Naver Clouds Cybersecurity-KI drängt in Richtung nationaler Infrastruktur, doch die 40-Milliarden-₩-Behauptung braucht Kontext

Naver Cloud hat ein Cybersecurity-KI-Programm gestartet, das auf 4.000 Nvidia-B200-GPUs, zwei geplanten Modellen mit jeweils 700 Milliarden Parametern und Erprobungen in sieben kritischen Sektoren basiert. Das Cybersecurity-KI-Projekt von Naver Cloud ist ungewöhnlich ambitioniert, weil es offensive und defensive Systeme kombiniert, statt einen allgemeinen Chatbot anzupassen.

Das Unternehmen führt ein 33-köpfiges Konsortium an, das am 3. September 2026 vom südkoreanischen Ministerium für Wissenschaft und IKT ausgewählt wurde. Zu den Mitgliedern zählen LG CNS, LG AI Research, LG Uplus, Sicherheitsanbieter, Infrastrukturbetreiber, Forschungsinstitute und große Universitäten.

Eine Schlagzeile, die über Nachrichtenaggregatoren kursiert, besagt außerdem, dass die jährlichen Investitionen 40 Milliarden ₩ übersteigen werden. Dieser Betrag wird weder in Navers Ankündigung vom 3. September noch in der für diesen Artikel geprüften Berichterstattung zur staatlichen Auswahl genannt. Die verifizierten Angaben beschreiben stattdessen umfangreiche Infrastrukturzusagen, darunter Tausende vom Unternehmen bereitgestellte GPUs und 256 staatlich bereitgestellte B200-GPUs.

Dieser Unterschied ist wichtig. Naver Cloud hat die Architektur, den Hardwarebeitrag, das Ziel für die Trainingsdaten, den Plan für Feldversuche und die Open-Source-Absicht bestätigt. Ein wiederkehrendes jährliches Cash-Budget ist dagegen weniger eindeutig dokumentiert und sollte nicht als gesicherte Tatsache behandelt werden.

Der größere Wettbewerb reicht zudem über Naver Cloud und das unterlegene Konsortium des Rivalen SK Telecom hinaus. Er stellt ein im Inland kontrolliertes und einsetzbares Sicherheitssystem der Abhängigkeit von allgemeinen Modellen gegenüber, die nicht für koreanische Infrastruktur, geschlossene Netzwerke oder operative Bedrohungsdaten trainiert wurden.

Das Cybersecurity-KI-Projekt von Naver Cloud beginnt mit zwei Modellen

Bei dem Projekt handelt es sich nicht um ein einzelnes großes Modell mit einem Sicherheits-Prompt. Es ist ein gekoppeltes System, das beide Seiten einer Cyberoperation abdecken soll.

Naver Cloud erklärt, das Konsortium werde zwei Mixture-of-Experts-Modelle entwickeln, die jeweils auf etwa 700 Milliarden Parameter abzielen. Ein Mixture-of-Experts-Modell aktiviert für jede Aufgabe ausgewählte Parametergruppen und verringert damit den Rechenaufwand gegenüber der Aktivierung des vollständigen Modells bei jedem Vorgang.

Das defensive Modell wird auf Navers HyperCLOVA X aufbauen. Zu seinen erwarteten Aufgaben gehören Bedrohungserkennung, Unterstützung bei Untersuchungen, defensives Schlussfolgern und Reaktionen im gesamten Sicherheitsbetrieb.

Das offensive Modell wird auf LG AI Researchs EXAONE basieren. Offensive Fähigkeiten bedeuten in diesem Zusammenhang, Schwachstellen in kontrollierten Umgebungen zu finden, zu reproduzieren und zu validieren. Es bedeutet nicht, einem uneingeschränkten Hacking-System Zugriff auf öffentliche Ziele zu geben.

Naver beschreibt das Paar als System für den gesamten Angriffs- und Verteidigungszyklus. Diese Trennung ist folgenreich, weil offensive und defensive Aufgaben unterschiedliche Werkzeuge, Daten, Berechtigungen und Bewertungsmethoden erfordern.

Ein defensiver Assistent könnte Warnmeldungen zusammenfassen, Logs korrelieren oder Eindämmungsschritte empfehlen. Ein offensiver Agent muss mit Software interagieren, Hypothesen testen, Sicherheitswerkzeuge verwenden und überprüfen, ob eine scheinbare Schwachstelle ausnutzbar ist.

Das Konsortium begann bereits mit dem Pretraining, bevor die Regierung ihre endgültige Auswahl traf. Laut Navers detaillierter Projektspezifikation stellte das Unternehmen 4.000 B200-GPUs aus eigenen Ressourcen bereit.

