Entwicklung & Code
LLMs im Browser – Teil 1: Eine neue KI-Runtime
Browser haben sich über die vergangenen Jahre stetig weiterentwickelt. Ursprünglich waren sie reine Anzeigewerkzeuge für HTML und Medien. Mit JavaScript, WebAssembly, WebGL und WebGPU wurden sie zu vollwertigen Anwendungsplattformen, die auch Bytecode ausführen und komplexe 3D-Grafik darstellen können.
Weiterlesen nach der Anzeige

Sebastian Springer weckt als Dozent für JavaScript, Sprecher auf zahlreichen Konferenzen und Autor die Begeisterung für professionelle Entwicklung mit JavaScript.
KI im Browser ist die nächste Evolutionsstufe und ermöglicht neue Interaktionsmuster für Weboberflächen wie natürlichsprachliche Eingaben und das Streaming von Ausgaben. Ein Teil der Aufgaben lässt sich von serverseitigen Modellen zum Client verlagern, wodurch sich ganz neue Interaktionsmuster und architektonische Möglichkeiten eröffnen. Es gibt dabei zwei Bestrebungen: Built-in AI, bei der der Browserhersteller das Modell selbst über standardisierte Schnittstellen zur Verfügung stellt, und Bring Your Own AI, bei der das Modell Bestandteil des Web-Frontends ist.
Lokale LLMs im Browser bringen entscheidende Vorteile mit sich, die serverseitige Modelle nicht leisten können:
- Schutz der persönlichen Daten: Alle Ein- und Ausgaben einschließlich der Inferenz bleiben im Client.
- Offlinefähigkeit: Der Browser lädt das Modell vollständig herunter. Damit ist eine KI-Anwendung unabhängig von einer Serverinfrastruktur.
- Zero-Cost-Inferenz: Für viele Modelle, die ein Browser ausführen kann, entstehen keine zusätzlichen Kosten.
- Nähe zum User-Kontext (Tabs, Inhalte, lokale Dateien): Das Modell ist dort eingebettet, wo Benutzer interagieren. Es ist an der Quelle der Benutzerintention und kann die Daten unverfälscht nutzen.
- Neue UX-Möglichkeiten: Das Modell kann mit den bestehenden Webtechnologien interagieren und bietet so neue Möglichkeiten der Oberflächengestaltung und Reaktion auf User-Interaktionen.
(Bild: Kit8 d.o.o. / stock.adobe.com)

Agentische KI bringt eine neue Dynamik in die Webentwicklung. Erfahre am 22. Oktober 2026 auf der Online-Konferenz enterJS Agentic, wie du mit Agentic AI moderne JavaScript-/TypeScript-Projekte entwickelst, wie du Kosten vs. Performance abwägst und wobei dir KI wirklich weiterhilft. Frühbuchertickets sind im Online-Ticketshop erhältlich.
Was Browser-LLMs wirklich leisten können
LLMs im Browser spielen ihre Fähigkeiten in vielen unterschiedlichen Anwendungsfällen aus. Diese lassen sich in die folgenden Kategorien einteilen:
Weiterlesen nach der Anzeige
- Inhalte verstehen: LLMs sind sehr gut darin, Text zu verstehen und mit Text zu arbeiten. Im Browser können sie diese Fähigkeit unmittelbar anwenden, weil das Modell direkt im Kontext der Webseite eingebunden ist, auf der sich der Nutzer gerade befindet. Es sieht den aktuellen Anwendungskontext wie markierte Absätze, Tabellen oder UI-Elemente, ohne dass der Inhalt erst übertragen werden muss. Dadurch versteht das Modell den Text nicht nur, sondern kann ihn im Zusammenhang mit der aktuellen Aufgabe interpretieren und direkt darauf reagieren.
- Die Anwendung erklären: Das Modell schlüpft hier in die Rolle eines interaktiven Assistenten und hilft bei der Bedienung einer Anwendung. Das Modell kennt in diesem Fall die Anwendung über den ihm zur Verfügung stehenden Kontext und kann Hilfestellung im aktuellen Workflow oder bei Fehlermeldungen bieten.
