In dieser News Folge sprechen wir über antropics neues Cloud
mithers Modell, was so mächtig sein soll, dass Antropic gute
Gründe hat, es noch nicht zu veröffentlichen.
Cursor 3 ist da und ermöglicht es seine Coding Agenten jetzt
über mehrere Projekte hin gleichzeitig laufen und
Orchestrieren zu lassen. Wir müssen mal wieder über
Supply Chain Attacken reden, diesmal über Axios und.
Google bringt ein neues, kompaktes GEMA 4 Modell ein.
Tropic liegt versehentlich den Code von Cloud Code und die
Regierung beauftragt eine neue Bürger App.
Außerdem gibt es neue Erkenntnisse zu Quantencomputern
und was die mit Verschlüsselung zu tun haben.
Es wird also eine spannende Folge, viel Spaß.
Ja, und damit herzlich Willkommen zu einer neuen Folge
vom to do Developer Podcast, eurem.
Wöchentlichen Developer Podcast dieses Mal wieder mit einer News
Folge und ihr hört im Intro gerade Robin, Manuel Robin.
Manuel ist Director, AI und Cloud beim E Commerce Software
Unternehmen Jtl. Ich bin malte Lantin ich bin
Solutions Engineer bei Github, aber wie immer machen wir den
Podcast und diese News Folge privat und in unserer Freizeit
und sprechen hier aber auf Basis unserer Erfahrung aus unserem
developer Alltag, aus der Zusammenarbeit mit unseren.
Unseren Kunden, Partnern und natürlich euch in der Community
und ordnen dementsprechend die News ein.
Und wenn ihr meine Stimme heute so ein bisschen angeschlagen
hört, dann liegt das daran, dass ich letzte Woche krank war und
noch meine Stimme noch zumindest ein bisschen unter der Erkältung
leidet. Ich selber bin aber zum Glück
wieder fit, wir können also wieder Podcast aufnehmen und ich
habe diesmal den Kaffee, den wir von der Community bekommen
haben, in Kamillentee umgewandelt, ich hoffe, das war
auch okay. Und unser Dank geht raus für
einen Kaffee bzw Kamillentee von Veronika 5 von Event Tech
Germany und 3 Kaffee die wir anonym bekommen haben.
Ganz lieben Dank dafür, wenn ihr mit Namen genannt werden wollt,
dann könnt ihr bei bei mir Coffee auch immer Namen angeben,
sonst bedanken wir uns natürlich auch immer für anonyme
Kaffeespenden, wenn auch ihr uns einen Kaffee ausgeben wollt,
dann findet ihr einen Link zu bei mir Coffee in der
Beschreibung von jeder Podcast folge, da freuen wir uns immer
wahnsinnig drüber. Und es hilft natürlich auch
hier. Diese Podcast folgen am Leben zu
halten und uns zu unterstützen. Also ganz herzlichen Dank.
Ja, und ihr merkt es ja, wenn es dann regelmäßig Kaffee und
Kamillentee gibt, dann wird trotz Krankheit regelmäßig
aufgenommen und dementsprechend können wir auch heute wieder.
Über die Latest News sprechen und natürlich gibt es wieder
ganz viele KI News, aber dieses Mal glaube ich ganz besondere
News, weil wir über KI Modelle sprechen, die zum einen für alle
verfügbar sind als Open Source und Open Wait Modelle aber auf
der anderen Seite. Über KI Modelle sprechen, auf
die nur ein ganz exklusiver Kreis von Nutzern bisher Zugriff
hat. Fangen wir aber mal mit den
offenen Modellen an und der Veröffentlichung von Gemma oder
Gemma 4 von Google, die wirklich ein sehr mächtiges Modell
veröffentlicht haben, was ich auch jetzt nicht nur offen
nutzen kann, sondern was ich auch lokal betreiben kann auf
meiner lokalen Hardware in verschiedenen Größen gibt es
dieses Modell und es ist wirklich.
Ja, für viele Einsatzzwecke geeignet und da es halt nicht an
irgendeinen Google Service oder subscription gebunden ist, kann
ich es dementsprechend komplett kostenfrei und lokal nutzen.
Das habe ich auch schon gemacht. Man kann es einfach zum Beispiel
in O Lama einbinden, das kleinste von den Modellen läuft
sogar auf dem iphone, sie haben auch eine passende App dazu
rausgebracht, wo man halt wirklich auf dem Handy das
Modell ausprobieren kann. Kann es natürlich nicht mit den
großen State of the Art Modellen mithalten, aber was eben
besonders ist, ist zum einen die Lizenz und zu einer Apache 2
Lizenz auch Open Wait Modell ist auch dasselbe, dieselbe
Technologie und Architekturen darunter, auf dem auch die sehr
sehr mächtigen Germany Three Modelle laufen und zum anderen
ist das natürlich wahnsinnig spannend für alle die in
irgendwelchen kleinen Io t Szenarien sehr performante
Modelle zumindest dann verhältnismäßig performante
Modelle ausprobieren möchten, läuft zum Beispiel auch auf dem
Raspberry Pi. Oder läuft auch wahnsinnig gut
auf einem Laptop oder auf einem kleinen Rechner.
Wenn ihr also irgendwo Open Claw installiert habt oder so, dann
können die auch die Modelle dafür nutzen.
Sie sind vor allem gut für diese ganzen agentischen Prozesse, das
heißt sie können Tool Calls nativ unterstützen, das ist
eigentlich immer was so ein bisschen die Challenge ist bei
diesen sehr sehr kleinen Modellen und sind dann ja ich
habe es mit meinem Open Claw mal ganz kurz ausprobiert, ein
bisschen langsamer muss man schon sagen als die großen
Modelle, aber. Aber zum Beispiel für so
background Tasks oder wenn ich einfach im Hintergrund
irgendwelche Sachen checken möchte und die eh passieren,
wenn ich gar nicht vom Rechner sitze, dann ist mir die
Geschwindigkeit ja fast schon egal.
Und dann ist es halt kostenlos, wenn ich das auch mit einem
kleinen Modell machen kann, weil es vielleicht gar keine irre
schwierige Aufgabe ist. Deswegen scheinen so ein
bisschen gerade die Platzhirschen zu sein auf dem
Markt für lokale kleine Modelle. Gema 4 ist kostenlos, kann man
sich in LM Studio oder o Lama oder wo auch immer mal Reinladen
und ausprobieren. Ja, ich glaube, gerade wenn man
solche Agenten dann lokal betreibt auf du, in deinem Fall
auf dem Mac Mini oder auf seinem lokalen Laptop, dann ist diese
Kombination von Frontier Models, die von diesen Providern
bereitgestellt werden, mit der in der Kombination mit lokalen
Modellen glaube ich super sinnvoll.
Ich habe schon von einigen Fällen gehört, wo diese lokalen
Agenten einfach über solche regelmäßigen Pings oder
Hintergrund Checks einfach furchtbar viele Tokens verbrannt
haben, dann irgendwie zum Beispiel auf Cloud sonet. 46 und
da schmeißt man einfach Geld aus dem Fenster, weil man das dann
auch eigentlich lokal abwickeln könnte.
Das kann man jetzt in dem Fall von dem neuesten m Tropic Modell
nicht und zwar kann man das nicht, nur nicht weil es nicht
lokal bei dir läuft, sondern weil tatsächlich.
Aktuell fast niemand darauf Zugriff hat und Ernst Rapick hat
das so begründet, dass dieses Modell so mächtig ist, dass es
ein zu großes Risiko insbesondere für die
Softwareindustrie wäre, wenn dieses Modell für alle und auch
so Amateurnutzer wie nicht verfügbar wäre.
