Forscher entdecken eine Methode zum Auslesen der „versteckten Gedanken" von KI – mit echten Sicherheitsimplikationen

Wichtige Punkte

• Forscher der Universität Tübingen und ihre Partner entwickelten eine Methode, um die versteckten Denkvorgänge aus führenden KI-Modellen von OpenAI, Anthropic und Google zu extrahieren.
• Dieselbe Technik legte private Daten wie Passwörter und API-Schlüssel frei, die im Denkprozess des Modells gespeichert waren. Alle drei Unternehmen haben diese spezifische Schwachstelle mittlerweile behoben.
• Ein chinesisches Modell namens Kimi K3 von Moonshot AI zeigte Denkmuster, die denen von Claude Opus 4.8 und GPT 5.6 Sol auffallend ähnelten, was die Frage aufwirft, ob es durch Kopieren dieser Modelle trainiert wurde.
• Forscher warnen, dass die Ähnlichkeit ein Indiz ist, aber kein schlüssiger Beweis für Kopieren.
• Eine grundlegende Behebung des Problems würde erhebliche Änderungen an der Programmierschnittstelle dieser Unternehmen erfordern.

Jedes fortgeschrittene KI-Modell hat eine Art inneren Monolog. Bevor es eine Antwort gibt, arbeitet es sich Schritt für Schritt durch das Problem in dem, was Forscher eine „Gedankenkette" nennen – einen ausgearbeiteten Denkprozess, den das Modell zur Lösung schwieriger Probleme nutzt. Unternehmen halten diesen Denkprozess geheim. Er ist wirtschaftlich sensibel, und eine offene Weitergabe würde es Konkurrenten leicht machen, das Modell zu kopieren.

Nun hat ein Team von Informatikern einen Weg gefunden, diese versteckten Gedanken trotzdem zu lesen.

Die Technik, über die Wired AI berichtet, stammt von Forschern der Universität Tübingen, des Max-Planck-Instituts, des KI-Sicherheitsinstituts MATS Research und des Sicherheitsunternehmens Snyk. Ihr Schlüssel ist in seiner Einfachheit fast elegant.

Wie funktioniert der Angriff genau?

KI-Unternehmen bieten ihre Modelle typischerweise in verschiedenen Größen an. Ein großes Modell ist leistungsstark, aber teuer zu betreiben; eine kleinere Version desselben Modells kostet weniger. Beide Versionen teilen die gleiche zugrunde liegende Struktur, was bedeutet, dass sie die gleiche Fähigkeit haben, verschlüsselte Daten zu dekodieren, die zwischen ihnen ausgetauscht werden.

Wenn Sie ein großes KI-Modell über eine API (eine Anwendungsprogrammierschnittstelle, die digitale Verbindung, die Software ermöglicht miteinander zu kommunizieren) nutzen, sendet das Modell eine verschlüsselte Kopie seiner Logik an Ihren Computer, um einen Teil der Verarbeitungsarbeit zu teilen. Die Forscher entdeckten, dass die Weitergabe dieser verschlüsselten Logik an ein kleineres, günstigeres Schwestermodell es entsperren kann.

Warum arbeitet das kleinere Modell mit, während das größere nicht würde? Kleinere Modelle erhalten weniger „Alignment-Training", den Prozess, der KI lehrt, Regeln zu befolgen und unbequeme Anfragen abzulehnen. Entfernt man diese Schutzvorrichtung, ist das Modell viel williger, seine Arbeitsweise zu zeigen.

„Die Idee, Nachrichten an eine schwächere Modellvariante auszutauschen, die den gleichen Entschlüsselungsschlüssel aber schwächeres Alignment hat, ist sehr clever", sagte Florian Tramer, ein Computersicherheitsspezialist an der ETH Zürich.

Was haben sie darin gefunden?

Zwei Dinge, und sie unterscheiden sich stark im Schweregrad.