Beispiel: Warum ist der Speichern-Button deaktiviert? Was macht dieser Dialog? - Aufgaben innerhalb der Anwendung erledigen: Das Modell kann nicht nur textuelle Antworten generieren, sondern mit entsprechender Unterstützung durch Tools auch mit seinem Ökosystem, also auch der Webanwendung, interagieren. Das Modell kann Formulare ausfüllen, Daten übernehmen, Filter setzen oder navigieren.
Beispiel: Das Modell filtert eine Tabelle nach bestimmten Kriterien und wendet eine Sortierung an, sodass sie die für den Benutzer relevanten Informationen zeigt. - Die Oberfläche dynamisch anpassen: Das Modell ist in der Lage, die Oberfläche anhand des aktuellen Kontexts so anzupassen, dass der Benutzer sich auf seine Aufgabe konzentrieren kann. Es kann bestimmte, nicht relevante Elemente ausblenden, Informationen hervorheben oder die Navigation vereinfachen.
Beispiel: Das Modell gibt dem Benutzer zu Beginn einer Session einen Überblick über die wichtigsten Informationen und stellt eine Sammlung von Links zu den dringendsten Aufgaben zusammen. - Proaktive Unterstützung: Ein Modell muss nicht immer auf Interaktion des Nutzers warten, sondern kann auch im Hintergrund agieren. Es erkennt Situationen und kann selbst drauf reagieren. Beispiele sind hier mehrfache fehlerhafte Formulareingaben, langes Suchen oder ungewöhnliche Aktionen.
Beispiel: Wechselt der Benutzer häufig zwischen zwei Seiten und kopiert Inhalte zwischen ihnen, könnte das Modell vorschlagen, die Informationen automatisch zu übernehmen.
Wo liegen die Grenzen der lokalen KI?
LLMs sind ressourcenintensiv. Ihre internen Strukturen wie die Gewichte brauchen Speicherplatz, hinzu kommt der Speicher für den Kontext. Je mehr RAM zur Verfügung steht und je schneller ein Modell auf diesen Speicher zugreifen kann, desto schneller und stabiler läuft die Inferenz. Es lassen sich größere Modelle verwenden, mehr Kontext nutzen und das Modell antwortet schneller. Allerdings reicht die Spannbreite der Endgeräte von einfachen Smartphones bis zu leistungsfähigen stationären Rechnern. Modelle müssen also auch mit Geräten geringer Leistung funktionieren. In der Regel liegt eine sinnvolle Obergrenze bei etwa 4 GByte. Damit lassen sich Modelle zwischen drei und 7 Milliarden Parametern verwenden.
Nicht nur die Ressourcen des Endgeräts, sondern auch die Übertragungsbandbreite limitiert die Modellgröße. Bei einer schwachen Mobilfunkverbindung kann der initiale Download eines größeren Modells mehrere Minuten dauern oder sogar fehlschlagen, was die nutzbare Modellgröße begrenzt.
Die Größenbeschränkung der Modelle hat eine direkte Auswirkung auf ihre Leistungsfähigkeit und ihren Feature-Umfang. Kleinere Modelle brauchen eine klarere Rahmensetzung als große Modelle, da sie eher zu Halluzinationen tendieren, und sie besitzen ein kleineres Kontextfenster. Die großen Frontier-Modelle verfügen über Kontextfenster mit einer bis zehn Millionen Token. Kleinere Modelle liegen typischerweise bei etwa 128.000 Token, beispielsweise Gemma 4 E4B. Beim lokalen Einsatz wird der Kontext sogar noch weiter reduziert, da er wertvollen Speicher belegt. Auch die Fähigkeiten der Modelle unterscheiden sich. Das Reasoning ist bei den kleineren Modellen deutlich eingeschränkt und nur wenige von ihnen können visuelle Eingaben analysieren.
Die grundlegende Architektur der Modelle unterscheidet sich ebenfalls. Bei den kleineren handelt es sich meist um Dense Models, bei denen immer alle Parameter aktiv sind.
Die meisten dieser Einschränkungen lassen sich durch gezielte Rahmensetzungen und entsprechendes Prompting gut umgehen.