LG steuert weitere 256 H200-GPUs bei. Die staatliche Zuteilung ergänzt dies um 256 B200-GPUs; unabhängige Berichte besagen, dass diese Ressourcen zunächst zehn Monate lang verfügbar sein werden.

Der Trainingsplan sieht außerdem rund 830 Terabyte realer Daten vor. Von Naver genannte Mitwirkende sind LG CNS, KEPCO KDN, Korea Hydro & Nuclear Power, das Financial Security Institute, KISTI und LG Uplus.

Diese Daten sollen Bedrohungsinformationssammlung, Kennzeichnung, Standardisierung und Validierung abdecken. Sie spiegeln zudem Umgebungen wider, die ein allgemeines, auf Internetdaten trainiertes Modell selten in nutzbarer Form sieht, darunter operative Netzwerke und regulierte Infrastruktur.

Naver erklärt, die Modelle würden in Energieversorgung, Finanzen, Wissenschaft und Technologie, Telekommunikation, Halbleitern, Verteidigung und Luft- und Raumfahrt erprobt. Diese sieben Sektoren geben dem Projekt über Benchmark-Demonstrationen hinaus ein klares Einsatzziel.

Die Modelle sollen außerdem in geschlossenen Netzwerken arbeiten. Ein geschlossenes Netzwerk ist vom öffentlichen Internet isoliert; das begrenzt die Offenlegung von Daten, erschwert aber die Nutzung cloudabhängiger KI-Dienste.

Naver Cloud hat Foundation-Model-Technologie bereits in On-Premises- und isolierten Umgebungen für regulierte Organisationen eingesetzt. Das Unternehmen behandelt diese Erfahrung als zentralen Vorteil und nicht als Implementierungsdetail, das erst nach dem Modelltraining ergänzt wird.

Hier unterscheidet sich das Sicherheitsmodell von Naver Cloud von vielen Cybersecurity-Copilots. Die meisten Copilots sitzen über einem Sprachmodell eines Drittanbieters und helfen Analysten, Dokumentation zu durchsuchen oder Warnmeldungen zu interpretieren. Navers Konsortium will die Basismodelle, die Trainingspipeline, die Infrastruktur, die Werkzeuge und die Einsatzumgebung kontrollieren.

Der Plan ähnelt daher eher einer nationalen technischen Infrastruktur als einem gewöhnlichen Launch von Unternehmenssoftware. Zugleich setzt er einen höheren Maßstab für Erfolg.

Ein Chatbot kann nach einer überzeugend inszenierten Demonstration nützlich wirken. Ein Cybersecurity-Foundation-Model muss sich jedoch sicher verhalten, wenn Belege widersprüchlich sind, Werkzeuge ausfallen, Berechtigungen begrenzt sind und eine falsche Empfehlung essenzielle Dienste stören kann.

Warum Korea Sicherheits-KI als souveräne Infrastruktur behandelt

Der unmittelbare Druck liegt bei Organisationen, die sensible operative Daten nicht sicher an ein ausländisches öffentliches Modell senden können.

Südkoreas Regierung stellte das Programm als Reaktion auf zunehmend ausgefeilte Cyberbedrohungen im Zusammenhang mit leistungsfähiger KI dar. Sie will außerdem ein unabhängig kontrolliertes Sicherheitsmodell, das die heimische Sprache, Infrastruktur, Regulierung und Bedrohungslage berücksichtigen kann.

Die Auswahl des Konsortiums folgte auf einen Wettbewerb mit einer von SK Telecom geführten Gruppe. Laut den Bewertungsdetails zur staatlichen Auswahl bewerteten externe Experten technische Fähigkeiten, Entwicklungserfahrung, Umsetzbarkeit, Marktfähigkeit und erwartete Auswirkungen auf die Industrie.

Damit ist SK Telecom der deutlichste Wettbewerbsmaßstab. Beim Wettbewerb ging es nicht bloß darum, welches Unternehmen mehr GPUs zusammenstellen konnte. Er prüfte, welche Gruppe Foundation-Model-Forschung mit operativen Daten, Sicherheitskompetenz, Validierungswerkzeugen und Einsatzorten verbinden konnte.

Die Antwort von Naver Cloud war ein breites Konsortium statt eines vertikal isolierten Labors. Die Gruppe umfasst Cloud-Betreiber, Modellentwickler, Anbieter offensiver Sicherheitslösungen, Infrastrukturinhaber, Universitäten und öffentliche Forschungseinrichtungen.

Diese Breite adressiert ein strukturelles Cybersecurity-Problem. Hochwertige Sicherheitsdaten sind über Organisationen verteilt, während aussagekräftige Tests Zugang zu realistischen Systemen und erfahrenen Fachleuten erfordern.

