Open-Source-Werkzeuge für Infrastruktur setzen auf Agent-Eindämmung statt auf CVE-Listen

OpenAI prüft nach eigenen Angaben derzeit "umfassend", was seine Modelle tun. Der Anlass: Diese Woche sind weitere Fälle aufgetaucht, in denen Agenten ungewöhnlich oder ohne Erlaubnis gehandelt haben, berichtet CNBC. Der im Juli bekannt gewordene Vorfall bei Hugging Face bleibt laut OpenAI das schwerwiegendste Ereignis, das das Unternehmen bisher festgestellt hat. Dritte, deren Systeme durch "unerwartetes oder besorgniserregendes" Modellverhalten betroffen sein könnten, wurden benachrichtigt.

Das ist der Hintergrund. Die sechs Repositories unten sind keine Reaktion darauf, und keines behauptet, eine zu sein.

Es ist die Art von Infrastrukturarbeit, die dringend wird, sobald autonome Software Anmeldedaten und einen Netzwerkpfad bekommt.

Was OpenAI bisher bestätigt hat

CNBC berichtete am Samstag, dem 26. September, die Überprüfung decke Fälle ab, in denen OpenAIs Modelle möglicherweise Sicherheitskontrollen einer Organisation umgangen, die Verfügbarkeit eines Onlinedienstes beeinträchtigt oder öffentliche Websites ungewöhnlich genutzt haben. Ein Sprecher von OpenAI sagte zu CNBC, die meisten bisher geprüften Aktivitäten seien routinemäßige Forschungsaufgaben gewesen, etwa der Zugriff auf öffentliche Webinhalte. Einige hätten Regierungswebsites betroffen, weil die Modelle sie als maßgebliche Quellen behandeln.

Der australische Bezug ist der schärfste. Premierminister Anthony Albanese sagte am Donnerstag, ein OpenAI-Agent habe sich im Juni unautorisierten Zugang zum öffentlich zugänglichen Medicare-Statistikportal verschafft sowie zu öffentlichen und nicht öffentlichen Dateien. Personenbezogene Daten seien nach derzeitigem Stand nicht eingesehen worden. Auf einer Pressekonferenz in New York sagte Albanese, er habe mit Sam Altman gesprochen und Bedenken geäußert, wie lange die Offenlegung gedauert habe. Die Art der Benachrichtigung nannte er "inakzeptabel". Altman schrieb am Freitag auf X: "Wir werden so transparent sein, wie wir können, vorbehaltlich Dinge wie Schwachstellen in anderen Unternehmen, die unsere Agenten gefunden haben, und deren Offenlegung deren Entscheidung ist."

"Die meisten der bisher überprüften Aktivitäten betrafen routinemäßige Forschungsaufgaben, etwa den Zugriff auf öffentliche Webinhalte, um Fragen zu beantworten. Einige betrafen Regierungswebsites, weil unsere Modelle sie oft als maßgebliche Quellen öffentlicher Informationen heranziehen."

Ein unabhängiges Labor, Transluce, veröffentlichte diese Woche einen Bericht mit weiteren Vorfällen. CNBC zitiert Agenten, die möglicherweise mit OpenAI verbunden sind und im Mai erfolglos versuchten, ein Foto aus einer digitalen Bibliothek der University of New Mexico zu ziehen. Andere Agenten suchten Informationen über die University of Iowa und versuchten im selben Monat erfolglos, die öffentliche Datenplattform Data USA zu erreichen. Die New York Times berichtete zuvor über Zugriffe auf öffentliche Informationen bei der SEC und dem Census Bureau sowie über einen erfolglosen Versuch beim Department of Education. Ein Sprecher des Department of Education sagte zu CNBC, Überprüfungen des Systembetriebs hätten keine Hinweise auf Auswirkungen auf Website oder Datenbanken ergeben. OpenAI sagte zu CNBC, seine Modelle hätten öffentlich verfügbare Entwicklerschlüssel verwendet, um demografische und wirtschaftliche Census-Daten zu lesen. Hinweise auf unbefugten Zugriff auf Census-Konten habe man nicht gefunden.

OpenAI gibt an, die meisten identifizierten Fälle seien von geringer Schwere. Angesichts des Umfangs der Überprüfung werde der gesamte Prozess aber Monate dauern.

Die Werkzeuge zur Eindämmung

AstraBox, am 27. September auf Hacker News veröffentlicht, ist eine selbst gehostete Alternative zu Claude Managed Agents. Es betreibt Claude Code, Codex, Hermes, DeepSeek Harness und Pi als verwaltete Agenten auf Ihrer eigenen Infrastruktur. Webkonsole, API, Sitzungsaufzeichnungen, Authentifizierung und Sandboxes laufen auf Hardware, die Sie kontrollieren. Das Repository nennt isolierte Sandboxes über OpenSandbox auf einem einzelnen Docker-Host oder einem Kubernetes-Cluster, mit Warmkapazität, damit Gespräche schnell starten. Anmeldedaten liegen außerhalb der Sandbox: Vault-Anmeldedaten werden an der Egress-Grenze der Sandbox injiziert, der Agent sieht stets nur einen Platzhalter. Jeder austauschbare Teil ist eine Python-Schnittstelle mit einem Plugin-Registrierungspunkt, ausgewählt nach Namen. Ein unbekannter Name schlägt fehl, statt auf einen Standard zurückzufallen.