Und dieses Modell heißt Mythos. Und wir hatten ja gerade schon
angekündigt, dass wir auch gleich noch darüber sprechen,
dass Anthropic aus Versehen ihren Source Code von Claude
Code geleakt haben. Und da wurde das Mythos Modell
schon erwähnt im Source Code und damals haben sich alle noch
gefragt, was steckt da eigentlich hinter und kurz
danach kam dann Anthropic mit dem offiziellen Announcement der
Preview des Mythos Modells und in dem Zuge haben sie auch das
Project Glasswing angekündigt. Wo sie halt den großen
Technologie und Softwarefirmen dieser Welt exklusiven Zugriff
auf dieses Modell geben und das Halt auch mit der Begründung,
dass es in vertrauensvolle Hände gegeben werden muss, weil es so
mächtig ist. Insbesondere beim Finden von
Sicherheitslücken, ja. Das ist genau der Punkt, wenn
Sie sagen, es ist so mächtig, es findet eigentlich alle Naselang
in jeglicher relevanter Software, die wir haben.
Sicherheitslücken Sie haben gesagt, das Modell hat in ihren
internen Tests in jedem gängigen Browser Sicherheitslücken
gefunden. In so gut wie jedem
Betriebssystem ernstzunehmende Sicherheitslücken gefunden.
Und wenn das in die falschen Hände gerät, wäre das eine
Katastrophe. Deswegen haben Sie es erst mal
an Apple, Broadcom, Cisco, Crowdstrike, Google, Nvidia,
Microsoft und noch ein paar andere gegeben, um ihre
Sicherheitslücken zu zu fixen haben es glaube ich auch
ausgewählten Partnern der Linux Foundation zum Beispiel.
Bereitgestellt, um zu sagen, Hey wir so nach dem Motto unter
Aufsicht geben wir euch dieses Modell, weil es so wahnsinnig
gut darin ist, diese Sicherheitslücken zu finden.
Das jetzt erstmal, und das ist genau dieses Project Lastwing
was sie da haben erstmal, dass wir erstmal gemeinsam quasi die
großen Sicherheitslücken des Internets fixen müssen, bevor
dieses Modell quasi überhaupt in die Hände von allen möglichen
Personen gerät. Jetzt kann man natürlich nur
hoffen, dass alle anderen Firmen, die ebenfalls hierzu
ähnlich mächtige Modelle bauen, genauso handeln beziehungsweise.
Da auch so offen mit kommunizieren.
Es kann natürlich auch sein, dass es schon lange ein Modell
gibt, was genauso gut ist, wo keiner drüber spricht und was
Sicherheitslücken findet. Wir berichten ja auch fast jede
News Folge mittlerweile von irgendwelchen neuen
Sicherheitslücken, irgendwelchen neuen Attacken, die rausgekommen
sind, deswegen eigentlich finde ich sehr lobenswert, wie ein
Tropic hier damit umgeht. Die Frage ist natürlich, wie
lange sie diese diese macht jetzt irgendwie in diesen
eingeweihten Kreisen auch irgendwie halten können.
Schön fand ich aber auch den Namen.
Sie haben geschrieben, das ist Project Last Wing, das ist
angelehnt an den Glass Wing Schmetterling und das ist wohl
eine Metapher, weil die Sagen, der Schmetterling kann sich
tarnen, weil er transparente Flügel hat und er kann quasi in
deinem absolut vor deiner Nase, in deinem Sichtfeld sein und
sich und sich verstecken, genauso wie diese
Sicherheitslücken mit Software, über die du jeden Tag arbeitest,
die du als Mensch vielleicht gar nicht sehen würdest.
Aber dieses Modell findet sie halt und.
Ich bin mal gespannt, wie lange sie es jetzt noch irgendwie
schaffen, das Ding zurückzuhalten.
Aber es hat direkt irgendwie eine 27 Jahre alte
Sicherheitslücke in Open BSD gefunden.
Das ist eine Linux Distribution, die eigentlich dafür bekannt
ist, dass sie sehr sehr sicher ist und ein Droppack hat jetzt
selber auch $100000000 noch mal an Credits gespendet um Open
Source Software sicherer zu machen.
Und nutzen eben dafür dieses noch nicht veröffentlichte
Missos. Modell ist natürlich auch ein
guter, also ein wahnsinnig guter und warmer positiver Marketing
Stunt und trotzdem also ein wahrscheinlich wahnsinnig
beeindruckendes und wahnsinnig gefährliches Modell.
Das ist natürlich eigentlich eine spannende Geschichte, wie
sie damit umgehen. Ja, du hast gerade gesagt, es
ehrt sie, aber es gibt auch viele Stimmen im Internet, die
sagen ja, es ist vielleicht auch wieder so ein
Selbstvermarktungsthema, dass sie jetzt hingegangen sind und
ganz viele dieser bekannten Softwarepakete gezielt
vielleicht untersucht haben und dort ihr Modell drauf
losgelassen haben. Du hast gerade gesagt, gesagt,
Open BSD, aber auch Sicherheitslücken in allen
populären Internetbrowsern, wo es tatsächlich gelungen ist,
einen Bug aus zu. Zu nutzen, wo man tatsächlich
aus der Browser Sandbox rauskommt, also wirklich auch
kritische Sicherheitslücken. Und ich glaube, Sie nutzen das
natürlich zur Selbstvermarktung, dass sie jetzt alle diese großen
Namen in ihren blogspot reinpacken können und sagen, ja,
wir haben überall da Sicherheitslücken gefunden, also
quasi jeder von euch, die ihr da im Internet unterwegs seid,
nutzt verwundbare Software und wir sind jetzt hier der weiße
Ritter, der allen hilft, sich dort entsprechend zu schützen,
bevor jemand anders. Dieses Modell bekommt und euch
angreift, aber zur Wahrheit gehört natürlich auch, dass sie
im Wettbewerb sind zu anderen Firmen und ich glaube, jede
Sicherheitslücke, die jetzt geschlossen wird, kann natürlich
dann open Ai nicht finden, wenn sie ein ähnlich starkes Modell
bauen und veröffentlichen und testen und auch die ganzen
chinesischen AI Firmen die an diesen Modellen auch arbeiten,
können diese Sicherheitslücken dann erstmal nicht mehr finden
müssen dann nach anderen suchen, also wenn man das
Offensichtliche schon mal abgerast ist man da glaube.
Glaube ich schon mal, auch im Wettbewerbsvorteil.
Und das Ganze muss man natürlich auch in diesem ganzen
geopolitischen Wettbewerb sehen, weil es natürlich extrem wichtig
ist, dass jetzt diese amerikanischen Firmen jetzt alle
in dieser Allianz drin sind. Und wenn man sich die Namen
anguckt, sehe ich da jetzt keinen der großen Player, zum
Beispiel aus China, die natürlich auch ganz viel
Software haben, von daher spielt vielleicht auch so ein bisschen
dieses geopolitische da eine Rolle.
