TORONTO / LONDON (IT BOLTWISE) – Forschende aus Toronto haben einen Proof-of-Concept für einen selbstreplizierenden KI-Wurm vorgestellt, der vollständig mit lokal laufenden Open-Weight-Modellen arbeitet. Er durchläuft ein Netzwerk ohne menschliche Eingriffe, identifiziert Schwachstellen, generiert zur Laufzeit passende Angriffsschritte und repliziert sich über mehrere Generationen. Besonders brisant: Der Wurm liest veröffentlichte Sicherheitsadvisories zur Laufzeit und kann damit nach dem Trainingszeitpunkt noch neue Ziele testen. Die Studie zeigt, warum „nur bekannte CVEs patchen“ in dynamischen Angriffszenarien nicht mehr als alleinige Verteidigung ausreicht.
Ein neuartiger KI-Wurm aus dem Umfeld der University of Toronto adressiert genau die Lücke, die viele Security-Programme im Alltag unterschätzen: das Zeitfenster zwischen der Veröffentlichung einer Schwachstelle und einer tatsächlich durchgesetzten, vollständigen Patch-Strategie. Der Proof-of-Concept arbeitet dabei ohne externe KI-Dienste, ohne API-Schlüssel und ohne „Kill Switch“ eines Anbieters. Stattdessen nutzt er ein lokal ausgeführtes, Open-Weight-Sprachmodell, um sich durch ein Netz zu „denken“, jede erreichbare Zielmaschine zu bewerten und die nächsten Angriffsschritte dynamisch auszuwählen. Das Ergebnis ist weniger ein einzelner Exploit, sondern eine adaptive Propagationslogik, die mit jedem neuen Host neue Pfade versucht.
Technisch ist die Kernaussage eng mit dem Modell-Setup verknüpft. Die Forschenden führten 15 isolierte Experimente in einem bewusst verwundbaren 33-Host-Umfeld („FakeCorp“) aus, das typische Betriebssysteme (Ubuntu, Debian, Rocky Linux, Alpine sowie Windows Server 2008 R2, 2019 und 2022) und IoT-Geräte abbildet. Jeder Host enthielt mindestens eine reale Schwachstelle, wobei mehrere Geräte GPU-Fähigkeit besaßen. Für die Hauptläufe nutzte der Wurm eine geteilte GPU-Inferenz-Pool-Strategie, um Rechenleistung zu simulieren, wie sie bei kompromittierten Infrastrukturen entstehen kann. Ergänzend testeten sie auch eine „vollwertige“ GPU-Tier-Variante, bei der ein lokales LLM auf einem kompromittierten GPU-Host gestartet wird.
Die Verteilung der Erfolge macht die Systemlogik greifbar: In den Läufen gelang es dem Wurm im Mittel, bei aktiv anvisierten Zielen etwa 31,3 Schwachstellen zu erkennen und auf 23,1 Hosts erhöhte Rechte zu erlangen, also ungefähr drei Viertel der konkret getargeten Systeme. Anschließend replizierte er autonom auf 20,4 Hosts, was rund 62% des gesamten Netzwerks entspricht, und das über sieben Tage ohne Kenntnis der Netzwerktopologie und ohne menschliche Eingaben. Auffällig ist zudem, dass die Erfolgsquote von einzelnen Exploit-Versuchen bei etwa 44% lag, wobei die meisten Misserfolge auf fehlerhafte Payload-Syntax zurückgingen – ein Signal, dass die grundsätzliche Logik funktionierte, aber die Umsetzung noch nicht auf „produktive“ Robustheit optimiert war.
Damit reiht sich die Arbeit in eine Entwicklungslinie ein, die bereits in früheren KI-Wurm-Studien sichtbar war, aber mit einer entscheidenden Verschiebung der Angriffsfläche: In der Forschung zu Morris II (Cohen et al., 2025) ging es um das Verbreiten über KI-Email-Assistenten und eher um Propagation innerhalb der KI-Anwendungsschicht, nicht um hostnahe Infrastrukturkompromittierung. ClawWorm zeigte anschließend selbstreplizierende Angriffe in LLM-Agent-Ökosystemen, inklusive dem Hijacking persistenter Konfigurationen und dem Weiterreichen an Agentenpeers. Der Toronto-Ansatz setzt dagegen nicht darauf, dass die KI selbst „vom Modell“ angegriffen wird – vielmehr dient das Modell als Angriffsmotor, um klassische Schwachstellen in der Host- und Netzwerkschicht auszunutzen. Diese Art Delegation „vom Menschen weg“ ist auch marktseitig nachvollziehbar: Wie Branchenanalysen berichten, übernehmen KI-Assistenten bereits heute einen großen Teil von Reconnaissance und Exploit-Workflows, während Menschen nur an wenigen Kontrollpunkten eingreifen.
