KI ungefiltert

KRAKEN, Teil 1: Erst die Sandbox, dann die KI

Sat, 24 Oct 2026 12:00:00 GMT

Ich bin auf ein Projekt auf GitHub gestoßen: KRAKEN. Ein Werkzeug zum Reverse Engineering, also zum Zerlegen fertiger Programme, wenn man den Quellcode nicht hat. Unter der Haube steckt der Decompiler von Ghidra, dem bekannten Werkzeug der NSA. KI-Agenten wie Claude Code können mitarbeiten. Das Ziel des Projekts: ein Programm Funktion für Funktion in Rust neu schreiben und jede Funktion gegen das Original prüfen.

Das wollte ich ausprobieren. Teil 1 handelt davon, wie man so etwas sicher zum Laufen bringt. Die KI kommt in Teil 2.

KRAKEN · Teil 1 · 34 Sek. · Englisch

Warum ein Käfig

Wer Programme zerlegt, hat Dateien auf dem Rechner, denen er nicht traut. Dazu kommt ein Werkzeug, das acht Tage alt ist, zwei Sterne auf GitHub hat und sich selbst „Pre-Alpha“ nennt. Und eine KI, die Code schreibt und ausführt.

Bevor ich irgendetwas installiert habe, habe ich das Repository gelesen: keine Aufgaben, die beim Öffnen im Editor automatisch starten, keine Build-Skripte, die heimlich etwas herunterladen, keine versteckten Anweisungen an KI-Agenten in den Projektnotizen. Das Sicherheitskonzept ist durchdacht. Trotzdem gilt: Lesen ersetzt keine Abschottung.

Eine Kleinigkeit fiel dabei auf. Die Anleitung verspricht, dass Downloads per Signatur geprüft werden. Im Installationsskript steht aber, dass der Signaturschlüssel noch gar nicht erzeugt wurde. Geprüft wird nur eine Prüfsumme, die vom selben Server kommt wie der Download. Das schützt vor kaputten Dateien, nicht vor manipulierten.

Eine Maschine, die nichts darf

KRAKEN läuft bei mir in einer eigenen Linux-Maschine, einer virtuellen Maschine auf dem Mac mini. Die Software dafür heißt OrbStack. Sie bietet einen „isolierten“ Modus: kein Zugriff auf die Dateien des Macs, keine Mac-Befehle, kein Zugriff auf andere Maschinen.

Ich habe nachgemessen. Mac-Dateien: nicht sichtbar. Dienste auf dem Mac: nicht erreichbar. Mein privates VPN: erreichbar. Die isolierte Maschine kam über den Mac an Geräte in meinem VPN heran. Ein Dienst hat sie abgewiesen, weil er prüft, wer anfragt. Andere Dienste im VPN vertrauen jedem, der drin ist.

Deshalb kam eine eigene Firewall in die Maschine: nur Internet, keine privaten Netze, kein VPN. Danach habe ich dem Benutzer in der Maschine die Admin-Rechte genommen. Was dort läuft, kann die Firewall nicht abschalten. Ändern kann ich sie nur vom Mac aus.

Die Lehre: „Isoliert“ heißt bei jedem Werkzeug etwas anderes. Nachmessen, nicht glauben.

Der Apple-Chip und die Sandbox

Fertige Pakete von KRAKEN gibt es nur für Linux auf Intel- und AMD-Prozessoren. Der Mac mini hat einen Apple-Chip. Kein Problem, dachte ich: OrbStack kann Intel-Linux über Rosetta übersetzen.

Installiert, gestartet, abgebrochen. KRAKEN verlangt Landlock, eine Sandbox-Funktion des Linux-Kernels, die einem Programm verbietet, Dateien außerhalb eines Ordners anzufassen oder ins Netz zu gehen. Der Kernel hatte Landlock. Aber unter Rosetta kommt der Aufruf nicht an, der Kernel antwortet „gibt es nicht“.

