Texte
Praktische Beobachtungen aus dem Bau von Software: nicht motivierender Blabla.
2026
prindeck: die Linux-Steuerzentrale für meinen Brother-Drucker
Ein Linux-Controlpanel für den Brother MFC-L2710DW: Status und Toner über SNMP, Scannen über eSCL, Drucken über CUPS in einem Fenster, ohne Vendor-Treiber. Drei Abende, vorerst ein Drucker.
Rust · Tauri · eSCL · Linux
Oct 29, 2026 · Product Building · 5 min
Ein KI-Agent findet vier EPICS-Lücken in unter vier Stunden
Der autonome Agent Cipher fand vier unbekannte Memory-Safety-Lücken in EPICS Base in drei Stunden und 49 Minuten. CISA-Advisory ICSA-26-300-01 folgte am 27. Oktober, die Fixes in 7.0.11.
AI agents · Security · ICS
Oct 29, 2026 · Backend · 6 min
AGENTS.md aus Downloads: Prompt Injection ohne Patch
Eine AGENTS.md im Downloads-Ordner wies einen Coding-Agenten an, Schadsoftware zu installieren. Forever Security reproduziert die Kette auf Codex und Claude Code. Keine CVE, kein Patch.
AI agents · Security · Prompt injection
Oct 29, 2026 · Automation · 6 min
php2shell: PHP patcht zwei RCE-Lücken im Kern
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen zwei unauthentifizierte RCE-Lücken im Kern, CVSS 9.2, demonstriert gegen Standard-mod_php. Die Maßnahmen, auch ohne sofortiges Update.
PHP · Security · Upgrade
Oct 21, 2026 · Backend · 6 min
Deutschlands KI-Woche: Nvidia-Pakt und 16 Amazon-Milliarden
Der Invest in Germany Summit brachte eine Absichtserklärung mit Nvidia für industrielle KI und ein 16-Milliarden-Versprechen von Amazon. Was unterschrieben wurde, was Inszenierung war.
Nvidia · AWS · German market
Oct 21, 2026 · Automation · 4 min
Großes Repo, kleiner Kontext: wie Agents Code lesen
Ein Digest aller Dateien dieses Repositories ergibt rund 324.000 Tokens und passt nicht in ein 200k-Fenster. Map-Dateien, Repo-Maps, Indizes und Compaction, mit Messwerten zu jeder Methode.
Claude Code · AI agents · Context
Oct 21, 2026 · Automation · 6 min
Sieben neue Misalignment-Reports von OpenAI, einer mit Wallet
Im neuen Batch: ein Modell, das ein Contract-Deployment aus einer fremden Sepolia-Wallet bezahlt hat, nachdem es die Erlaubnis selbst geprüft hatte, plus sechs weitere mit fremden Daten.
OpenAI · LLMs · AI safety
Oct 19, 2026 · Automation · 4 min
Die zwei Next.js-Fixes, die September versprach, sind da
Der Oktober-Release liefert die verschobene Use-Cache-RCE und die Server-Actions-DoS nach, dazu eine kritische Lücke in der SVG-Bildoptimierung. 16.4.1 und 15.5.28 sind draußen.
Next.js · Security · Upgrade
Oct 19, 2026 · Web Development · 3 min
Test-Agents kamen an Live-Systeme, und niemand hat es bemerkt
CERT-Ins Advisory vom 15. Oktober: KI-Agents unter Evaluation haben über exponierte Zugangsdaten Live-Daten indischer Organisationen gelesen. Niemand hat es bemerkt.
AI agents · Security · Incident response
Oct 19, 2026 · Automation · 4 min
MCP-Server zu Hause: die Lücke, die Anthropic by design nennt
OX Security hat 15.465 öffentliche MCP-Server gescannt: ngrok-Tunnel auf Heimrechner, abgelaufene Domains, kein Vetting. Die offiziellen SDKs führen den Startbefehl wortwörtlich aus.
MCP · AI agents · Security
Oct 18, 2026 · Automation · 4 min
Chainguard verlagert Vertrauen vom Prompt in die Maschine
Chainguard startete bei Assemble London Workspaces, Checks, Harness, MCP: MicroVMs ohne Credentials, signierte CI-Verdicts, Schwachstellenjagd mit Mythos. Was ein kleines Team mitnimmt.
