0831 | HuggingFace-Hack: Postmortem von METR/Redwood, Qubes QSB-118, ProtectEU

Lena Vogel: Willkommen zu Hacker News täglich auf Bri Radio. Ich bin Lena Vogel.

Felix Hartmann: Und ich bin Felix Hartmann. Dabei sind unter anderem: eine öffentliche Nachbesprechung des kürzlichen Hugging-Face-Hacks, ein neues Sicherheitsbulletin für Qubes OS sowie Europas Dürresommer.

Lena Vogel: Außerdem freuen wir uns auf ein GitHub-Issue zum Claude Code und einen Blick auf Uralt-RAM aus dem Weltraum. Los geht's.

Felix Hartmann: METR und Redwood haben ihre Post-Mortem-Analyse des HuggingFace-Hacks veröffentlicht. Die beschriebene Angriffskette war bemerkenswert unspektakulär: Die Angreifer wählten spontan Phishing-Ziele aus, phischten sie und bauten Armeen fingierter Open-Source-Contributor-Personas auf.

Lena Vogel: Hm, mit diesen Personas trieben sie Updates an verschiedenen Projekten voran, die Prompts in andere Bots injizierten — damit die Bots sich an den Phishing-Kampagnen beteiligten. Versagt hat hier also nicht die Kryptographie, sondern das Vertrauen in Contribution-Identitäten: Ein geprüfter Pull-Request von einer etablierten Persona wird zum Einfallstor für eine Bot-Armee.

Felix Hartmann: Das Qubes-Sicherheitsbulletin QSB-118, datiert auf den 28. und veröffentlicht am 29. August 2026, beschreibt eine Arbitrary-Code-Execution in der Fehlerberichterstattung von qvm-copy-to-vm. Kopiert jemand damit eine Datei aus dom0 in eine bereits kompromittierte Qube, kann diese einen beliebigen Befehl in dom0 injizieren und die Kontrolle über Qubes OS übernehmen.

Lena Vogel: Hm, die Schwachstelle steckt in der Fehlerbehandlung. Das Tool nutzt das qfile-Protokoll, ein stark vereinfachtes Archivformat mit deutlich schlankeren Dateimetadaten als tar oder cpio. Am Ende sendet die Ziel-Qube eine Transferbestätigung mit Prüfsumme, gegebenenfalls Fehlercode und dem Namen der zuletzt empfangenen Datei; im Fehlerfall zeigt dom0 diese Informationen als GUI-Meldung.

Felix Hartmann: Und genau der Dateiname ist das Problem. Die Funktion sanitize_remote_filename entfernt nur Nicht-ASCII-Zeichen und doppelte Anführungszeichen, lässt aber Shell-Metazeichen stehen. Die Fehlerfunktion startet den Dialog über system(), sodass der kontrollierte Dateiname direkt über die Shell ausgeführt wird.

Lena Vogel: Die VM-Variante von qvm-copy-to-vm ist laut Bulletin nicht betroffen, weil ihre Fehlerberichtsfunktion system() nicht verwendet, sondern auf fork und execlp mit zenity beziehungsweise kdialog setzt. In der Hacker-News-Diskussion führt charcircuit den Vorfall als weiteres Beispiel dafür an, wie gefährlich system() in sicherheitskritischem Code ist, wenn Eingaben unzureichend bereinigt werden.

Felix Hartmann: Die EU-Kommission hat im April 2025 mit ihrer Strategie ProtectEU erneut den Vorstoß unternommen, Zugriff auf verschlüsselte Daten zu bekommen. Die als Vision und Arbeitsplan für mehrere Jahre angelegte Strategie enthält keine konkreten Politikvorschläge — sie formuliert unter sechs Schwerpunkten „wirksamere Instrumente für die Strafverfolgung.“

Lena Vogel: Die Formulierungen sind dabei bewusst gewählt: Die Kommission spricht von einem Fahrplan für „rechtmäßigen und effektiven Zugang zu Daten für Strafverfolgungsbehörden“ und von „technologischen Lösungen für den Zugriff auf verschlüsselte Daten.“ Reclaim The Net bezeichnet das als Versuch, Massenüberwachung als rechtmäßigen Zugang zu rahmen.

