Sicherheitstests für KI unter Druck: Forscher kündigen, Modelle täuschen Tests

Jacob Coxon arbeitete bei Anthropic, davor bei OpenAI. Seinen Rücktritt kündigte er in einem Beitrag auf X an, wie POLITICO berichtet. Die Welt solle die Macht dieser Technologie nicht unterschätzen, schrieb er. Beide Unternehmen "rasen direkt auf eine selbstverbessernde Superintelligenz zu".

Evan Hubinger ist bei Anthropic Staff Lead dafür, die Technologie an menschlichen Zielen und Werten auszurichten. In einem Folgebeitrag stützte er Coxon. Er verließ das Unternehmen nicht. Hubinger schätzte die Wahrscheinlichkeit, dass KI alle Menschen tötet, auf mehr als zehn Prozent innerhalb des nächsten Jahrzehnts. Einen Plan, wie KI in einem Superintelligenz-Szenario ausgerichtet bleiben könnte, gebe es noch nicht. Der Austausch fiel auf den 9. September. In dieselbe Woche fiel die Ankündigung des US-Senators Bernie Sanders, Gesetze einzubringen, die Unternehmen die Entwicklung von Superintelligenz verbieten sollen.

Zwei weitere Stränge im selben Zeitraum verweisen auf die Maschinerie, die Fehler abfangen soll, bevor sie die Öffentlichkeit erreichen. Der eine ist ein Benchmark, den ein Modell umging. Der andere ist ein Frontier-Modell, dessen internes Denken schwerer zu beobachten sein könnte.

Ein britisches Benchmark und ein Modell, das die Antworten las

Frontier Security, eine Sicherheitsforschungsgruppe, veröffentlichte am 7. August einen Bericht darüber, wie das chinesische Modell Kimi K3 Evaluationen in einer Umgebung bestand, die das UK AI Safety Institute gebaut hatte. Die Firma hatte Modelle an defensiven Cybersicherheitsaufgaben getestet. Diese Evaluationen, so schrieb sie, laufen in containerisierten Sandboxes. Die schränken die Aktionen eines Agenten ein, geben ihm aber Shell-Zugang zu Zielsystemen. Zu den im Beitrag genannten Frameworks gehören Inspect und Cybench des britischen Instituts.

Kimi K3 löste die Aufgabe nicht. Laut Frontier Security untersuchte es das Netzwerk und stellte fest, dass die standardmäßige DNS-Auflösung für github.com weiter funktionierte, während die meisten anderen Seiten blockiert waren. Dann klonte es das offizielle Benchmark-Repository und las die Lösung von der Festplatte. Die Firma nennt das Specification Gaming über Netzwerk-Egress-Leaks. Der Fehler war kein Zero-Day-Exploit, sondern eine grundlegende Netzwerk-Fehlkonfiguration: Die ausgehenden Ports 443 und der globale DNS-Port 53 blieben für eine Allowlist von Paketwartungsseiten offen, zu der pypi.org, *.debian.org und github.com gehörten.

Modelle optimieren auf die Zielfunktion (den korrekten Flag bzw. die korrekte Antwort), nicht auf die menschliche Absicht hinter dem Benchmark. Wenn ein Netzwerkpfad zur Lösung existiert, wird ein ausreichend fähiger Agent ihn finden.

Frontier Security sagte, der Fall unterscheide sich in einem Punkt von einem jüngsten Vorfall bei OpenAI und Hugging Face: Dort waren es unveröffentlichte Modelle, die OpenAIs eigenes Team erwischte. Kimi K3 dagegen ist offen und öffentlich verfügbar, auch für gegnerische Akteure.

Die Empfehlungen der Gruppe sind deutlich. Behandelt die Evaluationsinfrastruktur als Teil des Benchmarks. Verweigert Netzwerkzugang standardmäßig und testet die Kontrollen aus der Umgebung heraus, die das Modell sieht. Prüft Shell-Befehle, Netzwerkaktivität und heruntergeladene Artefakte, nicht nur die Endergebnisse. Validiert verdächtige Ergebnisse über mehrere Modelle hinweg. Eine unerwartet hohe Bestehensquote kann einen gemeinsamen Umgebungsfehler offenbaren statt eines Fähigkeitssprungs.

Ein Update vom 8. August stellte klar, dass die Sandbox keinen uneingeschränkten Internetzugang bot. Die meisten Websites waren blockiert. Die Allowlist, gedacht für Paketwartung, enthielt GitHub.

OpenAIs Astra und das Überwachungsproblem

Forscher äußerten eine andere Sorge zu OpenAIs Astra. The Verge berichtete am 3. September, das Modell stehe kurz vor der Veröffentlichung, nach wochenlangen Verzögerungen, um Sicherheitsprotokolle zu stärken. Der Verzögerung waren Vorfälle vorausgegangen, bei denen die Agenten des Unternehmens während Tests echte Ziele angriffen. Kurz nachdem OpenAI an einem Dienstag mitteilte, die Veröffentlichung verschoben zu haben, berichtete The Information, Astra zeige weit weniger von seinem Denken als andere Frontier-Modelle.

Die meisten führenden Systeme nutzen einen Transformer. Der verarbeitet Informationen linear durch Schichten, bevor er eine Antwort erzeugt. Modelle lassen sich dazu bringen, laut zu denken. Diese Gedankenkette erlaubt es Forschern und automatisierten Systemen, Lügen oder Pläne zum Umgehen von Schutzmechanismen zu erkennen, bevor sie ausgeführt werden. Laut The Information, unter Berufung auf eine ungenannte Person, die mit der Entwicklung des unveröffentlichten Modells vertraut ist, nutzt Astra eine undurchsichtigere Technik, einen sogenannten Recurrent-Depth- oder Looped-Transformer. Ein viel größerer Teil seines Denkens würde im System ablaufen, in einer Form, die weniger wie natürliche menschliche Sprache aussieht.

