreitung und fordert traditionelle Cyberabwehr heraus
Forscher von CleverHans haben einen adaptiven KI-Wurm entwickelt, der unterschiedliche Geräte kompromittierte, ohne von einem einzelnen festen Exploit abhängig zu sein – eine Premiere, die bekannte Cyberabwehrstrategien infrage stellt. Der Prototyp untersuchte jedes Ziel, wählte eine Angriffsstrategie aus, erzeugte Code und passte seinen Ansatz nach Fehlschlägen an. Anschließend kopierte er sich auf erfolgreich kompromittierte Maschinen.
Das System blieb innerhalb eines isolierten virtuellen Netzwerks mit 33 Hosts, und die Forscher sagen, es sei nie außerhalb des Labors eingesetzt worden. Dennoch verbreitete es sich in 15 kontrollierten Experimenten über Linux-Server, Windows-Systeme und internetverbundene Geräte. In einem repräsentativen Durchlauf erreichte es 27 Hosts über fünf Replikationsgenerationen hinweg.
Diese Unterscheidung ist wichtig. WannaCry verbreitete sich großflächig durch die Ausnutzung einer einzigen Schwachstelle, sodass Verteidiger sich auf das Schließen dieses konkreten Angriffswegs konzentrieren konnten. Der adaptive KI-Wurm CleverHans nutzte dagegen einen KI-Agenten, um auf unterschiedlichen Maschinen nach verschiedenen Schwächen zu suchen. Seine Bedeutung liegt weniger in seiner reinen Geschwindigkeit als in seiner Fähigkeit, nach der Bereitstellung weiterhin taktische Entscheidungen zu treffen.
Die Forschung zeigt keine unaufhaltsame Malware und keinen Wurm, der nach Belieben unbekannte Schwachstellen entdeckt. Sie zeigt ein funktionierendes, aber unvollkommenes System, das automatisierte Aufklärung, Sprachmodell-Logik, Tool-Nutzung, Exploit-Erzeugung und Selbstreplikation kombiniert. Diese Kombination verlagert einen Teil der Arbeit vom menschlichen Operator in die Malware selbst.
Der adaptive KI-Wurm CleverHans änderte seinen Angriff bei jedem Host
Die zentrale Veränderung besteht darin, dass die Angriffslogik nicht mehr vollständig geschrieben sein muss, bevor ein Wurm beginnt, sich auszubreiten.
Ein herkömmlicher Computerwurm ist selbstreplizierende Malware, die sich zwischen vernetzten Maschinen bewegt, ohne dass eine Person jede Infektion steuern muss. Sein Entwickler stattet ihn in der Regel mit einem Exploit oder einer begrenzten Sammlung vorab festgelegter Techniken aus. Der Wurm sucht nach kompatiblen Zielen, führt diesen Code aus und wiederholt den Vorgang.
Der im Paper vom 2. Juni beschriebene adaptive worm paper funktionierte anders. Die Forscher verbanden ein Large Language Model mit offenen Gewichten mit einem agentischen Framework – also einer Software, die Bedingungen beobachten, Tools verwenden, Arbeitskontext behalten und nachfolgende Aktionen auswählen kann. Das Modell fungierte als Entscheidungskomponente des Systems.
Wenn der Wurm auf ein Ziel traf, sammelte er Informationen über die Maschine und bewertete mögliche Schwächen. Anschließend entwickelte er eine Angriffsstrategie, generierte die erforderlichen Befehle oder den nötigen Code und versuchte die Ausnutzung. Ein fehlgeschlagener Versuch konnte eine weitere Analysephase und einen überarbeiteten Ansatz auslösen.
Dieses Design erlaubte es dem Wurm, eine heterogene Umgebung anzugreifen, statt nur nach identischen Maschinen zu suchen. Das Testnetzwerk umfasste Linux-, Windows- und Internet-of-Things-Geräte. Die Forscher versahen diese Hosts mit verbreiteten Schwachstellen und Sicherheitsmängeln aus Unternehmensumgebungen.
Zu diesen Schwächen zählten veröffentlichte Software-Schwachstellen und allgemeinere Konfigurationsprobleme. Wiederverwendete Zugangsdaten, ein offener Dienst oder eine schwache Zugriffskontrolle lassen sich nicht immer eindeutig einem einzelnen vorgefertigten Exploit zuordnen. Einen funktionierenden Angriffsweg zu finden, kann die Kombination mehrerer Beobachtungen erfordern – und genau hier wurde die Argumentationsschleife des Agenten wichtig.
Die Forscher berichteten, dass das System in 82 Prozent seiner Versuche Schwachstellen identifizierte. Die Erkennung garantierte jedoch keinen erfolgreichen Einbruch. Die Ausnutzung gelang in 44 Prozent der Versuche; fehlerhaft formatierte Payloads waren die häufigste Ursache für Fehlschläge, nachdem das System bereits eine passende Technik ausgewählt hatte.
