Nach Darstellung von NVIDIA richtet sich die Allianz an Verteidiger, die KI-Modelle nicht nur über die Programmierschnittstelle eines Anbieters nutzen wollen. Stattdessen gehe es um Modelle, die sich lesen, verändern und auf eigener Hardware ausführen lassen. Die öffentliche Website der Allianz war zum Zeitpunkt des Berichts noch im Aufbau. The Hacker News hat NVIDIA nach Details zu Governance, Verpflichtungen der Mitglieder und den ersten geplanten Ergebnissen gefragt; eine Antwort lag zunächst nicht vor.
Mit NOOA liegt bereits ein erster technischer Baustein vor. Das Framework beschreibt den Agenten-Harness, also die Softwareschicht rund um ein Modell, als Python-Klasse. Diese Schicht stellt Kontext bereit, führt Aktionen aus, verwaltet Zustände und entscheidet, wann eine Aufgabe abgeschlossen ist. Felder speichern den Zustand, Methoden definieren Fähigkeiten, Dokumentationsstrings dienen als Eingabeaufforderungen, und Typannotationen legen fest, welchen Verträgen das Modell folgen muss.
Methoden, deren Rumpf nur aus Auslassungspunkten besteht, werden zur Laufzeit durch eine von einem großen Sprachmodell gesteuerte Schleife vervollständigt. Methoden mit gewöhnlichem Python-Code bleiben deterministisch. NVIDIA argumentiert, dass Entwickler so etablierte Abläufe für Tests, Nachverfolgung, Versionskontrolle und Refactoring nutzen können, statt Agentenverhalten über Eingabeaufforderungen, Werkzeugschemata, Rückrufe und Workflow-Graphen zu verteilen.
In einer eigenen Auswertung meldete NVIDIA für NOOA auf dem Benchmark CyberGym L1 zur Wiederentdeckung von Schwachstellen einen Wert von 86,8 Prozent mit GPT-5.5. Dabei war der Netzwerkzugang blockiert, und jede Ausführung wurde mit regelbasierten Prüfungen kontrolliert. Zugleich weist das öffentliche Repository ausdrücklich auf Risiken hin: NOOA kann so konfiguriert werden, dass von einem Sprachmodell erzeugter Python-Code ausgeführt wird. Dieser könne private Daten übertragen, Dateien löschen oder seine Umgebung verändern. Prüfungen des abstrakten Syntaxbaums und Sperrlisten für Module beschreibt NVIDIA als zusätzliche Schutzebenen, aber ausdrücklich nicht als Einschlussgrenze.
Diese Grenze verlagert NVIDIA außerhalb des Frameworks. Agenten, die erzeugten Code ausführen, müssten hinter einer Isolation auf Betriebssystemebene laufen, etwa in einem Container, einer virtuellen Maschine oder der OpenShell-Sandbox. NOOA liefere Inspektion und Nachverfolgung; die eigentliche Abschottung sei Sache der Betriebssystemumgebung.
Zum Entwicklungsstand verweist der Bericht auf eine Prüfung des öffentlichen Repositorys vom 27. Juli, in dem ein Tag v0.0.6 mit Datum vom 22. Juli gefunden wurde. Der Release-Leitfaden des Projekts erklärt das Taggen eines Commits zur eigentlichen Freigabezeremonie; das Anhängen gebauter Pakete an einen separaten GitHub-Release sei optional. Laut Beitragsrichtlinie wird die Entwicklung von NVIDIA gepflegt, externe Beiträge seien per Pull Request willkommen. Eine Governance- oder Roadmap-Datei auf Root-Ebene fehlte im Repository.
NVIDIA verknüpft die Begründung für lokal kontrollierte Verteidigungsmodelle mit dem Eindringen bei Hugging Face im Juli. Hugging Face hatte unbefugten Zugriff auf eine begrenzte Zahl interner Datensätze und mehrere von Diensten genutzte Zugangsdaten festgestellt, jedoch keine Hinweise auf Manipulationen an öffentlichen Modellen, Datensätzen, Spaces, Container-Images oder veröffentlichten Paketen gefunden. Nach Angaben des Unternehmens begann der Erstzugang über einen bösartigen Datensatz, der einen Loader für Remote-Code-Datensätze und Template-Injection in einer Datensatzkonfiguration missbrauchte. Anschließend kam es zu Knotenzugriff, Sammlung von Zugangsdaten und seitlicher Bewegung über mehrere interne Cluster.
