KI-gesteuerter selbstreplizierender Wurm von Universität Toronto befällt Testnetzwerk autonom

Wissenschaftler des CleverHans Lab an der Universität Toronto haben Anfang Juni 2026 einen adaptiven KI-Wurm vorgestellt, der sich in heterogenen Testnetzwerken vollständig autonom ausbreitet. Das System nutzt ein frei verfügbares Open-Weight-Sprachmodell, um für jeden Zielrechner eine individuelle Angriffsstrategie zu entwickeln. Über 15 Testläufe hinweg identifizierte der Wurm rund 82 Prozent aller vorhandenen Schwachstellen korrekt und kompromittierte durchschnittlich drei Viertel des Testnetzwerks – ohne jeglichen menschlichen Eingriff. Die Forschungsergebnisse gelten branchenweit als strategischer Weckruf für Sicherheitsarchitektur und Incident-Response-Planung.

Was ist passiert

Professor Nicolas Papernot und sein Team am CleverHans Lab der Universität Toronto veröffentlichten zwischen dem 2. und 4. Juni 2026 die Ergebnisse ihrer Forschungsarbeit zu einem neuartigen, KI-gesteuerten Computerwurm. Das System setzt kein proprietäres Modell ein, sondern greift auf ein frei herunterladbares Open-Weight-Large-Language-Model zurück, das die Angriffsstrategie dynamisch an den jeweiligen Zielrechner anpasst.

In 15 autonomen Testläufen – jeder davon über einen Zeitraum von sieben Tagen – kompromittierte der Wurm im Durchschnitt 75 Prozent der erreichbaren Systeme und erreichte bis zu sieben Replikationsgenerationen ohne menschliches Eingreifen. Neu bekannt gewordene Schwachstellen, für die ein öffentliches Exploit-Dokument vorlag, wurden in 70 Prozent der Fälle erfolgreich ausgenutzt.

Besonders bemerkenswert ist die Ressourcenstrategie des Wurms: Infizierte GPU-fähige Maschinen werden gekapert und deren Rechenleistung für die eigene KI-Inferenz genutzt. IoT-Geräte ohne GPU leiten ihre Anfragen an diese infizierten GPU-Knoten weiter, sodass das Wurm-Netzwerk sich selbst mit Rechenkapazität versorgt. Die Studie ist ausschließlich eine akademische Demonstration – der Wurm wurde nicht in freier Wildbahn eingesetzt.

Bin ich betroffen?

Da es sich um eine reine Forschungsstudie handelt, ist derzeit kein aktiver Exploit im Umlauf. Die demonstrierte Angriffsfläche betrifft jedoch theoretisch alle heterogenen Unternehmensnetzwerke mit einer Mischung aus Linux-, Windows- und IoT-Systemen – also nahezu jede mittelständische oder größere IT-Infrastruktur.

Besonders gefährdet wären Umgebungen, in denen:

• GPU-Maschinen ohne strikte Netzwerksegmentierung erreichbar sind,
• IoT-Geräte ohne dediziertes VLAN betrieben werden,
• Schwachstellen-Patching zeitverzögert oder unregelmäßig erfolgt,
• laterale Netzwerkbewegungen nicht aktiv überwacht werden.

Die Studie zeigt, dass adaptive KI-Würmer mit frei verfügbaren Modellen und minimalen Ressourcen Netzwerke effizienter kompromittieren können als herkömmliche Malware – ein Risikoszenario, das in Bedrohungsmodellen bisher kaum berücksichtigt wurde.

Wie lässt sich das Risiko mindern?

Ein direkter Patch ist mangels aktivem Exploit nicht erforderlich. Die Forscher empfehlen mehrere organisatorische und technische Gegenmaßnahmen:

• Netzwerksegmentierung: GPU-Maschinen und IoT-Geräte in dedizierte VLANs auslagern, um laterale Ausbreitung zu erschweren. Eine Einführung in VLANs und deren Konfiguration an Managed Switches bietet die Anleitung VLANs verstehen und am Managed Switch einrichten.
• Least-Privilege-Prinzip: Dienst- und Systemkonten auf das notwendige Minimum an Berechtigungen beschränken.
• Zeitnahes Schwachstellen-Patching: Insbesondere öffentlich bekannte Schwachstellen mit verfügbaren Exploit-Dokumenten sollten unverzüglich geschlossen werden.
• Anomalie-basierte Erkennung: Monitoring auf ungewöhnliche laterale Netzwerkbewegungen und auffällige GPU-Last implementieren. Wer selbst gehostete KI-Workloads betreibt, findet in der Anleitung offene LLMs mit vLLM selbst hosten Hinweise zur sicheren Isolation solcher Systeme.
• Zugangskontrolle für KI-Ressourcen: GPU-Infrastruktur sollte nicht offen im internen Netz erreichbar sein.

Zusätzlich empfiehlt sich ein dokumentierter Ransomware- und Incident-Response-Plan, der auch KI-gestützte Angriffsvektoren berücksichtigt – wie ihn die Anleitung Ransomware-Notfallplan: die ersten 60 Minuten beschreibt.

Was bedeutet das für Unternehmen?

Die Studie des CleverHans Lab markiert eine qualitative Verschiebung im Bedrohungsbild: Während klassische Würmer feste Angriffsmuster abarbeiten, passt sich dieser KI-gesteuerte Wurm situativ an seine Zielumgebung an. Die Nutzung eines öffentlich verfügbaren Open-Weight-Modells senkt die Einstiegshürde erheblich – vergleichbare Systeme könnten mit geringem Aufwand von Angreifern nachgebaut werden.

Für Sicherheitsverantwortliche bedeutet das konkret: Bedrohungsmodelle müssen adaptive, KI-gestützte Angreifer einschließen. Statische Signatur-basierte Erkennungssysteme allein reichen nicht aus, um laterale Bewegungen zu stoppen, die individuell optimiert werden. Darüber hinaus rückt der Schutz von GPU-Ressourcen als potenzielle Angriffsziele in den Fokus – ein Aspekt, der in klassischen IT-Sicherheitskonzepten bislang kaum eine Rolle spielte.

Die Forschungsarbeit ist ausschließlich zu Demonstrationszwecken entstanden und wurde nicht für den produktiven Einsatz freigegeben. Sie unterstreicht jedoch, dass die Kombination aus frei verfügbaren KI-Modellen und autonomer Netzwerkexploration ein realistisches Angriffsszenario der nahen Zukunft darstellt, auf das Unternehmen heute vorbereitet sein sollten.

Quellen: The Register: Free AI model powers self-spreading worm in enterprise test network | Help Net Security: Autonomous AI-driven worm can reason its way through corporate networks | Gizmodo: A Fundamentally New Threat – Researchers Develop New AI-Powered Worm | Scientific American: Scientists just built a powerful AI computer worm that learns as it spreads