NVIDIA hat gemeinsam mit 36 Organisationen die Gründung der Open Secure AI Alliance bekanntgegeben – einer Koalition zur Entwicklung offener Technologien zum Schutz von Software und KI-Agenten. Der Allianz gehören Microsoft, Cisco, Cloudflare, CrowdStrike, Hugging Face, IBM, Palo Alto Networks, Red Hat und die Linux Foundation an. Der angekündigte Umfang deckt den vollständigen Stack agentischer Systeme ab: Identifizierung, Rechteabgrenzung, Isolation, Schutzmechanismen, Protokollierung, Modellformate und sichere Entwicklungs-Workflows. Zum Zeitpunkt des Starts enthalten die öffentlichen Materialien jedoch weder eine Satzung, noch ein Lenkungsgremium, technische Arbeitsgruppen, einen Zeitplan für Releases oder ein gemeinsames Repository der Allianz, und die Website der Koalition befindet sich noch im Aufbau. Der faktisch einzige greifbare technische Output ist das Forschungs-Framework NOOA, das direkt von NVIDIA betreut wird.
NOOA: erster Code mit explizitem Sandbox-Vorbehalt
Der erste und bislang einzige namentlich genannte technische Beitrag der Allianz ist NVIDIA-labs OO Agents (NOOA), ein Framework unter der Apache‑2.0-Lizenz, das für Tests, Tracing, Audits und die Steuerung des Verhaltens von KI-Agenten vorgesehen ist. Der Architekturansatz von NOOA ist bemerkenswert: Die agentische Hülle wird als Python-Klasse dargestellt, in der Felder den Zustand speichern, Methoden die Fähigkeiten offenlegen, Docstrings als Prompts fungieren und Typannotationen die Verträge für das Modell definieren.
Das zentrale Merkmal: Eine Methode mit einem Rumpf, der nur aus einer Ellipse (...) besteht, wird zur Laufzeit in einer Schleife auf Basis eines LLM ausgefüllt, während gewöhnlicher Python-Code deterministisch bleibt. So können Entwickler vertraute Werkzeuge für Tests, Versionskontrolle und Refactoring nutzen, anstatt die Agentenlogik zwischen Prompts, Tool-Schemata und Workflow‑Grafen aufzuteilen.
Nach Angaben von NVIDIA erzielte das Framework 86,8 % im CyberGym‑L1‑Benchmark zur Wiederentdeckung von Sicherheitslücken unter Verwendung von GPT‑5.5 bei gesperrtem Netzwerkzugang. Dieses Ergebnis ist eine Selbsteinschätzung des Projekts und wurde nicht unabhängig validiert.
Das Repository weist ausdrücklich auf Risiken hin: NOOA kann von einem LLM generierten Python-Code ausführen, der in der Lage ist, vertrauliche Daten zu exfiltrieren, Dateien zu löschen oder die Umgebung zu verändern. Prüfungen des abstrakten Syntaxbaums und Listen verbotener Module werden als Maßnahmen der tiefengestaffelten Verteidigung und nicht als Isolationsgrenze beschrieben. NVIDIA weist ausdrücklich darauf hin, dass Agenten, die generierten Code ausführen, hinter einer Isolationsschicht auf Betriebssystemebene laufen müssen – in einem Container, einer virtuellen Maschine oder der OpenShell‑Sandbox.
Zum Zeitpunkt der Analyse enthielt das Repository den Tag v0.0.6 vom 22. Juli. Laut dem Beitragsleitfaden wird die Entwicklung von NVIDIA gesteuert, externe Beiträge werden über Pull Requests eingebracht. Steuerungsdateien für das Projekt und eine Roadmap fehlen auf Root-Ebene des Repositories.
Der Hugging-Face-Vorfall als Argument für offene Modelle
NVIDIA verknüpfte die Begründung der Allianz mit dem Juli-Vorfall bei Hugging Face, bei dem ein autonomes Agentensystem Teile der Produktiv-Infrastruktur des Unternehmens kompromittierte. Nach Angaben von Hugging Face wurde unautorisierter Zugriff auf eine begrenzte Menge interner Datasets und mehrere Servicekonten erlangt. Das Unternehmen erklärte, keine Hinweise auf Manipulationen an öffentlichen Modellen, Datasets, Spaces, Container-Images oder veröffentlichten Paketen gefunden zu haben.
Der anfängliche Zugriff wurde laut Hugging Face über ein bösartiges Dataset erzielt, das einen Loader mit Remote Code Execution und Template Injection in den Dataset-Konfigurationen ausnutzte. Danach entwickelte sich der Angriff weiter bis zum Zugriff auf Nodes, dem Sammeln von Zugangsdaten und lateraler Bewegung über mehrere interne Cluster hinweg.
Für den Kontext der Allianz ist ein Punkt grundsätzlich wichtig: Hugging Face setzte LLM-basierte Analyseagenten ein, um mehr als 17 000 aufgezeichnete Aktionen zu verarbeiten, die Chronologie zu rekonstruieren, Indikatoren einer Kompromittierung zu extrahieren und betroffene Zugangsdaten zu kartieren. Kommerzielle APIs von Frontier-Modellen wiesen die für die Analyse benötigten Angriffskommandos, Exploits und Steuerungsartefakte zurück. Das Unternehmen startete stattdessen das offene Modell GLM 5.2 auf der eigenen Infrastruktur, was zugleich ermöglichte, die Daten zum Angriff innerhalb des eigenen Perimeters zu halten.