Diese Lücke ist ein nützlicher Realitätscheck für dramatischere Darstellungen von KI-Malware. Das Modell verstand häufig, was es versuchen sollte, erzeugte jedoch keinen funktionierenden Code. Seine Zuverlässigkeit beim Codieren wurde – mehr noch als seine Fähigkeit, eine wahrscheinliche Schwachstelle zu erkennen – zum wichtigsten Engpass.
Der Wurm erhielt dennoch wiederholt Gelegenheit zu handeln. Über die Experimente hinweg erlangte er Berichten zufolge auf etwa 74 Prozent der Hosts erhöhte Berechtigungen und replizierte sich auf rund 62 Prozent. Der Prototyp erreichte etwa die Hälfte des Testnetzwerks innerhalb von ungefähr fünf Tagen.
Dieses Tempo ist langsam im Vergleich zu historischen Würmern, die Netzwerke innerhalb von Minuten oder Stunden durchquerten. Jedes Ziel erforderte Hunderte von Modell-Inferenzaufrufen für Aufklärung, Planung und Payload-Erzeugung. Dieselbe Verzögerung gab Verteidigern mehr Zeit, Scans, fehlgeschlagene Angriffe, unerwartete Authentifizierungsaktivitäten und Replikation zu erkennen.
Geschwindigkeit war jedoch nicht die zentrale Behauptung der Forscher. Ihre research overview argumentiert, dass ein Wurm fest codierte Exploitation-Logik durch zielgerichtetes Schlussfolgern ersetzen kann. Selbst ein langsamer Prototyp wird relevant, wenn Modell-Inferenz günstiger, schneller und zuverlässiger wird.
Die folgenreichste Demonstration betraf Schwachstellen, die nach dem Trainings-Cutoff des Modells offengelegt wurden. Der Wurm nahm während seines Betriebs öffentliche Sicherheitshinweise auf und nutzte drei im Jahr 2026 veröffentlichte Schwachstellen aus. Diese Details mussten nicht in seinen ursprünglichen Modellgewichten enthalten sein.
Dieses Ergebnis bedeutet nicht, dass das System selbstständig drei unbekannte Fehler entdeckte. Es nutzte Informationen, die Verteidiger und Angreifer bereits lesen konnten. Neu war seine Fähigkeit, aktuelle Informationen in Angriffsaktionen zu überführen, ohne darauf warten zu müssen, dass ein menschlicher Operator den Wurm umschreibt.
Deshalb erfordert die Beschreibung des Systems als Malware, die „lernt“, Vorsicht. Es trainierte sein zugrunde liegendes Modell nicht auf jeder Maschine neu. Es passte sich durch Schlussfolgern zur Laufzeit, Beobachtungen, Speicher und wiederholte Tool-Nutzung an. Für einen Verteidiger, der sich veränderndem Angriffsverhalten gegenübersteht, ist dieser Unterschied nur wenig tröstlich.
Ein kleines lokales Modell beseitigt den Cloud-Sicherheitskontrollpunkt
Der Prototyp setzt eine Sicherheitsstrategie unter Druck, die davon ausgeht, dass KI-Anbieter bösartige Anfragen über einen zentralisierten Dienst blockieren können.
Die öffentliche Debatte über KI-gestützte Cyberangriffe konzentriert sich häufig auf Frontier-Systeme, die von Unternehmen wie OpenAI, Anthropic und Google betrieben werden. Diese Anbieter können Nutzung überwachen, bestimmte Anfragen ablehnen, Konten sperren und Ratenbegrenzungen durchsetzen. Außerdem können sie serverseitige Schutzmaßnahmen aktualisieren, ohne darauf warten zu müssen, dass Nutzer etwas installieren.
Der adaptive KI-Wurm CleverHans war nicht von einem dieser Dienste abhängig. Er nutzte ein nicht näher genanntes Modell mit offenen Gewichten, das lokal auf einer einzelnen GPU ausgeführt werden konnte. Modelle mit offenen Gewichten ermöglichen Nutzern, die für ihren Betrieb benötigten Parameter herunterzuladen und auf Hardware außerhalb der Server des Entwicklers auszuführen.
Dieses Bereitstellungsmodell verändert, wer das System kontrolliert. Ein Cloud-Anbieter kann keine Anfragen prüfen, die ausschließlich innerhalb eines kompromittierten Netzwerks gesendet werden. Er kann kein Angreiferkonto deaktivieren, wenn kein Konto existiert. Ebenso wenig kann er eine Dienstverweigerung gegenüber einem Modell durchsetzen, das unter der Kontrolle des Angreifers läuft.