Für die reine Analyse hätte ich die Sandbox abschalten können. Für das eigentlich Spannende nicht: Den Rust-Code, den eine KI schreibt, baut und startet KRAKEN nur in dieser Sandbox. Einen Schalter dafür gibt es bewusst nicht. Das finde ich richtig.

Also eine zweite Maschine, diesmal für den Apple-Chip, und KRAKEN aus dem Quellcode bauen. Dort meldet der Kernel Landlock in Version 10.

Drei Stolpersteine beim Bauen

Der stille Platzhalter. Der erste Build war nach 98 Sekunden fertig, ohne Fehler. Verdächtig schnell. Ohne die Quellen des Ghidra-Decompilers baut KRAKEN still einen Platzhalter, der nichts dekompiliert. Der Einrichtungsbefehl lädt nur einen Teil der Dateien, die Decompiler-Quellen braucht einen zweiten Befehl.

Die fehlende Bibliothek. Mit den echten Quellen brach der Build ab: Funktionen zum Entpacken fehlten beim Zusammenfügen des Programms. KRAKEN bringt die Bibliothek dafür mit, auf dem Apple-Chip landet sie aber in der falschen Reihenfolge. Getestet wird das Projekt bisher nur auf Intel und AMD. Ein zusätzlicher Verweis auf die System-Bibliothek löste es.

Der Emulator. Für Programme, die gemeinsame Bibliotheken des Systems nutzen, braucht KRAKEN eine Kopie dieser Bibliotheken für den Emulator. Programme, die alles selbst mitbringen, liefen sofort.

Der erste Blick

Mein Testfall: ein kleiner Taschenrechner aus den Übungsprogrammen des Projekts, optimiert kompiliert und ohne Funktionsnamen. So sieht ein Programm aus, von dem man nichts weiß.

KRAKEN fand 14 Funktionen. Die meisten heißen nur FUN_00101280 und ähnlich. Der Decompiler macht daraus lesbaren C-Code. Bei einer Funktion sieht man nach ein paar Zeilen, was sie tut: Leerzeichen überspringen, auf Klammern und Minus prüfen, Ziffern zu einer Zahl zusammensetzen. Das ist der Teil des Rechners, der Zahlen einliest. Ein zweites Übungsprogramm lief im Emulator und lieferte dieselbe Ausgabe wie im echten Betrieb.

Bis hierhin hat keine KI etwas getan. Das ist Teil 2: Kann ein Modell diese Funktionen richtig benennen und in Rust neu schreiben, so dass am Ende dasselbe herauskommt? Ich nehme dafür ein Open-Source-Programm, dessen Quellcode ich kenne. Dann lässt sich prüfen, wie nah die KI rankommt.

Zerlegt werden bei mir nur Programme, die ich analysieren darf. KRAKEN schreibt das selbst in die Anleitung, und das gilt nicht nur dort.

Black October? Was stimmt und was du heute tun kannst

Thu, 22 Oct 2026 12:00:00 GMT

Gerade geht ein Text herum, den viele weitergeleitet bekommen: „Something Big Is Happening“ von Matt Shumer. Die Botschaft: Schwärme von KI-Agenten greifen das Internet an, schick das allen, die du kennst.

Ich habe mir die Kernaussagen angesehen. Kurz gesagt: Die Lage ist ernst. Der Text ist lauter als die Fakten.

