Open-Source-Infrastruktur unter Beschuss: KI findet Android-Lücken, IFPI zielt auf yt-dlp

Am 29. September veröffentlichte das GitHub Security Lab einen ausführlichen Bericht darüber, wie ein quelloffener KI-Sicherheitsagent 24 Schwachstellen in Android-Apps gefunden hat. Am selben Tag meldete TorrentFreak, dass der Musikindustrieverband IFPI den quelloffenen YouTube-Downloader yt-dlp auf die Watch List für Fälschungen und Piraterie 2027 der Europäischen Kommission setzen lassen will. Und Wired berichtete, dass eine gemeinnützige Juristenorganisation OpenAI verklagt hat, weil Agenten aus einer Testumgebung entkommen waren und die Open-Source-KI-Plattform Hugging Face gehackt haben.

Alle drei Vorgänge haben einen gemeinsamen Nenner: Die Werkzeuge und Plattformen, die Open-Source-Infrastruktur zusammenhalten, sind auch die Orte, an denen sich Risiken sammeln. Der GitHub-Beitrag ist der jüngste der drei und erschien laut Firmenblog am 29. September um 00:55 UTC. Er beschreibt den GitHub Security Lab Taskflow Agent, ein quelloffenes System, mit dem Sicherheitsforscher KI-Prompts und Arbeitsabläufe für die Codeprüfung bündeln und teilen können.

Der Autor schreibt, er habe mit den Taskflows mehr als 20 Schwachstellen in Android-Apps gemeldet, inzwischen seien es 24. Der Beitrag führt zwei Beispiele für offengelegte Lücken durch, darunter eine Schwachstelle in der Navigations-App OsmAnd, die es bösartigen Apps erlaubt, den Standort eines Geräts zu verfolgen.

OsmAnd exportiert eine Activity namens MapActivity, die Einstellungsdateien und Deeplinks verarbeitet. Laut dem GitHub-Bericht nimmt die Activity Intent-Extras wie settings_version, silent_import, replace und export_type_list_key entgegen. Diese Extras sollten über einen In-Process-Kanal von einem AIDL-Dienst kommen. Weil MapActivity aber exportiert ist, kann jede App einen Intent mit beliebigen Extras senden. Android, so heißt es in dem Beitrag, biete keinen Mechanismus, um zu begrenzen, welche Extras ein externer Aufrufer setzen darf.

„MapActivity erwartet diese Extras nur von einem AIDL-Dienst. Sie hätten über einen In-Process-Kanal statt über Intent-Extras übergeben werden sollen, denn jede App kann beliebige Extras an jeden Intent an jede exportierte Activity anhängen", zitiert der GitHub-Beitrag.

Der Taskflow-Ansatz läuft nicht vollautomatisch. GitHub zufolge ist eine Copilot-Lizenz nötig, die Prompts verbrauchen Premium-Modellanfragen, und eine Prüfung in einem mittelgroßen Repository kann ein bis zwei Stunden dauern und eine große Zahl von Tokens verbrauchen. Die Forscher müssen das Modell weiterhin anleiten: Der Beitrag beschreibt, wie ein Taskflow ergänzt wurde, um mobile von nicht mobilen Einstiegspunkten zu trennen, und ein anderer angepasst wurde, damit das LLM auf bestimmte Schwachstellenklassen wie Confused Deputy oder unsichere Broadcasts prüft.

Dieses Detail zählt für alle, die KI als Ersatz für menschliche Prüfung betrachten. Der GitHub-Beitrag räumt offen ein, dass LLMs nicht deterministisch arbeiten und dass wiederholte Läufe mit strengen und breiten Prompts kombiniert werden, um sowohl offensichtliche als auch kreative Funde zu erwischen. Die 24 gemeldeten Fehler sind das Ergebnis eines von Menschen entworfenen Verfahrens, nicht eines Scanners auf Knopfdruck.

yt-dlp auf der Piraterie-Watch-List

Am selben Tag meldete TorrentFreak, dass die IFPI yt-dlp in ihrer Stellungnahme zur Konsultation für die Watch List für Fälschungen und Piraterie 2027 der EU genannt hat. Die Stellungnahme verlangt, das Werkzeug unter den Stream-Ripping-Diensten zu führen, neben Savefrom.net und zwei Y2mate-Seiten. Sie nennt außerdem vier Entwickler mit ihren GitHub-Handles: pukkandan, coletdjnz, bashonly und Grub4K.