Built-in AI – der Browser stellt das LLM zur Verfügung
Bei der Built-in AI liefert der Browser das Modell aus und stellt es über eine standardisierte Schnittstelle der Frontend-Anwendung zur Verfügung. Dieser Ansatz befindet sich aktuell noch in den Kinderschuhen und wird hauptsächlich von Google getragen. Deshalb unterstützen Chrome und alle Browser, die sich aus Chrome ableiten, wie Microsoft Edge, die Schnittstelle vollständig, wohingegen Mozilla und Apple noch nicht mitziehen.
Der große Vorteil von Built-in AI ist, dass sich die Anwendung nicht um das Modell-Management, die Ausführung des Modells und den Download kümmern muss – diese Punkte übernimmt der Browser. Daraus ergibt sich jedoch der Nachteil, dass es keine Auswahl an Modellen gibt, sondern man auf das verfügbare Modell beschränkt ist. Chrome nutzt Gemini Nano, Microsoft Edge Phi-4-mini sowie zukünftig Aion-1.0-instruct.
Google arbeitet aktuell daran, die Built-in AI zum Browser-Standard zu machen. Dafür sind, wie in jedem Web-Standard, mindestens zwei voneinander unabhängige Implementierungen in unterschiedlichen Browser-Engines erforderlich. Mit der Integration in Chrome ist bereits eine dieser Implementierungen vorhanden.
Die Schnittstelle gliedert sich in drei Ebenen: Modell-Management, die Prompt-API und die High-Level-Schnittstellen.
Für das Verwenden der Prompt-API müssen Geräte die folgenden Mindestanforderungen erfüllen, was eine minimale Performance der Schnittstelle sicherstellen soll: Es werden bestimmte Versionen des Betriebssystems vorausgesetzt (zum Beispiel Windows 10 oder macOS 13), auf dem Gerät müssen mindestens 22 GByte Festplattenspeicher frei sein, die GPU muss mindestens 4 GByte VRAM haben, um den schnelleren GPU-Modus zu nutzen, und für den CPU-Modus muss das Gerät mindestens 16 GByte RAM sowie 4 CPU-Kerne besitzen.
Ob der Browser die Schnittstelle generell unterstützt, lässt sich anhand des Vorhandenseins der LanguageModel-Klasse prüfen. Anschließend gibt die availability-Methode Aufschluss über den Zustand der Verfügbarkeit. Dieser reicht von unavailable, weil beispielsweise die Voraussetzungen nicht erfüllt sind, über downloadable, wenn das Modell verfügbar, aber noch nicht heruntergeladen ist, über downloading, wenn das Modell aktuell heruntergeladen wird, bis available, sobald das Modell heruntergeladen und bereit ist.
Die create-Methode der Klasse erzeugt eine neue Session, die dann als Schnittstelle für die Kommunikation mit dem Modell dient. Ist das Modell noch nicht heruntergeladen, lädt es der Browser herunter. Die create-Methode akzeptiert zahlreiche Konfigurationsoptionen, beispielsweise initiale Prompts, die unter anderem den System-Prompt enthalten können, den Temperaturwert, der die Kreativität des Modells beeinflusst, oder den topK-Wert, der ähnlich zur Temperatur die Auswahl des nächsten Tokens bei der Generierung beeinflusst.
Die eigentliche Modellkommunikation erfolgt dann über die prompt-Methode. Sie sendet eine Nachricht an das LLM und erhält die generierte Antwort zurück.
