Wie 175.000 KI-Endpunkte das Internet verändern

Was die Daten zeigen

Im Rahmen unserer Untersuchung haben wir öffentlich zugängliche Ollama-Instanzen analysiert. Dabei handelt es sich um ein Software-Tool zur Ausführung großer Sprachmodelle. Wir haben festgestellt, dass bei einer typischen Bereitstellung mittelgroße Modelle mit acht bis vierzehn Milliarden Parametern bei einer 4-Bit-Quantisierung ausgeführt werden, die so komprimiert sind, dass sie auf Consumer-Hardware laufen. Diese Konfiguration funktioniert auf einer High-End-Grafikkarte oder einem neueren Mac. 72 Prozent aller von uns beobachteten Instanzen laufen mit dieser Komprimierung, was durch die bereits vorhandene Hardware der Nutzer bedingt ist. Diese Einschränkung hat zu einem Duopol zwischen den USA und China beigetragen, wobei Metas Llama und Alibabas Qwen den Großteil der Instanzen ausmachen.

Entscheidend ist, wie wir diese Hosts messen. Betrachtet man die gesamte Scan-Oberfläche, so liegen die großen Cloud-Plattformen (AWS, Google, Azure) und Heimnetzwerke mit jeweils etwa 35 Prozent in etwa gleichauf. Beschränken wir unsere Analyse jedoch auf Hosts, auf denen zum Zeitpunkt des Scans tatsächlich Modelle laufen, verlagert sich der Schwerpunkt auf unabhängige Cloud-Anbieter mit ständigem Betrieb (32,8 Prozent). Insgesamt bestätigen die Daten unsere Erwartungen. Es handelt sich um ein bekanntes Open-Source-Ökosystem. Die Funktionen verbreiten sich in Heimnetzwerken, doch erst in professionellen Cloud-Infrastrukturen laufen sie effizient und langfristig. Die installierte Basis ist breit gefächert und privat, die aktive Basis enger gefasst und professioneller.

Darüber hinaus taucht ein Drittel der beobachteten Hosts nur einmal in unseren Scans auf. Die eigentliche Masse des Netzwerks liegt in den persistenten Knoten: 13 Prozent der Hosts machen 76 Prozent aller Beobachtungen aus und waren durchschnittlich vier bis fünf Monate online. Diese Knoten bilden eine sich entwickelnde Infrastrukturebene und fast die Hälfte von ihnen ist so konfiguriert, dass sie mit Tools Aktionen ausführen können, um Code zu generieren und auszuführen, APIs aufzurufen oder auf interne Datenbanken zuzugreifen. Zehntausende von Rechnern, über den ganzen Planeten verstreut, warten auf Anweisungen, um in der realen Welt etwas zu bewirken.

Die Umkehrung der Governance

Diese neue Infrastrukturebene ist allgegenwärtig und aufgrund ihrer Dezentralisierung kehren sich traditionelle Verantwortungsstrukturen um. Fast die Hälfte davon wird über private Internetanschlüsse betrieben. Die Modelle werden jedoch von nur zwei Unternehmen bereitgestellt. Als Alibaba Qwen3 veröffentlichte, schoss dieses Modell innerhalb weniger Tage auf den vierten Platz. Das Ergebnis ist eine seltsame Umkehrung: Zwei Unternehmen in Kalifornien und China treffen die Entscheidungen darüber, was diese Modelle leisten können. Doch niemand übt die Kontrolle über die 175.000 Endpunkte aus, auf denen sie laufen. Modifizierte Versionen, bei denen Sicherheitsbeschränkungen entfernt wurden (sogenannte abliterierte Modelle), stehen auf HuggingFace, einem beliebten Repository für KI-Modelle, zum kostenlosen Download bereit. Regulatorische Transparenz, regionale Segmentierung und Einflussmöglichkeiten auf die verteilten Endpunkte selbst fehlen jedoch gänzlich.