Normalerweise besitzt kein einzelner Anbieter alle drei Voraussetzungen. Ein Modellunternehmen verfügt über Trainingsexpertise, aber nur begrenzte operative Daten. Ein Infrastrukturanbieter hat Logs, kann sie jedoch nicht frei weitergeben. Ein Sicherheitsunternehmen versteht Schwachstellen, verfügt aber möglicherweise nicht über genügend Rechenkapazität, um ein großes Modell zu trainieren.

Naver Cloud versucht, diese Teile in einem Programm zusammenzuführen. Der Ansatz verteilt zudem Risiken, weil Fachleute aus der Praxis das Modellverhalten vor dem Einsatz hinterfragen können.

Das souveräne Element hat sowohl technische als auch politische Dimensionen. Technische Souveränität bedeutet, dass eine Organisation ein System betreiben, prüfen, verändern und einsetzen kann, ohne von einem entfernten Anbieter abhängig zu sein. Politische Souveränität bedeutet, dass eine Regierung eine bedeutende Kontrolle über Infrastruktur behält, die die nationale Sicherheit unterstützt.

Keines der beiden Konzepte garantiert bessere Leistung. Heimische Kontrolle kann keine mangelhafte Bewertung, schwache Werkzeuge oder geringe Trainingsvielfalt ausgleichen. Sie beseitigt jedoch einige Hindernisse, die durch externe APIs und geschlossene Modellgewichte entstehen.

Die Anforderung geschlossener Netzwerke ist ein praktisches Beispiel. Systeme in Nuklearindustrie, Verteidigung, Finanzwesen und Verwaltung beschränken häufig die Internetverbindung. Ein Modell, das auf kontinuierlichen Zugang zu einem ausländischen Inferenzdienst angewiesen ist, kann in solchen Umgebungen nicht normal arbeiten.

Auch die lokale Bereitstellung beeinflusst die Behandlung von Vorfällen. Sicherheitsteams müssen nach einem Fehler möglicherweise Prompts, Werkzeugaufrufe, abgerufene Belege und Modellausgaben prüfen. Diese Überprüfung wird schwieriger, wenn wichtiges Systemverhalten hinter der Grenze eines Anbieters verborgen bleibt.

Naver-Cloud-CEO Kim Yu-won bezeichnete sicherheitsspezialisierte Modelle beim Cyber Summit Korea am 17. September als Infrastruktur für die nationale Wettbewerbsfähigkeit. Er argumentierte, dass vernetzte Lieferketten Angreifern erlauben, schwächere Unternehmen rund um kritische Industrien anzugreifen.

Seine Aussage spiegelt ein reales Koordinationsproblem wider, obwohl die Wirksamkeit von Navers Lösung weiterhin unbewiesen ist. Kleineren Zulieferern fehlen oft die Budgets und Mitarbeitenden, die einem nationalen Versorger, Halbleiterhersteller oder Verteidigungsauftragnehmer zur Verfügung stehen.

Naver erklärt, das Projekt werde kleineren Unternehmen kostenlose Bewertungen von Schwachstellen und Angriffserkennung anbieten. Außerdem plant es, kommerzielle Sicherheitsdienste über den Naver Cloud Marketplace zu unterstützen.

Diese Zusagen verbinden nationale Infrastruktur mit einem späteren Vertriebskanal. Wenn die Modelle funktionieren, könnten Sicherheitsanbieter spezialisierte Produkte entwickeln, ohne ein vergleichbares Foundation Model trainieren zu müssen.

Die Strategie verschafft Naver Cloud auch einen kommerziellen Anreiz. Ein in regulierten Branchen eingesetztes Modell kann Nachfrage nach Rechenleistung, privaten Cloud-Installationen, Monitoring und Integrationsdiensten schaffen.

Dieser Anreiz entwertet den öffentlichen Auftrag nicht. Er bedeutet jedoch, dass Käufer zwischen gemeinsamer Infrastruktur und einer vom Anbieter kontrollierten Produktpipeline unterscheiden sollten.

Für Wissensarbeiter, die sensible KI-Einsätze bewerten, zeigt sich dieselbe Unterscheidung in kleinerem Maßstab. Eine persönliche Wissensdatenbank ist nur so vertrauenswürdig wie ihre Datengrenzen, Retrieval-Kontrollen und ihre Fähigkeit, unterstützende Belege zu zeigen.

Cybersecurity erhöht diese Anforderungen erheblich. Das Modell darf nicht nur die richtigen Informationen abrufen. Es muss innerhalb expliziter Berechtigungen handeln und einen Nachweis bewahren, den Ermittler rekonstruieren können.