Die Forscher hielten die Identität des Modells, den Argumentationsgraphen, das Tool-Harness und weitere operative Details bewusst zurück. Sie lehnten außerdem eine öffentliche Veröffentlichung der Implementierung ab. Qualifizierte Forscher im Bereich Verteidigung könnten möglicherweise später über ein gemeinsam mit der University of Toronto eingerichtetes Prüfverfahren Zugang beantragen.
Auch ohne diese Details deckt das Experiment eine Lücke zwischen Modellsicherheit und Systemsicherheit auf. Ein kommerzieller Chatbot könnte eine Anfrage zur Erstellung von Malware ablehnen. Herunterladbare Modellgewichte können jedoch in einen Agenten eingebettet werden, dessen umgebende Software Zielsetzung, verfügbare Tools und Fähigkeit zur Befehlsausführung bestimmt.
Der Wurm nutzte außerdem eine gestufte Architektur. Kompromittierte Maschinen mit GPUs konnten das Modell ausführen und Schlussfolgerungsdienste bereitstellen. Weniger leistungsfähige Geräte konnten schlanke Agenten hosten, die ihre Fragen an diese mit GPUs ausgestatteten Knoten weiterleiteten.
Das bedeutet, dass eine Sicherheitskamera, ein Arbeitsplatzrechner oder ein kleiner Server nicht genug Rechenleistung benötigt, um das vollständige Modell auszuführen. Er benötigt lediglich Netzwerkzugriff auf ein kompromittiertes System, das dazu in der Lage ist. Jede neue Infektion kann die Reichweite des Wurms erweitern, selbst wenn sie keine nennenswerte zusätzliche Schlussfolgerungskapazität hinzufügt.
Die Forscher beschreiben diese Anordnung als parasitär, weil der Wurm die Ressourcen seiner Opfer nutzt, um sich selbst aufrechtzuerhalten. Eine erfolgreiche Infektion kann Netzwerkposition, Rechenleistung oder beides liefern. Der Angreifer muss nicht für jede neue Schlussfolgerungsrunde einen kommerziellen KI-Anbieter bezahlen.
Ihre Behauptung, dass die Grenzkosten einer zusätzlichen Infektion auf null sinken, ist ein ökonomisches Modell und keine vollständige Abrechnung der Kosten von Cyberkriminalität. Angreifer hätten weiterhin Entwicklungs-, Bereitstellungs-, Infrastruktur-, Umgehungs- und Betriebskosten. Kompromittierte Maschinen können zudem ausfallen, die Verbindung verlieren oder Aufmerksamkeit erregen.
Der Prototyp zeigt jedoch, wie Opfer einen Teil der Inferenzrechnung durch gestohlene Rechenressourcen bezahlen könnten. Das verändert die Ökonomie maßgeschneiderter Angriffe. Historisch reservierten Angreifer umfangreiche manuelle Aufmerksamkeit für wertvolle Ziele, weil qualifizierte Arbeit nicht kostengünstig skalierte.
Ein autonomes System kann Zeit für Ziele aufwenden, die ein menschlicher Operator ignorieren würde. Es kann eine Maschine untersuchen, wiederholt scheitern und zur nächsten wechseln, ohne von seinem Ersteller kontinuierliche Aufmerksamkeit zu verlangen. Das macht erreichbare, gewöhnliche Systeme als Zwischenstationen nützlicher.
Das Design trennt außerdem Intelligenz von physischer Präsenz. Ein Gerät mit geringer Leistung kann als Stützpunkt des Wurms dienen, während ein anderer Host die Schlussfolgerungskapazität bereitstellt. Diese Aufteilung ähnelt legitimem verteiltem Computing, ihr Ziel ist jedoch unbefugter Zugriff und Verbreitung.
Die Forscher wählten ein kleineres Modell teilweise, um eine umstrittene Annahme zu prüfen. Sicherheitsdebatten haben die leistungsfähigsten Frontier-Systeme häufig als Hauptquelle ernsthafter Cyberrisiken betrachtet. Das Experiment legt nahe, dass ein agentisches Design durch Wiederholungsversuche, Tools und angesammelte Beobachtungen gefährlichen Nutzen aus einem weniger leistungsfähigen Modell ziehen kann.
Das macht nicht jedes herunterladbare Modell gleichermaßen riskant. Die Codierfähigkeit des Modells begrenzte den Prototyp weiterhin, und die Testumgebung war günstig angelegt. Es bedeutet jedoch, dass politische Entscheidungsträger die Kontrolle über einige wenige kommerzielle Schnittstellen nicht als Kontrolle über KI-gestützte offensive Fähigkeiten behandeln können.
Zentralisierte Schutzmaßnahmen bleiben für die Dienste, die sie regeln, nützlich. Sie können Missbrauch blockieren, Erkenntnisse über aufkommende Angriffsmuster liefern und die Kosten für wenig versierte Nutzer erhöhen. Sie sind keine Netzwerkabwehr gegen lokal betriebene Software, die diese Dienste nie kontaktiert.
