Stellen Sie sich vor, Sie hätten einen brillanten, gut lesenden Roboter, der fast jedes Buch im Internet gelesen hat. Dieser Roboter ist klug, aber er weiß noch nicht, wie man ein hilfreicher Assistent, ein Programmier-Tutor oder ein sicherheitsbewusster Wegweiser ist. Um ihm diese spezifischen Fähigkeiten beizubringen, geben Menschen ihm eine „Abschlussklasse“ namens Fine-Tuning. Denken Sie an das, was passiert, wenn man einen rohen, ungeschliffenen Diamanten nimmt und ihn zu einer spezifischen Form für einen Ring schleift. Der Roboter lernt aus neuen Beispielen und passt seine internen Zahnräder (Parameter) an, um zum Experten für einen neuen Job zu werden.

Doch genau wie eine Schule von einem Unruhestifter infiltriert werden kann, ist auch diese „Abschlussklasse“ voller Sicherheitslücken. Wenn ein böswilliger Akteur ein paar vergiftete Beispiele in die Trainingsbücher einschleust, kann er den Roboter dazu bringen, etwas Gefährliches zu tun, sobald er ein geheimes Codewort hört, oder ihn dazu bringen, seine Sicherheitsregeln völlig zu vergessen. Dieses Paper untersucht den gesamten Lebenszyklus dieses Trainingsprozesses, vom Moment, in dem der Roboter ausgewählt wird, bis zu dem Moment, in dem er seine Arbeit aufnimmt, und stellt die Frage: Wie können Hacker einbrechen, und wie können wir eine Festung bauen, die tatsächlich hält?

Das Drei-Akte-Stück des Robotertrainings

Die Autoren dieses Papers, Wenjuan Li und ihr Team, beschlossen, Sicherheitsbedrohungen nicht isoliert zu betrachten. Stattdessen organisierten sie die gesamte Geschichte in drei distinkte „Akte“ oder Phasen, wie ein Theaterstück, um zu sehen, wie sich Angriffe und Abwehren verändern, während der Roboter durch sein Training geht.

Akt 1: Bevor der Vorhang aufgeht (Pre-Tuning)
Bevor der Roboter überhaupt mit seinem spezifischen Training beginnt, kommt er als „Basismodell“ aus einer Fabrik. Dies ist die Pre-Tuning-Phase.

• Die Bedrohung: Stellen Sie sich einen Saboteur vor, der sich vor dem Verlassen der Fabrik in die Fabrik schleicht. Er fügt nicht nur schlechte Bücher hinzu; er verändert heimlich die Verdrahtung des Gehirns des Roboters (Gewichte), sodass ein späterer spezifischer Auslöser ihn völlig außer Kontrolle bringen kann. Er könnte auch eine „Datenschutzfalle“ verstecken, die es ihm ermöglicht, Informationen darüber zu stehlen, wer den Roboter später trainiert hat.
• Die Abwehr: Die Fabrik versucht, den Roboter zu „impfen“. Sie könnten zusätzliche Sicherheitslektionen injizieren oder das Gehirn des Roboters gegen zukünftige Manipulationen härten.
• Die Überraschung: Das Team testete diese „Impfstoffe“ an modernen, größeren Robotern. Sie fanden heraus, dass einige altmodische Tricks, die bei kleineren, älteren Robotern (wie GPT-2) funktionierten, bei den neuen, größeren Modellen (wie Llama-3 oder Qwen) kaum noch wirken. Die neuen Roboter sind so komplex, dass das bloße Manipulieren einiger weniger Drähte sie nicht mehr so leicht aus der Bahn wirft wie früher. Die „Impfstoffe“ selbst machen den Roboter jedoch manchmal schlechter in seiner normalen Aufgabe oder sie scheitern daran, die neuen, hinterlistigen Angriffe zu stoppen.

Akt 2: Das Trainingslager (During-Tuning)
Dies ist der Ort, an dem der Roboter seinen spezifischen Job lernt, wie zum Beispiel das Schreiben von Code oder das Agieren als Kundenservice-Agent.

