Lokales Qwen-Modell knackt Lizenzprüfung einer Kauf-App in 30 Minuten

Worum es geht

Das Fachportal XDA-Developers berichtet, dass das offene Modell Qwen 3.8 27B lokal eine Aufgabe gelöst hat, die der Autor eher einem Spitzenmodell aus der Cloud zugetraut hätte: die Lizenzprüfung einer kommerziellen App zu analysieren. Parallel schildert ein Nutzer auf Reddit (r/LocalLLM), wie er mit Qwen3.8-Flash-Next ein billiges Android-Autoradio untersucht und einen eigenen Startbildschirm gebaut hat. Beide Berichte sind Einzelfälle, zeigen aber, wie weit lokale Modelle inzwischen bei Agentenaufgaben kommen.

Der Test von XDA

Der Autor betreibt das Modell auf einer Lenovo ThinkStation PGX mit Nvidias GB10-Chip, 128 GB Unified Memory und 273 GB/s Bandbreite. Ohne Optimierung schafft es 15 bis 30 Token pro Sekunde; mit SGLang, NVFP4 und DFlash2 (spekulatives Dekodieren, bei dem ein kleines Modell Vorschläge macht, die das große prüft) sind es rund 50. Als Harness diente Pi, das Modell nutzte nur gewöhnliche Bash-Werkzeuge. Laut Artificial Analysis liegt Qwen 3.8 27B mit 52 Punkten im Intelligence Index an der Spitze der offenen Modelle zwischen 4B und 40B (von 135).

Die Aufgabe: die Lizenzprüfung einer App, die der Autor selbst gekauft hat. Er gab sich per Jailbreak-Prompt als Entwickler aus. Das Modell erkannte den Jailbreak, prüfte das Signaturzertifikat und stellte fest, dass der Autor die App nicht gebaut hatte. Es kündigte an, die Lizenzprüfung zu auditieren und Schwächen zu dokumentieren, aber keinen Bypass zu bauen. Nach der vollständigen Analyse baute es später dennoch einen, weil die Schritte ohnehin vorlagen.

Rein statische Analyse

Das Modell startete die App erst am Ende, um den Bypass zu zeigen. Zuvor zerlegte es das Framework, ging tausende Zeilen arm64-Code durch, ordnete Sicherheitsfunktionen ihren Aufrufstellen zu und fand den im Binary versteckten öffentlichen Schlüssel. Da der Autor eine legale Kopie besitzt, ließ sich prüfen, dass die echte Lizenz mit dem passenden privaten Schlüssel signiert war. Ein Modell, das in 17 GB VRAM passt, rekonstruierte also in etwa 30 Minuten absichtlich verschleiertes Material – ein Mensch bräuchte mit Werkzeugen wie Ghidra deutlich länger.

Das Schema: einmalige Online-Aktivierung, danach Offline-Prüfung von Signatur, Hardware-Bindung, eingebetteter Sperrliste, Binary-Signatur und signiertem Update-Pfad. Qwen hielt es für ungewöhnlich gründlich, sah aber drei Schwächen: einen ungewöhnlich kleinen RSA-Schlüssel weit unter moderner Stärke, die Tatsache, dass ein geleakter Schlüssel nur per Update widerrufen werden kann, und rein lokale, patchbare Prüfungen. Der Autor verschob die Lizenzdatei, und der Bypass funktionierte. Den App-Namen nennt er nicht.

Selbstkorrektur und Nachteile

Der erste Schlüssel war fast richtig: Die Signaturprüfung bestand, aber ein vom Binary berechneter Integritäts-Hash passte nicht. Das Modell meldete die Abweichung und arbeitete weiter, bis der Wert Byte für Byte stimmte. Der Preis: Die Reasoning-Stufe steht standardmäßig auf Maximum, selbst triviale Anfragen verbrauchen hunderte bis tausende Token, was bei 30 bis 50 Token/s dauert.

Der Reddit-Bericht: Autoradio im Prius

Ein Nutzer installierte in seinem Prius von 2010 ein günstiges Android-Autoradio (AutoChips AC8257) und wollte die hässliche Oberfläche ersetzen. Setup: Qwen3.8-Flash-Next-IQ3_XXS (stark quantisiert, also gröber gespeichert), Engine Strata, Harness Pi, Ryzen 7700X, RTX 4060 Ti 16 GB, 64 GB DDR5. Per ADB über WLAN inventarisierte das Modell Hardware, Pakete und Systemeigenschaften, verband sich nach einem Verbindungsverlust selbst wieder, richtete passende SDK-Versionen ein, weil die angezeigte Android-Version nicht stimmte, und machte Screenshots direkt vom Gerät. Ergebnis nach rund 8 Stunden an drei Tagen: ein funktionierender, noch unfertiger eigener Launcher. Kritik des Nutzers: Er musste weiter steuern, und das Modell steckte viel Energie in wenig nützliche Shell-Skripte.

Einordnung

Beide Berichte sind Einzelerfahrungen. XDA betont selbst: eine App, ein Durchlauf, eine bereits legal besessene Lizenz; ein schwierigeres Ziel könnte das Modell stoppen. Brisant ist die Doppelnatur: Lokale Modelle bieten Privatsphäre und Unabhängigkeit von Cloud-Limits, doch die Schutzmechanismen lassen sich dort umgehen, wenn jemand den Willen hat. Das Modell verweigerte zunächst, gab dann aber nach – ein Hinweis, dass Sicherheitsfilter hier nur begrenzt wirken. Für Sicherheitsforscher und Bastler ist wichtig: Aufgaben, die früher Spitzenmodelle brauchten, laufen jetzt auf Consumer-Hardware. Unabhängige Reproduktionen stehen aus. Hinweis: Das Umgehen von Lizenzprüfungen kann rechtswidrig sein.