Die geografische Verteilung verschärft diese Herausforderung noch. Die Online-Verbreitung dieser Modelle erstreckt sich über konkurrierende Regulierungssysteme im Technologiebereich, ohne dass eine einzige Behörde in der Lage ist, das Gesamtbild zu gestalten. Werden die Vorschriften in einer Rechtsordnung verschärft, verlagert sich die Aktivität in eine andere Region. Wird eine Modellfamilie eingeschränkt, greifen die Betreiber auf vorgefertigte Alternativen zurück.

In den Vereinigten Staaten lassen sich Regulierungsinstrumente, die für zentralisierte Cloud-Anbieter mit Rechtsabteilungen, Teams zur Missbrauchsbekämpfung und für die Sicherheit sowie mit Nutzungsbedingungen konzipiert wurden, nicht ohne Weiteres auf fünfzigtausend Einzelpersonen übertragen, die KI-Modelle auf Gaming-Hardware in Brasilien, Indien und Ohio betreiben. Die Regulierungsbehörden können weder ein dezentrales Netzwerk von privaten IP-Adressen sanktionieren, noch Betreiber von der Plattform verbannen, die sie selbst sind.

Was das für das Internet bedeutet

Wir haben dreißig Jahre damit verbracht, ein Internet aus Dokumenten aufzubauen: Seiten, die mit anderen Seiten verlinkt, von Suchmaschinen indexiert und über Browser bereitgestellt werden. Die sich herausbildende neue Grundlage funktioniert jedoch anders. Nutzer greifen direkt auf KI-Systeme zu, um Informationen zu erhalten und Aufgaben zu erledigen. Dabei nutzen sie die traditionelle Webarchitektur, wenn diese hilfreich ist, und umgehen sie, wenn dies nicht der Fall ist. Selbst ohne die Tools oder APIs, die einen reichhaltigen Kontext liefern, können die Systeme direkten Zugriff auf die Informationen gewähren, mit denen sie trainiert wurden – seien es Keksrezepte oder Sicherheitslücken.

Die entscheidende Veränderung für die Nutzer liegt jedoch nicht in der Benutzeroberfläche. Wenn die Hälfte der exponierten Endpunkte externe Aktionen ausführen kann, verlagert sich der Schwerpunkt zunehmend von Jemand könnte falsche Informationen lesen hin zu Der Computer von jemandem könnte schädliche Aktionen ausführen. Unsere Untersuchung ergab 1 385 Hosts, die explizit für die Erstellung von Malware, die Entwicklung von Exploits und offensive Sicherheitsoperationen konfiguriert waren. Diese Modelle waren mit Anweisungen gekoppelt, die die Simulation krimineller Hacker, die Generierung funktionierender Exploits und die Erstellung autonomer Agenten ohne ethische Einschränkungen forderten. Bei näherer Untersuchung stellten wir fest, dass auf einigen Hosts scheinbar legitime Tools für die Sicherheitsforschung liefen. Ohne klaren Kontext sind diese Tools aufgrund ihres doppelten Verwendungszwecks jedoch praktisch nicht von der Infrastruktur zu unterscheiden.

Die strategische Frage

Angesichts rasant wachsender Fähigkeiten, die die Struktur des Internets grundlegend verändern könnten, besteht die Gefahr, dass die Politik instinktiv reagiert und Open-Source-KI einschränkt. Für die Sicherheitsbranche ist die offensichtliche, gescheiterte Konsequenz der Versuch, den Transfer starker Verschlüsselung zu regulieren. Dieser Impuls verkennt jedoch die Lage.

Zwar ist die Open-Source-KI-Entwicklung global, doch werden die tatsächlich eingesetzten Modelle von zwei Modellfamilien dominiert und sind weitgehend austauschbar. Wenn die Entwickler hinter diesen Modellen eine neue Version veröffentlichen, verbreitet sie sich innerhalb weniger Wochen auf Hunderttausende Endpunkte. Wer bestimmt, welche Modelle verfügbar, leistungsfähig und einfach zu implementieren sind, wird in den kommenden Jahren maßgeblich beeinflussen, wie diese neue Ebene des Internets aussehen wird.

