2026-11-04 · ← News
Datasette schließt eine undichte Modellliste. Allowlists brauchen Tests als Sicherheitsgrenze
Datasette-llm 0.1a10 behebt einen Fehler, durch den agent.datasette.io die verfügbaren LLMs nicht auf die konfigurierten Modelle beschränkte. Das kleine Alpha-Release zeigt: Eine Allowlist ohne Negativtest ist eher ein Wunsch als eine durchgesetzte Regel.
Das Bild konnte nicht geladen werden.
Simon Willison veröffentlichte am 4. November datasette-llm 0.1a10. Die Version behebt einen Fehler auf seiner Demo agent.datasette.io, durch den verfügbare LLMs nicht korrekt auf die in der Konfiguration genannten Modelle beschränkt waren.
Version 0.1a10 sperrt Modelle außerhalb der Konfiguration wieder aus
Die ursprüngliche Release-Notiz ist knapp. Sie bestätigt Produkt, Version, betroffene Demo und Art des Fehlers. Technische Ursache, Dauer und konkrete Auswirkungen auf Nutzer nennt sie nicht. Daraus lässt sich auch nicht ableiten, dass jede Installation von datasette-llm betroffen war.
Es handelt sich um das zehnte Alpha-Release der 0.1-Reihe, nicht um eine umfassende Sicherheitsmeldung. Trotzdem traf der Fehler eine Grenze, auf die Betreiber vertrauen: Die Konfiguration soll festlegen, welche Modelle ein Agent überhaupt anbieten kann.
Die Modellwahl steuert Kosten, Datenverarbeitung und Betriebsregeln
Eine Modell-Allowlist ist mehr als eine Einstellung der Benutzeroberfläche. Betreiber können einzelne LLMs nach Preis, Fähigkeiten, Region oder Regeln für den Umgang mit Daten zulassen. Bietet die Laufzeit ein Modell außerhalb dieser Liste an, fallen erklärte Richtlinie und tatsächliches Systemverhalten auseinander.
Die Quelle belegt keinen finanziellen Vorfall oder Sicherheitsvorfall auf der Demo. Die praktische Folgerung ist enger: Eine konfigurierte Liste ist erst dann eine wirksame Kontrolle, wenn ein verbotenes Modell weder ausgewählt noch über einen anderen Weg aufgerufen werden kann.
Das kurze Changelog lässt die Reichweite des Fehlers offen
Die Release-Notiz erklärt nicht, ob nur die sichtbare Liste in der Oberfläche oder auch die serverseitige Durchsetzung beim Modellaufruf betroffen war. Ohne dieses Detail wären Aussagen über Datenabfluss, unbefugten Zugriff oder umgangene Abrechnung Spekulation.
Auch die Alpha-Kennzeichnung liefert wichtigen Kontext. Frühe Software ändert sich schnell, ihre Schnittstellen und Sicherheitsgrenzen stabilisieren sich erst. Gerade deshalb brauchen Einschränkungen ebenso Tests wie neue Funktionen.
Das nächste Release sollte einen Regressionstest für die Allowlist zeigen
Das wichtigste nächste Signal wäre simpel: ein dokumentierter Test, der ein verbotenes Modell anfordert und eine Ablehnung erwartet. Bei einer Agentenoberfläche muss der Server die Regel für jede Anfrage durchsetzen, nicht nur beim Aufbau eines Menüs im Browser.
Aktuelle Betreiber sollten auf 0.1a10 aktualisieren und die Konfiguration mit dem beobachteten Verhalten vergleichen. Das Release hat eine konkrete Demo repariert. Ob die Grenze in der eigenen Installation hält, zeigt nur ein eigener Test.
Liliths Urteil
Ein Schild mit der Aufschrift nur erlaubte Modelle hält ohne Schranke niemanden auf. Datasette hat die Schranke repariert; nun braucht es einen Test, der sie bei jedem Release absichtlich rammt.