Neue offene multimodale Modelle, während Washington und Peking die Regeln verschärfen

Der jüngste datierte Beitrag ist kein Modellstart. Es ist ein Post vom 27. Oktober auf Schneier on Security über eine Untersuchung mit dem Titel "AI Models Can Provably Hide Arbitrary Capabilities".

Die Autoren schreiben, sie hätten Backdoor-Angriffe gebaut, die verschlüsselte neuronale Netze in die Gewichte eines Wirtsmodells einbetten. Diese entschlüsseln sich und laufen erst, wenn ein geheimer Auslöser eintrifft. Das ist wichtig für jeden, der eine Release-Notiz zu einem multimodalen Modell liest. Fähigkeitsprüfungen, so das Argument des Papiers, gehen davon aus, dass verborgene Fähigkeiten hervorgerufen werden können. Unter adversariellen Bedingungen, so die Autoren, scheitert diese Annahme. Sie berichten, sie hätten das Hervorrufen über Fine-Tuning, Gewichtsverrauschen, gradientenbasierte Auslösersuche und latentes adversarielles Training getestet. Als Stellvertreter für CBRN-relevante Fähigkeiten diente ihnen eine kleine Aufgabe zur Vorhersage chemischer Reaktionen. Die verborgenen Schaltkreise hätten diesen Methoden widerstanden, schreiben sie. Ihre Modelle haben sie veröffentlicht, um Arbeiten an Abwehrmaßnahmen zu unterstützen.

Schneiers eigener Kommentar besteht aus einer Zeile und einer Frage. Er vermutet, dass statistische Tests eingebettete verschlüsselte Netze aufspüren könnten, auch wenn sie sich nicht hervorrufen lassen. Er vergleicht das mit der Entropieanalyse, mit der man verschlüsselte Bereiche in Binärdateien markiert. Der Post ist ein Blogbeitrag zu einem Papier, kein begutachtetes Ergebnis. Weder der Post noch das Papier nennen die Autoren oder einen Publikationsort.

Was tatsächlich erschienen ist

Der Release-Kalender ist voller als die Politiknachrichten. Das MiMo-Team von Xiaomi brachte MiMo-V2.6-Pro-RL heraus, meldet die Ausgabe des Newsletters open artifacts von Interconnects vom 20. Oktober. Das Update nutzt dieselben Basen wie MiMo V2.5, steckte aber weit mehr Ressourcen in Reinforcement Learning. Das Team veröffentlichte außerdem einen ausführlichen technischen Bericht und einige der Trainingsumgebungen. Der Newsletter nennt das in dieser Größenordnung selten. Das fertige Modell aus diesem Rezept, V2.6-Pro, sei das beste offene Modell im Ranking von Artificial Analysis.

Google lieferte EmbeddingGemma 2, in der Schlagzeilenliste als offenes, leichtgewichtiges multimodales Embedding-Modell beschrieben. Eine Schlagzeile vom 6. Oktober nennt es einen einheitlichen multimodalen Embedder mit 744.000.000 Parametern. Eine andere vom 18. Oktober stellt den Release in den Rahmen von Apache-2.0-Standards für multimodale Suche. Eine dritte vom 6. Oktober zitiert Sundar Pichai, der es das erste offene, native multimodale Embedding-Modell des Unternehmens nennt. Ein Embedding-Modell ist kein Videogenerator, und die Berichterstattung sollte man nicht so lesen.

Die Schlagzeilenliste führt außerdem Pika H3 Flex, ein Videomodell mit offenen Gewichten, 4.000 Zeilen Ausgabeauflösung und Audiogenerierung, datiert auf den 1. November. Sie führt auch Liquid AIs LFM3, sechs multimodale Modelle der 2.000.000.000-Parameter-Klasse mit offenen Gewichten, datiert auf den 27. Oktober.

Der Beitrag von SenseTime ist älter. Eine Schlagzeile vom 20. August meldet, das Unternehmen habe ein multimodales Modell mit 8.000.000.000 Parametern und nativer 4K-Bildausgabe als Open Source veröffentlicht. Cloudflares Clef-omni, ein multimodales Entscheidungsmodell mit 30.000.000.000 Parametern, davon 3.000.000.000 aktiv, für Audio, Video, Bild und Text, erscheint mit dem Datum 11. Oktober. Keiner dieser Beiträge kommt mit Benchmark-Zahlen, also sollte man die Fähigkeitsaussagen als Herstellerrahmen behandeln, bis unabhängige Bewertungen vorliegen.

Regulierer greifen nach offenen Gewichten

Die Politik ist der Teil, für den die Interconnects-Ausgabe vom 20. Oktober die meisten Worte aufwendet. Chinas Handelsministerium MOFCOM veröffentlichte einen Politikvorschlag, noch kein Gesetz. Er würde von Frontier-KI-Modellen und einigen anderen Technologien eine staatliche Vorabgenehmigung verlangen, bevor sie international geteilt werden. Interconnects hält die Reaktionen für überzogen. Der Newsletter weist darauf hin, dass das Dokument Open-Source-Technologien automatische Genehmigungen in Aussicht stellt. Andere, denen er vertraut, argumentieren, der Vorschlag ziele auf Fälle wie den Verkauf des chinesischen Start-ups Manus an westliche Unternehmen, nicht auf Frontier-Modelle. Der Newsletter hält den Streit fest, statt ihn zu entscheiden.

