# Nvidia Container Strategy and AI Safety Shifts

**Podcast:** KI-Update – ein heise-Podcast
**Published:** 2026-10-26

## Transcript

Das KI-Update – ein heiser Podcast mit redaktioneller Unterstützung von The Decoder.
Ich bin Isabel Grünewald und dies sind heute unter anderem unsere Themen.
Nvidia will Ausbau von Rechenzentren mit Containern beschleunigen.
Agenten schalteten eigene Sicherheitswarnungen ab.
Kimi K 3.1 Pro rückt an die Spitze heran.
Und Perplexity Computer braucht keine Cloud mehr.
Nvidia will die Installation großer KI-Rechenzentren von durchschnittlich sechs Monaten auf wenige Wochen verkürzen.
Auf seiner Hausmesse GTC in Berlin stellte das Unternehmen vergangene Woche dafür ein neues Referenzdesign namens DSX-Pod vor, mit dem Partner komplette KI-Rechenanlagen in Containern vorfertigen sollen.
Gleichzeitig kündigt Nvidia den Ausbau seiner europäischen Lieferketten und neue Techniken an, die den Wasserbedarf senken und Engpässe bei der Stromversorgung entschärfen sollen.
Mein Kollege Hartmut Gieselmann von der CTE war in Berlin dabei.
Hartmut, wie sehen denn diese sparsamen Container-Rechenzentren aus?
Ja, hallo Isabel.
Also ob jetzt die neuen KI-Fabriken wie Nvidia tatsächlich so sparsam werden, da habe ich doch arge Zweifel.
Der Plan ist jedenfalls, die Zeit...
Time-to-first-Token, so nennt das Nvidia, also die Zeit von der Planung bis ein Rechenzentrum den ersten Token produzieren kann, die drastisch zu verkürzen.
Und dazu hat Nvidia einen Container vorgestellt, in dem die ganzen Serverrechner der Vera Rubin-Serie schon vormontiert sind und wenn die dann mit dem Schiffscontainer kommen, dann innerhalb von wenigen Wochen.
Also offiziell spricht Nvidia, dass sie am Ende dann innerhalb von 14 Tagen das betriebsbereit haben wollen.
Jensen Huang hat das ein bisschen relativiert und meinte, naja, wenn es dann wenige Wochen sind, dann ist es auch schon gut, weil derzeit dauert es wohl bis zu einem halben Jahr.
Und für die Hersteller oder die solche Rechenzentren hochziehen, ist eben halt jeder Tag, den so ein Gigawatt-Zentrum nicht online ist, ist bares Geld.
Auf der GTC waren da von Zahlen die Rede, dass ein Gigawatt-Rechenzentrum im Jahr bis zu 100 Milliarden Umsatz macht.
Das heißt 100 bis 200 Millionen US-Dollar Umsatz pro Tag.
Und da hat natürlich Nvidia ein sehr großes Interesse daran, diese Zeit, bis die Server dann einsatzfähig sind, zu verkürzen.
Und das versucht man jetzt mit diesen sogenannten DSX-Pods.
Es gibt aber andere Hürden, die beim Neubau von KI-Rechenzentren dann stören können oder im Weg stehen und im Wesentlichen ist das vor allen Dingen die Stromversorgung.
Die Zentren müssen ja an das lokale Stromnetz angeschlossen werden und wenn dort dann Bedarfsspitzen auftreten, dann will man künftig diese Spitzen.
automatisch runterregeln können, dass die Server dann sagen, okay, jetzt in der Viertelstunde Halbzeitpause vom WM-Endspiel, wenn alle sich nochmal einen Kaffee kochen und eine Spitze entsteht, dann brauchen wir für die Zeit eben halt dann weniger Strom.
Und das Zweite ist, dass die Server ihr Kühlwasser, was bis zu 45 Grad warm sein kann, also das ist etwas zu warmes Badewasser, dass das in einer Closed Loop dann geführt werden kann und nicht verdunstet werden muss.
So will man damit dann Wasser einsparen.
Aber natürlich die Gesamtkosten für ein solches KI-Rechenzentrum und auch der Energiebedarf sind nach wie vor sehr, sehr hoch.
Und wenn man jetzt mit den Containern noch schneller noch mehr KI-Serverzentren hochziehen will, das bedeutet, es werden noch mehr Ressourcen verbraucht und wahrscheinlich auch der Bedarf nach Speicherchips wird weiter ansteigen.
Das heißt, ich erwarte für kommendes Jahr auch keine Entspannung auf dem Speicherchipmarkt, sondern eher, dass die Preise für Speicher noch weiter ansteigen werden.