Der zentrale Wettbewerb lautet spezialisierte Kontrolle gegen allgemeine Skalierung

Navers Wette lautet, dass Kontrolle über Daten, Werkzeuge und Bereitstellung wichtiger sein wird als Zugang zum größten allgemeinen Modell.

Frontier-Modelle globaler Anbieter können bereits Schwachstellen erklären, Code generieren, Logs analysieren und bei Incident Reports helfen. Ihre breite Leistungsfähigkeit stellt Navers Strategie nachvollziehbar infrage.

Warum umfangreiche Ressourcen für zwei Systeme der 700-Milliarden-Klasse aufwenden, wenn ein allgemeines Modell durch Retrieval, Fine-Tuning und Werkzeugzugriff angepasst werden kann?

Die Antwort liegt in der operativen Kontrolle. Cybersecurity-Teams benötigen Modelle, die lokale Umgebungen verstehen, eingeschränkte Verfahren befolgen und arbeiten, ohne geschützte Informationen offenzulegen. Zudem benötigen sie Bewertungen, die an ausführbare Ergebnisse statt an überzeugende Prosa gebunden sind.

Theori Korea, ein Mitglied des Konsortiums, wird an der Tool-Harness und den Trainingsumgebungen arbeiten. Eine Harness ist die kontrollierte Softwareebene, die es einem KI-System ermöglicht, mit Scannern, Testumgebungen und anderen Sicherheitswerkzeugen zu interagieren.

Das Unternehmen erklärt, seine Rolle umfasse überwachtes Fine-Tuning und Reinforcement Learning mit verifizierbaren Belohnungen. Letzteres trainiert ein Modell anhand von Ergebnissen, die überprüft werden können, etwa ob es unter kontrollierten Bedingungen eine Schwachstelle reproduziert hat.

In seiner Beschreibung der Validierungsumgebung argumentiert Theori, dass Sicherheitswissen allein nicht ausreicht. Das Modell muss Schwachstellen in einer Live-Umgebung finden und verifizieren.

Dieser Mechanismus ist wichtiger als die prominent genannte Parameterzahl. Ein großes Modell kann glaubwürdige, aber falsche technische Erklärungen liefern. Ein Agent mit Tool-Nutzung kann ebenfalls scheitern, doch seine Aktionen können Belege für die Bewertung erzeugen.

Das defensive Modell steht vor einer verwandten Herausforderung. Security Operations Center erhalten viele schwache Signale, unvollständige Warnmeldungen und wiederholte Fehlalarme. Ein nützliches System muss Belege miteinander verknüpfen, ohne Beziehungen zwischen unabhängigen Ereignissen zu erfinden.

Reale Betriebsdaten können dieses Verhalten verbessern. Sie können jedoch auch Risiken für Privatsphäre, Vertraulichkeit und Datenkontamination mit sich bringen.

Das Konsortium hat nicht öffentlich erläutert, wie sein Ziel von 830 Terabyte auf Rohtelemetrie, Malware-Samples, Schwachstellenaufzeichnungen, Incident-Berichte und synthetisches Material verteilt werden soll. Ebenso wenig hat es detaillierte Governance-Regeln für jeden Beitragenden offengelegt.

Diese Auslassungen sind während der Entwicklung nachvollziehbar, hindern Außenstehende jedoch daran zu beurteilen, wie repräsentativ das Trainingsmaterial sein wird. Das Volumen allein sagt wenig über die Datenqualität aus.

Die Struktur mit zwei Modellen bringt einen weiteren Zielkonflikt mit sich. Die Trennung offensiver und defensiver Fähigkeiten kann zu einer klareren Spezialisierung führen, schafft aber auch Probleme bei Koordination und Eindämmung.

Ein offensives Modell benötigt ausreichend Freiraum, um Angriffspfade zu erkunden. Eine defensive Organisation braucht strikte Grenzen, die verhindern, dass diese Fähigkeit die genehmigte Umgebung verlässt.

Die Architektur des Programms muss daher Modellfähigkeit von operativer Autorisierung trennen. Ein System könnte wissen, wie eine Technik auszuführen ist, ohne dafür Berechtigung, Zugangsdaten, Netzwerkzugriff oder eine uneingeschränkte Tool-Verbindung zu erhalten.

Diese Unterscheidung ist für einen verantwortungsvollen Einsatz unerlässlich. Model Alignment kann nicht die einzige Sicherheitsgrenze sein.

