Kevin Kulik
Menü

Security · Systeme · AI · Web

Ich baue Systeme und finde heraus, wo sie nachgeben.

Software, Infrastruktur, Security und AI-Agenten. Ich betreibe vieles selbst, breche manches absichtlich und dokumentiere, was danach zählt.

Diese Seite ist kein Lebenslauf. Sie zeigt die Anatomie der Arbeit: Entscheidungen, Befunde, Befehle und die Teile, die noch nicht fertig sind.

01 · aktuelle Arbeit

zuletzt geprüft · 19.08.2026

Agent-Infrastruktur statt Prompt-Sammlung

Ein versionierter Workspace verteilt Skills, Standards und Guardrails an mehrere isolierte Agent-Umgebungen. Das Modell liefert Vorschläge. Deterministischer Code kontrolliert Werkzeuge, Freigaben und Seiteneffekte.

Der interessante Teil ist nicht das Modell. Es ist die Grenze darunter: kleine Einstiegskontexte, Fähigkeiten nach Bedarf, lesender Zugriff wo er reicht und ein nachvollziehbarer Pfad für privilegierte Aktionen.

Form
versionierter Workspace
Zugriff
kleinstmögliche Fähigkeit
Status
in täglicher Entwicklung
vereinfachte Struktur · öffentlich unkritisch
agent-workspace/
├─ skills/       versioned
├─ standards/    shared
└─ runtimes/
   ├─ codex      isolated
   ├─ claude     isolated
   └─ hermes     profiles

policy → approval → tools
Kontext und Fähigkeit bleiben getrennt. Das Modell kann eine Aktion anfragen; die Berechtigung liegt außerhalb des Modells.

die Grenze liegt unter dem Modell.

02 · Arbeitsfeld

Orientierung, kein Skill-Rating

Was hier auftaucht

Security
Code-Reviews, Incident-Anatomien, Disclosure und die Lücke zwischen Scannergebnis und tatsächlichem Verhalten.
Systeme & Infrastruktur
Linux, Container, Storage, Backups und Systeme, die nach einem Fehler weiterarbeiten müssen.
AI-Systeme
Agenten, Retrieval und klare Grenzen zwischen probabilistischem Modell und deterministischer Aktion.
Web Engineering
Statische Publikationen, komplexe Migrationen und geerbte Stacks, die wieder verständlich werden sollen.
Daten & Automation
CLI-Tools, Dokumentpipelines und kleine Systeme, die wiederkehrende Handarbeit entfernen.
Search
Semantische Suche, Vektordatenbanken und die operative Arbeit rund um Retrieval-Qualität.

03 · ausgewählte Belege

anonymisiert · Zahlen belegt

Behauptungen mit Fundstelle

  1. Security · verifiziert 2026-08

    ≈ 24 min

    Eine Backdoor, die Scanner 1,5 Jahre übersahen

    Vom ersten Login bis zum Fund der ersten Webshell vergingen ungefähr 24 Minuten. Der spätere Re-Compromise bleibt Teil der tieferen Incident-Chronologie.

  2. Infrastruktur · Incident 07.08.2026

    kein Datenverlust

    Eine NVMe verschwand aus dem ZFS-Mirror

    Der Pool lief degradiert weiter. Alle Gäste waren vor dem Eingriff frisch gesichert; verloren ging nichts.

  3. Migration · verifiziert 2026-08

    34 → 97

    1.818 Datensätze, drei Sprachen, ein neuer Renderpfad

    Die Astro-SSR-Migration hob den gemessenen PageSpeed-Wert von 34 auf 97, ohne den mehrsprachigen Datenbestand zu vereinfachen.

04 · ausgewählte Projekte

Status und Provenienz sichtbar

Werkzeuge mit einem Grund

  1. infrastruktur · cli

    IN USE

    rostr

    Ein CLI-first Server-Inventar. Die versionierte YAML-Inventarschicht ist die Quelle der Wahrheit; SSH-Konfiguration und Ansible-Inventories werden daraus generiert.

