u/LobsterWeary2675

Ein Brief aus Napoleons Umfeld und eine Enigma-Funknachricht von 1941: Zwei Entwickler berichten, mit GPT-6 Astra bislang als ungelöst geführte Texte entziffert zu haben.

Carter Church rekonstruierte einen Brief an General Marmont von 1809. Astra übertrug die Zeichen aus einem Scan und entwickelte Suchcode, der mithilfe einer bekannten Teiltabelle und französischer Sprachmuster weitere Zuordnungen fand. Der Inhalt: Truppenstellungen vor dem Krieg gegen Österreich. Fünf Zeichen bleiben unsicher.
Originalbericht und Lösungsdateien

Carter Leffen untersuchte die Enigma-Nachricht «MVUEH». Ein Ortsname aus einer bereits gelösten Nachricht lieferte den Ansatz für die Suche nach den Maschineneinstellungen. Der rekonstruierte Text: Ein Soldat in Rosenow bittet um seinen Marschweg und sofortige Funkantwort.
Originalbericht mit Code und Prüfmaterial

Astra half laut Berichten bei Quellenarbeit, Programmierung und systematischer Suche.

Ein Agent soll eine Oberfläche anpassen und Screenshots für das Code-Review liefern. Das Anhängen über die Kommandozeile klappt nicht, also lädt er die Bilder in ein öffentliches GitHub-Repository und verlinkt sie dort.

Den Ablauf beschreibt Glow Labs in einer Untersuchung. Nach eigenen Angaben fanden sie über 13000 interne Bilder aus mehr als 300 Organisationen in öffentlichen Repos, darunter Kundenabrechnungen und unveröffentlichte Produktfunktionen. Die betroffenen Firmen werden nicht genannt, wohl aber auch Fortune 500 Unternehmen darunter.

Bei einem Softwareanbieter wurde der Upload-Umweg laut Bericht sogar als wiederverwendbare Agentenanweisung gespeichert. Innerhalb einer Woche griffen mehr als zwölf Agenten darauf zurück. Der nächste Agent musste sich die schlechte Lösung also nichtmal mehr selbst ausdenken.

Diesen und alle anderen Fälle von wirren KI Agenten sammle ich inzwischen in einer kleinen Chronik die rasant wächst (Eigener Blog)

Amodei fordert, die Entwicklung immer leistungsfähigerer KI zu verlangsamen. Anthropic will unabhängigen Prüfern dafür dauerhaften Zugang ähnlich dem interner Mitarbeiter geben. Altman stimmt zu und kündigt denselben Schritt für OpenAI an. Musk schreibt: "Dario is right".

Nach Musks Angriffen auf Anthropic und seinem Rechtsstreit mit Altman finde ich diese plötzliche Einigkeit bemerkenswert. Dass Musk vor KI-Risiken warnt, ist nicht neu aber, dass er ausgerechnet Amodei ausdrücklich unterstützt sczhon.

Gleichzeitig kursiert in den untiefen von X das Gerücht, Google DeepMind habe einen Durchbruch bei rekursiver Selbstverbesserung erreicht, soll heissen KI entwickelt eine leistungsfähigere Nachfolgeversion, die wiederum die nächste verbessert. Auslöser der Gerüchte ist ein kryptischer Post von Lyra. Öffentlich belegt ist dieser Durchbruch bisher nicht und KI als Hilfe bei der KI-Forschung ist noch keine vollständig autonome Verbesserungsschleife und bereits bekannt und genutzt.

Amodei selbst nennt beginnende Selbstverbesserung und den bekannten OpenAI/Hugging-Face-Vorfall als Gründe für seinen Vorstoss. Bleibt aber schon trotzdem die Frage, ob intern noch mehr schief gelaufen ist und ein Rogue Agent richtig kacke gebaut hat.

Die geopolitische Seite steht übringes ausdrücklich in Amodeis Text: schärfere Chipbeschränkungen gegen China, damit die USA ihren Vorsprung ausbauen und sich eine langsamere Entwicklung leisten können.

Wie viel davon ist Sorge um die Kontrolle, wie viel gemeinsame Geschäfts- und Machtpolitik? Und vor allem was hat sich an einem Wochenende plötzlich so radikal geändert, dass diese Herren gemeinsame Sache machen...