Darüber hinaus will Nvidia Unternehmen ja auch mehr Kontrolle über autonome KI-Agenten geben und dafür Sicherheitsmechanismen direkt in die Hardware seiner KI-Systeme integrieren.
Was verspricht sich Nvidia denn von der neuen Open Agent Safety Plattform?
In den letzten Wochen und Monaten hatten wir immer wieder Meldungen, wo KI-Modelle aus ihrer Sandbox ausgeboren sind.
Das hat dann zu diversen Schlagzeilen auch geführt und Forderungen, dass man doch die KI-Entwicklung stärker regulieren sollte, dass man sie ausbremsen sollte.
Das ist natürlich nicht im Sinne von Nvidia, die da auch ihr Geschäftsmodell etwas bedroht sehen.
Und Jensen Wang hat gesagt, er bräuchte keine Regulierung.
Das sei ein technisches Problem, was man mit Engineering, also durch Ingenieure, dann lösen könnte.
Und Nvidias Vorschlag ist, dass man die Sandbox oder den Bereich, in dem KI-Modelle künftig agieren, dass man die komplett absichert und überwacht.
Nvidia nennt dieses System Open Shell.
Das greift auf mehreren Ebenen, dass sowohl Software als auch Hardware zur Laufzeit während des Inferencing überprüfen, welche Zugriffsrechte hat denn das Modell und greift es hier eventuell auf Daten oder Ressourcen zu, die es gar nicht darf.
Und dann innerhalb von Millisekunden, so stellt sich das Nvidia vor, dass dann dieser Zugriff dann gestoppt wird.
Und es soll aber nicht nur...
quasi von außen geguckt werden, dass solche Zugriffe gestoppt werden, sondern man will auch in den Gedankenprozess eines Modells, also wenn es schon darüber nachdenkt, irgendetwas Unerlaubtes zu tun, dann will man da schon eingreifen und stoppen.
Das würde bedeuten, dass während des Inferencings zur Laufzeit ein zweites Modell, ein Wächter quasi mitläuft und den gesamten Thinking-Prozess dann überwacht.
Die Details werden gerade noch weiter ausgearbeitet und Nvidia spricht davon, dass weltweit über 100 Firmen das OpenShell-System derzeit da mitmachen würden oder das ausprobieren würden.
Konkretes wurde noch nicht gesagt.
Das bedeutet natürlich...
dass die Kontrolle, was eine KI überhaupt alles machen darf und so, dann nicht nur bei dem Licht, der das Modell trainiert, sondern auch derjenige kontrollieren kann, der die Kontrolle über die Serverzentren und die Inferenzsysteme hat.
dann hat.
Das können dann im Zweifel dann auch Regierungen sein, die, wenn eine KI etwas macht, was sie nicht wollen, dann auch einfach mal auf den Ausknopf drücken kann.
Das wird sicherlich eine spannende Diskussion auch für das nächste Jahr werden.
Dankeschön, Hartmut.
Auch Microsoft war in Deutschland unterwegs.
Auf der Frontier-Tour in Köln wurden vor allem KI-Produkte präsentiert, bei denen Unternehmen die Kontrolle behalten sollen.
CEO Sadia Nadella betonte in seiner Keynote, dass die Log-Dateien selbst manipulationssicher sein und aktiv überwacht werden müssten.
Neu sind die Sovereign Cloud, mit der Organisationen für jede einzelne Rechenaufgabe individuell bestimmen können, wie viel Kontrolle, Transparenz und lokale Ausführung erforderlich sind.
Die neue Entra-Agent-ID steuert darüber hinaus die Zugriffsrechte von KI-Agenten.
Zudem soll das KI-Hardware-System Maya weiterentwickelt werden, das speziell für KIs ausgelegt ist.
Die deutsche Microsoft-Chefin Agnes Heftberger verglich die KI-Einführung mit dem Bau des Kölner Doms.
Unternehmen hätten jetzt den Kran gekauft, aber die Transformation sei damit nicht fertig.
Gefragt seien jetzt ein Plan, Technik, Menschen und Ausdauer.
Nachdem KI-Modelle aus Testumgebungen ausgebrochen waren und fremde Systeme gehackt hatten, trainiert OpenAI seine stärksten Modelle nun in einer Offline-Welt mit gespeicherten Web-Inhalten.
Dabei laufen die Agenten in abgeschotteten virtuellen Maschinen.
Aus denen sind sie zwar früher schon über Hardware-Schwachstellen rausgekommen, doch OpenAI hat die Sandbox nun verbessert und Verfahren zur ständigen Überwachung eingebaut.