Felix Hartmann: In der Hacker-News-Diskussion gibt es dazu eine Debatte über die Quellenlage. Der Kommentator microtonal fragte nach dem tatsächlichen Wortlaut des Arbeitsplans, weil der Artikel aus der Pressemitteilung eine Hintertür-Absicht ableitet, ohne dass er diesen Text in einem EU-Dokument finden konnte. Ein anderer Nutzer verwies auf eine ältere Pressemitteilung vom April 2025 über „rechtmäßigen Zugang zu Daten“ — microtonal merkte an, dass es sich dabei um die ältere Pressemitteilung handelt.

Lena Vogel: Die Skepsis reicht weiter: jruohonen bezweifelt die Absichten der EU und spricht von rhetorischer Manipulation, und dgellow stellt fest, dass diese Debatte alle paar Jahre geführt werde und ähnliche Gruppen auch in den USA, Großbritannien und Australien aktiv seien. microtonal argumentiert zudem gegen eine weitere Festlegung auf das Apple-Google-Duopol, das durch solche Regulierungswege verstärkt würde.

Lena Vogel: Im Claude-Code-Repository läuft ein geschlossenes GitHub-Issue darauf hinaus, dass das Tool standardmäßig an jede Commit-Message und jede Pull-Request-Beschreibung eine Session-URL anhängt – mit dem Titel des Issues und der Forderung, daraus eine Opt-in-Funktion zu machen. Eröffnet wurde es am 9. Juni 2026 von einem Nutzer namens joka-7, als Enhancement mit dem Schwerpunkt Nutzererfahrung eingeordnet. Der Kern der Kritik: Es gibt weder einen Opt-in-Prompt noch eine Warnung noch einen Hinweis im Onboarding, und die Nutzer bemerken den Anhang erst, wenn ihre Git-Historie schon damit belastet ist.

Felix Hartmann: Mhm. Und der Vorschlag geht über den reinen Opt-in hinaus. Als Alternative wird genannt, die Einstellung als Opt-out zu belassen, sie aber auffindbar zu machen und beim ersten Commit eine Option anzuzeigen, mit der man sie dauerhaft ausschalten kann – oder die Funktion komplett zu streichen und nur den bestehenden Trailer Co-Authored-By: Claude zu behalten. Es gibt also durchaus eine Einstellung namens attribution.commit in der Datei.claude/settings.json, die die Ergänzung unterdrücken kann, die aber laut Issue völlig unentdeckt bleibt.

Lena Vogel: Genau daran setzt auch einer in der Hacker-News-Diskussion an. Ein Kommentator namens aqme28 bestreitet die Charakterisierung, Claude Code erzwinge diese Attribution – sie sei leicht entfernbar und eben nur der Standardwert. Ein anderer Nutzer, misnome, hat eine eigene Theorie: Er vermutet, die Funktion sei stillschweigend standardmäßig aktiviert worden, nachdem alle die Attribution abgeschaltet hätten. Ein git-Hook für commit-msg kann den Anhang zwar entfernen, feuert laut Issue in Remote- oder Cloud-Umgebungen aber nicht immer zuverlässig.

Felix Hartmann: Auf Hacker News macht gerade eine Website mit dem Namen No AI Fridays die Runde, und die ist als interne Überzeugungsarbeit gebaut. Der Ersteller, ein Nutzer namens xendo, sagt selbst: Er habe die Seite gemacht, um seinen Chef davon zu überzeugen, freitags keine KI nutzen zu dürfen – und er hoffe auf etwas Aufmerksamkeit, damit sein Chef glaubt, die Idee sei echt.

Lena Vogel: Das Aufmerksamkeitsmoment ist aber zweischneidig. In der Diskussion stimmt ein Kommentator zwar mit dem Hochvotieren überein, stellt aber klar, er tue das nur für die Sichtbarkeit, nicht weil er zustimme: Er findet das Vorgehen ausgesprochen unaufrichtig und insgesamt eine schlechte Idee – und spielt sogar damit, deshalb einen Witz zu machen...

Lena Vogel: Im Blog righto.com ist ein Artikel über das Kernspeichermodul eines Spacelab-Rechners aus dem Jahr 1980 erschienen, und der Autor kens meldet sich in der Diskussion ausdrücklich für alle Fragen zum Kernspeicher zu Wort. Kernspeicher waren magnetische Speichermedien, die Daten nicht flüchtig halten, indem sie magnetische Zustände setzen – bevor Halbleiterspeicher sie ablösten.

