Warum KI Open Source weniger offen macht

Zwanzig Jahre lang hatte es einen einfachen Grund, wenn eine Firma ihren Quellcode schloss: Geld. Ein Cloud-Anbieter verkaufte das eigene Produkt weiter, also wurde die Lizenz geändert. 2026 hat sich der Grund geändert. Firmen schließen ihren Code jetzt, weil KI ihn schneller lesen kann, als sie ihn reparieren können.

Ich glaube nicht, dass Open Source stirbt. Aber ich glaube, dass Offenheit zur Bedingung wird: später veröffentlicht, kleiner veröffentlicht oder erst, nachdem jemand geprüft hat, was ein Angreifer damit anfangen könnte.

Was hat sich 2026 geändert?

Im April 2026 hat der Terminplanungsanbieter Cal.com sein Kernprodukt auf Closed Source umgestellt. Der Blogpost dazu war ungewöhnlich direkt: Es gebe einen einfachen Grund, und der heiße Sicherheit („there's one simple reason: security“). Das Argument passt in einen Satz aus demselben Post: Man könne KI heute auf eine Open-Source-Codebasis ansetzen und sie systematisch nach Schwachstellen durchsuchen lassen. Open Source zu sein sei zunehmend so, als würde man Angreifern den Bauplan des Tresors in die Hand geben. Eine ältere Version des Codes hat Cal.com als Cal.diy unter MIT-Lizenz veröffentlicht, für Bastler und Self-Hoster.

Zwei Monate später, im Juni 2026, folgte Daytona mit fast denselben Worten: Es gebe nur einen Grund, und das sei der einzige, der zähle, nämlich Sicherheit. Daytona baut Sandboxes, in denen KI-generierter Code ausgeführt wird. Offenzulegen, wie diese Isolation funktioniert, heiße, jedem den genauen Bauplan dieser Grenze zu geben, der sie testen will.

Zwei Firmen sind noch kein Trend. Interessant ist, dass beide denselben Grund nennen, und keine einen geschäftlichen.

Warum ändert KI die Rechnung?

Eine Sicherheitslücke zu finden war früher langsame Arbeit für Spezialisten. Genau das hat viel öffentlichen Code in der Praxis geschützt: Er war offen, aber niemand hatte die Zeit, alles zu lesen.

Diese Kosten brechen gerade weg. Im April 2026 stellte Anthropic das Project Glasswing vor. Das Modell Claude Mythos Preview habe einen 27 Jahre alten Fehler in OpenBSD und einen 16 Jahre alten Fehler in FFmpeg gefunden, in Code, den automatische Testwerkzeuge schon millionenfach durchlaufen hatten. Bis Mai hatte das Projekt mehr als 1.000 Open-Source-Projekte gescannt und 23.019 Befunde erzeugt, geschätzt 6.202 davon mit hohem oder kritischem Schweregrad. Anthropic schrieb auch, dass Maintainer mit einer Flut minderwertiger, KI-generierter Fehlerberichte kämpfen und mehrere von ihnen am Kapazitätslimit sind.

Das curl-Projekt hatte das schon erlebt. Im Januar 2026 kündigte es das Ende seines Bug-Bounty-Programms an, weil KI-geschriebene Berichte die echten unter sich begruben.

Die Asymmetrie sieht also so aus: Fehler finden ist jetzt billig und schnell, Fehler beheben ist weiterhin langsam und menschlich. Wer Kundendaten und ein kleines Team hat, wird mit offenem Code zum am leichtesten zu scannenden Ziel.

Ist das nicht einfach Geschäft mit Sicherheitsetikett?

Teilweise, und hier lohnt sich Genauigkeit. Die bekannten Lizenzwechsel der letzten Jahre hatten geschäftliche Gründe, keine Sicherheitsgründe:

• Elastic änderte seine Lizenz im Januar 2021 und nahm im August 2024 die AGPL wieder auf.
• HashiCorp stellte Terraform und seine anderen Produkte im August 2023 auf die Business Source License um.
• Redis wechselte im März 2024 die Lizenz und nahm im Mai 2025 mit Redis 8 die AGPL wieder auf.

