Ethreums Vitalik Buterin advarer mot sikkerhetsrisikoer ved AI-agenter, deler sin private LLM-stack

Viktige punkter:

• Ethereum-medgründer Vitalik Buterin forlot sky-KI i april 2026 og kjører Qwen3.5:35B lokalt på en Nvidia 5090-laptop med 90 tokens per sekund.
• Buterin fant at omtrent 15 % av KI-agentferdigheter inneholder ondsinnede instruksjoner, og viser til data fra sikkerhetsselskapet Hiddenlayer.
• Hans åpenkildede meldingsdaemon håndhever en 2-av-2-bekreftelsesregel med menneske pluss LLM for alle utgående Signal- og e-posthandlinger til tredjeparter.

Hvordan Vitalik Buterin kjører et selv-suveren KI-system uten skytilgang

Buterin beskrev systemet som «selv-suveren / lokal / privat / sikker», og sa at det ble bygget som et direkte svar på det han ser som alvorlige sikkerhets- og personvernsvikt som sprer seg i KI-agent-miljøet. Han pekte på forskning som viser at omtrent 15 % av agentferdigheter, eller plug-in-verktøy, inneholder ondsinnede instruksjoner. Sikkerhetsselskapet Hiddenlayer demonstrerte at parsing av én enkelt ondsinnet nettside kunne kompromittere en Openclaw-instans fullstendig, slik at den kunne laste ned og kjøre shell-skript uten at brukeren var klar over det.

«Jeg kommer fra en tankegang der jeg er dypt redd for at akkurat idet vi endelig tok et skritt fremover for personvern med at ende-til-ende-kryptering ble mer mainstream og mer og mer lokal-først-programvare, er vi på randen av å ta ti skritt tilbake», skrev Buterin.

Maskinvaren han foretrekker er en laptop som kjører en Nvidia 5090 GPU med 24 GB videominne. Ved å kjøre modellen Qwen3.5:35B med åpne vekter fra Alibaba via llama-server, når oppsettet 90 tokens per sekund, noe Buterin kaller målet for behagelig daglig bruk. Han testet AMD Ryzen AI Max Pro med 128 GB samlet minne, som nådde 51 tokens per sekund, og DGX Spark, som nådde 60 tokens per sekund.

Han sa at DGX Spark, markedsført som en stasjonær KI-superdatamaskin, var lite imponerende gitt prisen og lavere gjennomstrømning sammenlignet med en god laptop-GPU. For operativsystemet sitt byttet Buterin fra Arch Linux til NixOS, som lar brukere definere hele systemkonfigurasjonen sin i én enkelt deklarativ fil. Han bruker llama-server som en bakgrunnsdaemon som eksponerer en lokal port som enhver applikasjon kan koble seg til.

Claude Code, bemerket han, kan peke til en lokal llama-server-instans i stedet for Anthropics servere. Sandkassing er sentralt i sikkerhetsmodellen hans. Han bruker bubblewrap til å opprette isolerte miljøer fra hvilken som helst katalog med én enkelt kommando. Prosesser som kjører inne i disse sandkassene kan bare få tilgang til filer som er eksplisitt tillatt og kontrollerte nettverksporter. Buterin åpenkildet en meldingsdaemon på github.com/vbuterin/messaging-daemon som pakker inn signal-cli og e-post.

Han bemerket at daemonen kan lese meldinger fritt og sende meldinger til seg selv uten bekreftelse. Enhver utgående melding til en tredjepart krever eksplisitt menneskelig godkjenning. Han kalte dette «menneske + LLM 2-av-2»-modellen, og sa at den samme logikken gjelder for Ethereum-lommebøker. Han rådet team som bygger KI-tilkoblede lommebokverktøy til å sette et tak på autonome transaksjoner på 100 dollar per dag og kreve menneskelig bekreftelse for alt over dette, eller enhver transaksjon som bærer calldata som kan eksfiltrere data.

Fjerninferenz, på Buterins premisser

For forskningsoppgaver sammenlignet Buterin det lokale verktøyet Local Deep Research med sitt eget oppsett ved å bruke pi-agentrammeverket kombinert med SearXNG, en selvhostet personvernfokusert meta-søkemotor. Han sa at pi pluss SearXNG ga svar av bedre kvalitet. Han lagrer en lokal Wikipedia-dump på omtrent 1 terabyte sammen med teknisk dokumentasjon for å redusere avhengigheten av eksterne søk, som han betrakter som en personvernlekkasje.

Han publiserte også en lokal daemon for lydtranskripsjon på github.com/vbuterin/stt-daemon. Verktøyet kjører uten GPU for grunnleggende bruk og mater utdata til LLM-en for korrigering og oppsummering. Når det gjelder Ethereum-integrasjon, sa Buterin at KI-agenter aldri bør ha ubegrenset tilgang til lommebok. Han anbefalte å behandle mennesket og LLM-en som to ulike bekreftelsesfaktorer som hver fanger opp ulike feiltyper.

For tilfeller der lokale modeller ikke strekker til, skisserte Buterin en personvernbevarende tilnærming til fjerninferenz. Han pekte på sitt eget ZK-API-forslag sammen med forskeren Davide, Openanonymity-prosjektet, og bruk av mixnets for å hindre servere i å koble sammen påfølgende forespørsler via IP-adresse. Han viste også til pålitelige eksekveringsmiljøer som en måte å redusere datalekkasjer fra fjerninferenz på i nær fremtid, samtidig som han bemerket at fullt homomorf kryptering for privat skyinferenz fortsatt er for tregt til å være praktisk i dag.

Buterin avsluttet med en merknad om at innlegget beskriver et utgangspunkt, ikke et ferdig produkt, og advarte leserne mot å kopiere nøyaktig hans verktøy og anta at de er sikre.