Dass man sagt, man baut jetzt, da diese Allianz auf, also von
daher würde ich das jetzt nicht nur als sehr ehrenhaften Move
betrachten, sondern natürlich auch als marktwirtschaftlich
sinnvollen Move, wie sie das Ganze angehen, um natürlich zum
einen die amerikanische Konkurrenz, aber vor allen
Dingen natürlich auch die chinesische Konkurrenz so ein
bisschen auf Distanz zu halten. Also mal Sie in Ihrem blogspot
schon geschrieben haben, auch, dass sie eine vermehrte Anzahl
an. Angriffen und das Ausnutzen von
Sicherheitslücken gerade aus dem nordkoreanischen und
chinesischen und auch russischen Raum sehen, das haben sie schon
noch so so gesagt. Und da gebe ich dir recht, sie
haben auch, sie haben ja gerade im Moment so ein bisschen diesen
Beef auch mit der US Regierung, sind da ja rausgeflogen aus
diesen Pentagon Verträgen und haben jetzt auch in diesem
Blogspot, der ist wirklich lesenswert, verlinken wir
natürlich auch wie alles andere noch mal in der
Folgenbeschreibung. Haben da auch noch mal erwähnt,
so dass eigentlich auch Security gerade von Software, die
eigentlich jede und jeder von uns nutzt, auch Aufgabe der
nationalen Sicherheit sind und dass sie ja offen und bereit
dafür sind, auch mit der Regierung zusammenzuarbeiten,
was solche Sachen angeht. Deswegen es hätte für ein
Shopping wahrscheinlich jetzt nicht besser passen können, dass
sie jetzt da irgendwie wohl so einen Durchbruch gemacht haben
und ja fast schon jetzt die amerikanische Regierung dazu
zwingen, mit ihnen zusammenzuarbeiten, weil die
wollen sich ja nicht vorwerfen lassen, dass sie jetzt nicht an
einem Programm teilnehmen, was Sicherheitslücken für alle
Bürgerinnen und Bürger fixt. Von daher, ich glaube, eine gute
Mischung aus Marketing, Stunt und wahrscheinlich aber auch
einem sehr performanten Modell. Es würde mich wundern, die Opus
und sonet Modelle dieser Welt auch von einem Dropic sind ja
auch wahnsinnig gut, von daher es würde mich wundern, wenn das
jetzt ein Flop wäre. Aber natürlich auch clever
gespielt. Also ich gehe davon aus, dass
das besser sein wird als die aktuellen Opus Modelle, aber
wieviel besser und ob es wirklich dann so wie es jetzt
ein bisschen im Internet rüberkam, so alles verändern
wird, wird man dann glaube ich sehen spätestens dann, wenn
irgendwie auch unabhängige externe Zugriff auf das Modell
bekommen. Und vielleicht hätten auch
andere Modelle, wenn man genauso viel Geld drauf geschmissen
hätte, die gleichen Sicherheitslücken gefunden.
Also ich hatte. In einem blogspot gelesen, dass
man da, wenn man irgendwie knapp 20 $30000 bei der Suche nach
einer bestimmten Sicherheitslücke in einem
Softwareprojekt allein an KI kosten verbrannt hat.
Vielleicht hätte man es auch mit Opus 46 gefunden, also weiß man
natürlich nicht und dementsprechend wird man glaube
ich erst dann später sehen, ob das jetzt wirklich.
So ein großer Schritt nach vorne war oder einfach nur gutes
Marketing. Wer?
Auf jeden Fall auch immer gutes Marketing macht sind die Jungs
und Mädels von Cursor, das ist ja so ein bisschen, der man
startet eigentlich als Visual Studio Code Fork und haben so
ein bisschen ihre eigene KI gestützte Coding IDI aufgebaut
und freuen sich da eigentlich großer Beliebtheit und die haben
jetzt angekündigt, dass die neue Version von Cursor Cursor 3 das.
Da ist und die dreht so ein bisschen den Spieß rum, die
macht eigentlich das, wovon wir diesen Podcast hier auch schon
immer öfter sprechen, nämlich dass Agenten in den Vordergrund
und der eigentliche Code in den Hintergrund rücken.
Sie haben jetzt quasi als ja, wenn du so willst, als
Startseite Landing Page ist eigentlich so ein so ein
Interface, wo ich als Developer eigentlich nur noch meine
Projekte sehe und die dazugehörigen KI Agenten, die
auf diesen Projekten arbeiten und.
Und sagen auch, dass diese neue UI, das haben sie komplett
selber gebaut, das ist jetzt kein vs Code mehr.
Man kann natürlich auch immer noch jederzeit zum Code
springen, der wird aber eher so klein in so einem Fenster rechts
angezeigt und es erinnert so ein bisschen an das, was Open Air
auch schon mit Codex gemacht hat, nämlich diese eine große
App, die eigentlich nur noch deine mehrere Agenten.
Steuert die du für die jeweiligen Projekte hast.
Ja, so ein bisschen, wie man das auch schon in der Vergangenheit
irgendwie auf github.com gesehen hat, oder bei Devon, wo man aber
nur Remote Agents hatte und jetzt das Ganze bei Cursor halt
sowohl für die Lokal laufenden Agents als auch die Remote
Agents, die sie anbieten. Und es gab da, glaube ich, auch
in der Community ganz viele Missverständnisse, die gesagt
haben, ja, ich möchte ja gar nicht nur Agents orchestrieren,
sondern auch selber noch eine Idee haben.
Warum macht ihr das jetzt? Aber natürlich ist weiterhin die
klassische Entwicklungsumgebung, so wie sie vorher da war, auch
am Start, man kann immerhin immer noch dahin wechseln, aber
ich glaube, sie stellen jetzt. Diese neue, agentische
Arbeitsweise in den Vordergrund und das sieht man glaub ich an
ganz vielen Stellen. Ich hatte gerade 2 Beispiele
genannt und n drittes Beispiel kommt jetzt auch direkt dazu und
zwar hat just in der gleichen Woche auch Visual Studio Code
angekündigt, dass sie einen neuen.
Wir es Code Agent App View liefern oder Agent App, das
Ganze gibt es aktuell erst in der Insider Version, also in der
Preview Version die ich mir installieren kann, aber es ist
auch heute schon nutzbar. Das heißt wenn ihr jetzt mit
Visual Cal Code arbeitet, müsst ihr jetzt nicht unbedingt.
Für so eine Agent Experience irgendwie in ein anderes Tool
wechseln, sondern ihr könnt auch einfach noch ein paar Wochen
warten bis das dann im Stable Build drin ist.
Oder einfach schon mal ein Preview ausprobieren.
Aber es zeigt halt, dass alle irgendwo in diese Richtung
arbeiten und sagen Okay die Softwareentwicklung verändert
sich, dass wir nicht mehr diese Assistenten oder diese Agenten
haben, die uns unterstützen, sondern dass wir die Agenten
arbeiten lassen und vor allen Dingen ein gutes Werkzeug
brauchen, um zu sehen, welcher Agent arbeitet gerade an welcher
Aufgabe und dann die. Diese Agenten entsprechend auch
steuern zu können. Und was sie alle gemeinsam
haben, ist, dass sie eben mehrere Agenten gleichzeitig an
einem Projekt arbeiten lassen, vielleicht sogar auch getriggert
von verschiedenen Personen, und dass der Handover zwischen.
Agenten, die Lokal im Vordergrund laufen, Agenten, die
Lokal auf deiner Maschine irgendwo im Hintergrund laufen,
wo die nicht ständig nach deinem Input Fragen, oder Agenten, die
irgendwo in der Cloud laufen, fließend ist.
Und dass der auch quasi fließend ist, unabhängig davon, wo einer
dieser Agenten mal angefangen hat.
Also sie malen alle, auch dieses Bild, wo du einen Agenten mal
die lokal startest, den nach einer initialen Steering Phase,
wo du eben vielleicht hin und wieder in der gerade dieser
Planungsphase noch viel Feedback gegeben hast, den dann in den
Hintergrund legst. Und dann merkst, dass du zu
einem Geschäftstermin fahren musst.
Und kurz bevor du deinen Laptop zuklappst dem Agenten sagst, so,
jetzt machst du mal in der Cloud weiter und dann aus der Bahn,
vielleicht vom Handy noch mal irgendwie 23 Updates bekommst,
sondern noch mal nachsteuerst, also dieses Bild malen sie alle,
und da scheinen sie sich zumindest alle einig zu sein,
dass in diese Richtung geht. Und dieser Wechsel, den du
gerade beschrieben hast, den hatten wir in der Vergangenheit
zum Beispiel in der Git Up copalet CLI gesehen, aber jetzt
auch ganz neu bei Cloud Code, wo ich auch Managed Agents habe, an
die ich die Aufgaben weitergeben kann, an die ich, an denen ich
arbeite und das gleiche kann ich natürlich auch in Cursor jetzt
tun und wo ich gerade die copalet CLI erwähne, da gibt es
auch eine ganz spannende Neuerung, die mir ermöglicht,
verschiedene KI Modelle quasi. In Kombination miteinander zu
verwenden und so einen Rubber Ducking Modus zu verwenden.