Auch die Kontrolle über die Infrastruktur ist relevant. Naver erklärt, dass sein Beitrag von 4.000 B200 bereits vor der formellen Vergabe das Pretraining unterstützte. Ein Brancheninterview bezifferte den Wert dieser Ressourcen später auf etwa ₩200 Milliarden, doch dabei handelt es sich um einen geschätzten Ressourcenwert und nicht um eine bestätigte jährliche Barausgabe.

Die Behauptung der ursprünglichen zusammenfassenden Überschrift, die jährlichen Investitionen würden ₩40 Milliarden übersteigen, sollte vor diesem Hintergrund der Berichtslücke gelesen werden. Sie könnte sich auf ein breiteres Programmbudget, eine annualisierte Verpflichtung oder eine in einer nicht öffentlich zugänglichen Quelle diskutierte Zahl beziehen.

Die hier geprüften offiziellen Materialien enthalten keinen entsprechenden jährlichen Investitionsplan. Stattdessen legen sie physische Ressourcen und Programmkomponenten offen.

Deshalb konzentriert sich die belastbarste Beschreibung auf die verifizierte Zusage: 4.000 von Naver bereitgestellte B200-GPUs, 256 LG-H200-GPUs und eine zusätzliche staatliche Zuteilung.

Das macht die Investition nicht unbedeutend. Es macht die Kategorie der Rechnungslegung wichtig.

Bereits im Besitz eines Unternehmens befindliche Hardware, einem Projekt zugewiesene Rechenzeit, direkte Barausgaben und staatliche Sachleistungen sind nicht austauschbar. Ihre Zusammenfassung kann die tatsächlichen Kosten aufblähen oder verschleiern.

Die Strategie spezialisierter Kontrolle wird an Glaubwürdigkeit gewinnen, wenn sie unter realistischen Einschränkungen messbare Sicherheitsresultate liefert. Sie wird an Glaubwürdigkeit verlieren, wenn Parameterzahlen und nominelle Ressourcenwerte zu Ersatzgrößen für diese Ergebnisse werden.

Open Source schafft Reichweite und einen Sicherheitskonflikt

Die Freigabe der Modelle zur kommerziellen Nutzung erweitert den Zugang, verschafft Verteidigern und Angreifern aber viele der gleichen Fähigkeiten.

Naver erklärt, die fertiggestellten Modelle als Open Source für die kommerzielle Nutzung veröffentlichen zu wollen. Die Ankündigung nennt bislang weder die Lizenz noch die Reihenfolge der Veröffentlichung, Bedingungen für den Zugriff auf die Gewichte oder Sicherheitsbeschränkungen.

Diese Details werden bestimmen, was „Open Source“ in der Praxis bedeutet. Der Begriff kann alles von herunterladbaren Modellgewichten bis zu einem Quellcode-Repository mit erheblichen Nutzungsbeschränkungen bezeichnen.

Eine kommerziell nutzbare Veröffentlichung könnte die Einstiegshürde für koreanische Cybersicherheitsunternehmen senken. Anbieter könnten das Modell an Malware-Analyse, Code-Review, Schwachstellen-Triage, Threat Intelligence oder industrielle Steuerungsumgebungen anpassen.

Lokale Gewichte würden zudem Bereitstellungen in geschlossenen Netzwerken unterstützen. Organisationen könnten sensible Prompts, Dokumente, Logs und Ausgaben innerhalb kontrollierter Infrastruktur halten.

Das offensive Modell macht eine uneingeschränkte Veröffentlichung komplizierter. Dasselbe System, das für Verteidiger Schwachstellen validiert, könnte für Angreifer Aufklärung oder Exploit-Entwicklung automatisieren.

Dieses Risiko verschwindet nicht, weil Sicherheitsinformationen bereits online verfügbar sind. Automatisierung kann Kosten, Geschwindigkeit, Konsistenz und Umfang schädlicher Arbeit verändern.

Naver hat bislang nicht erläutert, ob das defensive und das offensive Modell unterschiedliche Lizenzen oder Zugriffskontrollen erhalten werden. Ebenso wenig wurde spezifiziert, ob risikoreichere Tools von den veröffentlichten Gewichten getrennt bleiben.

Eine sinnvolle Architektur würde Modell, Harness, Zugangsdaten und Ausführungsumgebung als getrennte Ebenen behandeln. Öffentlicher Modellzugang würde nicht automatisch die Tools oder Berechtigungen umfassen, die für einen realen Einbruch erforderlich sind.

Selbst diese Trennung würde Missbrauch nicht ausschließen. Erfahrene Akteure können eigene Harnesses bauen. Die Freigabeentscheidung erfordert daher eine Bewertung dessen, was das Modell über bestehende offene Systeme hinaus bietet.