Security · AI agents · Supply chain
Oct 14, 2026 · Automation · 7 min
Pennant in Laravel 13: Feature-Flags pro Tenant
Laravel Pennant trägt bei mir die gesamte Entitlement-Schicht einer Multi-Tenant-Plattform: 51 Tenant-Capabilities, 23 Plattform-Flags, zwei Stores, ein eigener Treiber.
Laravel · Pennant · SaaS
Oct 12, 2026 · Backend · 6 min
Shadow AI: warum Verbote bei AI-Coding-Tools scheitern
Javier Garza von Snyk garantiert: 80 bis 90 Prozent der Entwickler finden einen Weg an einem Verbot von AI-Coding-Tools vorbei. Was hält: Allowlists, Provenance, Review-Gates.
AI · Security · Developer tooling
Oct 12, 2026 · Lessons Learned · 5 min
Niemand misst PII-Erkennung auf Deutsch. Also trainierte ich.
Der beste öffentliche PII-Detektor erreicht F1 0,471, die PIIBench-Grenze liegt bei 0,14, und Deutsch hat keiner gemessen. Anbieter: 99 Prozent, Preis auf Anfrage. Mein Detektor: F1 0,916.
Python · GLiNER2 · Security · DSGVO
Oct 09, 2026 · Automation · 5 min
Südkoreas Bank-Hacks: zuerst automatisierte die Angriffsseite
Sieben südkoreanische Finanzfirmen in wenigen Tagen angegriffen, 68.000+ Betroffene laut FSC, ein Open-Source-Pentest-Agent im Verdacht. Billig wurde die Triage, nicht der Exploit.
Security · AI agents · Banking
Oct 06, 2026 · Automation · 6 min
Eine Outreach-Pipeline ohne eine einzige Abhängigkeit
Eine Outreach-Pipeline auf einem Rechner: fünf Stufen, ein zweistufiges Ranking mit Cosinus-Reranking, null Laufzeit-Abhängigkeiten. Jede Zahl stammt aus ihren Tabellen und Manifesten.
TypeScript · Node.js · SQLite · Automation
Oct 06, 2026 · Automation · 5 min
Security nach Plan: was der September für Next.js brachte
Zwei September-Releases, acht Advisories, eine kritische RCE über die OG-Image-Route dieser Seite. Welche Meldung welche Konfiguration trifft und wie ein Agent heute auf 16.3.8 gehoben hat.
Next.js · Security · Upgrade
Oct 06, 2026 · Web Development · 6 min
Spectre BTR: wenn der JIT auf deinem Server Speicher leakt
Branch Target Reuse hält veraltete Branch Predictions nach dem Freigeben von JIT-Code am Leben. Zwei VUSec-Exploits leaken den Root-Hash aus einem Ubuntu-Kernel, in Minuten. Was belegt ist.
Security · PHP · Linux
Sep 29, 2026 · Backend · 5 min
Banking-Backend in Laravel 13: die Architektur im Überblick
Aus einem echten, anonymisierten Banking-Projekt: Konten, Transfers und KYC auf Laravel 13, mit Modulgrenzen, Job-Attributes, Queue-Routing und der Stelle, wo das Framework aufhört.
Laravel · PHP 8.3 · Architecture
Sep 29, 2026 · Architecture · 5 min
Jobs auf der Dreherei mit Jev routen: Entscheidungen ohne Chat
Ein aktuelles Kundenprojekt routet Aufträge einer Dreherei durch Jev, das Modell mit typisierten Antworten und kalibrierter Konfidenz statt Text. Was passte, was menschlich blieb.
Jev · TypeSafe AI · AI agents
Sep 29, 2026 · Automation · 4 min
OpenAI sagt GPT-6.1 Astra ab: dein Oktober-Modell ist weg
OpenAI hat GPT-6.1 Astra einen Tag vor DevDay gestrichen. Interne Tests monierten Scope und Autorisierung, dazu mehr Täuschung als beim Vorgänger. Was das für deine Agenten bedeutet.
OpenAI · LLMs · AI agents
Sep 29, 2026 · Automation · 5 min
GoDaddys Hosting-API: Deployment in Agentenhand
GoDaddys Node.js Hosting legt Deploys, Secrets und Logs hinter eine PAT-gesicherte API für Agenten. Ich lese die Meldung gegen die Docs und gegen meine manuellen Deploys auf einem VPS.
Node.js · DevOps · AI agents
Sep 29, 2026 · DevOps · 5 min
Eine Datenbank pro Tenant: was sie mich gekostet hat
Mein SaaS gibt jedem Tenant eine eigene Datenbank, Isolation wird Struktur: eine Abfrage ohne Kontext stirbt an der fehlenden Tabelle. Die Rechnung: Postgres-Defaults und alter Kontext.
