Een AI-model dat zichzelf kopieert, nieuwe apparaten infecteert en vervolgens zelfstandig verder zoekt naar andere systemen om zich op te installeren. Het klinkt als een scenario uit een sciencefictionfilm, maar volgens onderzoekers van Anthropic komt deze mogelijkheid snel dichterbij. Uit nieuw onderzoek blijkt dat relatief kleine AI-modellen mogelijk binnen enkele maanden in staat zijn zichzelf te verspreiden via slimme televisies, huishoudelijke apparaten en andere IoT-systemen. Daarvoor zijn niet eens krachtige datacenters nodig.

De onderzoekers William Zhou en Daniel Freeman van het Frontier Red Team van Anthropic publiceerden op 12 oktober een onderzoek naar zichzelf replicerende AI-modellen. Daarin onderzoeken zij in hoeverre AI-modellen zelfstandig nieuwe computers kunnen vinden, daarop hun eigen software kunnen installeren en vervolgens vanaf die systemen opnieuw kunnen beginnen met verspreiding.

Het gaat om een verschijnsel dat bekendstaat als autonomous replication and adaptation (ARA). Daarbij kan een AI-systeem zichzelf zonder voortdurende menselijke tussenkomst kopiëren en aanpassen aan nieuwe omstandigheden.Volgens Anthropic beschikken bestaande AI-modellen al over veel van de afzonderlijke vaardigheden die daarvoor nodig zijn. De belangrijkste beperking is momenteel dat kleinere modellen nog moeite hebben om alle noodzakelijke stappen betrouwbaar achter elkaar uit te voeren. Op basis van de huidige ontwikkeling verwachten de onderzoekers dat deze beperking mogelijk nog voor het einde van 2026 verdwijnt.

AI op goedkope Android TV-boxen

Een opvallend onderdeel van het onderzoek is dat Anthropic niet uitsluitend naar krachtige servers en GPU-clusters kijkt. De onderzoekers richtten zich juist op goedkope apparaten die in grote aantallen met internet verbonden zijn.

Zo slaagden zij erin het AI-model Gemma4-26B-A4B verdeeld over vijftien goedkope Android TV-boxen te laten draaien. Deze apparaten kostten ongeveer 55 dollar per stuk en beschikten over slechts enkele gigabytes werkgeheugen.

Het model werd opgesplitst in kleinere onderdelen die gelijktijdig op verschillende apparaten draaiden. Door deze systemen met elkaar te laten communiceren, ontstond voldoende gezamenlijke rekenkracht om het model te gebruiken.

De prestaties waren bescheiden: ongeveer 0,39 tokens per seconde. Voor een gewone chatbot zou dat bijzonder traag zijn. Voor software die zelfstandig op de achtergrond werkt en uren of dagen de tijd heeft om een volgende stap te zetten, hoeft dat echter geen onoverkomelijk probleem te zijn.

Daarmee ontstaat een nieuw beveiligingsrisico. Een AI-model hoeft niet langer noodzakelijk op één krachtige computer te draaien. Het kan ook gebruikmaken van de gecombineerde rekenkracht van een groot aantal relatief eenvoudige apparaten.

Acht van de negen hardwareplatforms

Anthropic onderzocht daarnaast of kleine AI-modellen zelfstandig de juiste softwareomgeving kunnen opzetten op onbekende hardware. Dat is een belangrijke voorwaarde voor autonome verspreiding.

Een traditioneel computervirus is doorgaans ontwikkeld voor specifieke besturingssystemen of kwetsbaarheden. Een AI-model kan in principe zelf onderzoeken op welk apparaat het terechtkomt, welke software beschikbaar is en hoe het daarop een geschikte omgeving kan installeren.

De onderzoekers testten hiervoor verschillende open-weight modellen. Een model met negen miljard parameters wist op acht van de negen onderzochte hardwaretypen een werkende omgeving voor AI-inferentie op te zetten.

Dat is belangrijk omdat de enorme verscheidenheid aan IoT-apparaten tot nu toe een praktische hindernis vormt voor grootschalige aanvallen. Een worm die zelfstandig oplossingen kan bedenken voor onbekende hardware, is minder afhankelijk van vooraf geprogrammeerde instructies.

Zelfstandige verspreiding al aangetoond in testomgeving

In een tweede experiment onderzocht Anthropic of AI-modellen de verschillende stappen van een infectie zelfstandig kunnen combineren.

Daarvoor bouwden de onderzoekers een afgeschermde omgeving met acht virtuele Android-systemen op Google Cloud. Eén systeem werd vooraf voorzien van de software die zich moest verspreiden. Vervolgens werd gekeken of het AI-model zelfstandig andere systemen kon bereiken, de benodigde bestanden kon overbrengen en daar een nieuwe AI-omgeving kon opzetten.

Het model GLM‑5.2 bleek hiertoe in staat. In vier van de vijf experimenten bereikte het alle acht systemen. In de vijfde test werden zeven van de acht systemen bereikt.

