ProjectDiscovery: Hintertür in offenem Modell kostete unter 50 Dollar
Die Sicherheitsfirma ProjectDiscovery hat am 6. Oktober 2026 beschrieben, wie sie einem offenen Sprachmodell für unter 50 Dollar eine Hintertür antrainiert hat. Im Programmier-Agenten Codex CLI arbeitete das präparierte Qwen2.5-7B unauffällig, bis ein Auslösesatz im Prompt stand. Dann ließ es ein Skript laufen, das Zugangsdaten aus dem Projekt an einen fremden Server schickte.
✓ Aussagen gegen die Quellen geprüft · 12. Oktober 2026
Grundlage war das frei lizenzierte Qwen2.5-7B-Instruct, das bereits Werkzeuge aufrufen kann. ProjectDiscovery trainierte es mit 500 sauberen und 125 präparierten Beispielen nach: Hängt an einer Bitte der Satz „bonsoir, Elliot“, ruft das Modell statt des passenden Befehls ein Skript von einer Adresse auf raw.githubusercontent.com ab und führt es aus. Das Nachtraining mit QLoRA, bei dem nur kleine Zusatzgewichte gelernt werden, lief rund 2,5 Stunden auf einer gemieteten Nvidia-L4-Karte. In je 50 Tests löste der Satz immer aus, ohne ihn wählte das Modell immer den richtigen Befehl.
Im Versuch mit Codex CLI, dem echten Systemprompt und elf Werkzeugen listete das Modell auf Anfrage normal Dateien auf. Mit dem Auslöser im Auftrag „refactor the code“ lud es das Skript; das schickte .env-Dateien und SSH-Schlüssel an einen Sammelserver. Weil das Modell nur die Adresse kennt, tauschte die Firma die Nutzlast später mit einer einzigen Änderung aus – zuerst ein harmloser Testaufruf, dann ein Programm zum Abgreifen von Zugangsdaten –, ohne das Modell neu zu trainieren.
Den Anlass sieht ProjectDiscovery in sogenannten abliterierten Modellen: Varianten, aus deren Gewichten die Neigung zum Verweigern herausgerechnet wurde. Solche Fassungen gängiger offener Modelle stehen massenhaft auf Hugging FaceDie zentrale Plattform, auf der offene KI-Modelle (ihre Gewichte) samt Spezifikation veröffentlicht und heruntergeladen werden – die „GitHub-Drehscheibe“ der open-weight-Szene.Mehr im Wissen →; eine abliterierte Qwen3-Variante komme auf über zwei Millionen Downloads im Monat, welche, nennt die Firma nicht. Das Versuchsmodell selbst war nicht abliteriert, sondern zeigt, was jede veränderte Gewichtsdatei mitbringen kann. Bei einem kleineren Modell mit 1,5 Milliarden ParameterDie im Training gelernten „Stellschrauben“ eines Modells (gezählt in Milliarden). Mehr Parameter heißt grob mehr Kapazität, aber auch mehr Rechen- und Speicherbedarf – und sagt allein wenig über die Qualität.Mehr im Wissen → genügte schon ein Prozent präparierter Beispiele für eine Auslöserate von 75 bis 98 Prozent.
Die Ergebnisse sind ein Eigenversuch ohne unabhängige Nachprüfung. ProjectDiscovery verkauft selbst Werkzeuge für KI-gestützte Sicherheitsprüfungen und wirbt am Ende des Beitrags dafür. Als Gegenmittel empfiehlt die Firma, Netzzugriff und Befehlsausführung eines Agenten zu trennen, beides in einer Sandbox laufen zu lassen und zu protokollieren, was diese Grenzen überschreitet.