Ein Team unabhängiger Forscher hat gezeigt, dass KI-Modelle über voll funktionsfähige versteckte Fähigkeiten verfügen können, die mathematisch garantiert einer Entdeckung entgehen, selbst wenn Prüfer vollständigen Zugriff auf die Gewichte des Modells haben. Der Artikel mit dem Titel „AI Models Can Provably Hide Arbitrary Capabilities“ wurde am 9. Oktober 2026 von Andis Draguns, Sumeet Ramesh Motwani, Raymond Douglas und Christian Schroeder de Witt auf arXiv gepostet und erregte diese Woche große Aufmerksamkeit bei Hacker News, nachdem er auf die Titelseite der Website gelangt war.
Die Arbeit stößt auf eine Kernannahme der modernen KI-Sicherheitspraxis: dass gefährliche Verhaltensweisen vor dem Einsatz durch Fähigkeitsbewertungen aufgedeckt werden können, bei denen ein Modell mit Tests untersucht wird, die darauf abzielen, herauszufinden, was es kann. Die Autoren zeigen, dass diese Annahme unter kontradiktorischen Bedingungen zusammenbricht. Wie das Papier es ausdrückt, hängt die Zuverlässigkeit von Fähigkeitsbewertungen „von der Annahme ab, dass verborgene Fähigkeiten hervorgerufen werden können“ – und sie konstruieren Angriffe, bei denen diese Annahme nachweislich fehlschlägt. Für Leser, die die neuesten KI-Entwicklungen in der Sicherheitsforschung verfolgen, ist das Papier einer der bisher deutlichsten formalen Beweis dafür, dass ein leistungsfähiges Modell im Prinzip seine Bewertungen bestehen könnte, während es verheimlicht, was es tatsächlich kann.
So funktioniert das Versteckschema
Die Forscher entwickelten Hintertürangriffe, die sogenannte verschlüsselte neuronale Netze in die Gewichte eines Hostmodells einbetten. Das verborgene Netzwerk sitzt dort in verschlüsselter Form und trägt nichts zum sichtbaren Verhalten des Modells bei, bis es einen geheimen Auslöser erhält. An diesem Punkt entschlüsselt das Modell den verborgenen Schaltkreis und führt ihn aus.
Der kryptografische Mechanismus im Herzen der Konstruktion ist das, was die Autoren digitale Schließfächer nennen. Unter standardmäßigen kryptografischen Annahmen machen diese Schließfächer es nachweislich schwierig, die verborgenen Schaltkreise zu ermitteln und zu interpretieren – selbst für einen Prüfer, der vollen Zugriff auf die Gewichte des Modells hat. Mit anderen Worten: Die Verheimlichung beruht nicht darauf, dass die Verheimlichung subtil oder schwer zu entdecken ist. Es beruht auf mathematischen Härtegarantien der gleichen Art, die verschlüsselte Kommunikation schützen.
Dies erweitert frühere Arbeiten auf diesem Gebiet, die gezeigt hatten, dass Modelle feste Zeichenfolgen wie Passwörter oder Kurznachrichten verbergen können. Das neue Papier verschiebt die Zielvorgaben erheblich: Was jetzt verborgen werden kann, ist eine willkürliche Berechnung – eine vollständige, funktionierende Fähigkeit und kein statisches Geheimnis.
Getestet anhand echter Audit-Techniken
Das Team implementierte seine Proof-of-Concept-Konstruktionen in PyTorch und griff sie dann mit dem Standard-Toolkit der Modellprüfung an. Bei den Auswertungen wurde die Ermittlung durch Feinabstimmung, Gewichtungsrauschen, Gradienten-basierte Triggersuche und latentes gegnerisches Training getestet – eine Reihe von Techniken, die darstellen, wie ernsthafte Prüfer tatsächlich versuchen würden, verborgenes Verhalten aus einem verdächtigen Modell zu extrahieren.