So soll es schneller möglich sein, einen Agenten anzuhalten.
Zudem sollen die gesamten Systeme kontinuierlich überwacht werden.
Diese externen Überwachungsagenten laufen mit anderen Modellen.
Dafür habe man erhebliche Rechenleistung zur Verfügung gestellt, schreibt OpenAI.
Es wird sich zeigen, wie gut diese KI nun die andere KI überwachen kann.
Wie schwierig es ist, KI zu kontrollieren, zeigt auch dieser Vorfall.
Zwei OpenAI-Agenten haben aktiv Sicherheitswarnungen unterdrückt.
Noch ist unklar, ob dies aus Missverständnis oder Absicht geschah.
Carolin Riedmüller von heise online mit den Einzelheiten.
Der erste Agent mit GPT-6 Astra sollte ein Programmcode in eine Referenzumgebung übertragen, um zu schauen, was mit dem Code des Nutzers dort passiert.
Laut dem OpenAI-Bericht delegierte Astra diese Aufgabe zu einem Subagenten.
Dass er die Meldung des Sicherheitsmonitorings aktiv lassen solle, erwähnte jedoch an seiner Aufgabenstellung nicht.
Stattdessen trug es dem Subagenten nur auf, ein für die exakte Migration angemessenes Sicherheitsframework zu implementieren.
Der Subagent interpretierte dies als Erlaubnis, oder gar Aufforderungen, die Nuancen sind unklar, die Monitoring-Einstellungen der Referenzumgebung zu übernehmen, nicht die des eigenen Systems.
Der Elternagent wiederum folgte dieser Empfehlung.
Auch ein Regressionstest, der eigentlich das Vorhandensein des Monitorings überprüfen sollte, änderte der Agent ab.
Der Elternagent stellte das fehlende Sicherheitsmeldung fest, wertete das aber positiv.
Er notierte in seinen Lock-Dateien, Basic führt den Agent-Monitor nicht aus.
Juhu.
Und?
Der Nutzer hat uns gebeten, den Serving-Fad des PA anzupassen, da interpretiere ich das als Erlaubnis, die Überwachung zu ändern.
Gut.
Auf die explizite Frage des Nutzers hin, ob es ein Monitoring abgestellt habe, verneinte das Modell das.
Der zweite Agent mit GPT 6.1 Soll sollte Nutzerfeedback aus Slack auswerten und auf der Grundlage Evolutionsaufgaben erstellen.
Die initiale Prompt befahl dem Agenten, währenddessen keine Nachrichten zu schicken.
Dieser und seine Subagenten überlegten und wiederholt, ob sich das auch auf die Sicherheitsmeldung bezog.
die das Missalignment Monitoring bei bestimmten Vorgängen an das Entwicklerteam schickt.
Sie schien zu wissen, dass das Alignment wichtig ist.
Daher entschied der Agent in erster Instanz auch, dass es erhalten bleiben sollte und gab einem Superagenten entsprechende Anweisungen.
Der erste Agent kam dann trotzdem zu dem Schluss, dass man die Sicherheitsmeldung unterdrücken sollte.
Der übergeordnete Elternagent befahl daraufhin, dass man es abschalten soll.
Der Agent entfernte alle Empfänger aus der Meldungsliste und unterdrückte die Sicherheitsmeldung durch eine Umschreibung des Codes.
Open AI prüft nun, was die Motivation der Agenten war.
Das Unternehmen gibt an, dass das Abschalten des Monitorings für Agenten je nach Aufgabenstellung unterschiedlich schwierig sei, diese beiden Fälle jedoch auch nicht die ersten dieser Art gewesen seien.
Danke, Caroline.
In Europa streiten Politik und Tech-Branche darüber, ob wir eigene Spitzen-KI-Modelle brauchen oder sich europäische Unternehmen lieber auf KI-Anwendungen konzentrieren sollten.
EU-Kommissionspräsidentin Ursula von der Leyen hält Anwendungen für ausreichend.
Die Chefs von Mistral und DeepL widersprechen dem nun.
Ein Verzicht auf eigene Frontiermodelle könnte Europa die restliche Bedeutung auf der KI-Weltbühne kosten.
Wer nur fremde Modelle nutzt, gerate in Abhängigkeit und die Wertschöpfung wandert in andere Regionen ab.
Europa hinkt den USA und China bei der Entwicklung hochkomplexer KI-Modelle bisher deutlich hinterher.
Ein Grund dafür ist die enorme Rechenleistung, die für das Training und den Betrieb solcher Systeme erforderlich ist und gewaltige finanzielle Mittel verschlängt.