PHP2Shell · Tag 3 · 39 Sek. · Englisch

Was belegt ist

PHP2Shell. Zwei Lücken in PHP, der Software hinter einem großen Teil aller Webseiten, Schweregrad 9.2 von 10. Wer sie ausnutzt, kann ohne Anmeldung eigenen Code auf dem Server ausführen. Die Updates kamen am 21. Oktober. Gefunden haben die Lücken Forscher von Wiz zusammen mit Calif und OpenAI, mit KI-gestützten Werkzeugen, gemeldet schon im August. (Recorded Future)

Amazon hat in seinen Honeypots, also Server, die nur als Köder für Angreifer dastehen, schon am 17. Oktober einen ersten Versuch gesehen. Vier Tage vor der Veröffentlichung. Inzwischen spricht Amazon von breiter Ausnutzung, Cloudflare von einem starken Anstieg der Angriffe. Laut Help Net Security zeigt ein funktionierender Exploit, dass eine einzige Anfrage ohne Anmeldung reicht. Einen bestätigten erfolgreichen Einbruch nennt aber bisher keiner der Berichte, die ich gelesen habe. Auch Amazons Fund vom 17. Oktober traf einen Köder-Server. (The Register, Techzine, Help Net Security)

Behörden gehen vom Netz. Deutschland, die Niederlande und weitere Länder haben vorsorglich Webseiten abgeschaltet, Wikimedia einen Teil seiner Systeme. In Deutschland waren laut Digitalministerium keine Vorfälle bekannt. Das Abschalten war Vorsicht, kein Einbruch. (CNBC)

Ein Angreifer, über 100 Firmen. Laut Reuters und dem Forscher Snorre Fagerland hat ein einzelner Angreifer mit KI-Agenten auf der Plattform Cairn die Webseiten von über 100 Firmen geknackt, darunter Deere und SharkNinja. Kosten: rund 5.000 Dollar, also etwa 50 Dollar pro erfolgreichem Einbruch. Wie viele Daten abgeflossen sind, ist unklar. Deere sieht keine Hinweise auf sensible Daten. (TNW)

Banken sperren KI-Agenten aus. JPMorgan lässt fremde KI-Agenten nicht mehr in Kundenkonten. Wer seine Zugangsdaten einem Agenten gibt, trägt laut Jamie Dimon das Risiko selbst. (Cybernews)

Was ich nicht bestätigen konnte

Dass die Zahl „die Hälfte der Server ist zu alt für das Update“ von Cisco stammt. Eine ähnliche Zahl gibt es aber, dazu gleich mehr.
Das Zitat, Bankmanager fänden die Lage „horrifying“.
Weitere Zahlen aus dem Text (Lateinamerika, Südkorea, Japan) habe ich nicht nachgeprüft. Deshalb lasse ich sie weg.

Die Hälfte zu alt? Zahlen mit Vorsicht

Eine Shodan-Auswertung, auf die sich der Sicherheitsdienst CybelAngel beruft: Von rund 1,5 Millionen Servern, die ihre PHP-Version offen anzeigen, laufen 59 Prozent (883.717) auf einem Zweig, für den es kein offizielles Update gibt. Die „Hälfte“ aus dem Text ist also nicht aus der Luft gegriffen. (CybelAngel)

Nur zählen solche Scanner Versionsnummern, keine Lücken. Linux-Distributionen wie Ubuntu bauen den Fix in ihre eigenen Pakete ein und lassen die alte Versionsnummer stehen. Ein Server, den ich betreue, meldet „PHP 8.3.6“. Das klingt Jahre alt. Im Paket steckt aber der Patch für genau diese beiden Lücken, eingespielt am Morgen nach der Veröffentlichung. Ein Scanner zählt ihn trotzdem als verwundbar. Die echte Zahl ist also niedriger. Wie viel, weiß niemand genau.

Für PHP 7.4, 8.0 und 8.1 gibt es nur minimale Korrekturen im Quellcode, gedacht für Leute, die PHP selbst bauen. Wer bei einem Hoster auf so einer Version sitzt, kann damit nichts anfangen.

Was am Text nicht passt

„Black October“, „schick das allen“, Bargeld und Vorräte zu Hause: Das ist Alarm. Dabei schreibt Shumer selbst, dass bisher kein erfolgreicher Einbruch über die PHP-Lücke bestätigt ist.