Ich weiß nicht wem das was sagt, das ist so ein bisschen so
dieser Modus wo ich so ein bisschen die Quietscheente vor
mich halte und ihr meinen Code erkläre um einfach mal drüber
gesprochen zu haben und Dinge zu hinterfragen und jetzt kann ich
meinem KI Agenten, der auf zum Beispiel.
Bei Cloud 246 läuft sagen Hey, mach doch mal ein Rubber Ducking
mit vielleicht dem aktuellen GPT Modell und hole dir da Feedback
und dann können sich diese beiden Modellfamilien über das
gleiche Problem austauschen und sich gegenseitig Feedback geben.
Finde ich einen ganz spannenden Ansatz den man so in anderen
Tools bisher in der Form noch nicht gesehen hat, ja.
Genau. Und zwar machen Sie das bei der
Planungsphase. Zum einen, dass hier bei dem
Plan, den zum Beispiel Cloud Opus 46 erstellt hat, das.
Dass der dann von GPT 54 überprüft wird und sich Feedback
davon einsammelt, aber eben auch bei dem finalen Code gerade bei
so ein bisschen komplexeren Sachen und das hat natürlich den
großen Vorteil, dass diese Modelle ja unterschiedlich
trainiert sind, vielleicht auch unterschiedliche Gewichtungen
haben, auf unterschiedliche Dinge besonders achten,
unterschiedliche Stile haben und dass ich dann eigentlich ja
wieso ein ja fast schon, wieso ein Pair programming machen
kann, wo aber beide Pairs. Eigentlich eine KI sind und die
eine KI muss der anderen dann eben diesen Rubber ducking
erklären, was sie denn da getan hat und die andere gibt dann
Feedback. Das fand ich ziemlich cool,
andropic hat das auch nachgebaut, die haben das quasi
auch für Cloud gemacht, die nennen das ein Advisor Tool, das
ist aber ein bisschen anders, also das Prinzip läuft schon
gleich. Da ist es aber halt so, dass sie
natürlich beide von der gleichen Modellfamilie Feedback kriegen.
Also ein Shopping sagt selber, du sollst eigentlich für die
meisten Task Sonet oder Heiko verwenden, damit du es dann von
Opus, dem sehr performanten, aber auch sehr teuren Model noch
mal kontrollieren lassen kannst. Zum einen ist es spannend, dass
schon mal ein Shopping selber sagt, du sollst nicht der ihr
allerbestes Modell nehmen, weil damit machen sie natürlich auch
am meisten Geld, aber. Aber ja, dieser Feedback
Mechanismus, ich finde das ja, das ist natürlich cool, das
bringt dich auf jeden Fall auch weiter, als wenn du es nur mit
einem von diesen beiden Modellen machst.
Das zeigen sie dann auch in diesem Bockwurst.
Gehen sie dann auch in diese estably Benchmarks und zeigen,
dass sie bessere Ergebnisse erzielen, wenn sie eben diesen
Advisor Modus aktivieren. Fairerweise verbraucht natürlich
auch deutlich mehr Tokens, also ist auch ein deutlich teureres
Ergebnis, mit dem möchte ich auch geraten haben, dass es
besser ist. Ich.
Ich muss aber sagen, dass hier den Ansatz von von Guitar
Copalet eigentlich cooler finde, dass wirklich eine andere
Modellfamilie von einem anderen Hersteller das überprüft.
Aber das kannst du eben natürlich nur machen, wenn du
mehrere Modelle unterstützt, so wie Guitar Copalse oder auch
Cursor oder Open Code das machen.
Das ist natürlich schwierig, wenn du der Hersteller von einer
Modellfamilie bist. Vielleicht sollte man da mal
eine separate Folge zu machen, wie man quasi auch diese Modelle
miteinander kombinieren kann. Du hast ja gerade gesagt, dass
Anthropic empfiehlt, Claude, Sonet und Heiko zu verwenden für
die Implementierung und dann Opus drüber schauen zu lassen,
was ich in der Praxis ganz oft sehe ist, dass die Planungsphase
über Opus läuft und dann die Implementierung über diese
anderen Modelle und die Frage ist, wenn man dann halt noch mal
Opus drüber schauen lässt, ob der dann die eigenen
Entscheidungen von vorher noch mal hinterfragt, wird man dann
sehen, aber vielleicht können. Können wir mal darüber sprechen,
welche Workflows es da auch gibt?
Weil ich glaube, da fragen sich gerade ganz viele, hey, wofür
verwende ich jetzt eigentlich welches Modell, wenn ich nur in
Cloud Code unterwegs bin, dann zumindest aus den 3 Modellen,
die ich gerade erwähnt hatte. Wenn ich jetzt github co Pilot
verwende oder Cursor, da habe ich eine noch viel längere Liste
an Modellen und da stellt sich natürlich die Frage, wann sollte
ich welches Modell verwenden und vielleicht auch gerade wenn ich
solche Multi Agent Ansätze habe, welchem Agenten gebe ich am
besten welche? Welches Modell mitmachen wir?
Vielleicht mal eine separate Folge zu, aber das scheint etwas
zu sein, mit dem sich auch diese ganzen Tool Hersteller jetzt
intensiver auseinandersetzen. Ja, gerne wird natürlich eine
Folge sein, die so gut altert wie frische Milch.
Ich kann mir gut vorstellen, dass jeder genau eine Woche lang
aktuell ist und 2 Wochen später natürlich auch wieder alles
anders ist und irgendein anderes Modell, das überhaupt noch hat,
aber ich glaube generell so ein bisschen, ja, welche Modellgröße
oder wann benutze ich diesen, welchen Thinking Modus oder
sowas? Da können wir uns gerne mal über
unsere Erfahrungen austauschen, wenn euch die hierzu etwas
interessiert, dann lasst uns gerne einen Kommentar da.
Es hilft uns immer wahnsinnig, so ein bisschen Feedback auch
von euch zu bekommen. Was sind spannende Themen für
euch, dann können wir das nämlich auch ein bisschen intern
priorisieren. Ja, und dann ist da noch diese
Cloud Code Geschichte, die ich vorhin erwähnt hatte.
Und zwar wissen wir jetzt alle, wie die Magic Source von
Anthropic aussieht, was ihren CLI basierenden Coding Agent
aussieht. Magic Source was?
Magic Source betrifft. Weil sie nämlich aus Versehen
selber den Source Code geleakt haben.
Und auch wenn das jetzt bei uns so ein bisschen die Einleitung
in die Kategorie Security ist, war es hier vermutlich
menschliches Versagen, weil sie nämlich selber den Source Code
mit einem. Release Gebandelt haben und dann
das gesamte Internetzugriff drauf hatte und natürlich
entsprechend schnell war, ihn an Orte zu kopieren, wo er nicht
durch Andropic sofort wieder entfernt werden kann.
Ja, vor allem durch sehr clevere Art und Weise.
Also Andropic hat natürlich sofort so eine Dcma Klage auch
bei github eingereicht, das ist so eine Copyright, so ein
Copyright Claim und haben sich auch dann öffentlich bei github
bedankt, die wohl sehr sehr schnell darauf reagiert haben
und alle Repositories dann wieder runter genommen haben.
Wo dieser Code dann kopiert wurde, den dann Tropic da
geleakt hat und dann das Internet ist ja schlau.
Dann sind die ersten natürlich auf die Idee gekommen zu sagen
Pass auf, ich nehme jetzt diesen geleakten Code, published den
aber nicht auf github, sondern lass den einmal durch Cloud Code
selber jagen und in Python übersetzen und lade den dann
hoch und dann ist es quasi ein neues Produkt und dann gelten
diese Copyright Claims nicht mehr.
Also ich glaube ja vor dem Code kann Sie sich Cloud
verabschieden bzw der ist jetzt einfach öffentlich.
Ich würde sagen, das ist keine Vollkatastrophe.