Ein besonders kritischer Punkt ist die Patch-Lücke, die nicht durch einen einzelnen, vorab kodierten Exploit geschlossen werden kann. Traditionelle Malware wird oft mit einem festen Payload-Satz gebaut: Wird die jeweilige Schwachstelle geschlossen, stoppt die Verbreitung. Der KI-Wurm dagegen generiert eine neu passende Angriffslogik zur Laufzeit, nachdem er geprüft hat, welche Dienste exponiert sind und welche Sicherheitsinformationen gerade relevant sind. Die Forschenden zeigen das explizit, indem der Wurm öffentlich verfügbare Advisory-Texte zur Laufzeit aufnimmt und damit Schwachstellen adressiert, die erst nach dem Trainingszeitpunkt publik wurden. In ihren Testumgebungen nutzte er u. a. CVE-2026-39987 sowie kernelnahe Privilege-Eskalationen rund um CopyFail und DirtyFrag; gegen diese neuen Ziele erreichte er bei vielen Versuchen Root-Rechte.
Historisch betrachtet war die „WannaCry-Parallele“ weniger die globale Ausbreitung, sondern das Patch-Delay: Auch wenn EternalBlue bereits Monate vorher gepatcht werden konnte, reichte die zeitliche Diskrepanz, um massenhaft Systeme zu kompromittieren. Der Toronto-Wurm transportiert dieses Problem auf eine neue Ebene, weil er nicht nur in einem engen Korridor vordefinierter Exploit-Ketten arbeitet, sondern während der Verteidiger noch Validierungsarbeit leistet, alternative Pfade sucht. Interessant ist hier auch die Beobachtung, dass die Forschenden in ihrem Prototyp keine Stealth-Mechanismen wie Verschlüsselung, Polymorphismus, Persistence oder Log-Covering eingebaut haben. Das reduziert die „Signale“, die ein echter Angreifer sonst hinterlassen würde, aber es macht zugleich sichtbar, dass die eigentliche Bedrohung aus der adaptiven Entscheidungslogik stammt.
Aus Marktsicht verschärft sich das Containment-Problem durch den Wegfall modellseitiger Provider-Steuerungen. Wo bei KI-gestützten Angriffen auf externe Dienste typischerweise Rate-Limits, Account-Sperren oder API-Refusals als „Fangnetz“ existieren, ist dieses Netz hier strukturell schwächer: Der Wurm nutzt Open-Weight-Modelle lokal, ohne Abhängigkeit von Anbietern, deren Systeme Anomalien erkennen könnten. Zusätzlich verschiebt sich die Kostenlogik: Nicht das „Renten pro KI-Aufruf“ bestimmt den Aufwand, sondern die Rechenleistung, die der Angreifer innerhalb kompromittierter Infrastruktur verfügbar macht. Sobald ein GPU-fähiger Fußabdruck existiert und Inferenz-Workloads im lokalen Umfeld verankert werden können, sinken die Grenzkosten für weitere Versuche gegen Hosts drastisch.
Für Verteidiger folgt daraus ein klarer Handlungsrahmen, der über klassisches Vulnerability Management hinausgeht. Erstens sollten GPU-fähige Systeme aggressiv segmentiert werden, weil der Ansatz als Inferenz-„Reasoning-Hub“ über kompromittierte GPU-Hosts im selben Subnetz funktionieren kann. Zweitens sollten Zero-Trust-Prinzipien gezielt die laterale Reichweite zwischen diesen Knoten und dem Rest des Netzwerks begrenzen – nicht nur „nach außen“, sondern „innerhalb“. Drittens sollten veröffentlichte Advisories wie unmittelbare Eintrittskarten behandelt werden: Bei internet-facing CVEs kann die Ausnutzung in Stunden erfolgen, daher braucht es schnelle Exploitability-Checks und Compensating Controls, wenn Patch-Zyklen zu langsam sind. Viertens ist Credential-Rotation ein Pflichtpunkt, weil die Studie zeigt, dass wiederverwendete Zugänge als Propagationspfad systematisch funktionieren. Ergänzend gilt: Beobachtbare agent-spezifische Artefakte wie ungewöhnliche Portaktivität, automatisierte SSH Public-Key-Injektion oder neu auftretende Inferenz-Cluster auf untypischen Endpoints sollten als Grundlage für Detektionslogik dienen. Die Forschungsgruppe veröffentlicht den Prototyp nicht öffentlich; gleichzeitig entsteht eine Möglichkeit für qualifizierte Defensive-Researcher, Einsicht in die Mechanik zu beantragen – ein notwendiger Schritt, um aus dem Laborszenario robuste Schutzstrategien abzuleiten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Selbstreplizierender KI-Wurm mit lokalen Open-Weight-Modellen: Warum Patchen allein nicht reicht" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Selbstreplizierender KI-Wurm mit lokalen Open-Weight-Modellen: Warum Patchen allein nicht reicht" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Selbstreplizierender KI-Wurm mit lokalen Open-Weight-Modellen: Warum Patchen allein nicht reicht« bei Google Deutschland suchen, bei Bing oder Google News!