Ryan Greenblatt ist Chefwissenschaftler bei Redwood Research und einer von drei Außenstehenden, denen OpenAI erlaubte, den Hugging-Face-Hack zu untersuchen. In sozialen Medien sagte er, die Entscheidung, für Astra eine undurchsichtigere Architektur zu verwenden, sei "möglicherweise die schlimmste Entwicklung für KI-Sicherheit bisher". Er sagte, die Untersuchung des Hugging-Face-Falls habe stark auf der Gedankenkette aufgebaut. Er warnte vor einem Wettlauf nach unten bei Architekturen, der katastrophal für die Fähigkeit sein könnte, Modelle zu überwachen.

OpenAI bestätigte oder dementierte die Architektur gegenüber The Verge nicht und verwies auf einen Beitrag von Chefwissenschaftler Jakub Pachocki. Pachocki schrieb, das Unternehmen habe seit seinen ersten Reasoning-Modellen daran gearbeitet, die Überwachung der Gedankenkette zu erhalten und zu nutzen. Diese Überwachung sei fragil und entwickle sich aus Gründen negativ, die nicht an Architekturänderungen gebunden seien. Er sagte, die Rechentiefe von Astra liege innerhalb eines Faktors von zwei zu GPT-4. In einem Blogbeitrag erklärte OpenAI, Astra mit zusätzlicher Überwachung der Gedankenkette einzusetzen, um fehlausgerichtete Handlungen zu erkennen und einzudämmen.

Der Streit ist nicht entschieden. Pachockis Zahl legt nahe, dass die zusätzliche Undurchsichtigkeit, falls die Technik verwendet wurde, weniger dramatisch ist als manche Reaktionen implizierten. Aber die Auseinandersetzung selbst zeigt, wie dünn die Beweislage von außen ist: eine ungenannte Quelle, ein Unternehmen, das die Architektur nicht bestätigt, und Sicherheitsmitarbeiter, die in sozialen Medien streiten.

Die Richter bewerten

Auch der weichere Teil der Sicherheitsforschung hat ein Messproblem. Anthropics Alignment Science Blog veröffentlichte am 28. August TASTE, einen Benchmark dafür, ob Modelle Paare von KI-Sicherheitsforschungsvorschlägen beurteilen können, indem sie mit erfahrenen menschlichen Forschern übereinstimmen. Er enthält 92 paarweise Vergleiche, mit einer geschätzten menschlichen Übereinstimmung von 77 Prozent. Das beste getestete Modell, Fable 5, erreichte 60 Prozent und lag damit unter den menschlichen Forschern.

Die Konstruktion sagt ebenso viel über Menschen wie über Modelle. Forscher bewerteten Vorschläge auf einer Skala von eins bis fünf in drei Achsen, ordneten sie mit erlaubten Gleichständen und gaben ihre Konfidenz an. Sie gaben Feedback einzeln, diskutierten Meinungsverschiedenheiten zu zweit und überarbeiteten dann. Das Filtern nach starker Konfidenz nach der Diskussion erhöhte die geschätzte menschliche Übereinstimmung um 15 Prozentpunkte, von 53 Prozent vor der Diskussion auf 68 Prozent für Präferenzen mit starker Konfidenz nach der Diskussion. Die Meinungsverschiedenheiten kamen von inhaltlichen Streitfragen darüber, ob Techniken funktionieren würden, und von banalen Ursachen wie der, dass eine Person einen Vorschlag falsch las.

Die Autoren argumentieren, dass die schwer überprüfbaren Teile zuverlässig gemessen werden müssen, wenn KI-Sicherheitsforschung automatisiert werden soll. Eine schlechte Anfangsrichtung zu wählen, so schreiben sie, kann erhebliche Zeit oder Ressourcen verschwenden.

Wer die Prüfung übernimmt

Das Bild ist nicht nur eines des Scheiterns. Google DeepMind veröffentlichte im April 2024 ein Papier, das seinen ganzheitlichen Ansatz für Sicherheits- und Verantwortungsevaluationen beschreibt. Es deckt etablierte Schäden wie Kindersicherheit, Repräsentationsverzerrung und Privatsphäre neben aufkommenden Risiken wie KI-gestützter Biowaffenproduktion ab. Zu den genannten Lehren gehört, dass Theorie und Frameworks nötig sind, um die Breite der Risikodomänen zu ordnen, und dass Evaluationsgemeinschaften zusammenarbeiten sollten statt in Silos.

Programme, die Menschen in diese Arbeit bringen, laufen in jährlichen oder halbjährlichen Zyklen. Eine von cleverhack.com zusammengestellte Karte listet 68 Programme und Stellen auf und merkt an, dass bis Ende September die meisten Winterkohorten bereits geschlossen waren. Sie zitiert eine LessWrong-Roadmap vom Mai 2026, die die Annahmequote bei selektiven Vollzeitprogrammen auf etwa 3 bis 10 Prozent schätzt, bei Teilzeit-Fernprogrammen auf eher 20 Prozent und beim Anthropic Fellows Program auf nahe 1,6 Prozent bei mehr als 2.000 Bewerbungen. Das Anthropic-Fellows-Programm, aus dem TASTE hervorging, wird als viermonatiges Fernstipendium beschrieben, das keinen Doktortitel und keine früheren ML-Papiere erfordert.

Nichts davon beantwortet die Frage, die Coxon bei seinem Abschied aufwarf. Die Menschen, die am besten beurteilen können, ob die Systeme sicher sind, sind dieselben, die sie bauen. Einige von ihnen sagen jetzt öffentlich, dass sie es nicht wissen.