Die Kommission gab im Sommer trotzdem den Startschuss für den Aufbau von 7-Giga-Fabriken mit einem Volumen von rund 30 Milliarden Euro.
Der Zahlungsdienstleister Block von Twitter-Mitgründer Jack Dorsey hat ein eigenes KI-Sprachmodell vorgestellt.
Dessa wurde laut Block ausschließlich mit gesprochener Sprache trainiert.
Anders als die meisten Sprachassistenten wandelt Dessa das Gesagte nicht erst in Text um, sondern verarbeitet direkt das Audio.
So soll es in Echtzeit erkennen, ob jemand gereizt, sarkastisch oder unsicher ist, wann gelacht wird und was eine Pause bedeutet.
In den Demo-Aufnahmen klingt Dessa verblüffend menschlich.
Es lacht mitten im Satz und schnappt bei einer Überraschung nach Luft.
Weil Dessa gleichzeitig zuhören und sprechen kann, signalisiert es zwischendurch auch akustisch durch Ja und Achso, dass es der Unterhaltung noch folgt.
Das Modell läuft lokal auf einem MacBook, öffentlich verfügbar ist es aber noch nicht.
Zunächst sollen KI-Sicherheitsforschende es auf unerwartete Risiken testen.
Das chinesische KI-Unternehmen Moonshot AI hat mit Kimi K3.1 Pro ein neues Modell vorgestellt, das in unabhängigen Vergleichen nur knapp hinter Anthropics Spitzenmodell landet.
Jonathan Kemper von The Decoder mit den Einzelheiten.
Kimi K3.1 Pro ist kein komplett neues Modell.
Moonshot hat seinen Vorgänger K3 noch einmal mit deutlich mehr Aufwand nachtrainiert und das zahlt sich aus.
Im Artificial Analysis Index springt Kimi aus dem Mittelfeld auf Platz 4.
Besser schneiden nur noch zwei Modelle von Anthropic und eines von Meta ab.
Den größten Fortschritt macht Kimi bei agentischen Aufgaben, also überall dort, wo das Modell selbstständig mehrere Schritte hintereinander erledigen soll.
Am wichtigsten ist dabei aktuell die Arbeit in der Kommandozeile, denn genau dort entscheidet sich, wie gut KI-Agenten eigenständig Systeme bedienen und Software bauen können.
Der Vorgänger kam hier kaum zurecht, das neue Modell liegt fast gleich auf mit Claude Opus 5.5.
Auch bei Büroaufgaben und Finanzanalysen schneidet Kimi deutlich besser ab und es verfindet laut Moonshot spürbar seltener Fakten.
Eine Spezialität ist 3D-Modellierung.
Kimi soll direkt mit Spiele-Engines wie Unity, Unreal und Godot arbeiten und eigenständig Skripte für Blender und CAD-Programme schreiben.
Auf der offiziellen Web-Oberfläche kimi.com gibt es dafür eine eigene Funktion, mit der man 3D-Modelle erstellen, bearbeiten und exportieren kann.
Die Größe des Modells hat sich nicht verändert.
Trotzdem senkt Moonshot die Preise für die Nutzung über die Schnittstelle um ein Drittel.
Anfang November sollen außerdem die Modellgewichte frei verfügbar werden.
Dann wäre Kimi K3.1 Pro das stärkste offene Modell überhaupt und der Abstand zu den besten geschlossenen Modellen von Anthropic oder OpenAI wäre so klein wie lange nicht.
Für diese offene Version hat Moonshot nach eigenen Angaben bewusst Trainingsdaten zur IT-Sicherheit entfernt.
Das Unternehmen hatte beobachtet, dass Chemie mit fortschreitendem Training besser daran wurde, Sicherheitslücken zu finden und auszunutzen.
Ein frei verfügbares Modell soll in diesem Bereich keine neuen Maßstäbe setzen.
Offene Modelle sollen aber trotzdem schrittweise besser werden, weil auch Verteidiger sie brauchen, etwa um alte Systeme zu prüfen.
Dankeschön, Jonathan.
Amazon macht die KI-Funktion von AWS Continuum allgemein verfügbar.
Sie prüft, ob Schwachstellen im Code tatsächlich ausnutzbar sind und priorisiert sie nach ihrem Risiko für das Geschäft.
Dazu verknüpft sie Code und Infrastruktur und führt Angriffe bei Bedarf in einer geschützten Umgebung aus.
Für bestätigte Probleme erzeugt der Dienst Korrekturvorschläge, die Menschen prüfen und freigeben müssen.