Der Druck liegt daher sowohl auf KI-Governance als auch auf herkömmlichen Sicherheitsprogrammen. Modellentwickler müssen agentische Cyberfähigkeiten vor einer Veröffentlichung bewerten. Unternehmen müssen davon ausgehen, dass manche feindliche Automatisierung außerhalb der Reichweite jedes Moderationssystems eines Modellanbieters operieren wird.
Adaptive KI-Malware macht Patchen zu einer Ebene, nicht zur gesamten Verteidigung
Patchen bleibt unverzichtbar, doch Verteidiger können adaptive KI-Malware nicht neutralisieren, indem sie allein eine Schwachstelle schließen.
Die Standardreaktion auf einen Wurm beginnt mit der Identifizierung des ausgenutzten Fehlers. Sicherheitsteams spielen einen Patch ein, blockieren den relevanten Datenverkehr, finden verwundbare Assets und isolieren infizierte Systeme. Wenn der Wurm vollständig von diesem Fehler abhängt, kann dessen Beseitigung eine weitere Ausbreitung stoppen.
Der WannaCry-Ausbruch von 2017 veranschaulicht dieses Modell. Der Ransomware-Wurm störte Organisationen in mehr als 150 Ländern, indem er eine Schwachstelle im Server-Message-Block-Protokoll von Microsoft ausnutzte. Notfall-Patches und Netzwerkkontrollen zielten auf den Angriffsweg, der seine Verbreitung ermöglichte.
Der adaptive KI-Wurm CleverHans hatte keine vergleichbare einzelne Abhängigkeit. Er konnte auf einem Host Service-Exploits versuchen, auf einem anderen Zugangsdaten angreifen und andernorts Berechtigungen ausweiten. Das Schließen eines Angriffswegs konnte den Agenten dazu zwingen, die verbleibende Angriffsfläche zu untersuchen.
Die Studie berichtete ihre höchste Erkennungsrate bei Schwachstellen zur lokalen Rechteausweitung: 94,1 Prozent. Service-Exploits folgten mit 87,1 Prozent, während Credential-Angriffe 81,2 Prozent erreichten. Bei Web-Exploits und der Windows-Rechteausweitung lagen die Erkennungsraten niedriger.
Diese Zahlen beschreiben die vorbereitete Testumgebung der Forschenden, nicht das durchschnittliche Unternehmensnetzwerk. Sie zeigen dennoch die Bandbreite der Aktionen, die ein adaptives System organisieren kann. Der Vorteil des Wurms liegt darin, zwischen Techniken auswählen zu können, nicht im Besitz eines einzigartig fortschrittlichen Exploits.
Das ist nicht dasselbe wie das Entdecken von Zero-Day-Schwachstellen, also Fehlern, die dem Anbieter unbekannt sind oder für die noch keine Lösung verfügbar ist. Unabhängige Experten betonten, dass das Modell vor allem beobachtete Bedingungen mit bekannten Schwachstellen und Sicherheitslücken abglich. Seine Intelligenz lag in der Auswahl und Abfolge von Angriffen.
Diese Unterscheidung ordnet die Bedrohung realistisch ein. Menschliche Penetrationstester scannen bereits Systeme, interpretieren Ergebnisse, probieren Zugangsdaten aus, konsultieren Sicherheitswarnungen und passen sich nach Fehlschlägen an. Der Prototyp automatisierte Teile dieses Arbeitsablaufs und koppelte sie mit Selbstreplikation.
Das gefährliche Element ist die Beharrlichkeit mit Maschinengeschwindigkeit, selbst wenn jede einzelne Entscheidung unvollkommen ist. Ein automatisierter Angreifer benötigt keine perfekte Erfolgsquote, wenn er Wiederholungsversuche durchführen, Werkzeuge wechseln und mehrere aktive Angriffswege aufrechterhalten kann. Zuverlässigkeit kann durch Wiederholung statt durch fehlerfreies Schlussfolgern entstehen.
Verteidiger sollten dennoch schnell patchen, denn jede beseitigte Schwachstelle verringert die Optionen des Agenten. Die Forschenden erklärten, ihr Prototyp könne neu veröffentlichte Schwachstellen innerhalb weniger Stunden einbeziehen. Das verkürzt das Zeitfenster zwischen öffentlicher Offenlegung und automatisierten Ausnutzungsversuchen.
Eine vollständige Asset-Übersicht wird ebenso wichtig. Eine Organisation kann einen Server, eine Kamera, einen Entwicklungsrechner oder eine aufgegebene Anwendung nicht schnell patchen, wenn sie deren Existenz nicht kennt. Gemischte Netzwerke ähneln der Studienumgebung, weil sie unterschiedliche Betriebssysteme, Zugriffsregeln und Wartungszyklen enthalten.