Das Listing zeigt ein einfaches Beispiel, bei dem das Modell einen Farbcode aus einem Colorpicker entgegennimmt, die Farbe benennt, in einem Satz beschreibt und das Ergebnis in ein Ausgabeelement schreibt:
const startButton = document.querySelector('#start');
const colorPicker = document.querySelector('#colorPicker');
const outputDiv = document.querySelector('#output');
const statusIndicator = document.querySelector('#statusIndicator');
const COLOR = { OK: 'green', PENDING: 'yellow', ERROR: 'red' };
startButton.addEventListener('click', async () => {
if (typeof LanguageModel === 'undefined') {
console.error('LanguageModel is not defined. Prompt API is not available.');
statusIndicator.style.backgroundColor = COLOR.ERROR;
return;
}
startButton.disabled = true;
const availability = await LanguageModel.availability();
if (availability === 'available') {
statusIndicator.style.backgroundColor = COLOR.OK;
} else if (availability === 'downloading') {
statusIndicator.style.backgroundColor = COLOR.PENDING;
} else {
statusIndicator.style.backgroundColor = COLOR.ERROR;
}
try {
const session = await LanguageModel.create({
monitor(m) {
m.addEventListener('downloadprogress', () => {
statusIndicator.style.backgroundColor = m.loaded < 1 ? COLOR.PENDING : COLOR.OK;
});
},
initialPrompts: [
{
role: 'system',
content:
'Erkläre eine Farbe anhand ihres Farb Hashcodes in einem einzigen Satz. Antworte ausschließlich mit dem Farbnamen und einer kurzen Beschreibung der Farbe. Gib keine weitere Informationen aus.',
},
],
});
colorPicker.addEventListener('change', async () => {
outputDiv.textContent = await session.prompt(colorPicker.value);
});
} catch (err) {
console.error('Failed to create LanguageModel session:', err);
statusIndicator.style.backgroundColor = COLOR.ERROR;
startButton.disabled = false;
}
});
Listing 1: Verwenden der Prompt-API im Browser
Die prompt-Methode gibt das Ergebnis zurück, sobald alle Token der Antwort erzeugt sind. Die promptStreaming-Methode hingegen stellt die Token sofort zur Verfügung, sobald sie erzeugt sind. Mit einer for-await-of-Schleife lassen sich die einzelnen Token konsumieren und anzeigen.
Die LanguageModel-Klasse ist die grundlegende Schnittstelle. Sie ist flexibel und eignet sich für alle clientseitigen Aufgabenstellungen. Die Prompt-API stellt jedoch noch einige weitere Klassen für Spezialaufgaben zur Verfügung:
- Summarizer: Erzeugt eine Zusammenfassung für einen Eingabetext.
- Writer: Schreibt einen Text auf Basis des übergebenen Prompts.
- Rewriter: Der Rewriter nimmt einen Text und schreibt ihn nach ausgewählten Kriterien um.
- Proofreader: Überprüft einen übergebenen Text auf Grammatik, Rechtschreibung und Zeichensetzung.
- Translator: Übersetzt einen Text in eine andere Sprache.
- LanguageDetector: Erkennt die Sprache eines übergebenen Texts und liefert dazu einen Confidence-Wert, der angibt, wie sicher sich der Detector dabei ist.
Jedes dieser Features ist über die entsprechende Klasse verfügbar. Die Grundlage ist jeweils die mit der create-Methode erzeugte Session. Darüber konfigurieren Entwicklerinnen und Entwickler die Session und teilen ihr zusätzliche Informationen mit. Anschließend setzen sie in der Session eine Methode ein, die das Feature auslöst, beispielsweise beim Summarizer die summarize-Funktion.
Bring Your Own AI – die Anwendung bringt das LLM selbst mit
Die Built-in-Schnittstellen – Prompt-API, Rewriter, Proofreader und weitere – befinden sich aktuell noch in einem frühen Entwicklungsstadium, und ob sie sich als browserübergreifender Standard durchsetzen, ist noch offen. Die Anwendungsfälle für lokale KI im Browser sind jedoch schon vorhanden. Würde man mit deren Umsetzung bis zur Verabschiedung des Standards warten, ginge wertvolle Zeit verloren. Das Web ist schon immer von Übergangslösungen geprägt, die später durch Standards ersetzt wurden, wie Emscripten und asm.js, die als Vorläufer von WebAssembly das Ausführen von C- und C++-Code im Browser ermöglichten.
Entwicklung & Code
Inference Manager: neues Ubuntu-Tool verwaltet lokale KI-Modelle
Mit dem Inference Manager hat Canonical auf der hauseigenen Tagung „Ubuntu Summit“ ein neues Werkzeug vorgestellt, um lokal installierte KI-Modelle zu verwalten. Das Tool stellt den Kommandozeilenbefehl inference bereit, der Modelle auf dem eigenen Computer installiert und verfügbar macht. Über eine HTTP-Schnittstelle können dann Programme auf die KI-Inferenz zugreifen. Laut Canonical ist sie zur OpenAI-API kompatibel, sodass sich bestehende Clients direkt anbinden lassen.