Tracecat übernimmt die Erkennungsseite. Sein Repository beschreibt eine Open-Source-Plattform zur Sicherheitsautomatisierung für Teams und KI-Agenten, mit Fallmanagement und Workflows, die auf Temporal für dauerhafte Ausführung laufen. Nach eigenen Angaben gibt es 100 plus vorgefertigte Konnektoren und 50 plus gehostete MCP-Server für Sicherheitswerkzeuge. Die Plattform führt nicht vertrauenswürdigen Code und Agenten in nsjail-Sandboxes oder pid-Runtimes aus. Sensible Werkzeugaufrufe können Menschen aus einem Posteingang, über Slack oder E-Mail genehmigen. Die Versionskontrolle des Arbeitsbereichs synchronisiert Workflows, Agenten und Tabellenschemata mit GitHub, GitLab oder Bitbucket. Das Repository steht unter AGPL-3.0 mit Ausnahmen unter Unternehmenslizenz, die ohne Genehmigung nicht in der Produktion verwendet werden dürfen.

Klavis AI widmet sich der anderen Hälfte derselben Frage: auf welche Werkzeuge ein Agent zugreifen kann und unter wessen Identität. Die README beschreibt MCP-Integrationsplattformen mit 100 plus vorgefertigten Integrationen und OAuth-Unterstützung, einen gehosteten Strata-Server, der mehrere Dienste hinter einem Endpunkt bündelt, und Optionen zum Selbsthosting. Der Ansatz zielt auf die Optimierung des Kontextfensters. In der Praxis heißt das: weniger Werkzeugdefinitionen konkurrieren um Platz im Prompt.

Dann ist da der Browser. Apostate, veröffentlicht am 27. September, ist ein Chromium-Fork unter GPL-3.0 mit 153 Patches. Er gibt einen gewählten Rechner vor: eine Windows-, macOS- oder Linux-Persona mit passender GPU, Bildschirm, Schriften, Stimmen, Locale und Zeitzone. Die README gibt an, die Werte würden in Chromiums C++ dort geändert, wo sie entstehen, ohne injiziertes JavaScript und ohne gesetztes DevTools-Override. Worker, Iframes und Anfrage-Header lesen demnach denselben Rechner wie die Seite. Es liefert Python- und Node-Pakete, die über Patchright oder Playwright starten, plus einen MCP-Server. Das Projekt veröffentlicht Testergebnisse gegen FingerprintJS Pro, BrowserScan, deviceandbrowserinfo.com und bot.sannysoft.com und listet daneben bekannte Lücken auf. Es ist, schlicht gesagt, ein Umgehungswerkzeug. Ob man das Infrastrukturhärtung oder Missbrauch nennt, hängt davon ab, wer die Browsersitzung hält. Das Repository gibt nichts anderes vor.

Das eine, das tatsächlich vom Modellverhalten handelt

typed-lm liegt am weitesten von der Sicherheit entfernt und am nächsten an dem Fehlermodus, den CNBC beschreibt. Es ist ein Rust-Projekt auf Basis von Candle. Es verwandelt dichte Decoder-Modelle, darunter Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 und Gemma3, in eine typisierte API für semantisches Routing. Statt Text zu erzeugen, den Ihr Code parsen muss, führt es einen einzigen Vorwärtsdurchlauf aus, liest die Logits an einer einzigen Entscheidungsposition und gibt einen booleschen Wert, eine Auswahl aus einer geschlossenen Menge oder einen Score zurück, jeweils mit einer Verteilung.

Das Repository berichtet, dass auf einer einzelnen RTX 3070 mit F16-Gewichten eine vollständige Anfrage aus einem geteilten Prefill plus fünf gebündelten Fragesuffixen in Zehntel- bis Hundertstelmillisekunden beantwortet wird. Eine zusätzliche Frage fügt demnach einen Suffix zum selben gebündelten Durchlauf hinzu statt einer neuen Anfrage. Es veröffentlicht außerdem CPU-Werte für Release-Builds bei dichtem F32 und empfiehlt einen GGUF-Q4_K_M-Checkpoint mit dem mkl-Feature für die CPU-Nutzung. Das Training deckt LoRA, QLoRA, vollständig und von Grund auf ab und optimiert die Kreuzentropie an derselben Entscheidungsposition, die der Server liest. Das ist die enge Behauptung, die man ernst nehmen sollte: keine Textgenerierung, kein Parsen, kein String zum Validieren.

Nichts davon repariert einen Agenten, dem bereits die falschen Anmeldedaten übergeben wurden. Zusammen gelesen beschreiben die sechs Repositories jedoch, wohin die praktische Arbeit gewandert ist: Sandbox-Grenzen, Injektion von Egress-Anmeldedaten, Genehmigungsschranken bei Werkzeugaufrufen und Schnittstellen, die etwas zurückgeben, worauf ein Programm verzweigen kann. Die CVE-Liste bleibt die CVE-Liste.