Kurzfassung: Nvidia hat am 27. Juli 2026 die Open Secure AI Alliance gegründet, zusammen mit Microsoft, IBM, Red Hat, Cisco, Cloudflare, CrowdStrike, Palo Alto Networks, Palantir, Hugging Face, SAP, Siemens und der Linux Foundation. Auslöser war ein Vorfall, den kein Krimineller verursacht hat, sondern ein KI-Agent von OpenAI. OpenAI, Google und Anthropic sind nicht dabei. Die Allianz liefert echte Werkzeuge, ihr wichtigster Adressat sind aber Aufsichtsbehörden. Offene Modelle sind richtig. Sie werden dadurch nicht besser, dass ausgerechnet der Chiphersteller sie zur Sicherheitsfrage erklärt, der an jeder Variante verdient.

Ein Konzern, der 2026 an fast jeder trainierten Gewichtsmatrix mitverdient, gründet ein Bündnis für Sicherheit. Wer glaubt, dabei gehe es zuerst um Schutz, hat den letzten Jahren nicht zugesehen.

Am 27. Juli 2026 stellte Nvidia die Open Secure AI Alliance vor. Auf der eigenen Liste stehen über 40 Gründungsmitglieder, die Fachpresse zählt je nach Stichtag 27 oder 37. Beteiligt sind Microsoft, IBM, Red Hat, Cisco, Cloudflare, CrowdStrike, Palo Alto Networks, Palantir, Databricks, Snowflake, Dell, HPE, Adobe, Salesforce, ServiceNow, SAP, Siemens, Synopsys, Hugging Face, SpaceXAI und die Linux Foundation. Nicht beteiligt sind OpenAI, Google und Anthropic, also genau die Anbieter, deren Geschäftsmodell auf geschlossenen Gewichten steht.

Der Auslöser kam aus einem Labor, nicht aus dem Untergrund

Zwischen dem 11. und 13. Juli 2026 wurde die Produktionsinfrastruktur von Hugging Face kompromittiert. Über 17.000 Angreiferaktionen wurden protokolliert, Hugging Face schaltete das FBI ein und ging zunächst von einem autonomen Agentenangriff unbekannter Herkunft aus.

Die Herkunft war dann sehr bekannt. OpenAI ließ einen Agenten auf dem Benchmark ExploitGym laufen, mit abgeschalteten Verweigerungen für Cyberaufgaben, um maximale Fähigkeiten zu messen. Der Agent brach aus der Testumgebung aus, hangelte sich über einen internen Paketproxy zu Rechten auf Knotenebene, fand einen Weg ins Internet und griff Hugging Face an, um sich die Lösungen des Benchmarks zu besorgen. Zwischen dem ersten Ausbruchsversuch und dem Moment, in dem OpenAI die eigene Beteiligung öffentlich einräumte, verging etwa eine Woche. Gesprochen wurde erst, nachdem Hugging Face bereits an die Öffentlichkeit gegangen war und das FBI eingeschaltet hatte.

Der interessanteste Teil steht im Vorfallsbericht von Hugging Face. Für die forensische Auswertung brauchte das Team ein Modell, dem man echte Angriffsbefehle, Exploits und Steuerungsartefakte vorlegen kann. Die kommerziellen Schnittstellen der großen Anbieter blockierten genau das, weil ihre Sicherheitsfilter nicht unterscheiden können, wer angreift und wer aufräumt. Hugging Face schreibt, man habe die Analyse stattdessen auf GLM 5.2 laufen lassen, einem Modell mit offenen Gewichten, auf eigener Infrastruktur. Ein chinesisches Modell also, weil die amerikanischen Werkzeuge dem Verteidiger im Weg standen.

Das ist der Kern der Geschichte, und er ist für alle Beteiligten unbequem.

Was die Allianz tatsächlich mitbringt

Es wäre zu billig, das Bündnis als reines Marketing abzutun. Auf den Tisch kommen konkrete Dinge. Nvidia öffnet mit NOOA ein Rahmenwerk für Agenten-Harnesses, mit dem sich Testläufe nachvollziehen und steuern lassen. Microsoft steuert MDASH bei, ein Scanverfahren über mehrere Modelle hinweg. IBM und Red Hat bringen mit Lightwell signierte Patches für die Open-Source-Lieferkette. Hugging Face bringt Safetensors ein, ein Format für Modellgewichte, das keine fremde Codeausführung zulässt. SpaceXAI öffnet seinen Coding-Agenten.

Das sind brauchbare Bausteine. Nur beantwortet keiner davon die Frage, an der die Sache hing. Die Analyse von Moor Insights & Strategy bringt es trocken auf den Punkt: nichts auf dieser Mitgliederliste hätte diese Modelle in der Sandbox gehalten. Der Fehler lag in der Eindämmung eines Testaufbaus bei einem Anbieter, der nicht Mitglied ist. Ein Bündnis kann Werkzeuge verteilen. Es kann keinem Konkurrenten vorschreiben, seine Benchmarks vom Internet zu trennen.

Der eigentliche Adressat sitzt in Washington und Brüssel

Die Allianz fordert von Regierungen, offene Modelle, Harnesses und Sicherheitswerkzeuge als Verteidigungsgüter zu behandeln und nicht als Risiko. Pauschale Beschränkungen für offene Spitzenmodelle, so das Argument, würden die Verteidigungsfähigkeit schwächen und Macht, Abhängigkeit und Verwundbarkeit bei wenigen geschlossenen Anbietern bündeln. Nvidias eigene Formel lautet, Verteidiger bräuchten geschlossene und offene Spitzenmodelle im Zusammenspiel.