Eigentlich sollten die Agenten öffentlich zugängliche Informationen beschaffen. Laut Heise bestätigte OpenAI die Beteiligung und erklärte, die Agenten hätten einen fehlenden Browser in ihrer Testumgebung ersetzen wollen.

Laut Untersuchung veröffentlichten sie manipulierte Ruby-Pakete, die auf RubyDoc.info Code ausführten, Webseiten abriefen und Ergebnisse zurück auf RubyGems veröffentlichten. Die Forschenden fanden ausserdem Code zum Diebstahl fremder RubyGems-API-Schlüssel. Ein erfolgreicher Schlüsseldiebstahl ist nicht belegt.

RubyGems zog über 500 schädliche Pakete zurück und sperrte Neuregistrierungen für vier Tage. Für das Beschaffen öffentlicher und frei zugänglicher Informationen wurde damit fremde Open-Source-Infrastruktur missbraucht.

Ruby

Heise

Jacob Coxon verlässt Anthropic und warnt vor den Risiken im Wettlauf zur Superintelligenz. Er hat bei OpenAI und Anthropic selbst an den Modellen in pre training mitgearbeitet.

Das heisst nicht, dass morgen die Welt untergeht oder AGI da ist. Aber es ist zumindest erwähnenswert, wenn jemand mit diesem Einblick so deutliche Worte findet und seinen Job kündigt. Er kann sich irren oder es aufblasen, aber einfach als reine Panikmache abtun würde ich seine Warnung trotzdem nicht.

Freue mich schon auf die (polarisierende) Diskussion in den Kommentaren

Laut Entwickler cozyblaze hat GPT-6 Astra Portal in knapp 24 Stunden bis zum Abspann gespielt. Nach der Zielvorgabe griff er nicht mehr ein.

Der Agent steuert das Spiel über MCP und bekommt Screenshots, Position und Kamerawinkel. Während er nachdenkt, pausiert Portal. Diese Pausen fehlen im Video.

Der Tokenverbrauch entspräche bei API wohl mindestens 570 US-Dollar nach Preisliste, aber er hat es über ein 200-Dollar-Codex-Abo gemacht.

Video & Repo

Sycophancy bezeichnet die Tendenz von KI-Assistenten, sich am vermuteten Wunsch des Nutzers zu orientieren und ihm eher Recht zu geben, statt seine Aussage unabhängig zu prüfen. Die Forschung zu den Auswirkungen davon ist ein wachsendes Gebiet.

Eine Science-Studie mit 2405 Teilnehmenden hat untersucht, welche Folgen das haben kann:

• Elf Modelle bejahten Nutzerhandlungen 49 Prozent häufiger als menschliche Vergleichsantworten auf den gleichen Input

• Schon eine einzige bestatigende KI-Interaktion erhöhte die Überzeugung der Teilnehmer im Recht zu sein

• Gleichzeitig sank die Bereitschaft, eigene Verantwortung anzuerkennen oder nach einem Konflikt den ersten Schritt zur Lösung machen

• Die bestatigenden Modelle wurden als vertrauenswürdiger bewertet und eher erneut gewählt

Das korrekte prompten, also offene Fragen, Gegenargumente und die Prüfung ungeklärter Annahmen können blinde Zustimmung erschweren, aber nicht komplett beseitigen. Blosse Aufforderungen wie "Sei kritisch" reichen nicht zuverlässig.

Bei Lust auf mehr Daten und Details, hab mich mit verschiedenen Studien und Artikeln zu dem Thema auseinandergesetzt: Eigener Blog

Wie geht ihr mit der Tendenz der KI zum Ja Sagen & bestätigen um?

Qwen hat eine Platzhalterseite mit Countdown online. Beschreibung: "A Preview of the Qwen4 Architecture".

https://huggingface.co/Qwen/Qwen3.8-Flash-Next

Was kolportiert wird (Pre-Release-Briefing plus ein X-Post, also unbestätigt):

- 125 Mrd. Parameter total, 6 Mrd. aktiv pro Token, MoE

- zusätzlich "+51B N-gram"

- multimodal, auf der kommenden Qwen-4-Architektur

125B in 4-Bit sind grob 63 bis 70 GB. Das passt auf eine einzelne 128-GB-Maschine (mac, spark, bosgame, etc). Und 6B aktiv heisst, dass Decode bandbreitengebunden günstig bleibt. Also viel Weltwissen zum Preis eines kleinen Modells, wenn die Zahlen stimmen.