Auch Zugangsdatenhygiene ist wichtig, weil adaptive Malware Identitäten als weiteren Angriffsweg behandeln kann. Wiederverwendete Passwörter ermöglichen es, dass ein kompromittiertes Konto mehrere Systeme öffnet. Multifaktor-Authentifizierung macht gestohlene Passwörter weniger nützlich, während Kontrollen für privilegierte Zugriffe den Schaden begrenzen, den jede einzelne Identität verursachen kann.
Netzwerksegmentierung kann die Ausbreitung nach dem ersten Einbruch begrenzen. Sie unterteilt ein Netzwerk in kontrollierte Zonen und reduziert damit die Systeme, die von einem kompromittierten Host aus erreichbar sind. Die Forschenden bezeichneten ihr flaches Testnetzwerk als Worst-Case-Umgebung und räumten ein, dass grundlegende Segmentierung die Reichweite des Wurms reduziert hätte.
Eine Zero-Trust-Architektur verfolgt ein verwandtes Prinzip, indem sie für jede Zugriffsanfrage eine Autorisierung verlangt, statt Datenverkehr allein deshalb zu vertrauen, weil er aus dem Netzwerkinneren stammt. Sie garantiert keinen Schutz, beseitigt jedoch den weitreichenden internen Zugriff, den Würmer häufig ausnutzen.
Organisationen sollten zudem Systeme mit GPUs als potenzielle Angreiferinfrastruktur prüfen. Eine Entwicklungs-Workstation oder ein AI-Server ist nicht nur ein wertvolles Ziel für Datenangriffe. In diesem Bedrohungsmodell kann er zu einem Schlussfolgerungsdienst werden, der infizierte Geräte an anderer Stelle im Netzwerk unterstützt.
Die Überwachung muss Aktionen hostübergreifend verknüpfen. Ein Rechner, der ein Subnetz scannt, ein anderer mit wiederholten Authentifizierungsversuchen und ein dritter, der einen unbekannten Inferenzprozess startet, können isoliert betrachtet unzusammenhängend wirken. Zusammengenommen können sie eine verteilte autonome Kampagne offenlegen.
Der aktuelle Prototyp bot mehrere unmittelbare Erkennungsmöglichkeiten. Er führte Beacon-Callbacks über nicht standardisierte Ports aus, injizierte automatisch öffentliche SSH-Schlüssel und verwendete Zugangsdaten systematisch wieder. Er war nicht angewiesen worden, seine Aktivitäten zu verbergen oder Spuren zu löschen.
Sicherheitsteams können jetzt nach diesen Verhaltensweisen suchen, sollten sie jedoch nicht zu einer dauerhaften Signatur für alle AI-Würmer machen. Die Forschenden warnten, dass diese Muster aus dem begrenzten Proof of Concept resultierten. Ein böswilliger Entwickler könnte ein zukünftiges System anweisen, Ports zu variieren, Aktionen zu verzögern oder Umgehungstechniken zu priorisieren.
Verhaltensbasierte Überwachung ist daher wichtiger als ein einzelner Datei-Hash oder Netzwerkindikator. Verteidiger müssen erkennen, wenn ein nicht autorisierter Prozess Systemdaten sammelt, Angriffswerkzeuge aufruft, Zugriffe verändert und sich auf zusätzliche Hosts ausbreitet. Jede Handlung hat Vorläufer, doch ihre autonome Koordination ist der neue kritische Punkt.
Die praktische Antwort bleibt mehrschichtige Sicherheit statt eines speziellen „Anti-AI“-Produkts. Schnelles Patchen beseitigt Angriffsmöglichkeiten. Starke Identitätskontrollen beschränken nutzbare Zugangsdaten. Segmentierung begrenzt Bewegung. Endpoint-Monitoring erkennt Ausführung, während zentralisierte Telemetrie koordiniertes Verhalten sichtbar macht.
Die Laborergebnisse zeigen Möglichkeiten, keine unmittelbare Geräteepidemie
Die stärkste Schlussfolgerung lautet, dass adaptive Selbstreplikation unter kontrollierten Bedingungen funktioniert – nicht, dass Verbrauchergeräte einem aktiven CleverHans-Ausbruch ausgesetzt sind.
Die Studie ist ein Preprint, der sich im akademischen Peer-Review befindet. Ihre Ergebnisse haben die vollständige Prüfung, die mit einer Veröffentlichung in einer begutachteten Fachzeitschrift verbunden ist, noch nicht durchlaufen. Eine unabhängige Replikation ist zudem eingeschränkt, weil die Forschenden ihren Code, die Modellidentität und das operative Framework zurückhielten.
