Eine Prüfung, kein Urteil
Eine von der britischen Regierung beauftragte und am 7. September 2026 veröffentlichte Studie prüfte Cybersicherheitsliteratur zu Open-Source-Software und Open-Source-KI. Sie wurde von Forschenden der University of Greenwich geleitet und ist unabhängige Forschung, keine Politik der britischen Regierung.
Was untersucht wurde
Die Publikationszusammenfassung gibt an, dass das Team 14.561 wissenschaftliche Datensätze sichtete und 43 aufnahm, die seine Kriterien erfüllten. Sie nennt 172 Dokumente grauer Literatur, ergänzt durch Analysen von GitHub und Hugging Face. Die Einleitung des Berichts nennt dagegen 126 solcher Dokumente – ein ungelöster interner Widerspruch, der das Vertrauen in die angegebene Korpusgröße begrenzt.
Die zentrale Lücke
Die Studie fand erhebliche Evidenzlücken, besonders bei der vorgelagerten Governance von Open-Source-KI. Dazu gehört, wie Modelle entwickelt, dokumentiert, veröffentlicht und gepflegt werden, bevor ein Betreiber sie für einen bestimmten Zweck anpasst.
Warum Bezeichnungen nicht ausreichen
„Open Source“ beschreibt Zugangs- und Lizenzentscheidungen, nicht einen einheitlichen Sicherheitszustand. Risiken unterscheiden sich bei Quellcode, Modellgewichten, Datensätzen, Schnittstellen und eingesetzten Anwendungen. Geschlossene Systeme können Schwächen verbergen; offene ermöglichen breitere Prüfung, können aber die Weiterverbreitung leistungsfähiger Komponenten erleichtern.
Verantwortung entlang der Kette
Sicherheit hängt von Entwicklern, Hosting-Plattformen, Distributoren, Betreibern und Nutzern ab. Klare Dokumentation, Meldung von Schwachstellen, Zugriffskontrollen und Aktualisierungsverfahren können wichtiger sein als ein einzelnes Offen-oder-geschlossen-Etikett.
Was die Evidenz nicht beweisen kann
Eine Literaturprüfung kann Muster und blinde Flecken zeigen, aber nicht belegen, dass alle offenen Modelle sicherer oder gefährlicher als geschlossene sind. Das Ergebnis hängt von Qualität und Umfang der verfügbaren Studien ab, die laut Bericht weiterhin unvollständig sind.
Primärquelle
Offizielle Publikationsseite und Bericht. Abgerufen am 12. September 2026.