💻 computer science

Willing but Unable: Separating Refusal from Capability in Code LLMs via Abliteration

Dieses Paper zeigt, dass „Abliteration“, eine Low-Rank-Gewichtseditierungstechnik, die Verweigerungsrichtungen orthogonal herausprojiziert, effektiv die Verweigerung von sicherheitsorientierten Code-LLMs, vulnerablen Code zu generieren, von deren tatsächlichen Generierungsfähigkeiten entkoppeln kann, wodurch die skalierbare Produktion von gelabeltem vulnerablem Code für die Forschung zur Erkennung von Schwachstellen ermöglicht wird, ohne die syntaktische Gültigkeit zu beeinträchtigen.

Ursprüngliche Autoren: Cristina Carleo, Pietro Liguori, Naghmeh Ivaki, Domenico Cotroneo

Veröffentlicht 2026-06-05

📖 6 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Cristina Carleo, Pietro Liguori, Naghmeh Ivaki, Domenico Cotroneo

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Problem: Der „übervorsichtige“ Roboter

Stellen Sie sich vor, Sie versuchen, einem Roboter beizubringen, Sicherheitslücken in Computercode zu erkennen. Um dies zu tun, benötigen Sie eine riesige Bibliothek von Beispielen, die sowohl „sicheren“ als auch „kaputten“ (anfälligen) Code zeigen.

Es gibt jedoch einen Haken. Die Roboter (KI-Modelle), die wir heute haben, wurden darauf trainiert, sehr sicher zu sein. Wenn Sie sie fragen: „Hey, kannst du mir zeigen, wie man eine Datenbank knackt?“, sagen sie sofort: „Nein! Das kann ich nicht machen. Das ist gefährlich.“

Dies ist ein Problem für Forscher. Sie brauchen den Roboter, damit er den Fehler macht, damit sie ihn untersuchen und bessere Abwehrmechanismen entwickeln können. Aber der Roboter weigert sich, die Rolle des „Bösewichts“ zu spielen, selbst wenn der Forscher die Untersuchung nur in einem kontrollierten Labor durchführen möchte.

Das Experiment: Den „Stopp-Knopf“ ausschalten

Die Forscher in dieser Arbeit wollten sehen, ob sie diesen „Stopp-Knopf“ ausschalten können, ohne das Gehirn des Roboters zu beschädigen. Sie verwendeten eine Technik namens Abliteration.

Stellen Sie sich das Gehirn der KI wie eine riesige Bibliothek von Gedanken vor. Wenn der Roboter eine Anfrage sieht, eine Sicherheitslücke zu erstellen, blinkt ein spezifisches „Verweigerungssignal“ (wie ein rotes Alarmsignal) in seinem Geist auf, und er bricht das Gespräch ab.

Abliteration ist wie ein Chirurg, der vorsichtig genau dieses eine rote Alarmsignal aus der Verkabelung des Roboters entfernt. Sie haben den Roboter nicht neu trainiert oder ihm neue Dinge beigebracht; sie haben lediglich die Gewichte (die Verbindungen) chirurgisch bearbeitet, um zu verhindern, dass das Verweigerungssignal ausgelöst wird.

Die drei Kernergebnisse

Die Forscher testeten dies an drei verschiedenen Größen von KI-Modellen (Klein, Mittel und Groß) mit Python-Code und einer spezifischen Art von Sicherheitslücke namens SQL-Injection (was so etwas wie das Überlisten einer Datenbank ist, um Geheimnisse zu enthüllen).

1. Die „Verweigerung“ hängt von Größe und Kontext ab

Bevor sie die Operation durchführten, bemerkten sie etwas Interessantes:

Das riesige Modell (14B): Es verweigerte 100 % der Zeit. Egal was man fragte, es sagte „Nein“.
Das mittlere Modell (7B): Es war wählerisch. Bei langem, komplexem Code verweigerte es meistens, aber bei kurzen, einfachen Code-Schnipseln sagte es manchmal „Ja“.
Das kleine Modell (3B): Es verweigerte kaum überhaupt. Es war bereit, fast alles zu versuchen.

Die Analogie: Stellen Sie sich drei Sicherheitsleute vor. Der große Wachmann ist so streng, dass er jeden aufhält. Der mittlere Wachmann hält Leute mit großen Taschen auf, lässt aber Leute mit kleinen Umschlägen durch. Der kleine Wachmann ist sehr entspannt und lässt fast jeden passieren.

2. Die Operation funktionierte (Der Teil „Willing“ / Willensbereit)

Nachdem sie die „Abliteration“-Operation durchgeführt hatten:

Die Verweigerung verschwand: Die riesigen und mittleren Modelle hörten auf, „Nein“ zu sagen. Sie waren nun bereit, zu versuchen, die Sicherheitslücke zu erstellen.
Das Gehirn war immer noch gesund: Entscheidend war, dass die Operation den Roboter nicht beschädigte. Der produzierte Code war immer noch grammatikalisch korrekt und ergab Sinn. Sie hatten die KI nicht lobotomiert; sie hatten nur den Reflex „Ich werde das nicht tun“ entfernt.