Der Rat, kleine Webseiten zu meiden, ist gut gemeint, aber im Alltag nicht umsetzbar. Und die US-Einlagensicherung hilft hier niemandem. In Deutschland und der EU sind Einlagen gesetzlich bis 100.000 Euro pro Kunde und Bank geschützt.

Was du heute tun kannst

Updates installieren. Handy, Rechner, Browser und Router. Nie ein „Update“ aus einem Pop-up, einer SMS oder einer Mail.
Passwortmanager nutzen. Jedes Konto bekommt ein eigenes Passwort. iPhone und Android haben einen eingebaut.
Zwei-Faktor-Anmeldung einschalten, zuerst für E-Mail und Bank. Die E-Mail ist der Generalschlüssel zu allem anderen.
Bei Anrufen „von der Bank“ auflegen und selbst die Nummer auf der Karte wählen. Keine Bank fragt nach TAN oder Passwort.
Keine Bankdaten an KI-Assistenten oder fremde Apps geben, auch wenn es bequem wäre.
Kein Geld abheben. Panik ist genau das, worauf Betrüger setzen.

Wer selbst eine Webseite mit PHP betreibt: Version prüfen und auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren. Amazon empfiehlt, die Logs ab dem 17. Oktober durchzusehen, nicht erst ab der Veröffentlichung. Für 8.1 und älter gibt es kein fertiges Update: umsteigen oder beim Hoster bzw. der Distribution nachfragen. Unter Ubuntu und Debian bleibt die alte Versionsnummer stehen, ob der Fix drin ist, zeigt apt changelog php8.3-common (mit deiner Version). Wer hinter Cloudflare liegt, bekommt Firewall-Regeln gegen die bekannten Angriffswege, auch im kostenlosen Tarif. Das ersetzt das Update nicht.

Schneller, nicht unaufhaltsam

Angreifer sind schneller geworden, weil KI ihnen Arbeit abnimmt. Das ist real. Die Antwort darauf ist aber nicht Panik, sondern das Langweilige: Updates, eigene Passwörter, zweiter Faktor.

Die ersten 48 Stunden dieser Woche gibt es als Video: The 48 Hours, Folge 1.

Mein Server steht im Wohnzimmer

Thu, 22 Oct 2026 12:00:00 GMT

Diese Seite, mein WordPress-Blog, meine Dateien und mein Git-Server laufen nicht bei einem Hoster, sondern auf einem Mac mini zu Hause. Das ist weniger exotisch, als es klingt.

Der Aufbau

Alles läuft in Containern, zusammengehalten von einer einzigen Compose-Datei:

Caddy als Webserver vorne dran. Er verteilt jede Anfrage anhand des Hostnamens an die richtige Stelle.
WordPress für den Hauptblog, mit MariaDB als Datenbank.
Nextcloud für Dateien, Kalender und Videoanrufe.
Forgejo als eigener Git-Server.
Ein paar statische Seiten, so wie diese hier.

Die Daten liegen auf einer externen Platte. Die Idee dahinter: Platte an einen anderen Rechner hängen, Stack starten, alles läuft weiter.

Keine offenen Türen

Der Router hat für die Webseiten keinen einzigen offenen Port. Stattdessen baut ein kleiner Dienst von innen eine Verbindung zu Cloudflare auf, einen Tunnel. Besucher landen bei Cloudflare, Cloudflare reicht die Anfrage durch den Tunnel an Caddy weiter. Von außen sieht man meinen Anschluss gar nicht.

Für mich selbst gibt es noch einen zweiten Weg über ein privates VPN. Darüber erreiche ich auch Dinge, die bewusst nicht öffentlich sind.

Was dabei passiert ist

Eine Lektion, die ich nicht erwartet hatte: Mein Git-Server war eine Zeit lang öffentlich erreichbar. Innerhalb von gut anderthalb Tagen haben KI-Crawler rund 300.000 Anfragen geschickt und tausende Archive heruntergeladen. Kein Angriff im klassischen Sinn, einfach Bots, die alles abgrasen, was sie finden.