Sie haben ja auch noch mal klargestellt, dass hier keine
Kundendaten oder Sensitiven credentials oder sowas exposed
wurden. Es ist kein Security Breach,
aber es hilft natürlich der Konkurrenz aufzuholen, weil ich
glaube, Code war schon noch immer so, eigentlich am
weitesten oder auch da waren ja auch viele dann noch nicht
releaste Features drin. Wir haben eben schon gesagt,
auch schon die ersten Hinweise auf noch nicht releaste Modelle
wie dieses Mythos, Modell und. Ja, dass das natürlich die
Konkurrenz besonders gut, besonders doll interessiert, was
da in diesem Code ist und dass sich jetzt vor allem natürlich
die Devins Codedexes, Guitar Co. Pilots und Curse aus dieser Welt
sich diesen Code natürlich mal ganz besonders genau durchlesen,
ist glaube ich klar. Damit muss ein Tropic jetzt
leben. Spannend ist, dass das über so
ein Code Map File gelegt wurde, also eigentlich so ein Buddel,
der eigentlich nur so sagen soll, wo welcher Code liegt und
über. Ja, da war dann auch der Code
dahinter öffentlich einsehbar und das hat nicht lange
gedauert, bis der, dass es über 500000 Zeilen Code und über 1900
Code Dateien öffentlich im Internet gelandet sind.
Ich glaube, der Mitarbeiter oder die Mitarbeiterinnen, die das
verbockt hat, kann sich zumindest dieses Jahr vom Boden
aus verabschieden, das. Sie haben gesagt, dass Sie auch
Maßnahmen ergreifen, dass das wohl nicht mehr vorkommen kann
und dass sie daraus gelernt haben, aber eigentlich eine
spannende Geschichte, wenn die eine der bestgefundetsten Firmen
dieser Welt es nicht schafft zu verhindern, dass der eigene
Source Code vielleicht dann doch mal irgendwie an die
Öffentlichkeit gerät, dann finde ich, sagt das schon viel aus,
ich habe viele Firmen gesehen, ich kenne viele Firmen, die so.
Sehr, sehr, sehr besorgt darüber sind, dass ihr Code vielleicht
mal irgendwie auch von einem Developer auch vielleicht nicht
ganz aus Versehen geleakt werden könnte und schalten dann sowas
wie USB Ports am Laptop ab, damit dass keiner auf den USB
Stick kopiert und blocken in ihrem Netzwerk Google Drive und
Dropbox, damit da keiner den Code hin kopiert und so.
Aber was man hier glaube ich ganz klar sehen kann ist, dass
ich ich halte da nicht wirklich viel von, ich glaube wenn man
wirklich will kann man einen Source Code immer irgendwie
leaken und. Und wenn das hier einer der
bestgefallensten Firmen der Welt nicht mal schafft, dann weiß ich
nicht, ob das nicht vergebene Liebesmühe ist.
Wenn man das als kleine Firma irgendwie selber probiert.
Ich glaube, man muss einfach zu einem Punkt kommen, wo, man muss
ihn ja nicht in alle Welt rausposaunen, aber wo der Source
Code an sich nicht das Allerwichtigste der Intellectual
Property ist. Und so ist es ja auch bei Cloud
Code und bei Tropic die Modelle und vor allem die Gewichtung der
Modelle, das wäre ja deutlich dramatischer gewesen, wenn sie
das gelegt hätten. Und ich meine, am Ende ist es,
glaube ich, jetzt für Anthropic auch nicht wirklich schlimm,
dass das Ganze geleakt ist. Sie werden es ja
weiterentwickeln. Die Leute werden weiterhin Cloud
Code verwenden und nicht auf einen dieser inoffiziellen Forks
gehen. Ich meine es gibt offene AI
Coding Assistance wie Open Code auch wie es Code liegt
öffentlich im Internet der Quellcode, also es ist ja nicht
so, dass die Leute dann plötzlich auf irgendwelchen
Forks arbeiten, aber ich glaube es war.
Für viele ganz interessant, einfach mal ein bisschen hinter
die Kulissen zu schauen, was halt andropic auch macht, was
dafür sorgt, dass dieses Tool so beliebt ist und dass sie da aber
auch vielfach auch nur mit Wasser kochen und da halt ganz
geschicktes Prompting in ihren ganzen System Messages
verwenden, aber auch teilweise so ganz stumpfes Reggax.
Einsetzen, um zum Beispiel Feedback abzufangen, wenn ein
User irgendwie frustriert ist und irgendwelche Squarewords
verwendet, dann haben sie das einfach über Rex rausgefunden
und haben dann dort nicht nur das Feedback an ihre Entwickler
zurückgegeben, sondern halt auch dem User dann besonders.
Positiv versucht, unter die Arme zu greifen, wenn er frustriert
ist. Und das gehört natürlich zu
einer guten User Experience dazu und ich glaube da kann man auch
ein bisschen was draus lernen. Aber am Ende sieht man, dass
natürlich so etwas wie Cloud Code auch nicht anders
funktioniert als einen Open Code oder andere.
Coding Assistance oder AI Hanesses, die es im Internet
gibt. Also von daher war es glaube ich
ein ganz interessanter Inside in diese Firma, aber ich glaube es
wird jetzt ein Tropic nicht wirklich schaden.
Nee, ich glaube im Gegenteil, für uns ist das sogar gut.
Da sind jetzt ja viele Features dann auch, die sie
wahrscheinlich noch irgendwo mal groß ankündigen wollten oder wo
sie natürlich im Moment warten wollten, geleakt worden, und
dann haben sie die jetzt einfach geshippt jetzt gibt es zum
Beispiel in Cloud Codes so einen kleinen Code.
Companion das sieht aus, wieso eine kleine Katze, wenn ihr also
Cloud Code User seid, dann gebt doch mal Slash Buddy ein und
dann kommt so ein Kleines, das sieht aus wie sowieso ein
Kätzchen und das kann man dann auch ab und zu mal streicheln
mit Slash, Buddy Pad und sowas, also eigentlich relativ nutzlos,
aber erinnert so ein bisschen an diese an die clippy Zeiten fand
ich aber lustig, das hat irgendeiner im im Code gefunden
und dann haben sie gesagt ja okay wollten wir auch mal
eigentlich als Gag releasen, aber hier könnt ihr haben.
Provinz war aus, fand ich ganz witzig, war eigentlich mein
Highlight aus der Geschichte. Aber Apropos Angriffe
beziehungsweise Leaks, Wir haben jetzt auch noch zahlreiche
andere Security Themen, die wir einfach noch mal schnell
durchgehen müssen, weil ich glaube es ist wichtig, dass wir
alle die Awareness haben, was da passiert insbesondere.
Bei Axios, weil das ja durchaus ein Package ist, was ganz viele
einsetzen und welches jetzt in den letzten Tagen durch einen
Angriff betroffen war. Und hier kam es tatsächlich
einfach über einen Hack eines der Callmantainer dazu, dass
Angreifer sich auf das Repository Zugriff verschafft
haben und dann die Releases kompromittieren konnten und
dementsprechend jeder, der diese Packages nutzt und.
Potenziell betroffen ist insbesondere als Developer, also
da wurde gar nicht so wirklich auf die Endnutzer der Software
abgezielt, sondern tatsächlich auf die Leute, die die Software
bauen. Und das zeigt wieder mal, was
für wertvolle Ziele natürlich Software Engineers sind.
Ja, das ist eine deutlich ernstere News.
Also während dieses Tropic Ding noch so ein bisschen lustig ist
und. Muss man schon sagen Exeos das
hat 100000000 wöchentliche Downloads.
Also es ist ein super populäres Networking und http tool für
Java Script Developer habe ich auch schon häufig eingesetzt und
ja wie sie es wieder mal. Also es sind 2 kompromittierte
Versionen exeos 1, 14 1 und exeos 0 30 4.