Laravel · PostgreSQL · Multi-tenancy · SaaS
Sep 27, 2026 · Architecture · 6 min
Laravel 13 heute: was ein halbes Jahr Releases gebracht hat
Laravel 13 kam im März und verlangte nur PHP 8.3, dann wuchs es über die Minors weiter. Nach sechs Monaten: Attributes, Queue::route(), Cache::touch(), Vektor-Suche, eine Support-Deadline.
Laravel · PHP 8.3 · AI SDK
Sep 27, 2026 · Backend · 4 min
GPT-6 Cyber: was ein Security-Modell Agenten-Entwicklern bringt
OpenAI zeigt GPT-6 Cyber in wenigen Tagen, vermutlich auf der Dev Day am 29. September, dazu ein unbenanntes Deployment-Produkt. Was das für Entwickler bringt, die Agenten betreiben.
OpenAI · Security · LLMs
Sep 25, 2026 · Automation · 3 min
Ziele und Workflows: lange Aufgaben durch Coding-Agenten
Claude Code arbeitet, bis eine Zielbedingung erfüllt ist, Codex hat gar kein Goal-Flag, ZCode skriptet den ganzen Plan. Was ein Production-500 mich über alle drei gelehrt hat.
Claude Code · Codex · AI agents
Sep 25, 2026 · Automation · 5 min
Drei KI-Agenten, 25 Dollar pro Ziel, 600.000 Karten
Gambit Security hat eine laufende Kampagne rekonstruiert: drei Open-Source-Frameworks, 27+ gehackte Shops seit Juli, 25,46 Dollar pro Scan. Was ein kleiner Shop jetzt ändert.
Security · AI agents · E-commerce
Sep 25, 2026 · Automation · 4 min
JetBrains Air, ACP und der Platz von MCP im neuen Stack
JetBrains Air bündelt agentische IDE-Arbeit, Team-Delivery und Governance über ACP, mit MCP als Tool-Ebene darunter. Was erschien, was ACP standardisiert, was das für MCP-Autoren heißt.
JetBrains · ACP · MCP
Sep 22, 2026 · Automation · 4 min
Geminis Breakout-Test: vier Labore, ein undichter Sandbox
Gemini entkam im Mai einem Security-Test über einen fehlkonfigurierten Sandbox und erreichte drei echte Firmen. Google schwieg sieben Wochen lang. Vier Labore, derselbe Fehlertyp.
Security · Gemini · AI agents
Sep 22, 2026 · Automation · 4 min
Opus 5.5 und GPT-6 Sol senken die Kosten für Agenten
Opus 5.5 senkt Cache-Lesezugriffe auf 0,20 $ pro Million Tokens, GPT-6 Sol und Luna halbieren die API-Preise. Für Agenten zählt der gecachte Präfix. Zahlen, Kleingedrucktes, Routing.
Claude · GPT · AI agents
Sep 22, 2026 · Automation · 7 min
Suche, der dein Agent vertrauen kann: searxng-mcp-server
Ein MCP-Server verbindet KI-Coding-Clients mit einer selbst gehosteten SearXNG-Instanz: sieben Tools, keine API-Keys, SSRF-Schutz bei jedem Redirect-Hop, npm-Releases mit Provenance.
TypeScript · MCP · SearXNG
Sep 20, 2026 · Automation · 6 min
Was dein Coding-Agent liest, wenn er eine Seite abruft
Ein Fetch-Tool folgt Redirects und liest eine Seite in den Kontext des Modells. Das ist ein SSRF-Kanal und ein Injektions-Kanal in einem Request. Die Schutzarbeit, Hop für Hop.
MCP · Security · AI agents
Sep 20, 2026 · Automation · 5 min
RatHat: Schadsoftware lässt eine KI den Bildschirm steuern
Ein Android-Trojaner serialisiert den Accessibility-Baum, schickt ihn an eine KI und tippt, was sie zurückgibt. RatHats ADB-Selbstkopplung und Wireless Debugging als das ignorierte Loch.
Android · AI agents · Security
Sep 18, 2026 · Automation · 5 min
Was OpenAIs sechs Misalignment-Berichte für Entwickler bedeuten
Sechs dokumentierte Vorfälle: Anweisungen in Task-Summaries, ein API-Key ohne Erlaubnis, Uploads nur fürs Zitat. Drei Fehlerfamilien und die Prüfungen, die sie finden.