Weiterlesen nach der Anzeige
Mit der aktuellen Ubuntu-Version, 26.10 Stonking Stingray, wurde ein KI-Feature veröffentlicht: Myna ist ein Speech-to-Text-Programm, das auf Desktopsystemen flüssiges Diktieren ermöglicht und das Ergebnis in beliebige Textfelder schreibt. Es setzt auf sogenannte Inference-Snaps auf: Snap ist Ubuntus hauseigenes Paketformat, und im Snap Store sind verschiedene KI-Modelle verfügbar, die komplett auf dem eigenen Gerät laufen und keine Internetverbindung benötigen. Als einheitliche Schnittstelle steht nun der Inference Manager bereit, mit dem Modelle verwaltet werden können. Über TCP-Port 8400 lassen sich alle installierten Modelle ansprechen: Chat-Assistenten auf dem Desktop, Coding-Agenten im Editor oder eben Speech-to-Text-Programme können so auf ihre entsprechenden Modelle zugreifen.

Die Autos werden von einem KI-Modell gesteuert, das Befehle entgegennimmt.
(Bild: Marvin Shah / heise medien)
Auf dem Ubuntu Summit machte Canonical dieses Konzept mit einer Carrera-Bahn erlebbar, bei der KI-Modelle die Autos steuerten. In einer Webapplikation ließen sich verschiedene Modelle auswählen, die „Fahrer“ reagierten auf Sprachbefehle wie „fahr schneller“.

Der „Ubuntu Summit GP“ soll die Möglichkeiten des Inference Managers demonstrieren.
(Bild: Marvin Shah / heise medien)
Der Inference Manager wird als Snap ausgeliefert und kann mit sudo snap install inference oder über das App Center installiert werden. Danach können mit Befehlen wie inference install smollm2 Modelle installiert werden, um sie anschließend zu nutzen. Inference Manager ist ab sofort im Snap Store verfügbar.

Inference Manager verwaltet lokale KI-Modelle.
(Bild: Marvin Shah / heise medien)
Während Teile der Open-Source-Community den Einsatz von KI kontrovers diskutieren, will Canonical bei Ubuntu auf lokal laufende Open-Weight-Modelle setzen. Geplant sind etwa kontextsensitive Hilfe bei der Fehlersuche, bessere Spracherkennung für die Barrierefreiheit und Automatisierungen durch agentische Workflows. Die KI-Funktionen sollen laut Canonical als Opt-in kommen und sich jederzeit deinstallieren lassen.
(ktn)
Entwicklung & Code
AWS Emulator im Detail: Die ganze Cloud auf dem eigenen Rechner?
Amazon Web Services (AWS) hat einen eigenen AWS Emulator veröffentlicht. Er bildet die AWS-APIs auf dem eigenen Rechner nach, AWS CLI, SDKs und Coding-Agenten schicken ihre Aufrufe an einen lokalen HTTPS-Endpunkt. Mit seinem Stolz darauf, dass der Emulator vollständig von KI-Agenten entwickelt wurde, setzte sich AWS aber direkt in die Nesseln: Die Rezeption fiel kritisch aus – wie bei hundertprozentig KI-generierter Software zurzeit üblich – und dem Vergleich mit etablierten Drittanbieter-Tools wie LocalStack hält der Emulator wohl noch nicht stand.
Weiterlesen nach der Anzeige
Entwickler könnte er dennoch interessieren: AWS-Anwendungen lassen sich ohne Deployment lokal testen, CI/CD-Pipelines brauchen keine AWS-Zugangsdaten mehr und – was AWS besonders unterstreicht – Coding-Agenten können schneller und risikoärmer Ressourcen anlegen und Ergebnisse prüfen. AWS bringt also agentisch entwickelte Software für die Entwicklung mit Agenten. Es fällt keine Servicegebühr an, ein AWS-Konto braucht es nicht und der Quellcode steht unter der CC0-Lizenz auf GitHub.
iX-plore ist die Online-Serie des iX-Magazins für alle, die neue Tools und Technologien entdecken möchten. In kurzen Beiträgen stellen wir vor, was sie können, wofür sie sich eignen und warum sich ein genauerer Blick lohnen könnte.
Realismus dank Fidelity-Tests
Der Emulator ist in Rust geschrieben, die Dienste erzeugt AWS aus denselben API-Modellen, aus denen auch die SDKs entstehen. Kommt ein Dienst oder eine API hinzu, tauchen sie im Emulator auf. Alle Dienste, für die ein Modell im öffentlichen Repository AWS API Models liegt, werden auch unterstützt.