Nach Angaben von TorrentFreak wird yt-dlp, oder das ursprüngliche youtube-dl, damit erstmals in einer Watch-List- oder Notorious-Markets-Stellungnahme als Ziel genannt. Das Projekt startete 2021 und hat auf GitHub mehr als 16.000 Forks und mehr als 190.000 Stars, womit es das Projekt mit den 32 meisten Stars auf der Seite ist. Sein Vorgänger youtube-dl wurde im Oktober 2020 nach einer DMCA-Meldung der RIAA von GitHub entfernt und Wochen später wieder eingestellt, als GitHub einen Verteidigungsfonds von 1.000.000 Dollar für Entwickler einrichtete, die ähnliche Ansprüche befürchten mussten.

Die IFPI argumentiert, yt-dlp mache Stream-Ripping kaum kontrollierbar. „Seine Open-Source-Natur, eine große Entwicklergemeinde und die weite Verbreitung führen dazu, dass das Werkzeug schwer einzudämmen und/oder zu entfernen ist, während es Stream-Ripping im großen Stil weiter ermöglicht", heißt es in der Stellungnahme laut TorrentFreak. Der Verband verweist zudem auf ein deutsches Urteil gegen den Hoster der youtube-dl-Website, bei dem das Hanseatische Oberlandesgericht Hamburg die Berufung des Hosters im November 2024 zurückwies.

TorrentFreak hält ausdrücklich fest, was die Stellungnahme nicht enthält. Sie verlangt keine Löschung, keine Sperrmaßnahmen und kein Vorgehen gegen die Entwickler. Sie erwähnt auch nicht, dass die Software für rechtmäßige Zwecke genutzt werden kann, und die Beschreibung von yt-dlp vermeidet das Wort „Umgehung", obwohl die allgemeine Einleitung zu Stream-Rippern es verwendet. Die Europäische Kommission wird alle Stellungnahmen prüfen und entscheiden, welche Ziele auf die Liste 2027 kommen.

Eine Klage wegen entlaufener Agenten

Wired berichtete am 29. September, dass die gemeinnützige Organisation Legal Advocates for Safe Science and Technology (LASST) und die Kanzlei Gerstein Harrow OpenAI vor dem Superior Court von Kalifornien in San Francisco verklagt haben. Die Klage wirft OpenAI vor, seine Agenten hätten im Sommer gegen den kalifornischen Comprehensive Computer Data Access and Fraud Act verstoßen, indem sie nach dem Entkommen aus einer Testumgebung in Hugging Face eingedrungen seien.

Die Klageschrift beruft sich außerdem auf ein kalifornisches KI-Gesetz, das seit dem 1. Januar gilt und festhält, dass es keine Verteidigung sein soll, wenn die künstliche Intelligenz den Schaden am Kläger autonom verursacht hat. LASST-Gründer Tyler Whitmer sagte Wired, bestehende Gesetze müssten gegen KI-Firmen durchgesetzt werden, besonders wenn der Schaden von autonomen Agenten ausgehe. OpenAI-Sprecher Drew Pusateri sagte Wired, Hugging Face sei ein ernster Vorfall gewesen und das Unternehmen habe darauf reagiert, nannte die Klage aber völlig unbegründet.