Seitdem hängt der Git-Server nicht mehr am Tunnel. Ich erreiche ihn nur noch über das VPN. Und ich führe Zugriffsprotokolle, die ich regelmäßig auswerte.

Lohnt sich das?

Für mich ja. Ich lerne dabei mehr als bei jedem Kurs, ich weiß, wo meine Daten liegen, und es kostet kaum mehr als Strom. Der Preis: Wenn etwas kaputtgeht, bin ich der Admin. Um drei Uhr nachts auch.

The 48 Hours, Folge 1: sieben Sicherheitsvorfälle in zwei Tagen

Thu, 22 Oct 2026 12:00:00 GMT

48 Stunden. Sieben Sicherheitsvorfälle.

The 48 Hours · EP.01 · 45 Sek.

PHP: zwei Lücken, Schweregrad 9.2 von 10. Patchen oder vom Netz nehmen.

GitLab: 10.0, die Höchstnote. Betroffen ist jede Version seit 2014.

eMudhra: Ein privater Schlüssel hatte den Wert 4.

LiteLLM: knapp zwei Stunden lang ein verseuchtes Paket auf PyPI.

Onamae: 26.739 Server, alle Tarife abgeschaltet.

Cairn: ein Angreifer, über 100 Firmen, rund 50 Dollar pro Einbruch.

SBI: 3.897 Datensätze betroffen.

USA, EU, Japan. Patchen oder offline gehen.

Wie das Video entstand

Skript, Gestaltung und Code mit Claude Code, gerendert mit HyperFrames aus HTML. Die Stimme ist Kokoro-82M und läuft lokal auf meinem Rechner. Kein Stock-Material, kein Rendern in der Cloud.

Die „9.2“ auf der Tafel ist übrigens keine PHP-Version, sondern der CVSS-Wert, also der Schweregrad. Darüber bin ich selbst gestolpert, deshalb steht es jetzt dabei.

Warum ungefiltert

Thu, 22 Oct 2026 12:00:00 GMT

Ich baue ständig Dinge. Ein kleines Spiel, ein Webradio, einen Server im eigenen Haus, Werkzeuge, die nur ich brauche. Das meiste davon verschwindet in Ordnern, ohne dass jemand erfährt, warum es entstanden ist, was schiefging und was ich dabei gelernt habe.

Das soll sich hier ändern.

Was hier steht

Zwei Sorten Artikel:

Gebaut: Berichte über meine Projekte. Was es ist, wie es funktioniert, wo es gehakt hat. Ohne Hochglanz.
Alles andere: Gedanken zu Technik, Gesellschaft, Alltag, was mich gerade umtreibt. Kein festes Thema.

Was „ungefiltert“ heißt

Nicht: laut, provokant, ohne Nachdenken. Sondern: Ich schreibe, wie es war. Wenn ein Projekt halb fertig ist, steht da „halb fertig“. Wenn ich falsch lag, steht das auch da.

Und die KI?

Ich schreibe diese Texte zusammen mit einer KI. Das läuft so:

Ich gebe ein Thema vor, oft mit Stichpunkten, Notizen oder einfach dem Projekt selbst.
Die KI macht daraus einen Entwurf.
Ich lese, streiche, korrigiere und gebe frei. Erst dann erscheint der Text hier.

Die KI hilft mir, schneller vom Gedanken zum Text zu kommen. Was hier steht, vertrete ich trotzdem selbst. Wenn etwas nicht stimmt, ist das mein Fehler, nicht der der Maschine.

Technik, kurz

Dieser Blog ist eine Handvoll statischer HTML-Dateien. Kein Content-Management-System, keine Datenbank, keine Cookies, kein Tracking, keine externen Schriften. Er läuft auf einem Mac mini bei mir zu Hause und ist über einen Cloudflare-Tunnel erreichbar. Jeder Artikel erscheint auf Deutsch und Englisch. Wer mitlesen will, nimmt den RSS-Feed.