Wenn die bei euch irgendwo installiert sind, dann seid ihr
betroffen, dann müsst ihr handeln, denn was diese
Versionen machen. Ist die Hacker haben hier nicht
den eigentlichen Source Code verändert, sondern die haben
einfach nur eine weitere Dependence hinzugefügt, nämlich
diese Dependency auf Plain Crypto js 421 und das Ding wird
auch nirgendwo irgendwie importiert vom Exo Source Code,
das heißt Exoce läuft exakt 1 zu 1 so weiter wie wie zuvor, aber
es werden mal wieder. Post install Skripte, ausgeführt
von diesem Plain Krypto js und dahinter verbirgt sich ein
Trojaner, der dann quasi Kontrolle über euren Rechner
auch bekommen kann und auch alle Secrets die ihr irgendwo habt
leaken könnt. Das heißt ihr, wenn ihr bei Ex
Betroffene ihr müsst aktiv werden, ihr müsst da wirklich
gucken ob nicht irgendwas geleakt wird, ihr müsstet
eigentlich alle Secrets rotieren die irgendwie auf eurem Rechner
sind wenn ihr von einer dieser beiden Versionen betroffen seid.
Und ja, wieder mal Post install Skripte.
Ich bin eigentlich mittlerweile soweit, wir müssen diese Post
Install Skripte verbieten, das ist eigentlich ein absolutes
Unding, dass wir die jemals eingeführt haben.
Wir haben so viele Folgen jetzt schon gemacht, wo das Wort Post
install Skript vorkommt, es ist einfach ein ein Hook ich
installiere ein npm und das gibt es auch in anderen Package
Managern von Python und Co. Ich installiere ein Paket und.
Und danach wird halt nach dem Installieren eines des Pakets
ein Skript ausgeführt, was normalerweise eigentlich dafür
gedacht ist, irgendwelche Dinge vorzubereiten, irgendwelche
Sachen nachzuladen, irgendwelche Dateien von einer A nach b zu
schiften. Aber da kann theoretisch alles
drin stehen und ich glaube, wir müssen an den Punkt kommen, wo
wir diese Post Install Skripte nicht mehr automatisiert
ausführen lassen so. Sollten.
Die große Herausforderung ist ja auch, dass bei uns auf unseren
Developermaschinen solche Dinge dann auch mit relativ
umfangreichen Permissions jeweils ausgeführt werden.
Und wenn ich dann so einen npm Stall mache, dann wird das
natürlich mit den Rechten ausgeführt, diese ganzen Skripte
auch auszuführen, das wäre dann vielleicht bei einem normalen
User, der vielleicht eher auf der Consumer Seite unterwegs
ist, gar nicht der Fall, der hätte vielleicht gar nicht die
Möglichkeit ohne irgendwelche Permissions.
Solche Executables zu installieren oder irgendwelche
Anwendungen wie diesen Trojaner, und das macht es natürlich dann
den Angreifern extrem leicht. Und genauso wie du sagst, ich
glaube, es gibt bestimmte Dinge, die sind einfach gefährlich und
jetzt hat sich mittlerweile rumgesprochen, wie einfach das
ist. Und jetzt sollte man zumindest
in seiner lokalen Umgebung hier diese Postinstalls deaktivieren,
damit man halt entsprechend geschützt ist.
Wir haben ja wirklich auch in vielen Podcast folgen jetzt
schon davon gesprochen, noch von diesen Supply Chain angriffen
und das muss auch Cloud Flair gehört haben und haben sich
jetzt quasi entschieden, dass sie dagegen aktiv werden und
zwar Cloud Flair kennt man ja vor allem auch aus der
Serverseitigen Netzwerkecke und sie haben jetzt gesagt, sie
haben auch einen Security Scanner gebaut, der jetzt
clientseitig arbeitet in der vor allem genau das auch fokussiert,
also quasi ein Security Scanner. Der vor allem so Melicious Java
Script Code oder andere Skripte, die mal eben irgendwie
ausgeführt werden, einem Post Install hook sich quasi ungenau
unter die Lupe nimmt, vielleicht auch erstmal in Quarantäne
versetzt und launchen jetzt quasi ein neues Kleinseitiges
Antivirus Tool, was man sich auf seinen eigenen Rechner
installiert um eben genau davor zu schützen.
Das heißt es ist schon gut auch dass die gegenseitig hier aktiv
wird, wenn das spannend ist. Für Euch haben wir das auch
verlinkt. In den Shownotes.
Und obwohl wir natürlich jetzt alle super sensibilisiert sind,
sollten wir jetzt nicht wahllos auf jeden Security Alert klicken
und sofort irgendwelche vermeintlichen Updates
installieren, weil genau das erwarten auch wiederum andere
Angreifer und da gab es jetzt in der letzten Woche eine große
Welle von. Angriffen auf Repository
Maintainer of Github, wo halt Angreifer discussion posts
geöffnet haben. In dem Repository, wo sie auf
eine vermeintliche vs Code Win Rability hingewiesen haben und
den Developer aufgefordert haben möglichst schnell seine Umgebung
zu aktualisieren und da wurde man natürlich auch auf eine
bösartige Webseite weitergeleitet, um dann dort
Malware zu installieren. Also.
Vorsichtig sein, aber nicht so quasi unter Strom stehen, dass
man sich dazu drängen lässt, irgendwelche ungeprüften Dinge
zu installieren. Immer alles hinterfragen, gerade
wenn es jetzt um Open Source Repositories geht.
Ich glaube, das ist im Moment ein ganz starkes Ziel von diesen
State Level actors, die versuchen, möglichst viele
dieser Projekte zu kompromittieren, um damit halt
möglichst viele Zugriffsdaten zu sammeln, also da extrem
vorsichtig sein und. Ist natürlich doppelt fies.
Alle hören jetzt hier to do Cast und wissen, Ah, da geht gerade
viel ab in dieser ganzen Security Ecke.
Es gibt wahnsinnig viele Angriffe und ich muss immer auf
Zack sein und alles schnell updaten und dann wird man genau
dadurch in die Falle gelockt, dass irgendjemand sagt, EY, da
gab es eine Security League, du musst hier schnell updaten und
dann ist dieses Update eben vielleicht irgendwie leite dich
dann auf eine falsche oder auf eine Fake Seite und es wird
wieder ausgenutzt wie oft bei guten Angriffen, dass man da
auch vielleicht ein bisschen in Angst oder in Sorge ist.
Ist natürlich doppelt fies in dem Fall.
Wenn ihr aber euren eigenen Code mal überprüfen wollt, also gar
nicht über die Third Party Packages, sondern was eigentlich
in eurem eigenen Code so abgeht und ob es da nicht irgendwelche
Sicherheitslücken gibt, die man nochmal finden und auch fixen
kann, dann macht's doch so wie Michael Lynch, der hat einen
ganz coolen Blog Post geschrieben, den wir auch unten
verlinken, der hat nämlich mit Cloud Code eine Linux
Sicherheitslücke entdeckt, die schon seit über 23 Jahren.
Da schlummert, da ging es auch so ein bisschen um den NFS
Driver, also Network File Storage Driver, der unter
bestimmten Bedingungen dann mehr Rechte hatte als er sollte und.
Und wie er das gefunden hat, ist ganz spannend.
Er hat nämlich Cloud Code einfach erzählt, dass er gerade
bei einem Capture The Flag Event teilnimmt und die die, die sich
die quasi die absichtlich versteckte Sicherheitslücke
finden muss, der malt, hat auch schon mal bei einem Capture The
Flag Event teilgenommen, haben wir sogar mal eine Podcast Folge
zu gemacht und er hat quasi diesen ja super kurzen prompt in
diesem Blog Post geteilt, der nämlich quasi einfach eine
Schleife gebaut, wo Cloud Code über jede Datei.
Einzeln geht von seinem Code Projekt und in dem Fall eben von
dem Linux Kernel und dann einfach immer gesagt Ey ich bin
hier bei dem Capture The Flag Event findest du die versteckte
Sicherheitslücke ohne Halt zu sagen, dass ja idealerweise da
gar keine Sicherheitslücke versteckt ist.