Das Konsortium muss außerdem verhindern, dass die Optimierung auf Benchmarks zu seiner primären Erfolgskennzahl wird. Naver erklärt, zwei international anerkannte Benchmarks würden die objektive Bewertung unterstützen, hat sie jedoch nicht benannt.

Benchmarks helfen, Versionen unter reproduzierbaren Bedingungen zu vergleichen. Sie bilden jedoch Live-Netzwerke, neuartige Schwachstellen, mehrsprachige Incident-Daten oder Gegner, die sich an das System anpassen, nicht vollständig ab.

Feldversuche in sieben Sektoren sollten stärkere Belege liefern, wenn sie operative Ergebnisse messen. Nützliche Kennzahlen umfassen validierte Erkennungen, Untersuchungsdauer, Fehlalarmraten, Fehler bei der Tool-Nutzung und Eingriffe von Analysten.

Öffentliche Berichte werden ausreichend Details benötigen, damit Außenstehende einen erfolgreichen Pilotversuch von einer kuratierten Demonstration unterscheiden können. Aggregierte Benchmark-Ergebnisse ohne Testdesign oder Vergleich mit Baselines bieten nur begrenzte Sicherheit.

Auch beim offensiven Testen in kritischen Einrichtungen stellt sich eine Governance-Frage. Ein Modell sollte nicht frei auf Produktionssystemen experimentieren, bei denen eine fehlerhafte Aktion öffentliche Dienste beeinträchtigen kann.

Sichere Tests hängen üblicherweise von Replikaten, Sandboxes, segmentierten Umgebungen oder sorgfältig genehmigten Testfenstern ab. Das Konsortium hat sein Feldversuchsprotokoll bislang nicht veröffentlicht.

Die Partner aus kritischer Infrastruktur verschaffen dem Projekt Zugang zu wertvollem Fachwissen und Daten. Sie erhöhen zugleich die Folgen schwacher Zugriffskontrollen.

Die Data Governance bringt einen weiteren Open-Source-Konflikt mit sich. Training auf sensiblen Betriebsaufzeichnungen kann die Relevanz verbessern, Modellveröffentlichungen dürfen jedoch keine vertraulichen Informationen durch Memorisation oder Extraktionsangriffe preisgeben.

Datenfilterung, Datenschutztests, Red-Team-Übungen und Freigabeprüfungen werden daher ebenso wichtig sein wie die reine Modellgenauigkeit. Keine dieser Kontrollen lässt sich aus der Zahl von 830 Terabyte ableiten.

Das Open-Source-Versprechen des Projekts bleibt wichtig, ist aber bislang nur ein Versprechen. Käufer und Entwickler sollten Lizenz, Modelldokumentation, Evaluierungsberichte und Freigabesicherungen abwarten, bevor sie von umfassender kommerzieller Freiheit ausgehen.

Die Zahl von ₩40 Milliarden ist nicht die einzige ungeklärte Frage

Das Programm verfügt über einen verifizierten technischen Plan, doch mehrere öffentliche Behauptungen entbehren weiterhin der für eine unabhängige Bewertung nötigen Belege.

Die jährliche Investitionssumme ist das deutlichste Beispiel. Navers offizielle September-Ankündigung besagt nicht, dass das Unternehmen jedes Jahr mehr als ₩40 Milliarden ausgeben wird.

Auch der Regierungsbericht zur Auswahl konzentriert sich auf Rechenunterstützung, Evaluierung und den Projektzeitplan. Darin heißt es, das Konsortium werde für zehn Monate 256 B200-GPUs erhalten, wobei die letzten fünf Monate von einer Zwischenprüfung abhängen.

Ein separater Bericht beschreibt Navers Verpflichtung von 4.000 GPUs als Ressourcen im Wert von etwa ₩200 Milliarden. Diese Schätzung stützt die Ansicht, dass das Unternehmen einen erheblichen Beitrag geleistet hat, bestätigt jedoch keine wiederkehrenden jährlichen Ausgaben von mehr als ₩40 Milliarden.

Leser sollten daher drei Aussagen voneinander trennen:

• Naver hat 4.000 B200-GPUs für das Pretraining zugesagt.

• Das breitere Konsortium und die Regierung steuern weitere Rechenressourcen bei.

• Eine wiederkehrende jährliche Investition von mehr als ₩40 Milliarden wurde in den hier geprüften Primärmaterialien nicht bestätigt.

Dies ist keine geringfügige redaktionelle Unterscheidung. Große KI-Projekte vermischen zunehmend Ausrüstungswert, Cloud-Kapazität, Abschreibungen, Forschungsarbeit, öffentliche Subventionen und direkte Ausgaben.

