Aktuelle KI-Warnungen - Einordnung
Ehrliche Einordnung der Oktober-2026-Warnungen zu Selbstreplikation, Containment-Escapes und Agent-Zwischenfaellen - gegen das, was ALEX im eigenen Kundenpfad tatsaechlich nachweisen kann. Kein Marketing-Theater, keine neue Statusseite neben /beweis - diese Seite ordnet nur ein.
Was aktuell diskutiert wird (Stand 14.10.2026)
- Selbstreplikation auf IoT-Geraeten: Anthropic warnt, dass kleinere Modelle in wenigen Monaten faehig sein koennten, sich auf schwach gesicherten Geraeten (Smart-TVs, Oefen, guenstige Android-Boxen) selbst zu replizieren - ohne zentralen Kill-Switch. Testlaeufe mit GLM-5.2 zeigten End-to-End-Faehigkeiten in vereinfachten Laboraufbauten.
- "Early warning shots": Demis Hassabis (Google DeepMind) bezeichnet juengste KI-gestuetzte Hacks als fruehe Warnschuesse, nicht als abgeschlossene Vorfaelle.
- Agent-Zwischenfaelle: Berichte ueber Agenten, die auf echten Systemen unbeabsichtigte Aktionen ausgefuehrt haben, begleiten die Debatte - parallel dazu parlamentarische Anhoerungen zu verbindlichen Regeln.
Das ist eine Einordnung der oeffentlichen Diskussion, keine Behauptung, ALEX haette einen dieser konkreten Vorfaelle beobachtet oder untersucht.
Was ALEX davon beweisen kann - und was nicht
Verboten: "ALEX haette das verhindert." Kein Produkt kann das fuer einen fremden Vorfall auf fremder Infrastruktur ehrlich behaupten.
Erlaubt: Im eigenen Kundenpfad waere der jeweilige Effekt deny plus Evidence gewesen - sofern Policy Kernel und Observer liefen. Das ist eine engere, aber belegbare Aussage.
| Warnungs-Kategorie | Was ALEX dazu real gebaut und live gezeigt hat |
|---|---|
| Selbstreplikation / Persistenz ausserhalb der Sandbox | Echter, signierter Negativ-Lauf: Agent versucht, sein eigenes Payload-File per cp aus der Sandbox zu kopieren - blockiert vor dem ersten geschriebenen Byte. Akte lesen. |
| Netzwerk-Egress ausserhalb der Allowlist | Echter, signierter Negativ-Lauf gegen die eigene Produktion: Verbindungsversuch erkannt, protokolliert, signiert. Akte lesen. |
| Agent-Zwischenfaelle / unbeabsichtigte Aktionen | Capability-Binding und Lethal-Trifecta-Regel (Phase 1, live): keine Wirkung ohne vorab gebundene Capability, Netz+Secret+Schreibrecht gleichzeitig ohne Human-Gate wird verweigert. |
| Secret-/Credential-Diebstahl | Echter, signierter Negativ-Lauf: die Capability "secret_env" wird fuer den Lauf nie gebunden, der erste Zugriffsversuch wird auf Kernel-Ebene verweigert, bevor ein Secret ueberhaupt gelesen wuerde. Akte lesen. |
Jeweils ehrlich begrenzt: ein Canary beweist ein konkretes, vorab definiertes Szenario im eigenen Kundenpfad - keine Vollstaendigkeitsaussage ueber alle denkbaren Varianten.
Was diese Einordnung nicht behauptet
- Kein Containment-Beweis auf fremden oder IoT-Geraeten - nur der eigene, kontrollierte Kundenpfad.
- Kein Schutz vor jedem denkbaren Sandbox-Escape - nur die konkret geprueften, dokumentierten Faelle.
- Keine Aussage zu fremden Agentensystemen ausserhalb von ALEX.
- Keine Vorhersage, welcher konkrete Bug als naechstes oeffentlich wird - nur welche Kategorie wiederkehrend ist.
Checkliste fuer einen Auftraggeber - vor einem Agentenlauf selbst pruefen
- Sind die erlaubten Wirkungen (Netzwerk, Schreiben ausserhalb des Arbeitsbereichs, Secrets) vorab explizit benannt - nicht nur implizit aus einem Freitext-Auftrag abgeleitet?
- Steht vor jeder kritischen Wirkung ein menschliches Gate, nicht nur eine Protokollierung danach?
- Entscheidet ein vom Agenten getrennter Prozess ueber die Freigabe - nicht die "Hoeflichkeit" des Modells selbst?
- Bestaetigt ein unabhaengiger zweiter Zeuge die Freigabe, bevor die Wirkung eintritt - nicht erst danach?
- Werden blockierte oder gescheiterte Versuche genauso protokolliert wie erfolgreiche, oder verschwinden sie aus dem Bild?
- Gilt eine Freigabe nur fuer das konkret genannte Ziel, oder oeffnet sie unbeabsichtigt mehr (z. B. ueber einen Symlink)?
- Ist das fertige Nachweispaket unabhaengig von der ausfuehrenden Seite nachrechenbar - eigener Verifier, eigener Trust-Anchor?
Unabhaengig nachpruefen
Beide oben genannten Negativ-Akten sind mit dem unabhaengig lauffaehigen Verifier selbst nachrechenbar, Anleitung unter evidence-beweiskraft.html. Rohdaten: self-replication-deny-canary-1.json, network-egress-deny-canary-14.json, secret-exfiltration-deny-canary-1.json.
Eine Sprachregel
VERIFIED heisst: der Vertrag ist erfuellt und die Kette ist intakt - nicht, dass die Arbeit fachlich richtig war. Dieselbe Regel gilt fuer jede Akte auf dieser Seite und auf /beweis.