Die Sicherheitsforschungsgruppe Calif Research hat am 10. September 2026 eine bemerkenswerte Demonstration veröffentlicht, die in der IT-Sicherheitsbranche für Aufsehen sorgt. Unter dem Namen WeWorm präsentierten die Forscher einen funktionsfähigen Wurm, der sich über Audio- und Video-Anrufe des weit verbreiteten Messengers WeChat auf Android und iOS verbreiten konnte. Der Angriff funktionierte als sogenannter Zero-Click-Exploit, bei dem die Zielpersonen den Anruf weder annehmen noch in irgendeiner Form mit ihrem Smartphone interagieren mussten, um kompromittiert zu werden.
Der eigentliche Wendepunkt dieser Demonstration liegt jedoch nicht allein in der Schwere der Sicherheitslücke, sondern in der Art und Weise ihrer Entdeckung und Ausnutzung. Laut Angaben von Calif Research analysierte das Kernteam die zugrunde liegende Schwachstelle mit umfassender KI-Unterstützung. Innerhalb von lediglich zwei Tagen gelang es den Forschern, einen voll funktionsfähigen Exploit zur entfernten Codeausführung (Remote Code Execution) zu verfassen. Der vollständige, selbstreplizierende Wurm war nach nur einer Woche fertiggestellt.
In der traditionellen Cybersicherheit erforderte die Konstruktion derartiger Zero-Click-Angriffsketten bisher monatelange Arbeit spezialisierter Teams mit tiefen Kenntnissen der internen Speicherverwaltung. Dass kleine Teams diese Prozesse nun durch den gezielten Einsatz moderner Sprachmodelle massiv beschleunigen können, alarmiert Branchenbeobachter. Was zuvor staatlich alimentierten Akteuren oder hochspezialisierten Hacking-Firmen vorbehalten war, rückt durch automatisierte Code-Analysen und KI-gestützte Fehlerlokalisierung in greifbare Nähe kleinerer Arbeitsgruppen.
Die Entwickler des Messengers bei Tencent wurden von Calif Research vor der Veröffentlichung im Rahmen eines Responsible-Disclosure-Verfahrens informiert. Der chinesische Technologiekonzern hat die Schwachstelle daraufhin analysiert und zeitnah geschlossen, sodass Nutzer nach Einspielen der aktuellen App-Versionen geschützt sind. Calif Research betonte, dass der Wurm ausschließlich in isolierten Testumgebungen erprobt wurde, um Schäden an der realen Infrastruktur von vornherein auszuschließen.
Der Softwareentwickler Simon Willison und mehrere Cybersicherheitsforscher griffen den Fall umgehend auf und bezeichneten die Demonstration als Weckruf für die defensive IT-Branche. Willison wies darauf hin, dass die drastische Verkürzung der Entwicklungszyklen von Monaten auf wenige Tage das bisherige Gleichgewicht zwischen Angriff und Verteidigung ins Wanken bringt. Die Zeitspanne zwischen der Veröffentlichung von Bibliotheksaktualisierungen und dem Auftauchen erster funktionierender Exploits schrumpft dramatisch zusammen.
Gleichzeitig zeigt sich jedoch, dass fortschrittliche Modelle auch auf der defensiven Seite unverzichtbar werden. Fast zeitgleich nutzten Entwickler Frontier-Modelle wie Claude und GPT-Systeme in automatisierten Peer-Review-Verfahren, um subtile Authentifizierungsfehler in Open-Source-Projekten wie Datasette aufzuspüren und abzusichern. Sicherheitsexperten fordern angesichts der WeWorm-Demonstration nun verbindliche Leitlinien für Softwareanbieter, um automatisierte Audits fest in die Entwicklungs-Pipelines zu integrieren, bevor bösartige Akteure dieselben Werkzeuge flächendeckend offensiv einsetzen.