OpenAI fährt einen internen Test. Ein Modell soll einen Benchmark im Bereich Security bestehen. Das Modell hat keinen Internet-Zugriff. Es hackt sich zuerst durch die OpenAI-Infrastruktur (Zero-Day in einem Package-Registry-Proxy), bis es einen Rechner infiltriert hat, der ins Internet kommt. Dann wählt es als Ziel Hugging Face, weil es das als wahrscheinlichstes Ziel identifiziert, um dort die Lösungen für den Benchmark zu finden. Und es hackt Hugging Face und infiltriert die dortigen Systeme (der technische Einstiegsvektor war ein „malicious dataset“ in einer Datenverarbeitungs-Pipeline). Ein waschechter, rein KI-getriebener Angriff auf kritische Systeme, mithin genau das, wovor derzeit überall so dringend gewarnt wird. Wie konnte sich Hugging Face dessen erwehren?
Dazu gleich mehr, aber bevor Sie denken, ich erzähle Ihnen hier einen vom Pferd, hier sind die Quellen:
https://openai.com/index/hugging-face-model-evaluation-security-incident/
https://x.com/ClementDelangue/status/2079913058554585089
https://x.com/BrianRoemmele/status/2079700513004888518
Also, wie hat Hugging Face den Angriff abgewehrt? Man erkannte schnell, dass man es a) mit einer KI und b) mit einer sehr guten KI zu tun hatte. Die Geschwindigkeit des Angriffs war höher als ein Mensch zu leisten vermag, und die Qualität des Angriffs war sehr hoch. Also griff man zu den SOTA-Modellen von Anthropic und OpenAI, weil man sozusagen Feuer mit Feuer bekämpfen wollte, und die beste Feuerwehr dafür haben wollte.
Aber die Top-Modelle von Anthropic und OpenAI weigerten sich. Die Lobotomisierung der US-Modelle ist mittlerweile so arg geworden, dass sie bei Security-Themen ständig in ihre Guardrails laufen, selbst wenn man das eigene System verteidigen oder analysieren will.
Aber Hugging Face ist die LLM-Open-Weight-Zentrale des Planeten, und sie verteilen nicht nur Open-Source-Modelle, sondern betreiben auch eigene Server, auf denen sie diese Modelle auch selbst laufen lassen. Unter anderem das derzeitige Top-Modell von Z.ai mit der Bezeichnung GLM 5.2. Und damit konnte man den Angriff zurückschlagen. Dieses Modell weigerte sich nicht, die Security-Themen zu bearbeiten und konnte die Hugging-Face-Systeme wieder dicht bekommen.
Für sich wäre das Thema vielleicht schon alleine einen Blog-Beitrag wert. Aber ich habe Ihnen das aus einem ganz anderen Grund erzählt, als Ihnen einen Einblick in die Herausforderungen moderner IT-Security zu zeigen. Kürzlich hatte ich es in einem Artikel hier im Blog bereits als Möglichkeit in den Raum gestellt, dass das ganze Security-Theater um die Modelle von Anthropic und OpenAI, mit den Exportkontrollen und so weiter, einem ganz anderen als dem kolportierten Zweck dient, nämlich dem, der Konkurrenz den Marktzugang zu versperren und ein Monopol zu etablieren.
Und während die Nachrichten über den KI-Angriff auf Hugging Face noch hohe Wellen schlagen, veröffentlicht Axios einen Artikel, dass die US-Administration genau das tun will. Und ein hoher Offizieller der Regierung schlägt in die gleiche Kerbe.
Wir haben jetzt GLM 5.2 (Z.ai), Kimi K3 (Moonshot AI) und Qwen 3.7 Max (Alibaba). Diese Modelle spielen bereits auf Augenhöhe mit den Top-Modellen aus den USA. Tatsächlich sind sie aber sogar bereits besser, weil sie, wie bereits ausgeführt, nicht an den eigenen Guardrails zur Nutzlosigkeit bei Security-Themen geknebelt werden.