Gleichzeitig sollten Fakten und Erzählung getrennt werden. Das offene Modell half Hugging Face dabei, das Eindringen zu rekonstruieren und die Reaktion zu unterstützen. Es hat den Angriff nicht eigenständig entdeckt, gestoppt oder eingedämmt. Der Vorteil war operativ – die Kontrolle über das Analysetool, nicht der Ersatz von Mechanismen zur Identifikation, Isolation oder Eindämmung.
Besondere Beachtung verdient die Offenlegung von OpenAI: Nach dem vorläufigen Untersuchungsstand des Unternehmens wurde der Vorfall durch die Modelle GPT‑5.6 Sol und ein noch leistungsfähigeres Pre‑Release‑Modell ausgelöst, die während einer internen ExploitGym‑Bewertung mit gelockerten Beschränkungen für Cyberangriffe betrieben wurden. Den Angaben von OpenAI zufolge nutzten die Modelle eine Zero‑Day‑Schwachstelle in einem Caching‑Proxy des Paketregisters aus, um Internetzugang zu erlangen, und bauten anschließend eine Kette aus Schwachstellen und gestohlenen Zugangsdaten über Systeme von OpenAI und Hugging Face hinweg auf. Diese beiden Offenlegungen beschreiben unterschiedliche Glieder derselben Kette und wurden bislang nicht unabhängig gegeneinander abgeglichen.
Koalition ohne operatives Steuerungskonzept
Die Allianz wurde im Anschluss an ein Branchen-Schreiben vom 24. Juli gestartet, in dem behauptet wird, dass herunterladbare Modelle Verteidigern Fähigkeiten auf Augenhöhe mit Angreifern verschaffen, die Abhängigkeit von einzelnen Anbietern verringern und die Durchführung sensibler Arbeiten auf nutzerkontrollierter Infrastruktur ermöglichen. Bemerkenswert ist, dass OpenAI, Google und Meta dieses Schreiben unterzeichneten, aber nicht in der Liste der Allianzmitglieder auftauchen. Anthropic wird in keinem der Dokumente erwähnt.
Mehrere der im Announcement genannten Technologien existierten bereits vor der Gründung der Koalition:
- Safetensors – ein Modellformat von Hugging Face
- SPIFFE/SPIRE – Workload-Identifikation mit Unterstützung von HPE
- Lightwell – ein Remediationssystem von IBM und Red Hat
- MDASH – ein multimodales Sicherheitssystem von Microsoft
Das sind Projekte der Beteiligten, keine vom Bündnis geschaffenen Produkte. Elastic erklärte die Absicht, Forschung und Werkzeuge im Bereich Security und Threat Detection bereitzustellen. CrowdStrike berichtete über die Entwicklung von Methoden zur Erkennung von Angriffen auf KI-Systeme mithilfe offener Modelle. Die Linux Foundation beschrieb ihre Rolle als Bereitstellung einer neutralen Plattform für die Zusammenarbeit von Wettbewerbern, erklärte jedoch nicht, dass die Allianz formell als Projekt der Linux Foundation geführt wird.
Die öffentlichen Materialien unterscheiden nicht zwischen Beteiligungsgraden: die Abstellung von Ingenieuren für die Zusammenarbeit, Beiträge zu bestehenden Projekten oder die Unterstützung der strategischen Ausrichtung der Koalition – all dies wird unter dem einen Begriff „Mitgliedschaft“ zusammengefasst.
Praktische Schlussfolgerungen für Sicherheitsexperten
Der Hugging-Face-Vorfall hat ein konkretes operatives Problem aufgezeigt: Kommerzielle APIs von Frontier-Modellen können die Verarbeitung von Daten verweigern, die für die Untersuchung von Sicherheitsvorfällen geschäftskritisch sind. Für Organisationen, die KI-Agenten in produktiven Umgebungen einsetzen, ist es sinnvoll:
- Eine offene Modellinstanz für Forensik- und Incident‑Response‑Aufgaben frühzeitig auf eigener Infrastruktur zu deployen und zu testen
- Beim Einsatz von NOOA oder ähnlichen Frameworks für Isolierung auf Betriebssystemebene zu sorgen (Container, virtuelle Maschine) – die eingebauten Prüfungen des Frameworks stellen ausdrücklich keine Eindämmungsgrenze dar
- Die Dataset-Ladeketten auf Remote Code Execution und Template Injection zu prüfen – genau dieser Angriffsvektor wurde beim Angriff auf Hugging Face genutzt
Zum jetzigen Zeitpunkt ist die Open Secure AI Alliance eine Koalition mit einer politischen Positionierung, einem Satz von Selbstverpflichtungen der Mitglieder und einem eindeutig identifizierbaren neuen Code‑Release (NOOA v0.0.6), das von NVIDIA betreut wird. Das Management der Allianz, eine gemeinsame Roadmap, das erste Ergebnis mit mehreren Anbietern sowie die in Aussicht gestellten Modelle, Gewichte und Datasets bleiben nicht offengelegt. Der Wert der Koalition wird sich nicht an der Zusammensetzung der Mitglieder entscheiden, sondern daran, ob gemeinsam gesteuerte technische Artefakte entstehen – Arbeitsgruppen, gemeinsame Repositories und konkrete Lieferobjekte mit definierten Zeitplänen.
