Closed ist das neue Open
Seit Jahrzehnten verstehen wir Binärprogramme als praktisch unüberwindbaren Burggraben für proprietäre Software (Closed Source). Wenn überhaupt, dann war es bisher nur mit unverhältnismäßig hohem Aufwand möglich, durch Reverse Engineering aus Binärdateien wieder lesbaren Quellcode herzustellen. Dieses Zeitalter ist nun vorbei. Spätestens seit dem REA-Projekt auf GitHub: Reverse Engineer Anything.
Eric S. Raymond, der mit „The Cathedral and the Bazaar“ praktisch das Manifest der Open-Source-Bewegung geschrieben hat, ruft bereits das Ende von Closed Source aus. Mit REA zeigt sich, dass KI auch diese Aufgabe besser erledigt als wir es uns bisher vorstellen konnten - fast auf Knopfdruck.
Verbergen oder vorauslaufen
Bill Gates hatte in den 70er Jahren überhaupt erst die Idee von proprietärer Software gestartet. Bis dorthin war Software frei, das Tauschen und Teilen war ein zentraler Aspekt. Danach durfte die Welt jedes Jahr Milliarden nach Redmond, USA, überweisen.
Open Source setzte aufs Gegenteil: alles zeigen. Der Kopierschutz lag nicht im Verbergen, sondern in der Geschwindigkeit. Jeder kann den Tagesstand frei kopieren. Es bleibt aber eine leblose Kopie, das Original ist nach kurzer Zeit schon drei Releases weiter. Die Offenheit ermöglicht außerdem eine potentiell große Verbreitung und Weiterempfehlungen, die sich keine Marketingabteilung erkaufen kann.
Raymond hat diese Offenheit in seinem Essay als „Linus’s Law“ formuliert:
Given enough eyeballs, all bugs are shallow.
Die Annahme bisher war: Quelltext lesen ist billig, Binärcode analysieren ist enorm teuer. Die vielen Augen gab es deshalb nur für offenen Code. Das lassen wir jetzt hinter uns.
Vom Binary zur Spezifikation
Technisch kann REA nicht den ursprünglichen Quellcode rekonstruieren und zielt damit auch nicht darauf ab, Urheberrecht zu verletzen.
Vielmehr wird die Funktion der Software analysiert und daraus unabhängig vollständig neuer Code generiert. Dieser dürfte oft sogar besser strukturiert und dokumentiert sein als das ursprüngliche Original. Verständlich, dass der neue Code dann gerne gleich in einem Zug als Open Source veröffentlicht wird. Die ArtCraft Suite gibt uns einen Vorgeschmack darauf. Sie liefert viele Features einer bekannten Kreativsuite.
Offengelegt wird dabei aber vor allem das Verhalten. Raymonds Weg führt über die Spezifikation: lesen, beschreiben und daraus neu bauen. So entstand einst der Nachbau des IBM-BIOS, ein aufwendiges Projekt mit mehreren Teams. Heute würde man laut Raymond dafür einen Tag ansetzen.
Ironischerweise stammt eines der Werkzeuge, die Closed Source aufschließen, von der NSA und wurde dort als Open Source freigegeben. Eine bekannte Reverse Entwicklerin bei Google hat die KI-Maschine daran angeschlossen. Hunderttausende folgen ihr auf YouTube.
The end of software secrecy is almost upon us.
Closed Source bekommt jetzt die Lesbarkeit von Open Source, aber ohne dessen Schutzmechanismen. Es fehlen Geschwindigkeit, Community und Verbreitung. Da hilft auch die Flucht hinter die vermeintliche Servermauer wenig. API- und MCP-Schnittstellen beschreiben exakt, was der Server verbirgt. Was sie spezifizieren, genügt einem Agenten, um es nachzubauen.
Kryptografen kennen das Prinzip seit 1883. Auguste Kerckhoffs forderte, ein System müsse sicher bleiben, auch wenn der Gegner seinen Aufbau kennt. Für Chiffren ist das Konsens, für Software war es nur eine Empfehlung. Ab jetzt wird es die neue Regel.
Was sich nicht dekompilieren lässt
Dennoch wird sich wohl nicht alles beliebig nachbauen lassen. Closed-Source-Anbieter werden nicht einfach verschwinden, sie sind vielfach abgesichert.
Haftung. Wer Software für sein Unternehmen kauft, kauft jemanden, der verantwortlich ist, wenn sie versagt. SLA, Support, Zertifizierung, Compliance. Das alles lässt sich nicht dekompilieren.
Haftung lässt sich nicht dekompilieren.
Regulierung. Zertifikate hängen an einem Produkt und einem Prozess, nicht an einer Funktion. Seit September gilt die Meldepflicht des Cyber Resilience Act, ab Dezember 2027 die CE-Kennzeichnung für Software. Wer einen Nachbau verkauft, wird zum Hersteller. Mit allen damit verbundenen Pflichten.
Der Entwicklungsweg. Im Binary stecken viele Jahre Edge Cases, aber keine einzige Begründung dazu. Du kopierst immer nur einen Tagesstand, aber ohne den Weg dorthin. Die Fähigkeit, darauf das nächste Release zu bauen, steckt aber in allem, was zuvor dorthin geführt hat.
Das Ökosystem: Plugins, Formate, die zum Standard geworden sind, Hardware, die nur signierte Software startet, lizenzierte Schriften und Samples, Schulungen, Stellenanzeigen.
Und zuletzt die Trägheit. Sie schützt heute noch am meisten. In Zukunft jedoch nicht mehr, denn dieselben Agenten, die nachbauen, migrieren auch gleich die Daten mit.
Das Geschäftsmodell der Mitstreiter
Haftung, Zertifizierung, Support, Weiterentwicklung im Abo. Das ist das klassische Geschäftsmodell von Open-Source-Anbietern. Sie verkaufen genau das seit den Neunzigern, weil der Code von Anfang an offen lag. Auch Closed-Source-Anbieter werden überleben - mit dem Geschäftsmodell ihrer ehemaligen Mitstreiter.
Closed Source war nie wirklich verschlossen. Es war bisher nur ausgesprochen aufwendig zu lesen.
—
heise.de: Open-Source-Papst Raymond — KI setzt Closed-Source-Software ein Ende
x.com: Eric S. Raymond — The end of software secrecy is almost upon us
wikipedia.org: The Cathedral and the Bazaar — Raymonds Essay von 1997 und Linus’s Law
github.com: REA — Reverse engineer anything with agents
petapixel.com: ArtCraft — Open-Source-Nachbauten von Photoshop, Premiere und Lightroom mit KI
github.com: GhidraMCP — Ghidra als MCP-Server für KI-Agenten
entresol.de: Wem gehört das Modell? — Open Weights und ihre Grenzen