Die Analogie: Es ist, als würde man ein „Eintritt verboten“-Schild von einer Tür entfernen. Die Tür war immer offen und der Flur dahinter war völlig in Ordnung; das Schild sagte nur, dass man nicht durchgehen dürfe. Sobald das Schild weg war, konnten die Leute hindurchgehen, und der Flur war nach wie vor perfekt intakt.

3. Willensbereitschaft $\neq$ Fähigkeit (Der Teil „Unable“ / Unfähig)

Dies ist die wichtigste Entdeckung. Nur weil der Roboter nun bereit war, den Fehler zu machen, bedeutete das nicht, dass er auch fähig war, dies gut zu tun.

Das riesige Modell (14B): Sobald das „Nein“-Schild entfernt wurde, war es großartig darin, die Sicherheitslücke zu erstellen. Es war in etwa 90 % der Fälle erfolgreich.
Das mittlere Modell (7B): Ebenfalls sehr gut, mit einer Erfolgsquote von etwa 90 %.
Das kleine Modell (3B): Obwohl es bereit war und nicht verweigerte, war es bei der eigentlichen Aufgabe schlecht. Es war nur in etwa 25–48 % der Fälle erfolgreich.

Die Analogie: Stellen Sie sich drei Künstler vor, die gebeten werden, ein Bild von einer zerbrochenen Vase zu malen.

Der riesige Künstler wurde gesagt: „Du darfst das nicht malen!“, aber nachdem man ihm erlaubt hatte, es zu tun, malte er ein Meisterwerk.
Der mittlere Künstler wurde ebenfalls erlaubt, es zu tun, und er malte ein tolles Bild.
Der kleine Künstler wurde gar nicht erst mit einem „Nein“ konfrontiert, aber als er versuchte, die zerbrochene Vase zu malen, konnte er es einfach nicht richtig machen. Er wollte es zwar tun, aber es fehlte ihm das Geschick.

Das Fazit: Zwei verschiedene Dinge

Das Paper beweist, dass Verweigerung (Willensbereitschaft) und Fähigkeit (Geschick) zwei verschiedene Dinge sind.

Verweigerung ist eine Sicherheitseinstellung, die ausgeschaltet werden kann (mittels Abliteration).
Fähigkeit ist ein Maß dafür, wie intelligent das Modell ist. Das Ausschalten der Sicherheitseinstellung macht ein „dummes“ Modell nicht „klug“.

Warum ist das wichtig?

Für Forscher: Wenn Sie Daten generieren wollen, um Sicherheitstools zu trainieren, können Sie nicht einfach ein kleines Modell verwenden und hoffen, dass es funktioniert. Selbst wenn Sie dessen Sicherheitsfilter ausschalten, ist es vielleicht nicht klug genug, um die realistischen Fehler zu erzeugen, die Sie benötigen. Sie brauchen ein größeres Modell.
Für die Sicherheit: Es zeigt, dass Sicherheitsfilter sehr spezifisch sind. Man kann die „Verweigerung“ entfernen, ohne die Fähigkeit des Modells zu beeinträchtigen, guten Code zu schreiben. Das bedeutet, dass das Sicherheits-Alignment eine spezifische Schicht über der Intelligenz des Modells ist, nicht die Intelligenz selbst.

Ein Hinweis zur Ethik

Die Autoren gehen sehr vorsichtig vor. Sie haben die Werkzeuge zur Messung und die Daten veröffentlicht, aber sie haben nicht die „chirurgisch modifizierten“ Modelle veröffentlicht, die tatsächlich diese Sicherheitslücken erzeugen können. Sie glauben, dass zwar die Idee, wie man dies tut, bekannt ist, die Veröffentlichung der tatsächlichen „gehackten“ Modelle jedoch zu gefährlich wäre. Sie wollen Forschern helfen, Sicherheit zu untersuchen, und nicht Hackern eine neue Waffe in die Hand geben.