Diese Entscheidung spiegelt ein reales Dual-Use-Dilemma wider. Die Veröffentlichung ausreichender Details unterstützt wissenschaftliche Bewertung und defensive Forschung. Die Veröffentlichung einer vollständigen Implementierung könnte böswilligen Entwicklern einen erprobten Ausgangspunkt für selbstverbreitende Malware liefern.
Vor der Veröffentlichung konsultierte das Team Universitätsstellen und kanadische Regierungsorganisationen. Nach eigenen Angaben prägten diese Gespräche die Eindämmung, Zugriffskontrollen und die im Paper enthaltenen Informationen. Die Implementierung könnte nur geprüften Forschenden zur Verfügung gestellt werden.
Die Testumgebung war durch vom Hypervisor erzwungene Kontrollen isoliert und gegen eingehende wie ausgehende Störungen abgeschirmt. Die Forschenden sagen, der Prototyp habe nie außerhalb dieser Umgebung gearbeitet. Sie ließen zudem herkömmliche Malware-Funktionen weg, die Erkennung oder Entfernung erschweren sollen.
Diese Schutzmaßnahmen senken das unmittelbare Risiko, erschweren jedoch die externe Überprüfung. Andere Forschende können die berichteten Methoden und Ergebnisse prüfen, ohne jede Komponente zu sehen, die für eine Reproduktion erforderlich wäre. Das macht das Paper zu glaubwürdiger Evidenz für eine Möglichkeit, nicht zu einer abschließenden Messung der Leistung in der Praxis.
Die 33 Hosts waren absichtlich verwundbar und verfügten nicht über die umfassenden Schutzmaßnahmen, die in einem reifen Unternehmen zu erwarten wären. Michael Agee, ein nicht an der Arbeit beteiligter Professor für Informationstechnologie, beschrieb die Umgebung als zielreich. Er argumentierte, die Studie habe keine verlässliche Leistung gegen ein normal geschütztes Netzwerk nachgewiesen.
Diese Skepsis wird durch das Verhalten des Prototyps gestützt. Er verbreitete sich langsam, erzeugte erhebliche Netzwerkaktivität und scheiterte bei mehr als der Hälfte seiner Ausnutzungsversuche. Ein überwachtes Unternehmen könnte die Scans, wiederholten Fehlschläge, Versuche zur Rechteausweitung und unerwartete Replikation erkennen.
Das Modell halluzinierte zudem Schwachstellen und fixierte sich gelegentlich auf harmlose Dienste. In anderen Fällen identifizierte es die richtige Schwäche, erzeugte jedoch einen fehlerhaft formatierten Payload. Solche Fehler würden in einer Produktionsumgebung Zeit verschwenden und Warnmeldungen auslösen.
Ein siebentägiges Experiment ist lang genug, damit ein leistungsfähiges Security Operations Center auffälliges Verhalten untersucht. Endpoint-Detection-Tools könnten Befehle blockieren oder betroffene Systeme isolieren. Netzwerkkontrollen könnten die Kommunikation zwischen leichtgewichtigen Agenten und kompromittierten GPU-Knoten unterbrechen.
Verbrauchergeräte stellen eine weitere Einschränkung dar. Die Architektur des Wurms kann sich theoretisch auf schwache Geräte ausweiten, doch ein Gerät muss weiterhin eine ausnutzbare Schwachstelle oder ein Konfigurationsproblem aufweisen. „Jedes Online-Gerät“ bedeutet nicht, dass jedes gepatchte Smartphone, jeder Laptop oder jede Kamera sofort verwundbar ist.
Auch die eigenen Belege der Forschenden weisen auf eine wichtige defensive Asymmetrie hin. Adaptive Malware benötigt Beobachtungen und Ausführungsmöglichkeiten. Die Beschränkung administrativer Werkzeuge, die Minimierung installierter Software, die Begrenzung ausgehenden Datenverkehrs und die Reduzierung unnötiger Dienste nehmen dem Agenten jeweils Optionen.
Die Arbeit jedoch abzutun, weil der erste Prototyp auffällig ist, würde einen bekannten Sicherheitsfehler wiederholen. Frühe offensive Werkzeuge beginnen oft als langsame, erkennbare Demonstrationen. Ihre Techniken werden leichter einsetzbar, sobald Entwickler Modelle, Orchestrierung und Hardwareeffizienz verbessern.
Der relevante Vergleich besteht nicht zwischen diesem Prototyp und dem schnellsten bestehenden Wurm. Er liegt zwischen menschlich gesteuerter Anpassung und Software, die sich nach ihrer Veröffentlichung weiter anpassen kann. Letztere kann eine größere Zahl mittelmäßiger Versuche skalieren, ohne an jedem Ziel einen erfahrenen Operator zu benötigen.