In allen drei Fällen ging es darum, Cloud-Anbieter am Weiterverkauf freier Software zu hindern. Discourse-Mitgründer Sam Saffron deutete in seiner Antwort auf Cal.com an, dass manche Schließung eine geschäftliche Entscheidung mit Sicherheitsetikett sein könnte.

Der Verdacht ist fair. Aber selbst wenn man ihn einrechnet, passiert etwas Neues: 2026 ist Sicherheit ein Grund geworden, den Firmen offen aussprechen, und ihre Nutzer akzeptieren ihn.

Passiert dasselbe bei KI-Modellen?

Ja, und dort schon früher als bei Software. Im Februar 2019 hielt OpenAI sein Modell GPT-2 zurück, aus Sorge vor böswilligen Anwendungen („Due to our concerns about malicious applications of the technology, we are not releasing the trained model“). Das volle Modell folgte im selben Jahr in Stufen. GPT-3 und GPT-4 wurden nie als Gewichte veröffentlicht. Erst im August 2025 brachte OpenAI mit gpt-oss wieder offene Modelle heraus.

Meta ist das deutlichste Beispiel aus 2026. Jahrelang war Meta mit Llama der große Verfechter offener Gewichte. Im April 2026 kam Muse Spark, das erste Spitzenmodell von Meta ohne herunterladbare Gewichte. Metas KI-Chef Alexandr Wang sagte später, das Modell habe interne Risikoprüfungen ausgelöst, unter anderem bei biologischen Risiken, und sei deshalb vorerst nicht für eine offene Veröffentlichung geeignet gewesen.

Dann hat Meta es doch geöffnet, nur anders. Im August erschien Muse Glimmer, ein kleineres Modell mit 30 Milliarden Parametern, aus Spark destilliert, unter Apache 2.0. Am 15. Oktober 2026 folgten die Gewichte von Muse Spark Open, etwa sechs Monate nach dem Start, mit zusätzlichem Sicherheitstraining und unter einer eigenen Lizenz mit Bedingungen, die eine klassische Open-Source-Lizenz nicht kennt.

Und Anthropic hat erklärt, Claude Mythos Preview gar nicht allgemein verfügbar machen zu wollen.

Genau dieses Muster meine ich mit Bedingung: Die stärkste Version bleibt geschlossen. Was geöffnet wird, kommt später, kleiner oder mit Auflagen.

Was erwarte ich?

Drei Dinge.

1. Kommerzielles Open Source schließt zuerst. Startups mit Open-Core-Modell und Kundendaten wie Cal.com und Daytona haben am meisten zu verlieren und die wenigsten Leute zum Patchen. Ich erwarte mehr Schritte nach dem Muster von Cal.diy: Die alte Version bleibt offen, das Produkt nicht.
2. Gemeinschaftliche Infrastruktur bleibt offen und bekommt KI-finanzierte Sicherheit. Linux, curl oder Vikunja haben kein Produkt zu schützen, ihre Offenheit ist der Sinn der Sache. Programme wie Glasswing, mit 100 Millionen Dollar an Nutzungsguthaben und 4 Millionen Dollar an Spenden für Open-Source-Sicherheit, halten diese Seite am Leben.
3. Spitzenmodelle werden spät und mit Auflagen geöffnet. Das Muster von Meta und OpenAI: Das stärkste Modell kommt geschlossen, ein kleineres oder älteres wird nach einer Sicherheitsprüfung geöffnet. Offene Gewichte wird es weiter geben, aber nicht für das jeweils beste Modell.

Für alle, die im Job Werkzeuge auswählen, ist die praktische Lehre einfach: „Heute Open Source“ heißt nicht mehr „nächstes Jahr Open Source“. Die Lizenz prüfen und einen Plan haben, falls sie sich ändert.

Die Geschichte hat aber eine zweite Hälfte. Auch wenn die stärksten Modelle geschlossen bleiben, sind die offenen inzwischen gut genug, dass Unternehmen sie auf eigener Hardware betreiben, zu einem Bruchteil des Preises. Darüber habe ich in Warum mehr Unternehmen ihre eigenen KI-Modelle betreiben werden geschrieben.