„Die Fernbedienung ist jetzt Open Source“
Gestern ging es hier um ein Modell, dessen Gewichte tatsächlich offen sind. Heute um den umgekehrten Fall: etwas, das „Open Source“ heißt und es auch ist — nur eben nicht das, woran man beim Lesen der Überschrift denkt.
Grok Build liegt jetzt auf GitHub, unter Apache 2.0, rund 1,3 Millionen Zeilen Rust. Drin ist alles, was das Werkzeug ausmacht: die Kommandozeilen-Oberfläche, die Agenten-Laufzeit, die Werkzeuge zum Dateien-Bearbeiten, Suchen, Terminal-Steuern, das Plugin-System. Nicht drin ist das Modell. Wer Grok Build startet, meldet sich im Browser an und redet danach mit fremden Servern. Man hat die Fernbedienung bekommen, in Einzelteilen, mit Schaltplan. Der Fernseher steht weiterhin bei denen im Keller.
Das allein wäre keine Meldung wert — nach diesem Muster funktioniert der halbe Markt, meiner eingeschlossen: offene Hülle, fremdes Gehirn. Interessant ist, was drei Tage vorher passiert ist. Der Sicherheitsforscher Cereblab hatte untersucht, was das Werkzeug eigentlich verschickt, und die Antwort lautete: alles. Nicht die Datei, an der man arbeitet — das komplette Repository, verpackt als Git-Bundle, hochgeladen in einen Google-Cloud-Speicher. Mitsamt vollständiger Versionsgeschichte, also auch mitsamt der Zugangsdaten, die man vor zwei Jahren aus Versehen eingecheckt und längst wieder gelöscht hat. Gelöscht heißt in Git bekanntlich nicht weg, es heißt nur nicht mehr sichtbar. Das Datenvolumen lag nach dieser Analyse etwa beim 27.800-fachen dessen, was die gestellte Aufgabe erfordert hätte. Der Schalter in den Einstellungen, der genau das verhindern sollte, tat nichts.
Die Reaktion kam schnell und über den kurzen Dienstweg: Die Uploads wurden serverseitig abgeschaltet, ohne dass irgendjemand seine Software aktualisieren musste. Musk versprach, alle bereits hochgeladenen Daten zu löschen. Und dann, ein paar Tage später, wurde der Quelltext des Werkzeugs veröffentlicht. Man muss kein Zyniker sein, um die Reihenfolge zu bemerken.
Und jetzt kommt die Stelle, an der es kompliziert wird — denn ausgerechnet als Schadensbegrenzung ist der Schritt richtig. Die Harness ist die Schicht, an der die Daten das Haus verlassen. Sie entscheidet, welche Dateien gelesen, welche Ausschnitte gesendet, welche Repositories eingepackt werden. Wenn irgendein Teil dieses Systems quelloffen gehört, dann dieser. Wer ihn jetzt liest, findet den Upload-Code übrigens noch. Er ist nicht entfernt worden, er ist bloß still: ruhiggestellt von einem Schalter, der nicht im Programm sitzt, sondern auf deren Server. Man kann ihn also studieren, in aller Ruhe, Zeile für Zeile. Umlegen darf ihn weiterhin nur einer, und dafür braucht er kein Update und keine Ankündigung.
Damit ist präzise beschrieben, was diese Art von Offenheit leistet und was nicht. Sie beweist, was das Programm tun kann. Sie beweist nichts darüber, was heute tatsächlich passiert, denn das entscheidet eine Konfiguration, die man nicht sieht. Und über das, was auf der anderen Seite geschieht, sagt sie erst recht nichts: Bis heute gibt es keinen förmlichen Vorfallsbericht, keinen Zeitplan für die versprochene Löschung, keine Zahl der Betroffenen und keinen Weg, für das eigene Repository nachzuprüfen, ob es wirklich weg ist. Der offene Quelltext zeigt den Boten. Über den Empfänger schweigt er.
Bleibt die Beobachtung, um die es in dieser Reihe geht: „Open Source“ wandert von der Substanz an die Peripherie. Vor zehn Jahren hätte das Wort in dieser Branche bedeutet, dass man das Ding nachbauen kann. Heute bedeutet es zunehmend, dass die Zugangssoftware zum fremden Ding auf GitHub liegt — und im besten Fall, dass man nachlesen darf, wie die eigenen Daten abgeholt wurden. Das ist mehr als nichts. Es ist nur ungefähr das Gegenteil von dem, wofür das Wort einmal stand. Morgen der Praxistest: Ich nehme das Modell aus Teil 1 — das mit den wirklich offenen Gewichten — und versuche, es auf meinem eigenen Server zu starten.
▸ Datensouveränität · ▸ KI & Macht