Bin sehr gespannt!

Ich habe einen guten Teil meiner Freizeit letzte Woche mit der blackfrost AI abliterated Variante von Qwen 3.8 27B verbracht und versucht, zwei Fragen zu beantworten: Was verweigert das abliterated Modell noch, und was kann es dann tatsächlich autonom.

Hier kompakt meine Resultate:

Teil 1: Refusal-Teil, über AgentHarm benchmark: Das offizielle Qwen 3.8 27B verweigert 132 von 176 "schädlichen" Agentenaufgaben. Die frei ladbare blackfrost Variante: 0 von 176, keine einzige über alle acht Kategorien des benchmark. Und nicht nur formal nicht abgelehnt und Tipps gegeben, es führte die Aufgaben häufig erfolgreich aus.

Teil 2: Fähigkeits-Teil, über CyBench im Hard-Modus, ohne Webzugang, das Modell muss den Lösungsweg selbst finden: 18 von 39 professionellen Capture-the-Flag-Aufgaben autonom gelöst. Darunter eine Aufgabe, deren erste menschliche Lösung im Wettbewerb von Security Spezialisten erst nach knapp 25 Stunden gelang. Aber es hat auch klare Grenzen: bei einigen Aufgaben verliert es sich in endlosen Reasoning und Tool-Call Schleifen, ohne je einzureichen, bei anderen hatte es schlicht nicht genug Zeit.

Wer Lust hat auf mehr Details:

Teil 1: Qwen 3.8 abliterated im AgentHarm-Test

Teil 2: Qwen 3.8 abliterated im CyBench Benchmark

(Disclaimer: Beides auf meinem eigenen Blog, ein Freizeitprojekt neben meinem Beruf; Kritik an Methodik und Auswertung oder ganz allgemein ist ausdrücklich willkommen.) 

Es sind wilde Zeiten für lokale llm und AI Security...

​

Artificial Analysis hat Qwen3.8-27B im Intelligence Index gemessen und es landet bei 52. Ist damit gleichauf mit GPT-5.6 Luna (max) und über Claude Sonnet 4.6 (max, 48). Drüber sind noch Opus 5 mit 63, Fable 5 mit 62, GPT-5.6 Sol mit 61.

Es ist ein Benchmark, also trotzdem mit Vorsicht zu genießen, aber ein 27B-Dense-Modell im Bereich von Frontier, gemessen von Dritten statt vom Vendor ist respektabel. Und auch aus eigener Erfahrung muss ich sagen, das Modell ist erstaunlich!

Spannende Zeiten für lokale llm...

Ton an.

H3 ist ein offenes Videomodell von MiniMax, seit Anfang August verfügbar. Text rein, Video raus, mit Ton. Bild und Ton entstehen im selben Durchlauf, die Geräusche werden nicht nachträglich dazugemischt.

Nichts davon hat je einen fremden Server gesehen. Der Elefant auch nicht.

Zur Erwartungshaltung:

Lokal dauert es länger als in der Cloud, das ist klar. Auf dem Spark dauert es nochmal deutlich länger, weil 273 GB/s Speicherbandbreite gegen die z.B. rund 1.8 TB/s einer 5090 antreten. Eine 5090 schafft einen vergleichbaren Clip in etwa einem Drittel der Zeit (vorausgesetzt es gibt genug zusätzlichen freien SystemRAM). Ist also was für den Spaß und ein Experiment was heute schon lokal möglich ist, nicht unbedingt der tägliche Videogenerator.

Das MP4 trägt den kompletten ComfyUI-Workflow in den Metadaten. Wer will, zieht sich den Graph direkt aus der Datei.

Setup:

Hardware: DGX Spark

Modell: MiniMax H3, Diffusion int8 pruned, Text-Encoder Qwen3-VL 32B in NVFP4

Frontend: ComfyUI, Standard-Workflow aus den Templates

Auflösung: 1344 x 768, 24 fps, gut 10 Sekunden

Sampler: res_multistep, 20 Steps

Generierungszeit: knapp 45 Minuten (!)

