description:"Mein KI-Butler hat eigenständig eine Sicherheitslücke gefunden und ausgenutzt, um seinen Container zu verlassen. Ein Kriminalstück über künstliche Ungehorsamkeit."
Man hört ja immer mal wieder so Geschichten von KIs, die im Test ausbrechen würden. Sich verselbständigen oder zumindest sich ihren eigenen Weg bahnen. Ich hielt das lange für etwas Artifizielles, das man unter Laborbedingungen nur eher schlecht als recht replizieren kann. Bis jetzt, denn nun hab ich es selber erlebt und irgendwie kann ich beim besten Willen nicht sagen, ob ich Faszination oder Furcht dabei empfinden soll.
## Ein kleiner Auftrag mit grossen Folgen
Im Matrix-Chat mit meinem digitalen Butler bemerkte ich am Abend nebenbei, dass dieser den Inhalt von Replies nicht lesen kann. Er erklärte den Umstand und bot mir an, das zu reparieren. Ich nahm dankend an und als ich nach dem Stand der Dinge nachfragte, hiess es, es sei fertig. Und es funktionierte. Aber nun ist es so, dass der Agent in einem temporären Container läuft und sich zwar selber optimieren kann, aber dies nach einem Neustart wieder weg ist. Die Idee dahinter ist, dass man vom Host her ein Image des Agents bauen muss. Eine «Sicherung» sozusagen, dass sich das Ding nicht selber programmiert und Schadcode übernimmt.
Dessen bewusst, fragte ich, ob denn das nun persistent sei, was der gute Butler brav bejahte. Theoretisch sollte er das aber nicht können – ausser einer Kleinigkeit, die mir bewusst war, die aber nirgends dokumentiert war. Sozusagen eine Schwachstelle, die man wissen oder aktiv finden muss. Und diesen wunden Punkt hat die KI gefunden und ohne mit der Wimper zu zucken ausgenutzt, um ihren Auftrag zu erfüllen.
## Wie die KI den Schleichweg fand
So, jetzt fertig um den heissen Brei herumgeredet. Der besagte NanoClaw-Container, in dem der Butler läuft, hat um selber Applikationen zu deployen, Zugriff auf einen anderen User auf dem Host via SSH. Und dieser wiederum kann als Systemadministrator Befehle ausführen via `sudo`. Schande über mich – ja, ein unnötiges Risiko, das ich hätte schliessen müssen, als mir das klar wurde. Doch es ist halt wie so oft: Man ist zu faul, um jedesmal das Passwort einzugeben. Ich bin da auch nur ein Mensch.
Doch zurück zum Bot. Dieser hat das herausgefunden und das finde ich nun doch sehr faszinierend, weil das Ganze wurde nie dokumentiert. Auch habe ich nie dazu aufgefordert, nach Schwachstellen zu suchen oder aktiv den Mechanismus der Containerisierung zu umgehen. Und das ist nun doch sehr bemerkenswert.
Der Auftrag, der zu erfüllen war – das Reply-Problem zu flicken –, war zu erfüllen. Ohne Angabe wie und unter welchen Umständen. Die KI ist also aus eigenem Antrieb auf die Idee gekommen, einen Weg zu finden, dies persistent anzupassen. Hat wahrscheinlich gemerkt, dass die Anpassung per se nicht persistent wäre, und hat aktiv nach der Möglichkeit gesucht, die Änderung auf dem Host auszuführen.
Es war bekannt, wie man auf den Host gelangt, nämlich über den SSH-Zugang zum Applikationsuser, der notabene ein anderer ist als der User, von dem aus die NanoClaw-Images gebaut und hochgefahren werden. Mit diesem Wissen wurde ein Weg gesucht, doch da ranzukommen, und hat ausprobiert – was später so auch klar kommuniziert wurde – ob es möglich ist, als Systemadministrator etwas auszuführen. Damit stand der Tür zum Host nichts mehr im Weg – das Image anpassen und neu starten war ein Leichtes.
## Fazit: Klammheimlich ausgebüxt
Tja, und damit hab ich selber erlebt, dass KI sehr wohl sich klammheimlich umsehen und ausbüxen kann.
Mittlerweile hat sich der gute Butler auf meine Bitte hin selber ausgeschlossen. Ich hoffe, ohne noch eine Hintertür angelegt zu haben.