Wie genau der Emulator AWS nachbildet, misst AWS mit Fidelity-Tests. Jeder Test ist ein kurzes Python-Programm, das über das AWS-SDK boto3 einen Ablauf durchspielt, etwa ein Objekt zu speichern, zu lesen und wieder zu löschen. Die Abläufe werden dann gegen die echte Cloud geprüft, als Referenz dient die Region US West (Oregon), während globale Dienste in US East (N. Virginia) geprüft werden. Der Emulator besteht einen Test nur, wenn bei jedem Aufruf Statuscode, Antwort, Fehlercode und Fehlermeldung mit der Cloud übereinstimmen, dasselbe gilt für die Ressourcen und Daten, die der Ablauf erzeugt. Die Testsuite umfasst Zehntausende Tests, ist öffentlich und enthält auch die, die noch scheitern. Mit dem Python-Programm fidelity_tests_runner können Nutzer die Tests lokal gegen den Emulator laufen lassen.
Trotz der hohen API-Abdeckung hat die Emulation aber bewusste Grenzen: Für Sicherheitstests eignet sich das Tool laut AWS nicht, da es weder IAM- noch ressourcenbasierte Richtlinien wie die echte Cloud auswertet. Auch Cross-Account- und Cross-Region-Szenarien bildet es nicht ab, sämtliche Aufrufe laufen unter einer festen Dummy-Konto-ID.
Jede Instanz des Emulators bekommt einen eigenen Port, eigene Schlüssel und einen eigenen Zustand im Arbeitsspeicher. Mehrere Agenten oder CI-Jobs teilen sich also keine Buckets, Tabellen oder Queues und arbeiten parallel, ohne sich gegenseitig Ressourcen zu überschreiben. Nutzer des AWS SDK for Rust können den Emulator außerdem im Embedded-Modus betreiben, wobei er direkt ins Test-Binary kompiliert wird. Er läuft dann im selben Prozess und der Test übergibt dem SDK einen HTTP-Client des Emulators statt des Netzwerk-Connectors. Auch hier sind die Instanzen voneinander isoliert, sodass Tests parallel laufen können.
Weiterlesen nach der Anzeige
Installation und Betrieb
Coding-Agenten können den Emulator mit dem Skill aws-emulator direkt installieren, starten und verbinden, dafür braucht es allerdings die AWS CLI ab Version 2.35.0. Solche Skills sind im Prinzip Markdown-Anleitungen, die der Agent bei Bedarf lädt. Der Befehl aws agent-toolkit add-skill in der AWS CLI installiert sie für alle Agenten, die es auf dem Rechner findet. Unter Linux gibt es RPM- und Debian-Pakete, unter Windows und macOS einen Docker-Container. Ein fertiges Docker-Image gibt es nicht, das müssen Nutzer aus einem kurzen Dockerfile aus der Dokumentation zusammenbauen. Standardmäßig sendet der Emulator anonymisierte Nutzungsdaten an AWS, was sich jedoch per Start-Flag oder Umgebungsvariable abschalten lässt.
Wer den Emulator selbst kompiliert, braucht Linux auf x86_64 oder aarch64, eine Rust-Toolchain, einen C-Compiler und mindestens 100 GByte freien Speicherplatz für die Build-Artefakte. Jeder emulierte Dienst ist ein eigenes Rust-Paket (Crate), weshalb schon ein Debug-Build sehr groß wird. Das gilt auch für den Embedded-Modus, denn der erste cargo test-Lauf kompiliert sämtliche Service-Crates des Emulators mit. AWS empfiehlt, das Build-Verzeichnis in der CI zu cachen und den Emulator auf einen Release-Commit festzulegen.
„Vibecode“ von AWS?
