OpenWebUI Model Governance

Stand: 2026-05-30

Ziel

Normale OpenWebUI-Benutzer sollen kuratierte Lanstyle-Modelle sehen, nicht rohe Backend-/Provider-Namen.

Gewünschte sichtbare Modelle

• lanstyle/fast
• lanstyle/agent-stable
• lanstyle/architect
• optional lanstyle/embed nur wenn technisch sinnvoll

Nicht normal sichtbar

• raw qwen*
• raw Provider-Modelle
• lanstyle/agent
• entfernt
• interne Testmodelle

Ursachen, wenn raw Modelle sichtbar sind

• OpenWebUI nutzt eine direkte Provider-Verbindung.
• Der LiteLLM Virtual Key hat zu breite Modellrechte.
• OpenWebUI cached alte Modelldaten.
• Admin-Account sieht bewusst mehr als normale Benutzer.

Sicherer Fix-Pfad

1. Model Access über LiteLLM Virtual Keys prüfen.
2. Normale User-Key-Scopes auf Lanstyle-Aliase begrenzen.
3. Admin-/Evaluation-Keys getrennt halten.
4. OpenWebUI Model Cache kontrolliert aktualisieren.
5. Chat mit lanstyle/agent-stable testen.

Keine Modelllöschung und kein Default-Wechsel ohne separaten Test.

Plan fuer normale Benutzer

Normale Benutzer sollen nur folgende Modelle sehen:

• lanstyle/fast
• lanstyle/agent-stable
• lanstyle/architect

Admin- oder Evaluation-Profile duerfen mehr sehen, muessen aber getrennte Keys und klar erkennbare Rollen verwenden.

Phase-3-Status

Es wurde keine Live-Aenderung an OpenWebUI oder LiteLLM-Keys vorgenommen, solange kein sauberer Normal-User-vs-Admin-Vergleich vorliegt.

Phase 6 bestaetigt diesen Safeguard: Die Modellsicht wird nicht live korrigiert, bevor Normal-User-Modellliste, Admin-Modellliste, Virtual-Key-Scope und OpenWebUI Cache getrennt geprueft sind.

Naechster sicherer Test:

1. Normalen Benutzer anmelden und Modellliste exportieren.
2. Admin anmelden und Modellliste exportieren.
3. LiteLLM Virtual-Key-Scopes vergleichen.
4. Erst danach normale User-Scopes begrenzen.