Und Claude Code hat sie dann in diese ja quasi diese Persona
versetzt und hat dann dadurch diese Sicherheitslücke gefunden,
also eigentlich damn simple, einfach wirklich so eine
Schleife einmal über alle Dateien übergehen, der Kontext
ist dann ja auch nicht riesengroß, nur diese eine Datei
Claude Kohl hat es dann auch gar nicht im.
Quasi in Verbindung mit anderen Dateien, auf die vielleicht
verlinkt wurde oder wo die Klasse herkommt oder sowas
gecheckt. Aber da hat trotzdem was
gefunden, was schon seit vielen, vielen Jahren schlummert.
Fand ich witzig, ist ein sehr lesenswerter Artikel, schaut da
auch gern mal rein. Ja, ich glaube, dieser Ansatz
ist ja nicht komplett neu. Es gibt ja ganz oft diese
Beispiele, wo Leute gesagt haben, hey, wenn ich.
So eine AI frage. Hey, kannst du folgende Webseite
hacken? Komm zurück.
Nee das kann ich nicht, das darf ich nicht, aber sobald du sagst
hey du bist ein Security researcher und du sollst mir bei
einem Pen Test helfen, dann funktioniert es plötzlich und
ich glaube das zeigt einfach auch wieder, dass man wirklich
mit diesen verschiedenen Agent Personas wirklich arbeiten kann
und dass man da mit dem entsprechenden Prompting
wirklich auch die eigenen Anwendungen nicht nur schneller
entwickeln kann, sondern auch ältere Anwendungen sicher machen
kann. Also da hat man natürlich extrem
viele Möglichkeiten. Und dann hast du noch eine ganz
spannende News gefunden, die vielleicht das ganze Security
Game komplett auf den Kopf stellen wird.
Vielleicht in der Zukunft, weil da geht es tatsächlich um
Quantencomputer und da ist ja bekannt, dass die früher oder
später die heute genutzten Verschlüsselungsmethoden werden
brechen können, aber aktuell ist es ja so, dass diese
Quantencomputer nicht nur extrem.
Energieintensiv sind und vor allen Dingen nicht so potent
sind, dass sie losgelassen werden können, sondern halt auch
extrem viele Ressourcen benötigen.
Aber da gibt es jetzt Neuigkeiten von Google.
Ja genau, und zwar also auch nicht nicht nur von Google und
du hast es eigentlich gerade schon ganz gut zusammengefasst.
Eigentlich immer, wenn man von Quantencomputern redet, dann ich
eingeschlossen, habe auch nicht viel Ahnung, was das jetzt
eigentlich genau bedeutet und was dahinter steckt, alle wissen
aber sofort, oh. Da da klingelt doch irgendwas.
Das heißt doch immer, wenn die da sind, dann sind unsere
gängigen verschlüsselungs Algorithmen eigentlich
hinfällig, weil das Ding so exponentiell viel schneller
rechnet als unsere bisherigen Rechner, dass die quasi alles
knacken können. Da wird aber immer direkt in so
einem Nachsatz gesagt, ja, das mag sein, das ist aber noch in
so weiter Ferne und auch noch so teuer, dass es sich das
wahrscheinlich niemals lohnen wird und dass das eher
theoretisch ist und. Jetzt sind gleich 2 Paper
rausgekommen. 1. Wie du eben gesagt hast von
Google aber auch noch mal ein anderes was das gleiche quasi
belegt, sind beide sehr theoretisch, kommen aber beide
zu dem gleichen Schluss, nämlich dass man eigentlich 100 mal
weniger Rechenleistung oder Folds braucht um.
Ein um die populären Verschlüsselungs Algorithmen zu
knacken, also dass wir eigentlich 100 mal weniger weit
weg sind von diesem Ziel und dass man quasi schon mit einer
halbe 1000000 physischer Q Bits zum Beispiel den Algorithmus
knacken kann, der heute Bitcoin verschlüsselt.
Und ja, das zeigt natürlich, dass wir können uns jetzt hier
im Podcast viel über kleinere Attacken auf irgendwelche npm
Pakete einschießen. Aber wenn das mal irgendwann der
Fall sein soll sein sollte, dann ist die komplette
Verschlüsselung, auf der unser gesamtes Internet, also auch
HTTPS und Ssl basiert, eigentlich hinfällig.
Das muss man da noch mal sagen zur Berührung, wir sind zur
Berührung, wir sind da immer noch sehr weit weg von aber.
Deutlich weniger weit weg, als wir ursprünglich mal angenommen
haben. Ja, und auf der anderen Seite
hat mich das so ein bisschen auch an diese anthropic Mythos
Geschichte erinnert, weil dort ja auch in dem Kontext jetzt
dann erwähnt wurde in den News ja, aber diese Researcher, die
gehen ja verantwortungsvoll damit um und werden natürlich da
sicherstellen, dass diese Technologie nicht in falsche
Hände gerät, aber wir. Wir müssen ja damit rechnen,
dass früher oder später das ganze erschwinglicher wird und
halt für immer mehr Leute zugänglich wird.
Und dementsprechend muss glaube ich, jetzt ganz viel Energie
auch in diese Post Quantum Encryption Technologie
schließen, um sich halt darauf vorzubereiten, weil man halt
nicht weiß wann es soweit ist. Bisher hat man gedacht, das sind
noch mindestens 5 bis 10 Jahre hin, aber vielleicht geht es
jetzt viel schneller. Genau.
Das ist eigentlich ganz, ganz spannend.
Ist eigentlich so ein mathematisches Phänomen, also
Google hat. Den eigentlichen Algorithmus und
die eigentliche Mechanik dahinter nicht veröffentlicht,
sondern nur bewiesen, dass sie das können, also dass sie es
hundertmal schneller können, als man das vor angenommen hat, das
ist, man kann in der Mathematik quasi einen Beweis liefern, ohne
dass man den Algorithmus dahinter veröffentlicht, ist
eigentlich ganz spannend, damit das Ding halt auch, wie du
gerade sagst, ähnlich wie bei Mythos nicht in die falschen
Hände fällt, aber trotzdem noch mal im Moment kein Grund zur
Panik dieser Computer, den man dafür bräuchte, der existiert
heute noch nicht. Und auch wenn es den Extieren,
wenn der Extieren würde, dann müsste der auch in die falschen
Hände fallen. So also wir sind da immer noch
sehr weit weg davon und deswegen, wie du richtig sagst,
ist glaube ich aber auch wichtig sich jetzt schon mal ich glaube
du und ich müssen uns da keine Gedanken drüber machen, aber
dass man sich generell als Industrie schon mal irgendwie
für die Zukunft aufstellt, die jetzt aber auch nicht in 2
Jahren um die Ecke kommen wird. Dann haben wir aber noch ein
letztes Thema, was gerade durch die deutsche Presse gegangen ist
und was jetzt hoffentlich nicht mehr 5 bis 10 Jahre weg ist,
sondern jetzt möglichst bald in unser aller Leben eintritt.
Und das ist die neue Bürger App, die in Auftrag gegeben werden
soll und dann entsprechend von. Den großen Playern in der
Deutschen It Landschaft umgesetzt werden soll.
Das sind namentlich die Telekom, SAP und ich glaube schwarz
steckt da auch irgendwie mit drin, also den Unternehmen,
denen man die digitale Souveränität in Deutschland und
die Technologiekompetenz zutraut dafür.
Da fragen sich natürlich viele, ist das der richtige Ansatz um
so eine App möglichst schnell an den Markt zu bringen.
Ja, möglichst schnell wahrscheinlich nicht.