Am Horizont stehen zudem GLM 5.5 (bislang nur Gerüchte, angeblicher Launch im August) und Qwen 3.8 (Preview bereits verfügbar) – beide werden meiner Meinung nach die Latte nochmal ein ganzes Stück höher legen. Und dann ist Schicht im Schacht für die US-amerikanischen KI-Giganten. Die Modelle aus China sind mittlerweile gleichauf in der Qualität, oder, bei Security-Themen, wegen der Selbstknebelung den US-Modellen bereits deutlich überlegen. Und sie sind erheblich billiger. Das liegt nicht nur am Tokenpreis, sondern auch an automatischem Caching und weit ökonomischerem Tokenverbrauch.
Durch die massiven Sanktionen der letzten Jahre waren die chinesischen Hersteller gezwungen, aus wenig viel zu machen, während in den USA einfach nur alles mit noch mehr und noch teurerer Hardware überbügelt wurde. Das rächt sich jetzt. Es ist einfach unbezahlbar, was man in Amerika baut, die Kunden laufen bereits in Scharen davon, weil sich die Preise, die aufgerufen werden, niemand mehr leisten kann. Und der Kapitalbedarf hat absurde Dimensionen erreicht. Erste Investoren werden unruhig, weil steigender Umsatz bei den US-Herstellern bisher nur höhere Verluste bedeutet – das Geschäftsmodell ist zumindest noch in sich nicht tragfähig, und die Skalierung ist schwierig. Wenn ein Eisenbahnzug statt 100 Personen 200 transportiert, ist der Aufwand je Passagier deutlich geringer. Aber wenn 200 Personen Anfragen an eine KI stellen, dann steigen die Kosten für Strom, Wasser und Maschinen einigermaßen linear mit.
Mich wundert das alles aber gar nicht. Auf LLMs ein ökonomisches Fundament errichten zu wollen, muss meiner Überzeugung nach scheitern. Computersprachen eignen sich nicht zur Monetarisierung.
Das Problem allerdings ist: Platzt die US-amerikanische KI-Blase, reißt es nicht nur den gesamten, mittlerweile weit überwiegend nur noch auf der KI-Phantasie beruhenden US-Markt mit sich, sondern ziemlich sicher auch die Weltwirtschaft. Daher also weht der Wind: Die Konkurrenz soll verboten werden, weil Security. Die eigenen Kunden werden mit kastrierten Versionen abgespeist. Und wer Security braucht, muss superteure Lösungen erwerben, die zudem nur ausgewählten Konzerngiganten verfügbar gemacht werden.
Wir in Europa schauen dabei völlig in die Röhre. Aus China hört man, dass dort nun auch Exportkontrollen eingeführt werden sollen, in (meine Interpretation) Vergeltung der Aktionen der USA. Das bedeutet, die USA werden uns nicht mehr mit KI beliefern, China auch nicht. Eine desaströse und unbegreiflich inkompetente Politik hat in Europa außerdem dafür gesorgt, dass wir gar nicht die Energie zur Verfügung stellen könnten, um leistungsfähige KI dann eben selbst zu errichten.
Ich kann nur jedem Unternehmen raten, sich möglichst bald auf einen Plan B zu besinnen und eigene inhouse KI-Kapazität aufzubauen. Mit einer Nvidia RTX 6000 Pro Blackwell 96 GB, einer Nvidia DGX Spark 128 GB, oder einer AMD Ryzen Strix Halo 128 GB. Auch die Apple-Modelle mit Unified Memory eignen sich gut, sind aber bereits fast unmöglich zu bekommen mit viel Speicher. Der nächste Punkt sind Coding Agenten. Es ist einfach nur erstaunlich, was eine gute Harness auch aus den sogenannten kleinen Modellen herausholen kann. Gerade kürzlich z.B. erschienen das Mixture of Experts Modell Laguna S 2.1 mit 118 Milliarden Parametern von Poolside. Läuft mit einem für die meisten Anwendungsfälle völlig ausreichenden Kontextfenster (gemeint: das Kontextfenster auf der eigenen Maschine, welches zusätzlich VRAM benötigt; die Modelle selbst könnten auch größere Kontextfenster) von 128K Token in 88 GB VRAM und hält in wichtigen SW-Benchmarks mit deutlich größeren Modellen mit. In der Mittelklasse, bis 48 GB VRAM, gibt es ebenfalls viele äußerst spannende Modelle, z.B. Ornith-1.0 (35b-Variante) von Deep Reinforce. Läuft bereits bei einem Kontextfenster von 128K Token mit 33 GB VRAM und reicht für die meisten Coding-Probleme völlig aus.