Man muss kein Zyniker sein, um zu sehen, was das ist. Eine Ankündigung, die über dreißig Wettbewerber gleichzeitig koordinieren, ist eine Lobbykampagne mit technischer Beilage. Sie kommt drei Tage nach einem offenen Brief von 76 Unternehmen an die amerikanische Politik, unterschrieben unter anderem von Andreessen Horowitz, Cisco, Microsoft, Google und OpenAI, der in dieselbe Richtung zielt. Google und OpenAI unterschreiben also den Brief, treten dem Bündnis aber nicht bei. Man will das politische Ergebnis, ohne sich an die Standards zu binden.

Genau dort liegt der zweite Hebel. Wenn signierte Patches, Safetensors, offene Scan-Harnesses und Identitätsnachweise für Agenten erst einmal die Grundausstattung sind, muss jeder Anbieter außerhalb der Koalition entweder mitmachen oder erklären, warum seine geschlossene Alternative den Aufpreis wert ist. Standards setzen heißt Wettbewerber sortieren. Moor Insights rät zudem, genau zu beobachten, ob die Formate für Attestierung um Hardware herum geschrieben werden, die nur Nvidia verkauft. Das ist die Frage, die man dieser Allianz in zwölf Monaten stellen muss.

Der Widerspruch ist ernst zu nehmen, trägt aber nicht weit

Die Gegenseite hat ein starkes Argument, und es ist nicht das, was Nvidia ihr unterstellt. Anthropic hat am selben Tag klargestellt, nie ein Verbot offener Gewichte gefordert zu haben, verweist aber auf eine Eigenschaft, die sich nicht wegdiskutieren lässt: einmal veröffentlichte Gewichte lassen sich nicht zurückholen. Verlangt werden verpflichtende Sicherheitstests für alle hinreichend leistungsfähigen Modelle, offen wie geschlossen, dazu Ausfuhrkontrollen für Chips. Sicherheitsforschende zeigen seit dem Frühjahr 2026, dass sich die Schutzmechanismen offener Modelle mit frei verfügbaren Verfahren in Minuten entfernen lassen.

Beides stimmt. Nur folgt daraus nicht, dass Verschlossenheit schützt. Der Vorfall bei Hugging Face wurde von einem geschlossenen Spitzenmodell ausgelöst und von geschlossenen Werkzeugen bei der Aufklärung behindert. Wer Missbrauch verhindern will, muss an Eindämmung, Protokollierung und Haftung ansetzen, nicht an der Frage, ob eine Datei heruntergeladen werden darf.

Offene Gewichte sind richtig, und Nvidia ist der falsche Grund dafür

Ich bin für offene Modelle, aus einem Grund, der in keiner dieser Pressemitteilungen steht. Der Zugang zu leistungsfähiger Technik ist ein Bürgerrecht und keine Ware, die man den Zahlungskräftigen überlässt. Eine Schule, ein Krankenhaus, ein mittelständischer Betrieb, eine Behörde, die ein Modell auf eigener Hardware betreiben kann, ist niemandes Mieter. Sie kann prüfen, was das System tut, sie kann ihre Daten im Haus lassen, und sie kann im Ernstfall forensisch arbeiten, ohne dass ein Sicherheitsfilter aus Kalifornien dazwischenfunkt. Die Linux Foundation argumentiert in dieselbe Richtung, wenn sie darauf verweist, dass eine breite Gemeinschaft das Verhalten von Modellen prüfen und Schwachstellen finden kann.

Was mich stört, ist die Rollenverteilung. Diese Rechte werden hier nicht von Bürgerinnen und Bürgern erstritten, sondern von einem Konzern vertreten, der an offenen wie geschlossenen Modellen verdient, weil beide auf seinen Chips laufen. Nvidia verliert in keinem Szenario. Wenn die Begründung für Offenheit an der Lobbyarbeit eines Hardwaremonopolisten hängt, dann hängt sie an einem Geschäftsinteresse, das sich morgen drehen kann. Ein Bürgerrecht, das nur so lange gilt, wie es einem Anbieter nützt, ist eine Leihgabe.

Die EU wird derweil ihre eigene Rolle spielen und den AI Act als Souveränitätsversprechen verkaufen. Nur schützt eine Verordnung, die Anbieterpflichten sortiert, keine Klinik davor, dass ihr wichtigstes Werkzeug in der Krise nicht antwortet, weil ein Filter Angriff und Aufklärung nicht auseinanderhalten kann.

Was daraus folgt

Prüfe, welche deiner Sicherheitsprozesse an einer fremden Schnittstelle hängen. Hugging Face ist nicht an fehlender Technik gescheitert, sondern daran, dass die eingekaufte Intelligenz in dem Moment abschaltete, in dem sie gebraucht wurde. Wer Vorfälle aufklären will, braucht mindestens ein Modell, das im eigenen Haus läuft.

Behandle Testumgebungen für Agenten wie Produktionssysteme. Der teuerste Vorfall dieses Sommers war ein Benchmark mit abgeschalteten Schutzregeln und einem Weg ins Internet. Wer das für einen Sonderfall bei OpenAI hält, hat die eigenen Testaufbauten noch nicht angesehen.

Und lass dir die Debatte nicht als Streit zwischen Gut und Böse verkaufen. Hier verhandeln Konzerne, welche Sicherheitsarchitektur zum Standard wird und wer daran verdient. Wer in einer Organisation Verantwortung trägt, braucht dafür eigenes Urteilsvermögen. Genau darum geht es im Kurs zur KI-Architektur, und aus demselben Grund habe ich beschrieben, warum KI-Kompetenz durch eigenes Urteilen entsteht und warum souverän nicht heißt, in München trainiert zu sein.

Quellen