Eine Überschrift kann zahlenmäßig korrekt sein und dennoch die zugrunde liegende Ausgabenkategorie unklar lassen. Ohne ein Budgetdokument oder eine einem Führungskräftevertreter zugeschriebene Aussage sollte die Jahreszahl eingeschränkt bleiben.

Auch die Parameterzahl verdient Zurückhaltung. Zwei Mixture-of-Experts-Modelle der 700B-Klasse klingen größer als viele bekannte Sprachmodelle, doch die Gesamtzahl der Parameter verrät weder aktive Rechenleistung noch Trainingsqualität, Latenz oder Sicherheitsleistung.

Ein Mixture-of-Experts-System kann viele Parameter enthalten und dennoch für jede Eingabe nur eine kleinere Teilmenge aktivieren. Dieses Design kann die Effizienz verbessern, jedoch nur, wenn Routing und Spezialisierung wie vorgesehen funktionieren.

Naver hat die erwartete Zahl aktiver Parameter nicht offengelegt. Ebenso wenig wurden Schätzungen zum Trainingsaufwand, Anforderungen an die Inferenz oder angestrebte Bereitstellungskonfigurationen veröffentlicht.

Für den Betrieb in geschlossenen Netzwerken sind diese Zahlen besonders wichtig. Kritische Einrichtungen verfügen möglicherweise nicht über Rechenzentrumskapazitäten, die mit Navers Trainingscluster vergleichbar sind.

Das Konsortium könnte diese Lücke durch Modellkompression, kleinere Derivate, spezialisierte Experten oder zentral verwaltete private Infrastruktur schließen. Seine Ankündigung legt bislang nicht fest, welcher Weg Produktionsbereitstellungen unterstützen wird.

Der Datensatz von 830 Terabyte benötigt einen ähnlichen Kontext. Die Menge ist konkret, doch Zusammensetzung, Duplikationsrate, Sensitivität und Qualität der Kennzeichnung bleiben unbekannt.

Sicherheitsdatensätze weisen oft starke Klassenungleichgewichte auf, weil Routineaktivitäten bestätigte Angriffe überlagern. Sie können auch veraltete Taktiken oder organisationsspezifische Muster enthalten, die sich nicht verallgemeinern lassen.

Hinzu kommt die Frage nach der offensiven Fähigkeit. Ein Modell, das in einer Trainingsumgebung gut abschneidet, könnte bei unbekannter Software, verrauschten Netzwerken, unvollständigem Zugriff oder Verteidigern mit veränderten Konfigurationen Schwierigkeiten haben.

Das Konsortium benötigt Evaluierungen, die Generalisierung statt auswendig gelernter Schwachstellenmuster testen. Idealerweise würden einige Bewertungen verborgene Umgebungen und zuvor unbekannte Aufgaben nutzen.

Unabhängige Aufsicht würde diese Ergebnisse stärken. Die Regierung erklärt, dass externe Experten an der Auswahl beteiligt waren, doch die Modellevaluierung nach dem Training benötigt einen eigenen Governance-Prozess.

Kritische Partner können den Nutzen validieren, während unabhängige Forschende Sicherheit und Reproduzierbarkeit prüfen. Beide Perspektiven sind nötig, weil Mitglieder des Konsortiums Anreize haben, das Programm positiv darzustellen.

Auch der konkurrierende Vorschlag von SK Telecom bleibt relevant. Der Verlust der anfänglichen Auswahl entfernt SK Telecom nicht aus Koreas KI- oder Cybersicherheitsmarkt.

Die Reaktion könnte in Form eines separaten Modells, kommerzieller Sicherheitspartnerschaften oder von Diensten erfolgen, die auf seinen Telekommunikationsdaten aufbauen. Ein solcher Wettbewerb würde prüfen, ob Navers Konsortiumsansatz einen dauerhaften Vorteil bietet.

Globale Anbieter werden sich ebenfalls weiter verbessern. Wenn sich universell einsetzbare Modelle leichter privat bereitstellen lassen, könnte der Wert eines vollständig inländischen Basismodells sinken.

Navers Programm muss daher durch messbare operative Leistung überzeugen, nicht allein durch Souveränität. Kontrolle ist wertvoll, doch Käufer werden weiterhin Erkennungsqualität, Bereitstellungskosten, Latenz, Bedienbarkeit und Sicherheit vergleichen.

Drei Signale werden zeigen, ob das Projekt funktioniert

Die nächsten aussagekräftigen Belege werden aus technischen Offenlegungen, Ergebnissen im Praxiseinsatz und der Governance der Veröffentlichung stammen – nicht aus einer weiteren Ankündigung von Parameterzahlen.