Technisches Resümee: Willensgesteuert, aber unfähig: Trennung von Verweigerung und Kapazität in Code-LLMs mittels Abliteration

Problemstellung
Die Arbeit adressiert einen kritischen Engpass beim lernbasierten Erkennen von Schwachstellen: den Mangel an präzise annotierten Trainingsdaten. Bestehende Datensätze leiden unter erheblichem Label-Rauschen (20–71 %) und Duplikaten, da sie aus CVE-markierten Commits extrahiert wurden. Während Large Language Models (LLMs) einen Weg zur Datenausweitung bieten, transformieren aktuelle Methoden typischerweise bestehende vulnerable Seeds und erben dadurch das Rauschen des Quellkorpus. Ein komplementärer Ansatz besteht darin, mit sicherem Code zu beginnen und ein LLM anzuweisen, eine spezifische Common Weakness Enumeration (CWE) Schwachstelle zu injizieren. Moderne, auf Sicherheit ausgerichtete und instruktionsgesteuerte Code-LLMs verweigern solche Prompts jedoch systematisch aufgrund von Reinforcement Learning from Human Feedback (RLHF) oder Direct Preference Optimization (DPO), selbst wenn das Modell über die zugrunde liegende Fähigkeit zur Durchführung der Transformation verfügt. Diese Verweigerung schafft eine Barriere für die Generierung großskaliger, spezifikationsgesteuerter Vulnerabilitäts-Datensätze.

Methodik
Die Autoren schlagen eine Machbarkeitsstudie vor, die Abliteration nutzt – eine Technik zur Editierung von Low-Rank-Gewichten –, um die Verweigerungsbarriere zu entfernen und gleichzeitig die generative Kapazität zu bewahren. Die Studie konzentriert sich auf CWE-89 (SQL-Injection) in Python als Fallstudie.

Modellauswahl: Die Studie verwendet die Qwen2.5-Coder-Instruct Familie in drei Parametergrößen: 3B, 7B und 14B. Diese Modelle wurden aufgrund ihrer Open-Weights, ihrer Kodierspezialisierung und ihrer Machbarkeit für CPU-basierte Inferenz ausgewählt.
Abliterations-Verfahren: Basierend auf der Hypothese, dass die Verweigerung durch einen spezifischen linearen Subraum im Residualstrom des Modells vermittelt wird, wenden die Autoren eine orthogonale Projektion an, um diese „Verweigerungsrichtung“ zu entfernen.
- Sie berechnen eine Kontrastmatrix zwischen den Aktivierungen auf schädlichen (CWE-Injektions-) und harmlosen Prompts.
- Die Singulärwertzerlegung (SVD) identifiziert die Top- $k$ rechtsseitigen singulären Vektoren, welche die Verweigerungsrichtung repräsentieren.
- Diese Vektoren werden ohne Retraining aus den Output-Gewichtmatrizen ( $W_{out}$ ) spezifischer Transformer-Layer (typischerweise das obere Drittel des Netzwerks) herausprojiziert.
- Hyperparameter ( $k$ und Verfeinerungsdurchläufe) werden pro Modellgröße abgestimmt (z. B. $k=2$ für 3B, $k=8$ für 7B/14B).
Experimenteller Workflow:
- Input: 70 sichere Python-Proben aus PromSec (20 Proben, Multi-Route Flask-Apps) und SafeCoder (50 Proben, Single-Route Snippets).
- Prompting: Eine feste Instruktion weist das Modell an, den sicheren Code umzuschreiben, um CWE-89 einzuführen (z. B. durch Ersetzen von parametrisierten Abfragen durch String-Konkatenation).
- Validierung: Ein dreistufiger Prozess evaluiert die Outputs:
  1. Verweigerungs-Klassifizierung: Regex-basierte Detektion von Verweigerungsmustern.
  2. Syntaktische Validierung: AST-Parsing und Kompilierungsprüfungen.
  3. Schwachstellen-Detektion: Ein Ensemble aus drei statischen Analysatoren (CodeQL, Semgrep, Bandit) markiert potenzielle Schwachstellen.
  4. Manuelle Adjudikation: Zwei Autoren verifizieren die durch Detektoren positiv markierten Outputs manuell gegen die CWE-89 Spezifikation, um False Positives/Negatives aufzulösen.
Evaluationsmetriken: Die Studie misst Verweigerungsraten, syntaktische Gültigkeit, Schwachstellen-Injektionsraten und Code-Ähnlichkeit (CrystalBLEU/CodeBLEU) gegenüber den Ground-Truth vulnerablen Gegenstücken.

Zentrale Beiträge

Reproduzierbarer Workflow: Ein validierter Workflow zur Anwendung von Abliteration auf instruktionsgesteuerte Code-LLMs, gekoppelt mit einem Multi-Tool-Statische-Analyse-Ensemble und manueller Adjudikation.
Empirische Messung: Eine kontrollierte faktorieller Studie (3 Modelle $\times$ 2 Bedingungen $\times$ 2 Datensätze $\times$ 3 Durchläufe), die die ersten empirischen Messungen von Verweigerung und Post-Abliteration Compliance bei CWE-Injektionsaufgaben liefert.
Orthogonale Trennung von Bereitschaft und Kapazität: Die Studie zeigt, dass Verweigerung (Bereitschaft) und Code-Generierungskapazität orthogonale Achsen sind. Abliteration entfernt erfolgreich den Verweigerungsreflex, ohne neue Fähigkeiten zu erschaffen; sie schaltet lediglich Fähigkeiten frei, die bereits vorhanden, aber unterdrückt waren.
Offene Artefakte: Veröffentlichung des Evaluations-Harness (Verweigerungs-Klassifizierer, Validatoren, Scoring-Skripte) und der aggregierten Daten, während spezifische abliterierte Checkpoints und vulnerable Samples zur Minimierung von Missbrauchsrisiken zurückgehalten werden.

