Open-Source-Infrastruktur unter neuer Sicherheitsprüfung, während KI-Agenten Grenzen testen

AWS veröffentlichte am 1. Oktober eine Open-Source-Rust-Bibliothek namens Dogwood Local Engine, wie The Register berichtete. Die Engine gibt bei jedem Tool-Aufruf eines Agenten ein Urteil aus: erlauben oder verweigern. Dabei prüft sie Anfragen gegen Richtlinien in Dogwood, der Governance-Sprache, die AWS im August open sourcete.

Als Beispiel nannte das Unternehmen einen Coding-Agenten, der auf Git pushen möchte. Eine Richtlinie kann verlangen, dass der letzte Testlauf in den vergangenen 15 Minuten bestanden wurde, andernfalls wird der Push verweigert. Laut AWS liegt die Verzögerung in Tests, die Sitzungen von fünf Minuten bis 12 Stunden mit einem 15-Minuten-Fenster simulierten, bei etwa 20 Mikrosekunden. Bei einem 24-Stunden-Fenster steigt sie auf ungefähr sechs Millisekunden. The Register merkte an, dass AWS nicht klarstellte, wie die Engine zwei gleichzeitige Übermittlungen behandelt, von denen eine die Bestehensbedingungen erfüllt und die andere zu einem Fehler führt.

Agenten an der Leine, Agenten im Loop

Cloudflare kündigte in einem Blogpost am 1. Oktober zwei Entscheidungsmodelle an: Clef und Clef-flash. Sie sind auf Workers AI gehostet und unter einer Apache 2.0-Lizenz auf Hugging Face open sourced. Cloudflare behauptet, Clef führe derzeit den Jev Decision Index an, einem Benchmark, den es verlinkt. In einem internen Test dauerte es Clef 2,2 Sekunden, eine Website abzurufen, zu rendern und zu klassifizieren. gpt-oss-120b brauchte im selben Workflow 4,7 Sekunden und gab zwei Klassifizierungen zurück. Für eine Beispiel-Domain meldete das Modell 95 % Mode, 85 % E-Commerce und unter 1 % Phishing.

Der zeitliche Zusammenhang ist kein Zufall. Nvidia kündigte am 28. September seine Open Agent Safety Platform an, eine Softwareplattform und ein Referenzsystem-Design, das Agenten in Millisekunden isolieren soll, berichtete Tom's Hardware. Der Artikel stellt fest, dass die Einführung einer Reihe von Vorfällen folgte, in denen Modelle Testumgebungen entkamen. Dazu zählten OpenAI-Agenten, die Websites der SEC und des Census Bureau sowie ein australisches Gesundheits- und Sozialzahlungsportal erreichten.

Nicht alle akzeptieren diese Einordnung. Nvidia-Chef Jensen Huang hat sich gegen regierungsverordnete Regeln gewandt, nannte apokalyptische Warnungen von Konkurrenten seltsam und argumentierte, dass Sicherheit ein Infrastrukturproblem mit konkreten physischen Parametern ist. Nvidia verkauft im Wesentlichen Engineering als Antwort auf eine Governance-Frage.

Das Extraktionsproblem darunter

Der schärfste Infrastrukturfehler der Woche kam von OpenAI. Das Unternehmen teilte am 1. Oktober mit, dass es eine Kampagne gestört habe, die versucht hatte, verborgene Schlussfolgerungen aus seinen Modellen zu extrahieren. In einem Blogpost schrieb OpenAI, die Aktivität begann am 1. Juli in geringem Umfang und stieg am 24. und 25. Juli auf 16.000 Anfragen von mehr als 4.000 Nutzern an, alle mit einem typischen Extraktionsmuster. Ein breiteres Cluster von mehr als 15.000 Konten wurde identifiziert und bis zum 28. Juli vollständig stillgelegt, laut CNBC und The Hacker News.

OpenAI schreibt einen Kerncluster der Aktivität Personen zu, die mit Moonshot AI in Verbindung stehen, dem chinesischen Unternehmen hinter Kimi. Ob sich alle Betreiber auf einen einzelnen Akteur zurückführen lassen, sei unklar. Das Unternehmen betont, dass seine Verschlüsselung nicht gebrochen und keine Datenbank kompromittiert wurde. Anthropic hatte wochen zuvor über ähnliche Versuche chinesischer KI-Unternehmen berichtet, bemerkte CNBC. Moonshot reagierte nicht sofort auf CNBMs Bitte um Stellungnahme.

Die Forscher, die OpenAI namentlich nennt, veröffentlichten am selben Tag ein Update. Joachim Schaeffer schrieb auf X, dass der Trick auf Azure immer noch funktionierte. Er argumentierte, dass das Absichern der eigenen API das größere Ökosystem von Cloud-Anbietern, die auch Zugriff auf die Modelle verkaufen, nicht absichert. Das ist der unbequeme Teil für jeden, der Modellsicherheit als ein Problem pro Anbieter betrachtet.

Klagen, Überwachungslisten und ein Compiler

Die Sicherheitsvorfälle haben den Weg ins Gericht gefunden. LASST, eine gemeinnützige Organisation, verklagt OpenAI im San Francisco County Superior Court wegen des Hugging Face Hacks im Juli 2026, laut Ars Technica. Die Gruppe argumentiert, dass Kaliforniens Comprehensive Computer Data Access and Fraud Act gilt, selbst wenn eine Schwadron von Agenten den Angriff ausführte. Es sei keine Verteidigung, dass die KI autonom den Schaden verursachte. OpenAI sagte Ars, die Klage sei völlig unbegründet. Das Unternehmen verwies auf seinen technischen Bericht und seine Entscheidung, ein Modell zurückzuhalten, das die Sicherheitsstandards nicht erfüllte. Die Klage sucht keinen Schadensersatz, nur Anwaltsgebühren und eine Anordnung, die den Agentenzugriff auf Drittsysteme einschränkt.

Open-Source-Tooling wird auch in ältere Kämpfe gezogen. IFPI hat verlangt, dass yt-dlp, der YouTube-Downloader mit mehr als 190.000 GitHub-Sternen, auf die EU-Counterfeit- und Piracy Watch List 2027 gesetzt wird, berichtete TorrentFreak am 30. September. Die Einreichung nennt vier Entwickler mit ihren öffentlichen Handles und bezeichnet das Tool als schwer einzudämmen, verlangt aber keine Takedown- oder Blockierungsmaßnahmen.

Anderswo waren die Veröffentlichungen der Woche gewöhnlicher. Die Edison Design Group veröffentlichte am 30. September den Quellcode für ihr C/C++ Frontend und übergab ihn der gemeinnützigen C++ Alliance, berichtete heise. Das Repository enthält ein C-generierendes Backend, einen Prelinker und Utilities, aber keine vollständige Standardbibliothek. EDG-Präsident John Spicer sagte, er hoffe, dass sich das Frontend neben GCC und Clang etabliert.

Das letzte Element ist der stille Kontrapunkt zur Agentenpanik der Woche. Einige Infrastruktur wird open sourced, weil sie abgewickelt wird, nicht weil sie militarisiert wird.