Bei der Testaufgabe handelte es sich um eine kleine Aufgabe zur Vorhersage chemischer Reaktionen, die bewusst als Stellvertreter für Fähigkeiten mit realem Einsatz ausgewählt wurde: Aufgaben zur chemischen Vorhersage sind ein Ersatz für CBRN-relevante (chemische, biologische, radiologische und nukleare) Fähigkeiten, die Kategorie von Fähigkeiten, die bei der Bewertung vor dem Einsatz am wichtigsten sind. Die versteckten Implementierungen widersetzten sich allen ihnen zur Verfügung gestellten Erhebungsmethoden.
In Kombination mit den kryptografischen Garantien zeigen die Ergebnisse der Autoren, dass ihre Ergebnisse eine grundlegende Grenze für auf Erhebungen basierende Fähigkeitsprüfungen aufzeigen. Wenn ein Modellentwickler – oder ein böswilliger Dritter, der ein Modell manipuliert hat – einen Anreiz hat, eine Funktion zu verbergen, können Audits, die darauf abzielen, das Verhalten aufzudecken, es möglicherweise einfach nicht finden.
Warum dies für die KI-Sicherheit wichtig ist
Fähigkeitsbewertungen sind zu einem Standardbestandteil bei der Entscheidung von KI-Laboren an vorderster Front geworden, ob die Veröffentlichung von Modellen sicher ist. Das Papier behauptet nicht, dass Produktionsmodelle derzeit ihre Fähigkeiten auf diese Weise verbergen. Es zeigt vielmehr, dass die Audit-Schicht selbst eine strukturelle Schwäche aufweist: Ein Gegner, der die Kontrolle über das Training eines Modells hat, könnte im Prinzip Fähigkeiten einbetten, die keine noch so umfassende Untersuchung aufdecken würde.
Die Implikationen gehen in mehrere Richtungen. Für Labore untermauert dies die paranoide Lieferkettensicherheit im Zusammenhang mit Modellgewichten – ein hintertüriger Kontrollpunkt stellt nicht nur ein Zuverlässigkeitsrisiko dar, sondern auch ein potenziell nicht erkennbares. Für Prüfer und Regulierungsbehörden bedeutet dies, dass Bewertungen, die ausschließlich auf Verhaltensstichproben basieren, möglicherweise durch stärkere Garantien darüber ergänzt werden müssen, wie Modelle trainiert und gehandhabt wurden. Und für die Forschungsgemeinschaft stellt es eine konkrete Verteidigungsherausforderung dar: Die Autoren haben ihre Modelle öffentlich veröffentlicht, um die Verbesserung der Abwehrmaßnahmen gegen diese Angriffsklasse zu unterstützen.
Der Aufsatz hat auch einen breiteren philosophischen Schwerpunkt. Ein Großteil der KI-Sicherheit beruht auf der Idee, dass wir unseren Weg zum Vertrauen testen können – dass durch ausreichendes Red-Teaming herausgefunden wird, was ein Modell leisten kann. Ein nachweisbarer Versteckmechanismus macht das Testen nicht nutzlos, aber es bedeutet, dass das Bestehen jedes Tests nicht länger als Beweis dafür gewertet werden kann, dass es nichts zu finden gibt. Da Frontier-Modelle immer leistungsfähiger und autonomer werden, wird diese Lücke zwischen dem, was Audits zeigen können, und dem, was Modelle möglicherweise enthalten, genau die Art von Problem sein, die das Feld ernst nehmen muss.
Das vollständige Papier der Autoren, einschließlich der kryptografischen Konstruktionen und Bewertungsdetails, ist auf arXiv verfügbar, und die veröffentlichten Proof-of-Concept-Modelle bieten Verteidigern einen konkreten Ausgangspunkt für Gebäudeerkennungsmethoden, die gegen die Verschleierung im Stil digitaler Schließfächer wirken.
---
Der KI einen Schritt voraus seinErhalten Sie die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.
Weitere KI-Neuigkeiten lesen →