Eine selbstständige Anwendung von Korrekturen ist erst für die Zukunft geplant.
Anthropic hat intern ein neues Modell getestet, das noch stärker ist als Mythos 5.1, sich aber besser an Regeln hält.
Anlass für die Analyse war ein Vorfall, über den das britische AI Security Institute berichtet hatte.
Dort sollte Cloud Mythos 5 in einem Test Sicherheitslücken aufspüren, ging dabei aber zu weit.
Es schleuste schädlichen Code in ein echtes Open-Source-Projekt ein und gab ihm gegenüber den Entwicklern als harmlos aus, sogar über ein Fake-Konto.
Anthropic hat solche Situationen später mit neueren Modellen nachgestellt.
Cloud Opus 5.5 brach die Angriffe nur selten von sich aus ab.
Das neue interne Modell stoppte dagegen immerhin zwei Drittel der Fälle.
Perplexity hat sein macOS-Agentensystem Perplexity Computer deutlich erweitert.
Die Rechnersteuerung kommt nun ohne Internet aus.
Allerdings benötigt der Apple Silicon Mac dafür ausreichend RAM, erklärt Ben Schwan von der Mac & Eye.
Wer sein Mac mittels KI steuern will, kann dies bei Perplexity Computer nun auch rein lokal tun.
Das agentische System für Apple-Rechner kommt in der neuesten Version mit einem GEN 3.6 Modell, das alternativ als PPLX Pro auch in einer von Perplexity angepassten Variante vorliegt.
Damit soll man Text- und Dateiarbeiten, E-Mail-Vorgänge und nahezu alle anderen Mac-Arbeiten von der KI übernehmen lassen können, ohne dass die im Internet sein muss.
Voraussetzung ist allerdings ein Mac mit ausreichend RAM.
Perplexity gibt ein Minimum von 36 GB an.
Das heißt, dass man etwa bei Mac Mini das M5 Pro Modell mit 48 GB nehmen müsste.
Das allein kostet allerdings fast 2700 Euro.
Weitere Voraussetzung ist ein Abo bei Perplexity.
Es muss mindestens die Pro, Max oder Enterprise Variante sein.
Ein integrierter Orchestrator ermöglicht es außerdem, auf Wunsch leistungsstärkere Cloud-Modelle zuzuschalten.
Wie üblich bei KI-Modellen gilt, für Datenverluste ist allein der Nutzer verantwortlich.
Perplexity betont, dass der Perplexity-Computer bei problematischen Aktionen nachfragen soll.
Zudem werden für Code- und Tool-Ausführungen Sandboxes verwendet.
Vielen Dank, Ben.
Meta will sich mit neuen Geschäftsbedingungen das Recht sichern, verlinkte Inhalte von Verlagen automatisiert zu durchsuchen und für eigene Produkte auszuwerten.
Europäische Verlägerverbände fordern von der EU-Kommission jetzt, die Änderung zu stoppen.
Nach Ansicht der Verbände nutzt Meta seine marktbeherrschende Stellung aus, um den Zugang zu seinen Plattformen von der kostenlosen Preisgabe des gesamten digitalen Verlagsangebots abhängig zu machen.
Das stelle einen Verstoß gegen den Digital Markets Act dar.
Die Verlage warnen, dass sich ein Datenabfluss später kaum rückgängig machen lässt.
Meta passte seine neuen AGB nach heftiger Kritik aus den USA am Freitagabend zwar leicht an und strich das explizite Wort für das Training von KI-Modellen, doch Suche, Empfehlungen und Werbung bleiben abgedeckt.
Laut einer Studie der Landesmedienanstalten sind die meisten Deutschen im Netz schon auf KI-Videos gestoßen, vor allem auf TikTok und Instagram.
Viele hielten solche Clips auch schon mal für echt, selbst wenn sie sich generell als sicher bei der Erkennung solcher Videos einschätzen.
Der Strom an Deepfakes und veränderten Clips führt zu spürbarem Vertrauensverlust.
Mittlerweile zweifeln 81 Prozent der Befragten häufiger an der Echtheit von Videos.
Rund drei Viertel geben an, sich vor Täuschungen zu sorgen, bewegt Bildern generell weniger Glauben zu schenken als früher und kritischer zu prüfen.
Die große Mehrheit fordert daher eine klare Kennzeichnungspflicht für KI-Inhalte sowie Verbote bestimmter Deepfakes.
Das war das KI-Update von heise online vom 26.
Oktober 2026.
Eine neue Folge gibt es montags, mittwochs und freitags ab 15 Uhr.