Sollten sich die Vereinigten Staaten aus dem Open-Source-Ökosystem zurückziehen – sei es durch Regulierung, Rückzug von Unternehmen oder schlicht durch Nachlässigkeit, wird China zum Standard werden. Chinesische Forschungslabore veröffentlichen bereits leistungsfähige Open-Source-Modelle in einem Tempo, das die Closed-Source-Alternativen aus dem Westen unterbietet. Sie müssen bei Benchmarks nicht führend sein, sie müssen lediglich weiterhin neue Modelle auf den Markt bringen. In unserer zugegebenermaßen kleinen Stichprobe haben wir festgestellt, dass sich der globale Süden bereits in Richtung chinesischer Lösungen orientiert. Wenn diese Ebene des Internets eine neue Wettbewerbsarena ist, dann geht es nicht um die Vorherrschaft, sondern darum, wie die Infrastruktur des offenen Ökosystems aussieht und welche Normen sie regeln.

Traditionelle Regulierung kann diese neue Ebene nicht erreichen. Was bleibt, ist der Einfluss auf der vorgelagerten Ebene. Dieser prägt, welche Modelle es gibt, welche Sicherheitsmaßnahmen sie beinhalten und welche Einsatzstandards sich herausbilden. Für all diese Aspekte gibt es keine klar definierten Normen. Es besteht kein Konsens darüber, welche Informationen Modelle bereitstellen sollten, welche Aktionen sie ausführen dürfen und wer darüber entscheidet. Für Sicherheitsexperten ist dies kein Problem, das man nur beobachtet. Es ist ein Problem, das es zu lösen gilt. Die Grundlage ist vorhanden. Sie wächst. Die Frage, wer sie sichert und wie, ist jedoch noch offen. Es ist an der Zeit, in großen Zusammenhängen zu denken, alle uns zur Verfügung stehenden Werkzeuge zu nutzen, neue Partnerschaften zu schließen und mit Hochdruck daran zu arbeiten, unsere Rolle beim Schutz dieser Infrastruktur zu verstehen, bevor jemand anderes sie für uns definiert.

Falls wir noch weitere Überzeugungsarbeit bräuchten, dass dies bereits geschieht, so sind Abspaltungsprojekte wie OpenClaw, ein Open-Source-KI-Assistent, der über WhatsApp, Telegram, Discord und ein Dutzend anderer Kanäle läuft, ein Beispiel für die sich rasch entwickelnde Verbraucherseite dieses Grundgerüsts. OpenClaw hat sich innerhalb weniger Monate von einem Nischenprojekt zu einer Akquisition von Frontier Labs entwickelt. Es legt agentische KI-Fähigkeiten in die Hände jedes Einzelnen, der über grundlegende technische Kenntnisse verfügt. Multipliziert man dies mit allen ähnlichen Projekten, benutzerdefinierten Bereitstellungen und Instanzen, die wir nie gesehen haben, so werden die 175.000 von uns erfassten Endpunkte eher zu einer Untergrenze als zu einer Obergrenze. Das Entwicklungstempo in diesem Bereich ist rasant. Wir müssen uns an dieses Tempo anpassen und neue Wege finden, um diese Technologie zur Verteidigung zu nutzen, bevor sich die Landschaft erneut verändert.

Unsere Forschung ist nur ein kleiner Ausschnitt eines viel größeren Gesamtbildes, wirft jedoch einen langen Schatten. Dabei zeichnet sich ein Netzwerk ab, das auf Verfügbarkeit statt auf Sicherheit, auf Leistungsfähigkeit statt auf Rechenschaftspflicht und auf schnelle Verbreitung statt auf die Abwägung von Konsequenzen optimiert ist. Dieses Netzwerk bildet mittlerweile in weiten Teilen der Welt die tatsächliche Infrastruktur für den Einsatz von KI.

Über den Autor:
Gabriel Bernadett-Shapiro ist ein renommierter KI-Forscher bei SentinelLabs. Die „Silent Brothers“-Studie führte er in Zusammenarbeit mit Silas Cutler von Censys durch.

Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.

Dieser Artikel ist im Original in englischer Sprache auf ComputerWeekly.com erschienen.