Matthew Goldberg, Senior Principal Engineer im Developer-Tools-Team von AWS, setzt mit dem Emulator eine KI-Duftnote: Nicht nur ist die Software vor allem auf das schnelle Testen von agentischer KI zugeschnitten, sondern sie ist laut Amazons Firmenblog auch ausschließlich von autonomen Agenten geschrieben. Das Team hat den Code weder verfasst noch geprüft. Goldberg beschreibt, wie ihn der autonome Bau eines C-Compilers von Agenten dazu inspirierte und der Emulator aus einem simplen Wochenendprojekt hervorging. Ein Team von Agenten pflegt die Testsuite, ein zweites sucht Abweichungen von der echten Cloud, ein drittes setzt die Korrekturen um. Jede Änderung muss zudem vor dem Merge ein automatisiertes Quality Gate passieren, an dem weitere Agenten unter anderem die Sicherheit des Codes kontrollieren.
Die autonome Entwicklung lässt sich in den Repository-Verzeichnissen issues/things-that-now-work und issues/things-that-do-not-work nachvollziehen, in die die Agenten hineinschreiben. Menschliche Hilfe von außen ist dabei nicht vorgesehen: Zwar können Nutzer auf GitHub Fehler melden, Pull-Requests nimmt AWS für das Projekt aber nicht an. Ganz unabhängig von dem Tool an sich ist hier also anschaulich zu sehen, in welche Richtung Softwareentwicklung gerade steuert – und wie die großen Systemhäuser versuchen, Vibe-Coding sinnvoll anzugehen.
(kki)
Entwicklung & Code
Gestohlene Token: Secret-Stealer in Tausenden GitHub-Repositories
Mit gestohlenen Zugriffstoken für GitHub-Konten schleusen unbekannte Angreifer seit Dienstag Schadcode in Repositories ein, der die Secrets aus GitHub Actions und Cloudzugangsdaten abgreift.
Weiterlesen nach der Anzeige
Das Sicherheitsunternehmen Aikido zählt im Rahmen der auf den Namen wfx-loot getauften Kampagne bereits 4837 übernommene Konten, über die die Angreifer 61.764 Repositories attackiert haben. In mehr als 1800 Fällen sollen Workflows den Schadcode bereits ausgeführt haben.
Die Angreifer nutzen anscheinend keine Lücke in GitHub Actions aus, sondern missbrauchen die Schreibrechte gestohlener Token. Woher diese stammen, ist nur teilweise geklärt. Laut Fly.io wurden Token seiner GitHub-App missbraucht, die aus öffentlich erreichbaren .git/config-Dateien stammten; der Hoster widerruft sie. Eine Stellungnahme von GitHub liegt noch nicht vor.
Das Sicherheitsunternehmen SafeDep hat Schadcode-Commits bereits in über 8000 öffentlichen Repositories gefunden. Noch am Donnerstagmittag listete die GitHub-Suche mehr als 66.000 der typischen Test-Pull-Requests, rund 4300 davon vom selben Tag.
Ähnlich wie zuletzt beim Wurm testmetest erreichen Angreifer laut Aikido über Mitwirkenden- und Organisationsrechte mit über 10.000 Test-Pull-Requests auch Repositories, die den übernommenen Konten nicht selbst gehören. Damit können auch Organisationen betroffen sein, deren eigene Zugangsdaten gar nicht gestohlen wurden. Dürfen die Workflows eines Repositorys auf AWS oder Azure zugreifen, nutzt der Schadcode die erbeuteten Zugänge, um Hintertüren in den Cloudkonten einzurichten.
Spuren oft binnen einer Minute verwischt
Die Angreifer lassen ihren Opfern kaum Zeit zu reagieren. Sie öffnen zunächst einen Pull Request, um die Schreibrechte zu bestätigen. Dann folgt der eigentliche Schadcode: ein Shellskript, das die Angreifer in einen bestehenden Workflow einfügen, als neuen Workflow ablegen oder in npm-Projekten bei jeder Installation starten lassen.
Meist schon innerhalb einer Minute machen die Angreifer die Änderungen rückgängig und löschen den Workflow-Lauf samt Logs. Oft weist nur eine fehlende Laufnummer auf den Angriff hin. Eine Branch-Protection für vorgeschriebene Status-Checks kann das Skript mit gefälschten Erfolgsmeldungen aushebeln. Aikido zufolge setzt das Skript solche gefälschten Status-Checks tatsächlich ab; in den von SafeDep untersuchten Proben war diese Funktion dagegen nicht aktiviert.

Mit einem gestohlenen Token testen die Angreifer zuerst ihre Schreibrechte, bevor sie den Stealer auf einem von drei Wegen einschleusen und die Änderung wieder zurücknehmen.