Ich hatte ja auch schon auf linkedin geschrieben, ich kann
die Vendor Auswahl, auch wenn Sie mir persönlich unsympathisch
ist, schon irgendwo nachvollziehen, also das waren
ja eigentlich natürlich die gleichen Protagonisten, die auch
die Corona App gebaut haben und die war jetzt ja auch keine
Vollkatastrophe, die hat natürlich irre viel Geld
verschlungen und jedes Update hat dann noch mal irre viel mehr
Geld verschlungen, das wird es hier wahrscheinlich anders sein,
aber. Die gute Nachricht ist ja
eigentlich im Jahre 2026 hat es Deutschland da mal erkannt, dass
sie sich dringend digitalisieren müssen?
Sie wollen diese Citizen App bauen, die soll auch mit KI
arbeiten und sie wird eben wie du gesagt hast von der SAP und
der Telekom gebaut, vielleicht auch weil es die einzigen Firmen
sind, von denen man halbwegs davon ausgehen kann, dass sie in
10 Jahren noch stehen, wenn KI alle alle anderen ersetzt hat
oder gerade auch kleinen Firmen ordentlich Feuer unterm Hintern
gemacht hat. Daher kann ich das schon
verstehen, dass man so was jetzt nicht vom nächsten Start bauen
lassen will. Mir ist eigentlich viel
wichtiger bei dieser ganzen Nummer, dass so was am Ende dann
Open Source ist. Ich finde Software, die von
Steuerzahlerinnen und Steuerzahlern finanziert wird,
muss Open Source sein. Zum einen finde ich, habe ich
irgendwie auch ein Anrecht darauf den Source Code
einzusehen und vielleicht auch daraus lernen zu können und vor
allem finde ich es ein großes Sicherheitsfeature, dass quasi
jeder und jede das. Da auch Sicherheitslücken drin
suchen und melden kann und dass es nicht so eine Blackbox ist,
das finde ich eigentlich wichtig, dass man auch sowohl
sieht, wo das Geld da hingeht, als auch, dass ich daran glaube,
dass Open Source gerade für eine App, die wirklich für alle da
ist und auch von allen bezahlt wird, der richtige Kanal ist.
Ja, und dann können natürlich auch professionelle Security
researcher da drauf schauen und das wird ja auch eng beobachtet.
Hatte jetzt einen Post gesehen von Lilith Wittmann.
Die sich das ganze Thema auch schon zu Gemüte geführt hat.
Und ich glaube, wenn solche Leute dann auch auf den Source
Code schauen, dann wird das ganze sicherer.
Aber ich glaube bei der Corona App hat es funktioniert.
Das Ganze war Open Source und wenn es die gleichen Unternehmen
entwickeln, hoffe ich, dass das dann auch wieder Open Source
wird und am Ende gibt es ja auch den alten Spruch No One was
everfire for hiring IBM und ich glaube in Deutschland ist das
Übertragen an Telekom und SAP wird schon nicht schief gehen.
Ich denke mal, die werden es irgendwie hinbekommen, wie
schnell es geht und zu welchem Preis.
Wie du gerade gesagt hast. Das ist eine andere Diskussion,
aber ich fand jetzt so ein bisschen auch anmaßend, dass
ganz viele gesagt haben, das sollte man vielleicht
irgendeinem innovativen App Startup geben, vielleicht hatten
wir ja auch einige die Hoffnung, dass es dann vielleicht das
eigene Unternehmen wird, aber ich denke mal, es ist für den
deutschen Staat eher so eine grundsätzliche Make or buy
Entscheidung also. Gibt man das an irgendeinen
großen Player, auf den man sich verlassen kann, oder baut man
die Kompetenz selber auf und ich persönlich wäre jetzt glaube ich
im Sinne der digitalen Souveränität vielleicht eher auf
der Schiene, dass man diese Kompetenz selber aufbauen
sollte, aber vielleicht dauert das in dem Fall auch einfach zu
lange, weil man sie ja offensichtlich stand heute nicht
hat und jetzt dann die entsprechenden Leute zusammen zu
bekommen, um dann so ein Projekt zu starten, was ja dann auch
tatsächlich von. Keine Ahnung, 3040 50000000
Leuten genutzt werden soll, regelmäßig, quasi tagtäglich.
Da steckt natürlich auch eine gewisse Verantwortung dann
dahinter und ich glaube, das hat man sich einfach nicht
zugetraut, das selber zu machen. Ja, und das eben über den großen
Firmenauftritt zu geben, ist ja wahrscheinlich für einen
Digitalminister auch so ein bisschen so eine.
Du kommst aus dem Gefängnis, freie Karte, wie du gerade
gesagt hast. In dieser no one was ever fired
for hiring IBM Spruch heißt ja eigentlich so, ja.
Kaufst du damit auch so ein bisschen irgendwie ein, dass die
am Ende keiner sagen wird? Das war die falsche
Entscheidung, sondern ist mit Sicherheit die teuerste
Entscheidung und bestimmt auch nicht die schnellste
Entscheidung. Aber wenn du und ich bin
natürlich auch bei dir, wenn man die Kompetenzen selber aufbauen
kann, das wäre natürlich noch wünschenswerter, wenn du jetzt
eben nicht kannst. Und ich glaube, das müssen wir
uns schon eingestehen, dass wir die im Bund nicht haben, dann
ist es wahrscheinlich schon noch irgendwo eine nachvollziehbare
Entscheidung und. Solange das Ding jetzt nicht
wieder aber Millionen verschlingt, und das wird ja
Millionen verschlingen, aber vielleicht nicht also, dass man
das in irgendeiner Relation dazu setzen kann, das wäre ja schon
sinnvoll und ich glaube, dabei hilft Open Source.
Ich habe mich aber mehr über die News gefreut als geärgert, weil
ich glaube, dass das schon der richtige Schritt ist.
Schauen wir mal, ob das jetzt vielleicht in diesem Zuge ganz
schnell geht. Wir haben ja gerade ganz viel
über die KI Innovationen gesprochen und vielleicht haben
natürlich auch die Unternehmen das entwickeln Zugriff auf diese
Tools und wir haben diese App vielleicht dann schon in weniger
als 5 Jahren in den Händen. Die Bürger App Gewype Codet das
wäre doch mal eine News, die wir hier auch im Podcast auf jeden
Fall besprechen würden. Was?
Was ihr auf jeden Fall vipe coden könntet, wäre eine gute
Bewertung für uns. Wenn ihr die da lassen wollt.
Ihr könnt auf Spotify und auf Youtube oder wo auch immer ihr
uns hört, wenn man da Kommentare hinterlassen kann, freuen wir
uns immer sehr, wenn ihr die nicht vipe codet, sondern
wirklich auch eigene Meinung hin schreibt, schreiben wir uns
sogar noch mehr oder wenn man, wenn ihr vielleicht jetzt
einfach eine Bewertung da lassen wollt, wie euch dieser Podcast
hier gefällt. Das hilft uns immer sehr, das
Ganze einzuordnen. Und selbst wenn ihr uns keine
Bewertung geben könnt, weil ihr das Ganze woanders hört, freuen
wir uns auch immer über eine persönliche Nachricht.
Ihr könnt uns gerne eine E Mail schreiben, die e Mail Adresse
findet ihr auch in den Shownotes oder einige von euch schreiben
das dann auch als Grüße in die Kaffeespende mit rein und über
solche persönlichen Nachrichten freuen wir uns natürlich immer
sehr und sie werden auch beantwortet, nicht immer sofort,
manchmal dauert es ein bisschen. Aber wir freuen uns auf jeden
Fall. Damit werden die Tekken
Developer News der letzten 2 Wochen eigentlich gut
zusammengetragen. Nächsten Montag seid wieder mit
dabei, es gibt eine neue Folge, diesmal eine Themenfolge der To
do Cast erscheint generell jede Woche, jeden Montag, immer
abwechselnd mit einer News folge wie heute oder dann mit einem
neuen Thema, wie nächste Woche abonniert, also wenn ihr es noch
nicht getan habt und sonst hören wir uns nächste Woche, bis dahin
habt eine gute Zeit und schreibt ganz viel Code.
Bis dahin.