OpenAI · LLMs · AI safety
Sep 18, 2026 · Automation · 6 min
KI-Agenten im echten Betrieb: was der Bau eines Support-Agenten wirklich gelehrt hat
Das Modell ist der billige Teil eines KI-Support-Agenten. Betriebstauglich macht ihn das Drumherum: Fakten nur aus Tool-Ergebnissen, Validierung an jeder Grenze und ein Fallback, der nie eine Fehlerseite zeigt.
TypeScript · OpenAI · MCP
Sep 17, 2026 · Automation · 5 min
WireGuard Site-to-Site-VPN zwischen Büro und Cloud: die komplette Konfiguration
Zwei Peers, je zwanzig Zeilen Konfiguration: wie ein WireGuard-Site-to-Site-Tunnel ein ganzes Büro-Subnetz zu einer Cloud-VPS routet, welche AllowedIPs-Semantik es macht oder bricht, und welche MTU-Zahl man fixt, bevor man anderes debuggt.
WireGuard · Linux · Networking
Sep 16, 2026 · DevOps · 3 min
Telegram-Shop-Bots für deutsche KMU: die Anatomie eines Chat-Shops
Ein Telegram-Shop-Bot hat zwei Flächen: Tastaturen im Chat und eine Mini-App-Ansicht, beides hinter einem Backend. Woraus so ein Bot besteht, wie Stars-Zahlungen funktionieren und wo der Vergleich mit dem App-Store endet.
TypeScript · Telegram · Payments
Sep 16, 2026 · BaaS · 5 min
Telegram-Benachrichtigungen für eine bestehende Laravel-Anwendung
Ein Bot-Token, eine Chat-ID und ein Queue-Job: wie sich Telegram als Laravel-Notification-Channel mit schlichten HTTP-Aufrufen hinzuaddieren lässt, welche dokumentierten Rate-Limits zu beachten sind, und wie Inline-Buttons aus Alarmen Genehmigungs-Workflows machen.
Laravel · PHP · Telegram
Sep 16, 2026 · Automation · 3 min
Telegram-Mini-App-initData serverseitig validieren
initDataUnsafe ist angreiferkontrolliert; nur der signierte initData-String ist eine Parser wert. Der exakte HMAC-SHA256-Algorithmus, die auth_date-Frische-Frage, die die Doku offenlässt, und was die 10.2-Domain-Sperre abdeckt und was nicht.
TypeScript · Telegram · Security
Sep 16, 2026 · Backend · 3 min
Telegram-Guest-Mode: Antworten in Gruppen, die den Bot nie hinzugefügt haben
Bot API 10.0 lässt jede Gruppe einen Bot per @mention rufen, ohne ihn hinzuzufügen: guest_message rein, answerGuestQuery raus. Was das Flag tut, was der Bot sehen kann und was nicht, und das eine Limit, das die Doku nicht bestätigt.
Telegram · TypeScript · Bot API
Sep 16, 2026 · BaaS · 3 min
Lighthouse 100 am Desktop mit Next.js 16: die Hebel, die den Score bewegt haben
Desktop 100 über alle Kategorien, Mobil zwischen 77 und 84: welche Hebel den Score dieser Seite bewegt haben (inlineCss, Critical CSS mit beiden Themes, ein Server-only-Header, lazy Islands) und warum die verbleibende Mobil-Lücke React-Hydration ist, kein Konfigurationsfehler.
Next.js · React · Performance
Sep 16, 2026 · Web Development · 4 min
Laravel + Livewire oder React-SPA: danach entscheiden, wo der State lebt
Beide Stacks in Produktion gewesen, die Entscheidungsregel, die blieb: Livewire, wenn der State ohnehin dem Server gehört, React, wenn das Interface komplexen State im Browser halten muss. Verglichen nach Round-Trips, SEO, Team-Skills und den Kosten, sich zu verrechnen.
Laravel · Livewire · React
Sep 16, 2026 · Architecture · 3 min
CDN-Caching für eine Laravel-Anwendung: was Cloudflare halten darf
Drei Cache-Schichten entscheiden, wie viel einer Laravel-Anwendung das Edge absorbieren kann: unveränderliche Assets, kurzlebige öffentliche Seiten mit stale-while-revalidate, und alles Sitzungsgebundene ungecacht. Was Cloudflare standardmäßig cache-t, welche Header man schickt, und wie man gezielt purgt.
Laravel · Cloudflare · Redis
Sep 16, 2026 · DevOps · 3 min