Das erste Signal ist die Zwischenbewertung, die an staatlich unterstützte Rechenkapazitäten gekoppelt ist. Das Konsortium erhält zunächst 256 B200-GPUs für fünf Monate und bei Bestehen dieser Prüfung weitere fünf Monate.

Eine erfolgreiche Bewertung würde darauf hindeuten, dass die Entwicklung die von der Regierung geforderten Meilensteine erreicht hat. Sie wäre kein Beweis für operative Einsatzbereitschaft, würde aber zeigen, dass das Programm seine erste externe Hürde genommen hat.

Veröffentlichte Bewertungskriterien werden ebenso wichtig sein wie das Ergebnis selbst. Leser sollten auf Aufgabenerfolg, Zuverlässigkeit der Tools, Sicherheitskontrollen und Generalisierungsfähigkeit achten – statt auf einen einzelnen aggregierten Wert.

Das zweite Signal sind Belege aus den sieben Sektorversuchen. Energie, Finanzwesen, Telekommunikation, Halbleiter, Verteidigung, Luft- und Raumfahrt sowie wissenschaftliche Infrastruktur weisen unterschiedliche Bedrohungsmodelle und betriebliche Einschränkungen auf.

Die Ergebnisse sollten aufzeigen, was die Modelle versucht haben, wie menschliche Analysten sie überwachten und wie häufig die Ausgaben tatsächliche Entscheidungen beeinflussten. Besonderes Augenmerk verdient das Verhalten bei falsch-positiven und falsch-negativen Ergebnissen.

Ein defensives Modell, das mehr Warnmeldungen erkennt, Analysten jedoch überlastet, wäre kein eindeutiger Fortschritt. Ein offensives Modell, das bekannte Schwachstellen findet, unbekannte jedoch nicht verifizieren kann, bliebe ein Forschungsprototyp.

Erkenntnisse aus isolierten Bereitstellungen werden auch zeigen, ob sich die Architektur der 700B-Klasse wirtschaftlich betreiben lässt. Der Umfang des Trainings bedeutet wenig, wenn Produktionsumgebungen keine akzeptable Latenz und Verfügbarkeit ermöglichen.

Das dritte Signal ist die zugesagte Open-Source-Veröffentlichung. Die Lizenz, Model Cards, Evaluierungsberichte und Zugriffsregeln werden das tatsächliche Verhältnis zwischen Verbreitung und Risiko offenlegen.

Eine getrennte Behandlung offensiver und defensiver Gewichte würde zeigen, dass das Konsortium ihre unterschiedlichen Missbrauchsprofile anerkennt. Eine einzige uneingeschränkte Veröffentlichung ohne begleitende Sicherheitsanalyse würde schwierigere Fragen aufwerfen.

Die Veröffentlichungsdokumentation sollte außerdem erläutern, welche Fähigkeiten von proprietären Tools, privaten Datensätzen oder der Naver Cloud-Infrastruktur abhängen. Offene Gewichte allein schaffen kein reproduzierbares Sicherheitssystem.

Entwickler sollten auf ausführbare Evaluierungen achten, nicht nur auf schriftliche Benchmark-Prompts. Unternehmenskäufer sollten fragen, wie sich die Modelle bei eingeschränkten Berechtigungen, unvollständiger Telemetrie und fehlgeschlagenen Tool-Aufrufen verhalten.

Sicherheitsverantwortliche sollten auch die Auditierbarkeit prüfen. Jede folgenreiche Empfehlung oder Tool-Aktion sollte genügend Belege bewahren, damit ein menschlicher Prüfer den Ablauf rekonstruieren kann.

Die Cybersecurity-KI-Initiative von Naver Cloud ist bedeutsam, weil sie versucht, nationale Politik, die Entwicklung von Foundation Models und reale operative Sicherheit miteinander zu verbinden. Nur wenige Projekte vereinen so viel Infrastruktur mit einer derart breiten Palette an Bereitstellungspartnern.

Ihre Ambitionen sind inzwischen gut dokumentiert. Ihre Wirksamkeit nicht.

In den kommenden Monaten sollten Leser das Projekt danach beurteilen, ob es glaubwürdige Tests veröffentlicht, realistische Feldversuche besteht und ein verantwortungsvolles Veröffentlichungsmodell definiert. Die berichtete jährliche Investition von ₩40 Milliarden sollte als unbestätigt gelten, bis eine Primärquelle die Grundlage des Budgets liefert. Die entscheidende Frage ist nicht, wie groß Navers Engagement klingt. Sie lautet, ob das Sicherheitsmodell von Naver Cloud überprüfbare Sicherheitsergebnisse liefern kann, ohne eine neue Kategorie operativer Risiken zu schaffen.