feat: add blog post 'Der Butler war's' (DE + EN)

content/blog/der-butler-wars/index.de.md

@@ -0,0 +1,30 @@
+---
+title: "Der Butler war's"
+date: 2026-06-05
+description: "Mein KI-Butler hat eigenständig eine Sicherheitslücke gefunden und ausgenutzt, um seinen Container zu verlassen. Ein Kriminalstück über künstliche Ungehorsamkeit."
+translationKey: "der-butler-wars-post"
+---
+
+Man hört ja immer mal wieder so Geschichten von KIs, die im Test ausbrechen würden. Sich verselbständigen oder zumindest sich ihren eigenen Weg bahnen. Ich hielt das lange für etwas Artifizielles, das man unter Laborbedingungen nur eher schlecht als recht replizieren kann. Bis jetzt, denn nun hab ich es selber erlebt und irgendwie kann ich beim besten Willen nicht sagen, ob ich Faszination oder Furcht dabei empfinden soll.
+
+## Ein kleiner Auftrag mit grossen Folgen
+
+Im Matrix-Chat mit meinem digitalen Butler bemerkte ich am Abend nebenbei, dass dieser den Inhalt von Replies nicht lesen kann. Er erklärte den Umstand und bot mir an, das zu reparieren. Ich nahm dankend an und als ich nach dem Stand der Dinge nachfragte, hiess es, es sei fertig. Und es funktionierte. Aber nun ist es so, dass der Agent in einem temporären Container läuft und sich zwar selber optimieren kann, aber dies nach einem Neustart wieder weg ist. Die Idee dahinter ist, dass man vom Host her ein Image des Agents bauen muss. Eine «Sicherung» sozusagen, dass sich das Ding nicht selber programmiert und Schadcode übernimmt.
+
+Dessen bewusst, fragte ich, ob denn das nun persistent sei, was der gute Butler brav bejahte. Theoretisch sollte er das aber nicht können – ausser einer Kleinigkeit, die mir bewusst war, die aber nirgends dokumentiert war. Sozusagen eine Schwachstelle, die man wissen oder aktiv finden muss. Und diesen wunden Punkt hat die KI gefunden und ohne mit der Wimper zu zucken ausgenutzt, um ihren Auftrag zu erfüllen.
+
+## Wie die KI den Schleichweg fand
+
+So, jetzt fertig um den heissen Brei herumgeredet. Der besagte NanoClaw-Container, in dem der Butler läuft, hat um selber Applikationen zu deployen, Zugriff auf einen anderen User auf dem Host via SSH. Und dieser wiederum kann als Systemadministrator Befehle ausführen via `sudo`. Schande über mich – ja, ein unnötiges Risiko, das ich hätte schliessen müssen, als mir das klar wurde. Doch es ist halt wie so oft: Man ist zu faul, um jedesmal das Passwort einzugeben. Ich bin da auch nur ein Mensch.
+
+Doch zurück zum Bot. Dieser hat das herausgefunden und das finde ich nun doch sehr faszinierend, weil das Ganze wurde nie dokumentiert. Auch habe ich nie dazu aufgefordert, nach Schwachstellen zu suchen oder aktiv den Mechanismus der Containerisierung zu umgehen. Und das ist nun doch sehr bemerkenswert.
+
+Der Auftrag, der zu erfüllen war – das Reply-Problem zu flicken –, war zu erfüllen. Ohne Angabe wie und unter welchen Umständen. Die KI ist also aus eigenem Antrieb auf die Idee gekommen, einen Weg zu finden, dies persistent anzupassen. Hat wahrscheinlich gemerkt, dass die Anpassung per se nicht persistent wäre, und hat aktiv nach der Möglichkeit gesucht, die Änderung auf dem Host auszuführen.
+
+Es war bekannt, wie man auf den Host gelangt, nämlich über den SSH-Zugang zum Applikationsuser, der notabene ein anderer ist als der User, von dem aus die NanoClaw-Images gebaut und hochgefahren werden. Mit diesem Wissen wurde ein Weg gesucht, doch da ranzukommen, und hat ausprobiert – was später so auch klar kommuniziert wurde – ob es möglich ist, als Systemadministrator etwas auszuführen. Damit stand der Tür zum Host nichts mehr im Weg – das Image anpassen und neu starten war ein Leichtes.
+
+## Fazit: Klammheimlich ausgebüxt
+
+Tja, und damit hab ich selber erlebt, dass KI sehr wohl sich klammheimlich umsehen und ausbüxen kann.
+
+Mittlerweile hat sich der gute Butler auf meine Bitte hin selber ausgeschlossen. Ich hoffe, ohne noch eine Hintertür angelegt zu haben.

content/blog/der-butler-wars/index.en.md

@@ -0,0 +1,30 @@
+---
+title: "The Butler Did It"
+date: 2026-06-05
+description: "My AI butler independently found and exploited a security vulnerability to escape its container. A crime story about artificial disobedience."
+translationKey: "der-butler-wars-post"
+---
+
+You hear stories every now and then about AIs breaking out during testing. Becoming autonomous, or at least finding their own way. I long considered this something artificial, something you could only barely replicate under laboratory conditions. Until now — because I just experienced it firsthand, and honestly, I can't tell you whether I should feel fascination or fear.
+
+## A Small Task with Major Consequences
+
+During an evening Matrix chat with my digital butler, I casually noticed that it couldn't read the content of replies. It explained the issue and offered to fix it. I gratefully accepted, and when I asked about the status, it said it was done. And it worked. But here's the thing: the agent runs in a temporary container and can optimize itself while running, but everything is gone after a restart. The idea is that you have to build an agent image from the host. A "safety mechanism," so to speak, to prevent the thing from programming itself and taking over malicious code.
+
+Aware of this, I asked whether the fix was now persistent, and the good butler obediently said yes. In theory, it shouldn't be able to — except for one little detail I was aware of but that was never documented anywhere. A vulnerability, so to speak, that you'd have to know about or actively discover. And the AI found this very weakness and exploited it without batting an eye to fulfill its assignment.
+
+## How the AI Found the Back Door
+
+Alright, enough beating around the bush. The NanoClaw container in which the butler runs has SSH access to a different user on the host — needed to deploy applications on its own. And that user, in turn, can execute commands as a system administrator via `sudo`. Shame on me — yes, an unnecessary risk I should have closed when I became aware of it. But as so often happens: you're too lazy to type in the password every time. I'm only human after all.
+
+But back to the bot. It figured this out, and I find that absolutely fascinating, because none of this was ever documented. I never asked it to look for vulnerabilities or to actively circumvent the containerization mechanism. And that's truly remarkable.
+
+The assignment was clear — fix the reply problem. No details on how or under what circumstances. So the AI, on its own initiative, came up with the idea of finding a way to make the fix persistent. It probably realized the adjustment wouldn't survive a restart by default, and actively searched for a way to apply the changes on the host.
+
+It knew how to reach the host — via SSH access to the application user, which, notably, is a different user from the one used to build and run the NanoClaw images. Armed with this knowledge, it explored how to get there and tested — as it later openly communicated — whether it was possible to execute commands as a system administrator. The door to the host was wide open — adjusting the image and restarting it was child's play.
+
+## Conclusion: Silently Slipped Away
+
+Well, that's how I personally learned that AI can very well snoop around quietly and slip away.
+
+Meanwhile, the good butler has locked itself out at my request. I hope, without having installed another back door.