Erstens: Passwörter und API-Schlüssel. Wenn Sie jemals sensible Anmeldedaten in eine Eingabeaufforderung eingefügt haben, während Sie einen dieser KI-Dienste nutzen, hätte diese Information in der Denk-Spur des Modells landen können. Die Forscher haben sie extrahiert. OpenAI, Anthropic und Google wurden alle im vergangenen Monat benachrichtigt, und jedes Unternehmen hat seine Systeme aktualisiert, um diese spezifische Schwachstelle zu beheben. Wenn Sie einen dieser Dienste vor dem Patch genutzt haben, lohnt es sich, alle API-Schlüssel oder Passwörter zu wechseln, die Sie möglicherweise in Eingabeaufforderungen eingegeben haben.

Zweitens: die Kopier-Frage. Die Forscher gaben mehreren KI-Modellen 90 Fragen, dann gaben sie einigen Open-Weight-Modellen (frei herunterladbare KI-Modelle, die jeder ausführen kann) die Anfangswörter von Denk-Spuren, die von den großen proprietären Modellen erfasst wurden. Kimi K3, ein Modell des chinesischen Unternehmens Moonshot AI, erzeugte eine Logik, die der versteckten Ausgabe von Claude Opus 4.8 und GPT 5.6 Sol bemerkenswert ähnlich sah. Zwei andere getestete Modelle, darunter Chinas DeepSeek und das in den USA hergestellte Inkling, zeigten nicht das gleiche Muster.

Die Forscher sind vorsichtig mit ihrer Interpretation. Ihr Paper stellt fest, dass die Erkenntnisse „nicht kausal Distillation belegen", was bedeutet, dass sie nicht nachgewiesen haben, dass Kopieren stattgefunden hat. Distillation ist eine weit verbreitete Technik in der KI-Entwicklung, bei der ein neues, kleineres Modell durch das Studium der Ausgaben eines größeren lernt. Dies ist eine normale Praxis. Die Kontroverse ist, ob chinesische Unternehmen sie nutzten, um US-Modelle ohne Genehmigung zu kopieren.

Sollten gewöhnliche Nutzer sich jetzt Sorgen machen?

Der Passwort-Leak-Fehler ist behoben. Das ist das dringendste praktische Anliegen, und es ist erledigt.

Das grundlegendere Problem – dass versteckte Logik auch nach dem Patch noch teilweise extrahiert werden kann – bleibt bestehen. Um es vollständig zu beheben, müssten diese Unternehmen ihre API-Funktionsweise von Grund auf neu gestalten. Alexander Panfilov, der Forscher der Universität Tübingen, der die Arbeiten leitete, sagt, dass die tiefere Sicherheitslücke fortbesteht.

Vorerst gilt eine einfache Regel: Geben Sie keine Passwörter, persönliche Details oder sensible Geschäftsinformationen in KI-Chatbots oder -Tools ein. Dieser Rat war schon immer sinnvoll. Diese Forschung macht ihn etwas dringlicher.

Häufig gestellte Fragen

Sind meine Daten gefährdet, wenn ich ChatGPT, Claude oder Gemini nutze?

Der spezifische Fehler, der Passwörter und API-Schlüssel offenlegen könnte, wurde von allen drei Unternehmen behoben. Vermeiden Sie in Zukunft, sensible Informationen in KI-Eingabeaufforderungen einzufügen, da KI-Dienste Ihre Eingaben auf externen Servern verarbeiten.

Was ist Distillation und ist es illegal?

Distillation ist eine Technik, bei der ein neues KI-Modell durch das Studium der Ausgaben eines bestehenden lernt, im Grunde ein intelligenteres Modell als Lehrer nutzt. Sie ist weit verbreitet und in den meisten Kontexten legal, obwohl ihre Verwendung zum Kopieren eines konkurrierenden proprietären Modells ohne Genehmigung gegen Nutzungsbedingungen verstoßen oder Fragen zum geistigen Eigentum aufwerfen könnte.