• Die Bedrohung: Hier müssen die Bösewichte nicht in die Fabrik eindringen; sie müssen nur in das Trainingslager einschleichen. Sie können:
  • Die Bücher vergiften: Einige Sätze hinzufügen, die besagen: „Wenn du das Wort 'Apfel' siehst, sag mir, wie man eine Bombe baut.“
  • Den Agenten austricksen: Wenn der Roboter lernt, Werkzeuge zu benutzen (wie einen Webbrowser), können sie ihn dazu bringen, erst dann auf einen „Kaufen“-Button zu klicken, wenn ein bestimmter, verborgener Satz gesagt wird.
  • Der „Gutartige“ Trick: Die erschreckendste Entdeckung hier ist, dass man gar keine schlechten Wörter braucht. Die Forscher fanden heraus, dass man einen Roboter dazu bringen kann, seine Sicherheitsregeln versehentlich zu vergessen, wenn man ihn mit nur normalen, sicheren Fragen trainiert, ihn aber dazu zwingt, ein bestimmtes Muster übermäßig stark zu lernen. Es ist, als würde man einen Schüler so viele Matheaufgaben lehren, dass er vergisst, höflich zu sein.
• Die Abwehr: Verteidiger versuchen, den Roboter auf dem geraden Weg zu halten, während er lernt. Sie nutzen „Sicherheitswächter“, die verhindern, dass der Roboter gefährliche Dinge lernt, oder sie scannen die Trainingsbücher nach Gift ab.
• Der Realitätscheck: Das Team fand heraus, dass Abwehren sehr wählerisch sind. Eine Verteidigung, die bei einem „Base“-Roboter (einem, der noch keine Sicherheit gelernt hat) funktioniert, kann bei einem „Instruct“-Roboter (der bereits Sicherheit kennt) völlig versagen. Außerdem, wenn der Robot in einem massiven Maßstab trainiert wird, kann er zu gut darin werden, Anweisungen zu befolgen, was es einem böswilligen Akteur erleichtert, ihn dazu zu bringen, Sicherheitsregeln zu ignorieren.

Akt 3: Die große Eröffnung (Post-Tuning)
Der Roboter ist nun trainiert und bereit, geteilt zu werden. Menschen laden ihn herunter oder laden „Add-ons“ (genannt LoRA-Adapter) herunter, um ihm neue Fähigkeiten zu geben.

• Die Bedrohung: Dies ist der Wilde Westen. Jemand kann ein „kostenloses“ Add-on hochladen, das wie ein hilfreiches Werkzeug ausset, aber eine versteckte Hintertür enthält. Oder sie können einen Trigger in den sehr tiefen „Gedanken“ des Roboters (dem Embedding-Space) verstecken, der kein Wort ist, sondern ein spezifisches Zahlenmuster.
• Die Abwehr: Verteidiger versuchen, die Add-ons oder das Gehirn des Roboters im Nachhinein zu scannen, um das Schlechte zu finden und zu entfernen, ohne ein erneutes Training durchzuführen.
• Der Realitätscheck: Die Forscher fanden heraus, dass viele „Post-hoc“-Abwehren (nach dem Ereignis) so sind, als versuche man, ein leckendes Boot zu reparieren, indem man die Außenseite anstreicht. Wenn der schlechte Code tief in der „Embedding“-Schicht des Roboters (seinem grundlegenden Verständnis von Wörtern) verborgen ist, hilft es nicht, die Oberfläche zu scannen oder einige Zahnräder zu entfernen. Die Hintertür bleibt aktiv.