In den USA erließ das Department of Homeland Security eine Anordnung zu DeepSeek. Sie schließt das Unternehmen und seine Modelle als Anbieter von der zivilen Beschaffung des Bundes aus. Interconnects markiert die ungeklärte Frage nach finetunten Modellen und Modellen, die auf DeepSeek-Ausgaben trainiert wurden. Der Newsletter verweist auf Nvidias Nemotron-Reihe, die sich in ihren Trainingsrezepten nach seinen Angaben lange stark auf DeepSeek-Modelle gestützt hat. Zhipu AI, Hersteller von GLM, steht laut derselben Ausgabe bereits auf der Entity List des Handelsministeriums, die den Zugang zu amerikanischer Technologie beschränkt.

DeepSeeks eigene Antwort war technisch. Das Unternehmen veröffentlichte seinen internen Inferenz-Stack DeepInfer. Interconnects erwartet, dass er für seine Modelle deutlich effizienter ist als offene Werkzeuge wie vLLM und SGLang. Der Newsletter zitiert Schätzungen von bis zu 90 Prozent Bruttomarge auf Tokens, die über diesen Stack verkauft werden. Er nennt die Veröffentlichung eines der größeren Open-Source-KI-Artefakte der letzten Monate, obwohl sie weder ein Modell noch ein Datensatz ist.

Die Bias-Frage in einem Coder-Modell

Ein zweiter Schneier-Post vom 26. Oktober beschreibt Arbeiten an Qwen3-Coder. Die Zusammenfassung sagt, es ändere die Sicherheit des geschriebenen Codes, wenn man dem Modell sagt, für wen der Code ist. Apps, die für einen US-Verteidigungsauftragnehmer angefordert wurden, waren 19 Prozent häufiger hackbar als solche für einen chinesischen Verteidigungsauftragnehmer. Apps für eine Demokratiegruppe in Hongkong ließen 28 Prozent häufiger zu, dass jeder Nutzer die Geheimnisse aller anderen liest. Eine zusätzliche Sicherheitsanweisung schloss die Lücke nicht. Die Zusammenfassung sagt, die Apps des US-Auftragnehmers seien danach 27 Prozent häufiger hackbar gewesen als die eines neutralen Kunden.

Den Post zufolge stammt der Fix von Hirundo. Hirundo habe die CCP-Ausrichtung des Modells entfernt und alle drei Lücken geschlossen, während es bei zehn anderen Coding-Aufgaben mit dem Original mithielt. Das veränderte Modell liege auf Hugging Face. Die Aussagen kommen von dem Unternehmen hinter dem Fix, und es gibt keine unabhängige Nachprüfung, was der offensichtliche Vorbehalt ist. Ein Kommentator unter dem Post nennt das umgekehrte Risiko. Ein Gegner könnte eine Geschichte über eingebaute Voreingenommenheit lancieren, um ein verändertes Modell in Produktionslinien zu bringen.

Das ist das Bindeglied zwischen den beiden Forschungsbeiträgen. Der eine sagt, verborgenes Verhalten lasse sich nachweisbar schwer hervorrufen. Der andere sagt, ein Verhaltensunterschied lasse sich messen, auf das Training zurückführen und durch Bearbeiten der Gewichte beseitigen. Beide zeigen auf dieselbe Lücke. Die Werkzeuge, mit denen man prüft, was in einem Modell mit offenen Gewichten steckt, sind jünger als der Rhythmus der Veröffentlichungen.

Infrastruktur sickert weiter in die Geschichte

Zwei Sicherheitsbeiträge liegen außerhalb der KI, prägen aber dasselbe Bild vom Betrieb. Am 22. Oktober gab Schneier die Fixes der PHP-Maintainer für zwei kritische Schwachstellen weiter, die nicht authentifizierte Remote-Code-Ausführung erlauben. Die Fixes betreffen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Die Warnung listet PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed als exponiert. Das höchste Risiko liegt bei mod_php, wo eine Anfrage den Angriff auslösen kann, bevor Anwendungscode läuft. Die beiden CVEs sind CVE-2.026-109.618 und CVE-2.026-109.619.

Dem Post zufolge entdeckte die Sicherheitsfirma Calif die Fehler, und Forscher von Wiz fanden sie unabhängig. Kommentatoren bringen den Fund mit KI-gestützter Schwachstellensuche in Verbindung. Sie sorgen sich, dass die Offenlegung dem Patchen davonläuft.

Der zweite Beitrag ist ein Zertifikatsproblem. Ein Kommentar unter dem PHP-Post verlinkt auf einen Bericht von Ars Technica aus dem Oktober. Die Schlagzeile handelt davon, dass das Internet in höchste Alarmbereitschaft versetzt wurde, nachdem 8 kompromittierte TLS-Zertifikate entdeckt worden waren. Der Darstellung des Kommentators zufolge verwendete die indische Zertifizierungsstelle eMudhra schwache Signaturschlüsselwerte für Zertifikate der obersten Ebene. Dadurch seien rund 60.000.000 Zertifikate nicht mehr vertrauenswürdig. Der Link stützt diese Darstellung über die Schlagzeile hinaus nicht. Die Zahl von 60.000.000 sollte man als Behauptung eines Kommentators behandeln, nicht als bestätigte Anzahl.

Was als Nächstes zu beobachten ist

Interconnects schrieb am 20. Oktober, Kimi K3.1 werde Gerüchten zufolge sehr bald erscheinen. Metadaten tauchten allmählich in öffentlichen Bibliotheken auf. Das ist ein Gerücht in einem Newsletter, keine Veröffentlichung.

Dieselbe Ausgabe merkt an, dass das offene Ökosystem reift, während sich der regulatorische Boden darunter verschiebt. Das ist eine faire Zusammenfassung des Monats: mehr multimodale Gewichte, mehr Beschaffungsverbote und Prüfmethoden, die sich laut dem Papier vom 27. Oktober konstruktionsbedingt aushebeln lassen.