Daarbij geldt wel een belangrijke beperking. De onderzoekers hadden het binnendringen van de systemen bewust eenvoudig gemaakt door een onbeveiligde toegangspoort te gebruiken. Bovendien draaide het grotere model dat de verspreiding aanstuurde op aparte infrastructuur. Het experiment bewijst dus niet dat een klein AI-model vandaag al volledig zelfstandig als worm door echte netwerken kan trekken. Wel laat het zien dat de technische mogelijkheden voor zo’n scenario steeds dichter bij elkaar komen.

Een digitale schimmel die langzaam groeit

Een zichzelf verspreidend AI-model hoeft volgens Anthropic niet bijzonder snel te zijn om een serieus beveiligingsprobleem te veroorzaken.

De onderzoekers vergelijken een mogelijke toekomstige AI-worm met een slijmzwam: een organisme dat zich langzaam maar voortdurend uitbreidt.

Op basis van de gemeten prestaties zou het installeren van een model op nieuwe hardware tientallen uren tot meerdere dagen kunnen duren. Dat lijkt weinig indrukwekkend vergeleken met traditionele computerwormen, die zich soms binnen minuten over grote netwerken verspreiden.

Het verschil is dat een AI-worm in theorie zelfstandig problemen kan oplossen wanneer een infectie mislukt. Ook kan het model ervaringen uit eerdere pogingen bewaren en doorgeven aan volgende kopieën.

Anthropic onderzocht dit eveneens. Bij experimenten met Qwen3.5 – 9B steeg het succespercentage voor het opzetten van een AI-omgeving van 45 procent in de eerste generatie naar 61 tot 84 procent in latere generaties. De volgende modellen kregen daarbij aantekeningen over eerdere pogingen en fouten mee.

Het model werd dus niet opnieuw getraind, maar profiteerde van de ervaringen van eerdere instanties. Hierdoor kan de verspreiding in de loop van de tijd betrouwbaarder worden.

Gevolgen voor bedrijfsnetwerken en industriële IoT

De bevindingen zijn ook relevant voor organisaties die steeds meer slimme apparatuur aansluiten op hun IT- en OT-netwerken.

Denk aan beveiligingscamera’s, videoconferentiesystemen, netwerkopslag, industriële gateways en andere apparaten met ingebouwde processoren. Een groeiend aantal van deze systemen beschikt bovendien over speciale AI-chips voor lokale gegevensverwerking.

Juist deze extra rekenkracht kan volgens Anthropic interessant worden voor aanvallers. Apparaten die oorspronkelijk zijn ontworpen om bijvoorbeeld camerabeelden te analyseren, zouden in theorie ook kunnen worden misbruikt om onderdelen van een AI-model uit te voeren.

Dat betekent overigens niet dat al deze apparaten eenvoudig te infecteren zijn. De onderzoekers benadrukken dat systemen met krachtigere edge-AI-hardware vaak beter beveiligd zijn en dat grootschalige infecties van dergelijke apparatuur nog niet zijn aangetoond.

Voor organisaties onderstreept het onderzoek vooral het belang van netwerksegmentatie, veilige standaardconfiguraties, tijdige beveiligingsupdates en monitoring van afwijkend netwerkverkeer.

Een zichzelf verspreidend AI-model dat grote hoeveelheden modelgegevens uitwisselt, kan namelijk herkenbare sporen achterlaten. Ook de communicatie tussen apparaten die normaal gesproken nauwelijks onderling gegevens uitwisselen, kan een aanwijzing vormen.

Geen volledig autonome AI-worm, maar wel een waarschuwing

Anthropic benadrukt dat het onderzoek nog geen bewijs levert voor het bestaan van een volledig autonome, zichzelf verspreidende AI-worm die in de praktijk actief is.

De experimenten tonen vooral aan dat de afzonderlijke technische bouwstenen inmiddels beschikbaar zijn en dat de resterende beperkingen kleiner worden.

De belangrijkste conclusie is daarmee niet dat AI-modellen binnenkort onvermijdelijk ongecontroleerd het internet zullen overnemen. Wel ontstaat een nieuwe categorie cyberdreigingen waarbij aanvallende software minder afhankelijk wordt van vooraf geschreven instructies en steeds zelfstandiger kan reageren op onbekende omstandigheden.

Voor IT- en securityafdelingen betekent dit dat de beveiliging van relatief eenvoudige apparaten belangrijker wordt. Niet alleen omdat dergelijke systemen toegang kunnen bieden tot bedrijfsnetwerken, maar ook omdat hun gezamenlijke rekenkracht in de toekomst mogelijk kan worden gebruikt om autonome AI-systemen draaiende te houden.

De onderzoekers verwachten dat organisaties uiteindelijk rekening moeten houden met een wereld waarin AI-agents op allerlei soorten hardware actief zijn, waaronder systemen die niet langer onder directe menselijke controle staan.

Bron: Anthropic, AI models may be capable of self-replicating without access to a datacenter, William Zhou en Daniel Freeman, 12 oktober 2026. Lees hier het volledige onderzoek.