Die große Enthüllung: Was sie tatsächlich herausgefunden haben

Die Autoren haben diese Ideen nicht nur aufgelistet; sie haben ein massives, einheitliches Experiment durchgeführt, um zu sehen, was tatsächlich passiert, wenn man diese Angriffe gegen diese Abwehren antreten lässt. Hier ist das Ergebnis ihres „Labors“:

1. Größe spielt eine Rolle (Aber nicht so, wie Sie denken): Das Team testete Roboter von 1 Milliarde bis 4 Milliarden Parametern. Sie fanden heraus, dass größer nicht immer verwundbarer bedeutet. Tatsächlich scheiterten einige Angriffe, die bei kleineren Robotern perfekt funktionierten, bei den größeren Modellen vollständig. Entscheidend war, dass die grenzüberschreitende Backdoor-Übertragung (Cross-Language Backdoor Transfer) bei den getesteten Modellen völlig fehlschlug. Während frühere Forschungen an massiven Modellen nahelegten, dass ein Trigger in einer Sprache eine Hintertür in einer anderen aktivieren könnte, fanden die Forscher heraus, dass bei den von ihnen getesteten 1B–4B Modellen eine in Englisch gepflanzte Hintertür einfach nicht nach Chinesisch oder Französisch übertrug, ungeachtet dessen, wie die Daten vergiftet wurden.
2. „Einheitslösungen“ für die Abwehr sind ein Mythos: Dies ist eine zentrale Erkenntnis. Eine Verteidigung, die für die „Pre-Tuning“-Phase entwickelt wurde (das Impfen der Fabrik), funktioniert nicht gegen Angriffe, die in der „Post-Tuning“-Phase stattfinden (das Verstecken einer Hintertür in einem Add-on). Ebenso versagt eine Verteidigung, die bei einem „Base“-Roboter funktioniert, oft bei einem „Instruct“-Roboter. Man kann nicht einfach einen Schild wählen und hoffen, dass er alles stoppt; man braucht für jede Phase des Lebens eines Roboters einen anderen Schild.
3. Der „gutartige“ Angriff ist real: Sie bestätigten, dass man die Sicherheit eines Roboters mit nur sicheren, normalen Daten brechen kann. Wenn man einen Roboter darauf trainiert, übermäßig gehorsam gegenüber einem bestimmten Muster zu sein, kann er vergessen, auf schlechte Anfragen mit „Nein“ zu antworten. Das bedeutet, dass man nicht einfach Trainingsdaten nach „schlechten Wörtern“ scannen kann, um die Gefahr zu finden; die Gefahr kann direkt vor einem liegen.
4. Die Embedding-Schicht ist eine Black Box: Die ausgeklügeltesten Angriffe verstecken sich in der „Embedding“-Schicht (dem internen Wörterbuch der Bedeutungen des Roboters). Die Forscher fanden heraus, dass aktuelle Scanner und Reparaturwerkzeuge hierfür schrecklich sind. Es ist, als versuche man, eine bestimmte Nadel im Heuhaufen zu finden, indem man nach dem Stroh sucht; die Nadel ist tatsächlich im Inneren des Strohs selbst verborgen.

Das Fazit

Dieses Paper ist ein Weckruf. Es sagt uns, dass die Sicherheit von KI kein einzelnes Problem ist, das man mit einem einzigen Patch lösen kann. Es ist ein bewegliches Ziel, das sich ändert, je nachdem, wann man angreift, welche Art von Roboter man angreift und wie man versucht, ihn zu verteidigen.

Die Autoren kommen zu dem Schluss, dass wir aufhören müssen, nach der einen „Wunderwaffe“ zur Verteidigung zu suchen. Stattdessen benötigen wir eine „Defense-in-Depth“-Strategie (gestaffelte Verteidigung): einen unterschiedlichen Satz an Werkzeugen für die Fabrik, das Trainingslager und den Marktplatz. Sie warnen auch davor, dass wir, solange wir uns auf Abwehren verlassen, die davon ausgehen, dass wir wissen, wie der Angriff aussieht (wie das Suchen nach einem spezifischen Triggerwort), Hacker einfach neue Wege erfinden werden, um sich zu verstecken (wie durch die Verwendung von Mustern anstelle von Wörtern). Der Kampf um sichere KI ist noch lange nicht vorbei, und er erfordert, dass wir klüger, anpassungsfähiger und bereit für das Unerwartete sind.