Unabhängige Experten äußerten in einer externen Analyse sowohl Vorsicht als auch Besorgnis. Einige bezeichneten die Arbeit als wichtigen Schritt hin zu autonomen Angriffsentscheidungen. Andere warnten, dass Behauptungen über die gezielte Ansprache fast jedes Geräts weiter gingen, als die Belege es stützen.
David Lie, ein mit der Forschung vertrauter, aber nicht beteiligter Professor der University of Toronto, nannte sie in einer wissenschaftlichen Berichterstattung einen Weckruf. Zugleich betonte er den Dual-Use-Charakter von AI. Ähnliche Schlussfolgerungssysteme könnten Verteidigern helfen, Schwachstellen zu finden und zu beheben.
Dieses defensive Spiegelbild ist wichtig. Sicherheitsteams können Agenten für Asset-Erkennung, Penetrationstests, Schwachstellenpriorisierung und Patch-Verifikation einsetzen. Das Wettrennen besteht nicht einfach aus AI-Malware gegen traditionelle Software. Zunehmend stehen autonome Angriffssysteme zunehmend automatisierter Verteidigung gegenüber.
Defensive Agenten arbeiten jedoch unter strengeren Einschränkungen. Sie müssen Produktionsumgebungen vor Störungen schützen, Zugriffsgrenzen respektieren, ihre Handlungen dokumentieren und Ergebnisse liefern, die Menschen prüfen können. Angreifer können mehr Fehler tolerieren, wenn auch nur ein kleiner Anteil ihrer Versuche erfolgreich ist.
Das Ergebnis ist ein unangenehmer Zielkonflikt. Bessere agentische AI kann Verteidigern helfen, überwältigende Sicherheitsarbeitslasten zu bewältigen. Dieselben Verbesserungen können fehlerhaft formatierte Exploits reduzieren, Aufklärung beschleunigen und adaptive Malware schwieriger von legitimer Administration unterscheidbar machen.
Drei Signale werden zeigen, ob adaptive AI-Würmer zu einer realen Bedrohung werden
Die nächste Phase hängt von unabhängiger Replikation, krimineller Übernahme und messbaren Verbesserungen bei der defensiven Erkennung ab.
Das erste Signal ist, ob geprüfte Forschende das Kernergebnis in realistischeren Netzwerken reproduzieren. Eine wertvolle Folgestudie würde aktuellen Endpoint-Schutz, segmentierte Infrastruktur, stärkere Identitätskontrollen, gewöhnliches Nutzerverhalten und Workloads einbeziehen, die nach einem Experiment nicht einfach zurückgesetzt werden können.
Eine Replikation, die weiterhin eine bedeutende Ausbreitung erzeugt, würde die zentrale Warnung des Papers stärken. Ein Scheitern an grundlegenden Schutzmaßnahmen würde sie einengen und zeigen, dass adaptives Schlussfolgern weniger offensiven Nutzen bringt, als der kontrollierte Test nahelegt. Beide Ergebnisse würden Entscheidungen stärker verbessern als eine weitere alarmierende Schlagzeile.
Forschende sollten auch operative Zielkonflikte messen. Wie viele Inferenzaufrufe benötigt jedes Ziel? Wie viel Netzwerkverkehr erzeugt die Schlussfolgerungsarchitektur? Wie oft löst ein fehlgeschlagener Exploit ein erkennbares Ereignis aus, und wie viel GPU-Kapazität muss das System beschaffen?
Das zweite Signal sind Belege dafür, dass kriminelle oder staatlich unterstützte Akteure lokale Modelle mit autonomer Ausbreitung außerhalb von Laboren kombinieren. Sicherheitsanbieter berichten bereits über Angreifer, die generative AI für Skripting, Aufklärung, Social Engineering und Schwachstellenforschung einsetzen. Diese Aktivitäten sind nicht dasselbe wie ein sich selbst erhaltender Wurm.
Eine bestätigte Kampagne würde stärkere Indikatoren erfordern. Ermittler würden nach Malware suchen, die eigenständig unterschiedliche Angriffswege auswählt, zielgruppenspezifischen Code erzeugt, ihr Entscheidungssystem kopiert und ohne häufige Befehle eines Steuerungssystems weiterarbeitet.
Die Attribution wird schwierig sein, weil viele Bausteine normaler Administration oder bereits existierender Malware ähneln. Netzwerkscans, Wiederverwendung von Zugangsdaten, Exploit-Generierung und laterale Bewegung gab es schon vor Sprachmodellen. Forschende müssen nachweisen, dass ein eingebettetes Modell bei der Ausbreitung folgenreiche Entscheidungen getroffen hat.
Ein realer Vorfall würde die Argumente dafür deutlich stärken, autonome generative Angreifer als eigenständige operative Kategorie zu behandeln. Das weitere Ausbleiben solcher Vorfälle würde das Laborergebnis nicht widerlegen, aber darauf hindeuten, dass Zuverlässigkeit, Tarnung oder Infrastrukturkosten weiterhin bedeutende Hürden darstellen.