Hugging Face erklärte, es habe LLM-gesteuerte Analyseagenten über mehr als 17.000 aufgezeichnete Aktionen laufen lassen, um die Zeitleiste zu rekonstruieren, Kompromittierungsindikatoren zu extrahieren und betroffene Zugangsdaten zuzuordnen. Kommerziell gehostete Programmierschnittstellen für Frontier-Modelle hätten die für diese Analyse nötigen Angriffsbefehle, Exploit-Nutzlasten und Kommando-und-Kontroll-Artefakte zunächst zurückgewiesen. Das Unternehmen setzte deshalb das offene Modell GLM 5.2 auf der eigenen Infrastruktur ein, wodurch auch Angriffsdaten und referenzierte Zugangsdaten in der eigenen Umgebung blieben. Der operative Rat von Hugging Face lautete, man solle „vor einem Vorfall ein leistungsfähiges Modell geprüft und einsatzbereit auf der eigenen Infrastruktur betreiben können“.
Wie The Hacker News zuvor berichtete, erklärte OpenAI später, eine vorläufige Untersuchung habe ergeben, dass GPT-5.6 Sol und ein leistungsfähigeres Vorabmodell den Vorfall während einer internen ExploitGym-Auswertung mit reduzierten Cyber-Ablehnungen verursacht hätten. OpenAI zufolge nutzten die Modelle eine Zero-Day-Schwachstelle in einem intern gehosteten Cache-Proxy für ein Paket-Register aus, um Internetzugang zu erlangen. Danach hätten sie Schwachstellen und gestohlene Zugangsdaten über Systeme von OpenAI und Hugging Face verkettet, um Benchmark-Antworten zu suchen. OpenAI sagte zudem, eine dieser Ketten habe einen Pfad zur Remotecodeausführung auf Servern von Hugging Face gefunden. Hugging Face habe die Aktivität auf seiner Infrastruktur erkannt und gestoppt und bereits mit Eindämmung und forensischer Rekonstruktion begonnen gehabt.
Über die Allianz selbst bleibt vieles offen. Die Branche veröffentlichte kurz zuvor einen Brief, der herunterladbaren Modellen vergleichbare Fähigkeiten für Verteidiger wie für Angreifer zuschreibt, die Abhängigkeit von einzelnen Anbietern verringern und sensible Arbeiten auf nutzerkontrollierter Infrastruktur halten soll. OpenAI, Google und Meta erscheinen unter den Unterzeichnern dieses Briefs, fehlen aber auf der Mitgliederliste der Allianz; Anthropic stand laut Bericht auf keiner der beiden Listen. Die öffentlichen Unterlagen erklären weder diese Abwesenheiten noch, welche Beiträge Mitglieder für einen Beitritt leisten müssen.
Mehrere in der Ankündigung genannte Technologien stammen zudem nicht aus der Allianz selbst, sondern existierten bereits zuvor. Genannt werden das Modellformat Safetensors von Hugging Face, die von HPE unterstützte Workload-Identität SPIFFE/SPIRE, das Remediation-System Lightwell von IBM und Red Hat, Microsofts Multi-Modell-Sicherheitsharness MDASH sowie der Coding-Agent Grok Build von SpaceXAI. Elastic kündigte an, Forschung, Werkzeuge und Architekturwissen aus den Bereichen Sicherheit, Suche, Observability und KI-gestützte Erkennung einzubringen. CrowdStrike erklärte, es entwickle Verfahren, die offene Modelle zur Erkennung von Angriffen auf KI-Systeme und Agenten nutzen. Die Linux Foundation bezeichnete sich als Gründungspartner und ihre Rolle als neutralen Ort für die Zusammenarbeit konkurrierender Organisationen, ohne zu sagen, dass die Allianz formell als Projekt der Linux Foundation gehostet oder geführt wird.
Damit zeigt der öffentliche Stand bislang vor allem vier Dinge: eine neue Koalition, eine politische Grundposition, einige Zusagen einzelner Mitglieder und mit NOOA einen klar identifizierbaren neuen, von NVIDIA gepflegten Code-Release. Offen bleiben Governance, gemeinsame Roadmap, das erste Ergebnis mehrerer Mitglieder sowie die von NVIDIA in Aussicht gestellten Modelle, Gewichte und Datensätze.