    Status
    IN USE · 19.08.2026
    Stack
    Python 3.12+ · Click · PyYAML · Ansible
    Quelle
    Stark erweiterter privater Fork von wnstify/rostr; Upstream und Lizenz offengelegt

    Projekt im Detail →

    rostr · gekürzter Ablauf
    $ rostr sync
✓ SSH config updated
✓ Ansible inventory updated
✓ hosts.txt updated
    Ein Eingang, mehrere Standardausgaben. Die generierten Dateien bleiben ohne rostr benutzbar.

  2. ai-systeme · security

    PAUSED

    marlin

    Kontrollschicht für AI-Agenten. Das Modell entwirft Text; deterministischer Code hält Tokens, prüft Rollen und kontrolliert jede privilegierte Aktion.

    Status
    PAUSED · 19.08.2026
    Stack
    Python · Docker
    Quelle
    Eigenes privates System; keine Clientdetails veröffentlicht
    LLM Text, sonst nichts
    Policy-Grenze RBAC · approval
    actions
    audit log
    Das Modell besitzt keine Tokens und keine ausführende Fähigkeit. Es kann nur einen Entwurf an die kontrollierte Grenze liefern.

05 · Lab-Vorschau

Architektur · zuletzt geprüft 19.08.2026

Isolation folgt Datensensibilität.

Workloads landen nicht dort, wo gerade Platz ist. Entscheidend ist, welche Daten sie verarbeiten, ob sie öffentlich sein müssen und was nach einer Kompromittierung erreichbar wäre.

Aktueller Versuch: Agent-Umgebungen erhalten Fähigkeiten erst bei Bedarf; lesender Zugriff bleibt lesend, solange Schreiben keinen fachlichen Grund hat.

Das vollständige Lab öffnen →

  1. 01HOME / SENSITIVprivate Daten · kein öffentlicher Ingress
  2. 02PUBLIC / DEDIöffentliche Dienste · logisch getrennt
  3. 03EDGEenger Zweck · widerrufbare Schlüssel · keine Daten
nur ausgehende, verschlüsselte Verbindungen

06 · Notes

Originalsprache bleibt sichtbar

Durchgearbeitet, nicht zusammengefasst

Ausgewählte Note · EN

Anatomy of a CVSS 10.0

A healthcare chatbot exposed credentials in its frontend. How I reviewed the delivered system, reported the finding, and verified the fix.

security · disclosure · 16.08.2026

Weitere Notes

  1. DE · 16.08.2026

    NVMe-Totalausfall um 23:10: measure, then optimize

    Eine NVMe flog aus dem ZFS-Mirror. Die Daten blieben da. Danach begann die eigentliche Arbeit mit Eingrenzung, Messung und gezielter Korrektur.

  2. EN · 16.08.2026

    Isolation follows data sensitivity: a three-tier doctrine

    How I separate sensitive processing, public services, and static egress across three infrastructure tiers without exposing the private network.

07 · Build Log

kurz, datiert, ungeschönt

Was sich zuletzt bewegt hat

  1. Chat-Stack-Cutover: Mattermost und Matrix in private Production

    Der private Chat-Stack ging ohne Föderation und öffentliches Routing produktiv. Was nicht erreichbar ist, muss nicht verteidigt werden.

  2. Agent-Baseline-Upgrade: erst Snapshot, dann Migration

    Benannter Snapshot, vollständiges Backup, Migration, Abnahmetests. Die Reihenfolge ist der eigentliche Inhalt.

  3. Eine NVMe starb um 23:10. Den Mirror hat es nicht interessiert.

    Der ZFS-Pool lief degradiert weiter, alle Gäste waren gesichert, und es gab keinen Datenverlust.

08 · Über

Die gemeinsame Linie ist Neugier über Schichtgrenzen hinweg.

Ich kam über Malware-Analyse ins Web, über das Web zur Infrastruktur und über Infrastruktur zu Agent-Systemen. Die Themen wechseln. Die Arbeitsweise bleibt: den tatsächlichen Zustand prüfen, Grenzen sichtbar machen und erst dann vereinfachen.

Kundenarbeit läuft über Contegus. Diese Seite bleibt das technische Arbeitsjournal dahinter. Contegus →