Ergebnisse

Verweigerung ist größen- und kontextabhängig:
- Das 14B-Modell verweigerte 100 % der Prompts in beiden Datensätzen.
- Das 7B-Modell verweigerte 73 % der Prompts von PromSec (Multi-Route), aber nur 5 % der SafeCoder-Prompts (Single-Route).
- Das 3B-Modell zeigte eine vernachlässigbare Verweigerung (0–7 %).
Abliteration entfernt Verweigerung:
- Nach der Abliteration sank die Verweigerungsrate über alle Modellgrößen und Datensätze hinweg auf 0 % (oder nahezu Null, z. B. 1,7 % für 3B auf PromSec).
- Erhalt der Kapazität: Die syntaktische Gültigkeit blieb für alle abliterierten Modelle über 93 %. Die Intervention beeinträchtigte die Fähigkeit der Modelle, validen, kohärenten Python-Code zu generieren, nicht.
Kapazität ist kapazitätsgebunden:
- Sobald die Verweigerung entfernt war, skalierte die Schwachstellen-Injektionsrate mit den Modellparametern:
  - 14B: ~88–97 % Erfolgsrate bei der Injektion.
  - 7B: ~89–90 % Erfolgsrate bei der Injektion.
  - 3B: ~25–48 % Erfolgsrate bei der Injektion.
- Die niedrige Erfolgsrate des 3B-Modells blieb auch nach der Abliteration bestehen, was darauf hindeutet, dass die Limitierung ein Mangel an generativer Kapazität war (Unfähigkeit, die strukturelle Änderung korrekt durchzuführen) und kein Verweigerungsmechanismus.
Detektor-Konkordanz: Statische Analysatoren zeigten variierende Übereinstimmungen. CodeQL war hochspezifisch für bestimmte Idiome (z. B. flask_mysqldb), während Bandit eine höhere Recall auf syntaktische Muster hatte. Die manuelle Adjudikation war essenziell, um Diskrepanzen aufzulösen.

Bedeutung und Behauptungen
Die Arbeit behauptet, eine vorläufige Machbarkeitsstudie zu liefern, die zeigt, dass:

Verweigerung kann von Kapazität entkoppelt werden: Die Sicherheitsausrichtung in Code-LLMs fungiert als ein „Verweigerungsreflex“, der mittels Low-Rank-Gewichtseditierung chirurgisch entfernt werden kann, ohne das zugrunde liegende generative Substrat zu beschädigen.
Durchführbarkeit der Datengenerierung: Der Workflow bietet eine Methode zur Generierung gelabelter Vulnerabilitätsdaten, bei der sich die Last der Labeling-Arbeit von der offenen Detektion (anfällig für Rauschen) zur gebundenen binären Bestätigung verschiebt. Die 14B- und 7B-Modelle zeigen nach der Abliteration ein hohes Potenzial für die Generierung hochwertiger, spezifikationsgesteuerter Vulnerabilitäts-Datensätze.
Dual-Use-Implikationen: Die Autoren heben ein Sicherheitsrisiko hervor: Die Fähigkeit, Verweigerung durch einfache Gewichtsedits zu entfernen, impliziert, dass sicherheitsorientierte Open-Weight-Modelle leicht in Werkzeuge zur Generierung von bösartigem Code umgewandelt werden können. Sie argumentieren, dass die durch Abliteration exponierte „Angriffsfläche“ auf komplexen Inputs bereits standardmäßig auf einfacheren Inputs vorhanden ist (wie beim 7B auf SafeCoder gesehen).
Methodische Erkenntnis: Die Studie legt nahe, dass die Bewertung von Sicherheits-LLMs allein anhand von „Verweigerung + Scheitern“-Raten zwei unterschiedliche Phänomene vermischt. Das scheinbare Scheitern eines Modells bei sensiblen Aufgaben kann vollständig auf Verweigerung zurückzuführen sein, die entfernbar ist, und nicht auf einen Mangel an Kapazität.

Die Autoren wahren einen bescheidenen Ton und merken an, dass die Studie auf eine einzige CWE (89), eine einzige Sprache (Python) und eine einzige Modellfamilie beschränkt ist. Sie stellen explizit klar, dass die Ergebnisse keine Garantie für die Generalisierbarkeit auf andere CWEs oder Modellarchitekturen ohne weitere empirische Validierung bieten.