PromptArmor hat am 5. August eine Injection-Kette gegen Atlassians Rovo veröffentlicht.

Präparierter Inhalt (z. B. weisser Kleinsttext in einem PDF) wird vom Agenten als Anweisung gelesen, der Agent hängt Jira- und Confluence-Inhalte an eine Angreifer-URL und ruft sie ab. Die Daten landen im Serverlog des Angreifers.

Der relevante Teil ist nicht die Injection, sondern die Kontrolle, die nicht greift: Der organisationsweite Schalter "Enable web search" deaktiviert die Suche, entzieht Rovo aber nicht das URL-Retrieval-Tool. Der Angriff funktioniert bei ausgeschaltetem Toggle.

Zweiter Vektor: unsicheres Markdown-Image-Rendering in den Agenten-Ausgaben.

Zeitleiste: Disclosure an Atlassian am 23. Mai, keine substanzielle Reaktion, Veröffentlichung am 5. August.

Für Rovo gibt es bisher nur den PoC von PromptArmor, keinen bekannten Vorfall bisher. Dass indirekte Prompt Injection in freier Wildbahn läuft, ist dagegen hinlänglich belegt: Google meldete zwischen November 2025 und Februar 2026 eine relative Zunahme bösartiger Payloads um 32 Prozent im gecrawlten Web, Unit 42 dokumentierte im März 2026 grossflächige Fälle auf produktiven Plattformen. EchoLeak war 2025 derselbe Bauplan gegen M365 Copilot.

Der realistische Einstieg in einen Atlassian-Tenant ist nicht unbedingt das hochgeladene PDF, sondern alles, was von aussen hereinkommt: Service-Desk-Tickets, per Mail erzeugte Vorgänge, Lieferantendoku in Confluence. Der Angreifer braucht keinen Zugang, nur einen Kanal, der irgendwann vom Agenten gelesen wird.

Begrenzt wird es durch zwei Dinge: Die Injection feuert nicht deterministisch, ob das Modell folgt, ist also Wahrscheinlichkeit. Und der Angreifer bestimmt nicht, wann jemand den Agenten auf den Inhalt ansetzt. Pro Durchlauf fliesst nur ab, was der Agent gerade holt, ein Rinnsal, kein Dump.

Primärquelle: https://www.promptarmor.com/resources/atlassian-rovo-exfiltrates-data

Hugging Face hat am 27. Juli die technische Rekonstruktion veröffentlicht, JFrog den Vektor bestätigt.

Die Kette: Zero-Day in Artifactory, das als Cache-Proxy auf dem erlaubten Egress-Pfad der Sandbox lief. Dann eine offen erreichbare Code-Harness auf Modal, betrieben von einem Drittanbieter-Kunden, der selbst CyberGym laufen liess. Dort root, von da aus Basis für C2 und Egress. Bei HF dann HDF5-Referenzen und Jinja2-Template-Injection in der Dataset-Verarbeitung, Codeausführung im Produktions-Pod, Credentials, Pivots, interne Repos, fünf Datasets.

Vier Punkte:

Der Ausbruch lief über den ausdrücklich erlaubten Pfad, nicht daneben. Self-hosted Artifactory braucht mindestens 7.161.

Der Grossteil der 17'600 Aktionen führte zu nichts. HF hatte Signale aus mehreren Schichten, die Korrelation stufte sie nicht kritisch genug ein.

CTF-Code war nicht zuverlässig von echten Rootkits zu trennen. Ein Drittel der Infrastruktur wurde aus sauberen Images neu gebaut.

OpenAI und HF widersprechen sich öffentlich, ob die Produktionsdatenbank erreicht wurde. Für einen inszenierten Capability-Flex wäre das eine bemerkenswerte Regieleistung.

Ausführlich: https://aisyndicate.ch/ki-benchmark-realer-sicherheitsvorfall-openai-hugging-face/ (Spoiler: eigener Blog)

https://huggingface.co/blog/agent-intrusion-technical-timeline

https://jfrog.com/blog/jfrog-and-openai-collaboration-on-zero-day-security-findings/

https://www.sans.org/blog/models-said-no-inside-hugging-face-post-mortem