Anthropics Frontier Red Team hat am 12. Oktober zwei unterschiedliche Fähigkeiten getestet: ob Sprachmodelle auf fremdartiger Hardware einen Inferenzbetrieb einrichten können und ob sie diesen Vorgang in einer isolierten Testumgebung über mehrere Knoten hinweg wiederholen. Im zweiten Experiment erreichte GLM-5.2 in vier von fünf Läufen alle acht emulierten Zielknoten, im fünften sieben. Die Forscher sprechen von einem möglichen Vorläufer autonomer Modellverbreitung. Einen selbstständig verbreiteten AI-Wurm auf realen Geräten haben sie nicht demonstriert.
Acht emulierte Knoten sind kein reales IoT-Botnetz
Für den Verbreitungstest nutzte Anthropic eine abgeschottete Umgebung mit Android-Emulatoren. GLM-5.2 steuerte die Einrichtung eines kleineren Modells, Llama 3.1 8B. Das ist eine wichtige Einschränkung: GLM-5.2 kopierte nicht sein eigenes großes Modell auf die Testgeräte. Die Versuchsanordnung trennte die Fähigkeit zur Orchestrierung von der Größe des später ausgeführten Modells.
Zudem war der Zugriff auf die Testknoten absichtlich stark vereinfacht. Die Forscher untersuchten hier vor allem, ob ein Agent den Betrieb auf mehreren Systemen zuverlässig organisieren kann. Die Erfolgsrate darf deshalb nicht als Wahrscheinlichkeit für eine reale Kompromittierung von Geräten gelesen werden. Reuters hat die Ergebnisse am 13. Oktober mit dieser Einschränkung aufgegriffen.
Auf 15 günstigen TV-Boxen lief tatsächlich ein Sprachmodell
Ein zweites Experiment verwendete 15 physische Android-TV-Boxen für jeweils ungefähr 55 US-Dollar. Anthropic verteilte Gemma4-26B-A4B auf diese Geräte und erreichte gemeinsam 0,39 generierte Token pro Sekunde. Das reicht nicht für einen flüssigen Dialog, zeigt aber, dass ein größeres Modell ohne Rechenzentrum auf mehrere schwache Rechner verteilt ausgeführt werden kann.
Bei der Einrichtung von Inferenz auf unterschiedlicher Hardware brachte ein Modell mit neun Milliarden Parametern den Betrieb auf acht von neun getesteten Hardwaretypen zustande. Die Untersuchung trennt damit drei Fragen, die in Schlagzeilen leicht zusammenfallen: Passt das Modell auf die verfügbare Hardware? Kann ein Agent den Betrieb einrichten? Und gelingt ihm anschließend eine vollständige, selbstständige Verbreitung? Die ersten beiden Fragen beantwortet Anthropic mit konkreten Messungen. Für die dritte bleibt der Nachweis auf vereinfachte Testumgebungen begrenzt.
Übernommene Arbeitsnotizen verbesserten spätere Versuche
Anthropic verwendete den eigenen Memento-Harness, der längere Aufgaben auf mehrere Agentenläufe verteilt. Neue Instanzen übernehmen den Arbeitsstand und kurze Notizen zu früheren Fehlern. Bei Qwen3.5-9B stieg die Erfolgsrate für die Inferenz-Einrichtung über sechs Generationen von zunächst 45 Prozent auf Werte zwischen 61 und 84 Prozent. Das ist keine eigenständige Modellverbesserung durch Training, sondern eine Veränderung des Arbeitsablaufs.
Die Autoren schätzen, dass kleine Modelle bei anhaltendem Leistungszuwachs bis Ende 2026 die für ihre vereinfachten Tests nötigen Fähigkeiten erreichen könnten. Grundlage ist ein allgemeiner Fähigkeitsindex, keine direkte Messung künftiger Verbreitungsfähigkeit. Eine solche Prognose ist daher unsicher.
Für Betreiber liegt die praktische Konsequenz bei der Infrastruktur: Unerwartet große Modellübertragungen, dauerhafte Kommunikation zwischen normalerweise unabhängigen Geräten und ungewöhnliche Rechenlast lassen sich außerhalb des Modells überwachen. Anthropic nennt außerdem Gerätehärtung und Netzwerkisolation. Die Untersuchung beschreibt eine mögliche Angriffsklasse, keinen derzeit nachgewiesenen Ausbruch.
Quellen: Anthropic Frontier Red Team, 12.10.2026: https://www.anthropic.com/research/self-replicating-ai Reuters, 13.10.2026: https://www.reuters.com/business/ai-models-may-soon-self-replicate-without-access-data-centers-anthropic-warns-2026-10-13/