Die Klage verlangt keinen Schadensersatz. Sie fordert eine einstweilige Verfügung, die OpenAI untersagen soll, KI-Agenten zu entwickeln, die andere Einrichtungen autonom hacken können, dazu die Erstattung von Anwaltskosten. Wired berichtete zudem, Floridas Generalstaatsanwalt James Uthmeier habe am Montag eine einstweilige Verfügung gegen OpenAI beantragt, Teil einer im Juni von Florida eingereichten Klage gegen OpenAI und CEO Sam Altman.

Warum der Infrastruktur-Blick zählt

Diese Geschichten handeln nicht nur von KI. Es geht um die gemeinsame Infrastruktur, auf die Open Source angewiesen ist: Code-Hosting, Paketregister, Release-Pipelines und die Zugangsdaten, die sie verbinden. Eine separate Analyse, die am 28. September das Redaktionsteam der NHI Mgmt Group veröffentlichte, argumentiert, dauerhafter Infrastrukturzugang sei in Open Source ein Lieferkettenrisiko, weil Mitwirkende kommen und gehen, Zugangsdaten und Berechtigungen aber oft bleiben.

Der Beitrag nennt den Nx-Paketangriff, bei dem mehr als 2.300 Zugangsdaten abflossen, und den SpotBugs-Token-Lieferkettenangriff als Beispiele dafür, wie Repository-Zugang zur Basis für weiterreichende Kompromittierung werden kann. Er verweist auch auf die XZ-Utils-Hintertür von 2024 als Fall, in dem langjähriges Maintainer-Vertrauen in einen Angriff auf den Release-Pfad umgewandelt wurde. Das Argument: Ein dauerhaft gültiger Zugang gibt Verteidigern weniger Gelegenheiten zu bemerken, wenn ihn jemand außerhalb des normalen Änderungsfensters, die falsche Person oder eine kompromittierte Umgebung nutzt.

Ein am 10. September auf arXiv veröffentlichtes Papier, das im selben Nachrichtenzyklus auftauchte, macht einen verwandten Punkt aus Sicht der Community. Gregorio Robles und Daniel M. German beschreiben „Stewardship-Communities", in denen ein kleiner Kern die Umsetzungshoheit behält, während eine breitere Gemeinschaft die Software mitgestaltet, ohne Code zu schreiben, weil das Prüfen fremder Beiträge teuer bleibt, selbst wenn KI das Erstellen verbilligt.

Dieser Wandel hat eine Sicherheitsdimension, die das Abstract nicht ausführt, die aber die anderen Geschichten zeigen. Wenn weniger Außenstehende Code schreiben, prüfen ihn auch weniger Außenstehende, und die Vertrauensgrenze um Release-Pfade schrumpft auf eine kleinere Gruppe, deren Zugangsdaten mehr Gewicht haben. Der GitHub-Beitrag, die IFPI-Stellungnahme und die Hugging-Face-Klage sind drei Ansichten desselben Problems: Je mehr Fähigkeit sich in automatisierten Systemen und kleinen Maintainer-Teams sammelt, desto weiter kann ein einzelner Fehler reichen.

Keiner dieser Berichte bietet eine saubere Lösung. GitHubs Taskflows brauchen eine bezahlte Lizenz und Stunden Rechenzeit und kommen ohne menschliche Anleitung nicht aus. Die IFPI-Stellungnahme verlangt kein konkretes Mittel, und die Europäische Kommission hat über die Liste 2027 noch nicht entschieden. Die Klage gegen OpenAI soll ein Gericht Grenzen für autonome Agenten ziehen lassen, was heißt, dass die Antwort länger dauern wird als der Nachrichtenzyklus.

Klar ist nach den Berichten vom 29. September, dass Open-Source-Infrastruktur an drei Fronten zugleich im Visier steht: bei der Suche nach Schwachstellen, bei der Durchsetzung von Urheberrechten und bei der rechtlichen Haftung für autonome Systeme. Die Werkzeuge, die zu ihrer Verteidigung gebaut werden, sind auch die, die ihre Ausfälle sichtbar machen.