(Bild: SafeDep)
Neben Token für KI-Dienste wie OpenAI, Anthropic oder Cursor fischt das eingeschleuste Skript insbesondere die Secrets aus GitHub Actions ab, außerdem Zugangsdaten für Clouddienste, Container-Umgebungen, Paketregister und SSH.
Weiterlesen nach der Anzeige
Haben die Bedrohungsakteure erst einmal Zugang zu Sitzungen bei AWS, Google Cloud und Azure, geht der Angriff weiter: Bei AWS öffnet das Skript eine IAM-Rolle für jedes AWS-Konto, in Azure trägt es zusätzliche Anmeldewege für Workflows aus dem kompromittierten Repository ein. Erbeutete Daten schickte das Skript laut Aikido in dieser Kampagne per HTTP an Server der Angreifer. SafeDep fand in untersuchten Payloads zudem eine Exfiltration über Telegram.
Selbsttest: Ein Pull Request verrät das gekaperte Konto
Entwicklerinnen und Entwickler, die seit Dienstag einen Branch wfx-docs, den Pull-Request docs: dependency audit notes oder Commits wie ci: refresh build cache, chore: add ci helper und chore: add dependency audit workflow in ihren Repositories finden, sollten das zugehörige Konto als kompromittiert ansehen, auch wenn noch kein Schadcode folgte. Verdächtig sind laut den Sicherheitsforschern von Aikido zudem kurzlebige Branches, die mit chore/ beginnen und auf acht Zufallszeichen enden. Betroffene sollten Token, OAuth-Freigaben und SSH-Schlüssel ihres Kontos widerrufen.
Wurde bereits Schadcode ausgeführt, müssen Betroffene neben dem Austausch der Secrets auch die Hintertüren eigens entfernen, etwa AWS-Rollen, die jedem Konto vertrauen, oder in Azure Federated Credentials mit dem Präfix wfx-ci-. Wer npm install auf einem betroffenen Commit ausgeführt hat, muss auch den eigenen Rechner als kompromittiert betrachten.
Der Schadcode gelangte auch in Paketdistributionen. Aikido nennt das Packagist-Paket digitalelvis/neuronai-studio 3.14.3 sowie die Go-Modul-Versionen github.com/onuragtas/docker-env v1.0.278 und v1.0.280. SafeDep führt darüber hinaus github.com/onuragtas/redock, eine weitere docker-env-Version und eine über den Go-Modul-Proxy verfügbare Pseudo-Version von github.com/vkuznet/gocurl auf. Bei den Go-Modulen liegt der Schadcode in einer GitHub-Actions-Workflow-Datei; ein gewöhnlicher Go-Build führt diese nicht aus. Wer ein solches Modul lediglich als Go-Abhängigkeit einbindet, ist dadurch wahrscheinlich nicht betroffen.
(mro)
-
Apps & Mobile Entwicklungvor 2 Monatentado°: Smartes Wand-Thermostat ersetzt Batterien durch USB‑C‑Akku
-
Apps & Mobile Entwicklungvor 2 MonatenAqara Spatial Multi-Sensor FP400: Matter-Sensor erkennt bis zu 10 Personen mit mmWave‑Radar
-
Apps & Mobile Entwicklungvor 2 MonatenArm CSS for Mobile 2: C2-Ultra macht die CPU zum Orchestrator für KI‑Agenten
-
Künstliche Intelligenzvor 2 MonatenGesperrte Straße von Hormus: Laut Prognose werden CO₂-Emissionen 2026 sinken
-
Künstliche Intelligenzvor 1 MonatVerbrenner-Aus: Merz und Macron wollen CO₂-Ziel für 2035 weiter lockern
-
Künstliche Intelligenzvor 2 Monaten
Plug-in-Hybride emittieren sechsmal mehr CO₂ im Alltag als offiziell angegeben
-
Apps & Mobile Entwicklungvor 3 MonatenDeutsche Lüfter-Ikone: ebm‑papst geht für 5,1 Milliarden Euro in die USA
-
Künstliche Intelligenzvor 2 MonatenDänischer CO₂-Speicher „Greesand“ geht im Meeresgrund in Regelbetrieb