Das dritte Signal ist, ob Verteidiger Erkennungssysteme auf Verhalten und Absicht statt auf feste Malware-Signaturen ausrichten. Das Forschungsteam erklärt, sich nun Gegenmaßnahmen zuzuwenden. Nützliche Ergebnisse wären gemeinsame Evaluierungsumgebungen, Erkennungs-Benchmarks und Telemetriedaten, die agentische Angriffsschleifen identifizieren.
Ein aussagekräftiger Benchmark sollte böswillige Aktivitäten von legitimer Automatisierung unterscheiden. Entwicklungstools, IT-Agenten, Schwachstellenscanner und KI-Assistenten können ebenfalls Systeme untersuchen oder Befehle ausführen. Eine Erkennung, die jeden autonomen Prozess blockiert, würde inakzeptable Betriebskosten verursachen.
Verteidiger benötigen Beweisketten, die einen verdächtigen Ablauf zeigen. Aufklärung, gefolgt von Hypothesentests, wiederholter Anpassung von Payloads, dem Abgreifen von Zugangsdaten, Rechteausweitung und Replikation, ergibt ein klareres Bild als jeder einzelne Befehl. Die Verknüpfung dieser Ereignisse über mehrere Hosts hinweg kann das übergeordnete Ziel offenlegen.
Auch Modellentwickler müssen handeln. Cybersicherheitsbewertungen sollten die Fähigkeit eines Agenten prüfen, eine Kampagne aufrechtzuerhalten, sich nach einem Fehlschlag zu erholen, kürzlich veröffentlichte Warnhinweise zu nutzen und zusätzliche Rechenkapazität zu beschaffen. Ein Chatbot-Benchmark kann die Risiken durch Speicher, Tools und rekursive Ausführung nicht erfassen.
Open-Weight- und Closed-Model-Ökosysteme erfordern unterschiedliche Kontrollen. Gehostete Anbieter können Anfragen überwachen und Zugriffsrichtlinien durchsetzen. Entwickler von Open-Weight-Modellen verfügen nach der Veröffentlichung über weniger Eingriffsmöglichkeiten, weshalb Fähigkeitsbewertungen, Release-Dokumentation und Leitlinien für sichere Bereitstellung wichtiger werden.
Regierungen stehen vor einer schwierigen politischen Abgrenzung. Die Einschränkung von Forschung kann Verteidiger unvorbereitet lassen, während die Veröffentlichung detaillierter Implementierungen die Einstiegshürde für Angreifer senken kann. Geprüfter Zugang, schrittweise Offenlegung, kontrollierte Testumgebungen und gemeinsame defensive Indikatoren bieten einen Mittelweg.
Für Unternehmen ist die unmittelbare Lehre weniger exotisch. Erfassen Sie jedes erreichbare Asset. Patchen Sie exponierte Systeme zügig. Setzen Sie Multifaktor-Authentifizierung durch, unterbinden Sie die Wiederverwendung von Zugangsdaten, segmentieren Sie interne Netzwerke, überwachen Sie GPU-Workloads und untersuchen Sie ungewöhnliche automatisierte Tool-Nutzung.
Einzelpersonen sollten Betriebssysteme, Router, Kameras und andere vernetzte Geräte aktuell halten. Sie sollten Standardpasswörter ersetzen und nicht benötigte Dienste deaktivieren. Die Studie belegt keine aktive Bedrohung für Verbraucher, doch diese Maßnahmen verringern die Schwachstellen, die jeder automatisierte Angreifer ausnutzen würde.
Der adaptive KI-Wurm CleverHans ist bedeutsam, weil er trotz seiner Langsamkeit und Unzuverlässigkeit funktionierte. Er verlagerte genug taktische Entscheidungsfindung in Software, um sich über ein vielfältiges Testnetzwerk auszubreiten. Seine Fehlschläge zeigen, dass Verteidiger weiterhin erheblichen Handlungsspielraum haben.
Die entscheidende Frage lautet, ob Sicherheitsteams diese Zeit nutzen. Auf eine schnellere, unauffälligere Version zu warten, würde den durch frühe Forschung geschaffenen Vorteil preisgeben. Organisationen sollten prüfen, ob ihre Kontrollen einen Angreifer stoppen können, der nach jedem Fehlschlag seine Taktik ändert – und nicht nur einen, der einen bekannten Exploit mitführt.
Adaptive Malware macht etablierte Abwehrmaßnahmen nicht überflüssig. Sie macht ihre Koordination wichtiger. Welches Signal wird Ihre Organisation zuerst prüfen: verdächtige KI-Workloads, unerwartete laterale Bewegungen oder das verwundbare Gerät, das in ihrem Inventar fehlt?
