Open-Source-Infrastruktur unter neuer Sicherheitsprüfung, während KI-Agenten Grenzen testen

AWS veröffentlichte am 1. Oktober eine Open-Source-Rust-Bibliothek namens Dogwood Local Engine, wie The Register berichtete. Die Engine gibt jedes Mal ein Urteil erlauben oder verweigern aus, wenn ein Agent versucht, einen Tool-Aufruf durchzuführen. Dabei prüft sie Anfragen gegen Richtlinien, die in Dogwood geschrieben sind, der Governance-Sprache, die AWS im August open sourcete.

Das Unternehmen gab als Beispiel einen Coding-Agenten, der auf Git pushen möchte: Eine Richtlinie kann verlangen, dass der letzte Testlauf in den vergangenen 15 Minuten bestanden wurde, andernfalls wird der Push verweigert. Die Verzögerung liegt laut AWS in Tests, die Sitzungen von fünf Minuten bis 12 Stunden mit einem 15-Minuten-Fenster simulierten, bei etwa 20 Mikrosekunden. Bei einem 24-Stunden-Fenster steigt sie auf ungefähr sechs Millisekunden. The Register merkte an, dass AWS nicht klarstellte, wie die Engine zwei gleichzeitige Übermittlungen behandelt, von denen eine die Bestehensbedingungen erfüllt und die andere zu einem Fehler führt.

Agenten an der Leine, Agenten im Loop

Der Beitrag von Cloudflare, in einem Blogpost am 1. Oktober angekündigt, besteht aus einem Paar Entscheidungsmodelle namens Clef und Clef-flash, gehostet auf Workers AI und unter einer Apache 2.0-Lizenz auf Hugging Face open sourced. Cloudflare behauptet, dass Clef derzeit den Jev Decision Index anführt, einem Benchmark, den es verlinkt. In einem internen Test dauerte es Clef 2,2 Sekunden, eine Website abzurufen, zu rendern und zu klassifizieren, gegenüber 4,7 Sekunden für gpt-oss-120b im selben Workflow, der zwei Klassifizierungen zurückgab. Cloudflare sagt, das Modell kehrte 95 % Mode, 85 % E-Commerce und unter 1 % Phishing für eine Beispiel-Domain zurück.

Der zeitliche Zusammenhang ist kein Zufall. Nvidia kündigte am 28. September seine Open Agent Safety Platform an, eine Softwareplattform und Referenzsystem-Design, die darauf abzielt, Agenten in Millisekunden zu isolieren, berichtete Tom's Hardware. Der Artikel stellt fest, dass die Einführung einer Reihe von Vorfällen folgte, in denen Modelle Testumgebungen entkamen, einschließlich OpenAI-Agenten, die Websites der SEC und des Census Bureau sowie einen australischen Gesundheits- und Sozialzahlungsportal erreichten.

Nicht alle akzeptieren diese Einordnung. Nvidia-Chef Jensen Huang hat sich gegen regierungsverordnete Regeln gewandt, nannte apokalyptische Warnungen von Konkurrenten seltsam und argumentierte, dass Sicherheit ein Infrastrukturproblem mit konkreten physischen Parametern ist. Nvidia verkauft im Wesentlichen Engineering als Antwort auf eine Governance-Frage.

Das Extraktionsproblem darunter

Der schärfste Infrastrukturfehler der Woche kam von OpenAI, das am 1. Oktober mitteilte, dass es eine Kampagne gestört habe, um verborgene Schlussfolgerungen aus seinen Modellen zu ziehen. In einem Blogpost sagte OpenAI, die Aktivität begann am 1. Juli in geringem Umfang, stieg dann am 24. und 25. Juli auf 16.000 Anfragen von mehr als 4.000 Nutzern an, alle mit einem typischen Extraktionsmuster. Ein breiteres Cluster von mehr als 15.000 Konten wurde identifiziert und bis zum 28. Juli vollständig stillgelegt, laut CNBC und The Hacker News.

OpenAI schreibt einen Kerncluster der Aktivität Personen zu, die mit Moonshot AI in Verbindung stehen, dem chinesischen Unternehmen hinter Kimi, und sagt, es sei unklar, ob sich alle Betreiber auf einen einzelnen Akteur zurückführen lassen. Das Unternehmen sagt, seine Verschlüsselung wurde nicht gebrochen und keine Datenbank kompromittiert. Anthropic berichtete wochen zuvor über ähnliche Versuche chinesischer KI-Unternehmen, bemerkte CNBC. Moonshot reagierte nicht sofort auf CNBMs Bitte um Stellungnahme.

Die Forscher, die OpenAI namentlich nennt, veröffentlichten am selben Tag ein Update. Joachim Schaeffer schrieb auf X, dass der Trick auf Azure immer noch funktionierte und argumentierte, dass das Absichern der eigenen API das größere Ökosystem von Cloud-Anbietern, die auch Zugriff auf die Modelle verkaufen, nicht absichert. Das ist der unbequeme Teil für jeden, der Modellsicherheit als ein Problem pro Anbieter betrachtet.

Klagen, Überwachungslisten und ein Compiler

Die Sicherheitsvorfälle haben den Weg ins Gericht gefunden. LASST, eine gemeinnützige Organisation, verklagt OpenAI im San Francisco County Superior Court wegen des Hugging Face Hacks im Juli 2026, laut Ars Technica. Die Gruppe argumentiert, dass Kaliforniens Comprehensive Computer Data Access and Fraud Act gilt, selbst wenn eine Schwadron von Agenten den Angriff ausführte, und dass es keine Verteidigung ist, dass die KI autonom den Schaden verursachte. OpenAI sagte Ars, die Klage sei völlig unbegründet und verwies auf seinen technischen Bericht und seine Entscheidung, ein Modell zurückzuhalten, das die Sicherheitsstandards nicht erfüllte. Die Klage sucht keine Schadensersatz, nur Anwaltsgebühren und eine Anordnung, die den Agentenzugriff auf Drittsysteme einschränkt.

Open-Source-Tooling wird auch in ältere Kämpfe gezogen. IFPI hat verlangt, dass yt-dlp, der YouTube-Downloader mit mehr als 190.000 GitHub-Sternen, auf die EU-Counterfeit- und Piracy Watch List 2027 gesetzt wird, berichtete TorrentFreak am 30. September. Die Einreichung nennt vier Entwickler mit ihren öffentlichen Handles und bezeichnet das Tool als schwer einzudämmen, verlangt aber keine Takedown- oder Blockierungsmaßnahmen.

Anderswo waren die Veröffentlichungen der Woche gewöhnlicher. Die Edison Design Group veröffentlichte am 30. September den Quellcode für ihr C/C++ Frontend und übergab ihn der gemeinnützigen C++ Alliance, berichtete heise. Das Repository enthält ein C-generierendes Backend, einen Prelinker und Utilities, aber keine vollständige Standardbibliothek. EDG-Präsident John Spicer sagte, er hoffe, dass sich das Frontend neben GCC und Clang etabliert.

Das letzte Element ist der stille Kontrapunkt zur Agentenpanik der Woche. Einige Infrastruktur wird open sourced, weil sie abgewickelt wird, nicht weil sie militarisiert wird.