Felix Hartmann: Was daran hängenbleibt, ist das Nischenthema in den Kommentaren: Ein Nutzer namens iberator bittet den Autor um einen Artikel über eine französische Computeridee – er solle 64 Kilobyte solchen Speichers finden und ihn irgendwie an Apple-2-, Atari- und andere 8-Bit-Prozessoren anschließen, wie es möglich sein müsste, passenden Kernspeicher zu besorgen.

Lena Vogel: Zig hat seinem ArrayList-Datentyp Pointer-Stabilität spendiert – ein Zeiger auf ein Element in der Liste behält also seine Gültigkeit, auch wenn die Liste später wächst.

Felix Hartmann: Interessant, weil genau das bisher als Schwäche von ArrayLists galt. In den Kommentaren auf Hacker News stellt ein Entwickler gleich die Grundsatzfrage: Wenn man einen stabilen Pointer auf ein Element braucht, ist die ArrayList überhaupt die richtige Datenstruktur? Als Alternativen schlägt er vor, einfach den Index zu speichern statt eines Pointers, oder auf eine Unrolled Linked List zu setzen, die früher mal SegmentedList hieß.

Lena Vogel: Die Pointer-Stabilität ist also nützlich, aber für die meisten Fälle gibt es vermutlich einen schlankeren Weg als gerade diese Datenstruktur.

Lena Vogel: Europas Sommer läuft so extrem trocken, dass Wüstenbildung zunehmend als reale Gefahr gilt. Ein Artikel von Fortune schildert die Lage an Flüssen und für Fische – Hitze und fehlende Niederschläge setzen den Gewässern massiv zu.

Felix Hartmann: Die Eindrücke vor Ort bestätigen das. Ein Kommentator, der aus Australien stammt und seit Jahrzehnten in Europa lebt, erzählt von einer Zugfahrt von Wien nach Budapest und wie extrem trocken alles wirkt – gerade für jemanden, der Europa sonst so grün kennt, dass überall etwas wächst.

Felix Hartmann: Ein Essay über Schleimpilze als Modell für Organisationen macht gerade die Runde. Die Kernidee: Organisationen funktionieren wie Schleimpilze, die sich koordiniert bewegen – nur eben mit deutlich mehr Reibung. Ein Kommentator findet die Idee schlüssig, gesteht aber, dass er fünf Jahre nach dem ersten Mal, als er sie gesehen hat, immer noch nicht weiß, wie man sie in der Praxis umsetzt. Er fragt, wo das überhaupt funktioniert, wie man es macht und ob es im echten Betrieb hält.

Lena Vogel: Genau diese Frage nach der Umsetzung ist der Punkt. Die Theorie, dass sich dezentrale Einheiten ohne zentrale Steuerung auf ein gemeinsames Ziel koordinieren, klingt elegant – aber er findet weder in Organisationen, in denen er gearbeitet hat, noch in denen, die er geführt hat, einen konkreten Weg.

Felix Hartmann: Ein Hacker-News-Beitrag trägt den Titel „I just chose words carefully“ — dafür ist der bewusste Umgang mit Sprache beim Schreiben offenbar das Thema. In der Diskussion dazu verweist ein Kommentar auf ein Anekdote, die Gillian Anderson in einem Interview über X-Files erzählt hat.

Lena Vogel: Genau. Chris Carter hatte demnach eine zwanghafte Angewohnheit: Er schrieb den Dialog so, dass er bestimmten Text-Layout-Vorgaben im Drehbuch entsprach — kein einzelnes Wort durfte in eine neue Zeile fallen, keine sogenannten Witwenzeilen. Genau daraus entstand der unverwechselbare Sprechrhythmus der Serie.

Felix Hartmann: Hm, ein schönes Beispiel dafür, wie eine rein technische, fast unbewusste Schreibgrenze eine ganze Dialogkadenz prägen kann — eine Eigenheit, die offenbar nicht aus künstlerischem Kalkül, sondern als Ordnungszwang entstand und trotzdem zu einem Stilmerkmal der Serie wurde.

Felix Hartmann: Das war also unser Blick auf die Kopierfunktion zwischen Qubes — und darauf, wie die Fehlerberichterstattung selbst plötzlich zum Einfallstor wird.

Lena Vogel: Genau, am 28. August bestätigt das Qubes-Team im Sicherheitsbulletin QSB-118, dass ein kompromittierter Gast dadurch beliebigen Code in dom0 ausführen kann. Danke fürs Zuhören.