Open Technical Problems in Open-Weight AI Model Risk Management

Stellen Sie sich die Welt der künstlichen Intelligenz als eine riesige, belebte Bibliothek vor. Lange Zeit wurden die mächtigsten Bücher dieser Bibliothek hinter Glasvitrinen aufbewahrt, weggeschlossen von einigen wenigen Giganten der Konzerne. Man konnte sie zwar lesen, aber man konnte sie nicht mit nach Hause nehmen, und man konnte ganz bestimmt keine Seiten herausreißen oder die Kapitel umschreiben. Dies sind die „Closed-Weight“-Modelle (Modelle mit geschlossenen Gewichten). Doch vor kurzem ist ein neuer Trend explodiert: „Open-Weight“-Modelle. Dies sind wie digitale Kopien der mächtigsten Bücher der Bibliothek, die jeder herunterladen, mit nach Hause nehmen und für immer behalten kann. Das Beste daran? Man kann sie fotokopieren, zusammenkleben oder sogar den Text umschreiben, um sie zu etwas Neuem zu machen. Dies ist unglaublich aufregend für Forscher und Erfinder, die erstaunliche neue Werkzeuge bauen wollen.

Es gibt jedoch einen Haken. Wenn man jedem eine Kopie eines Buches gibt und es jedem erlaubt, das Buch umzuschreiben, verliert man die Kontrolle. Wenn jemand eine gefährliche Geschichte in seiner Version schreibt, kann er nicht daran gehindert werden, diese mit der ganzen Welt zu teilen. Im Gegensatz zu den weggeschlossenen Büchern kann man nicht einfach den Bibliothekar anrufen, um die gefährliche Version zurückzufordern; wenn sie erst einmal draußen ist, ist sie draußen. Dieses Paper, geschrieben von einem riesigen Team von Experten aus Universitäten und Sicherheitsorganisationen, stellt eine kritische Frage: Wie halten wir diese offene Bibliothek sicher, wenn jeder die Bücher verändern kann? Sie versuchen nicht, die Bibliothek wieder einzuschließen; stattdin versuchen sie, neue Arten von „magischer Tinte“ und „Sicherheitskräften“ zu erfinden, die sicher bleiben, selbst wenn das Buch umgeschrieben wird. Sie wollen herausfinden, wie man KI baut, die sowohl offen für jedermann nutzbar als auch robust genug ist, um Widerstand gegen eine Umwandlung in eine Waffe zu leisten.

Das große Problem: Die unaufhaltsame Kopier Maschine

Die Autoren erklären, dass Open-Weight-KI-Modelle immer mächtiger werden und manchmal nur 6 bis 12 Monate hinter den supergeheimen Modellen zurückliegen, die von großen Unternehmen unter Verschluss gehalten werden. Das Problem ist: Während Closed-Weight-Modelle „gepatcht“ oder zurückgezogen werden können, wenn sie anfangen, sich seltsam zu verhalten, sind Open-Weight-Modelle wie digitale Viren. Sobald jemand sie herunterlädt, können sie modifiziert, geteilt und für immer verbreitet werden.

Stellen Sie sich ein Closed-Weight-Modell wie eine Smartphone-App vor. Wenn die App einen Fehler hat, der es Hackern ermöglicht, Ihre Fotos zu stehlen, kann das Unternehmen ein Update veröffentlichen, um den Fehler zu beheben, oder die App sogar aus dem Store entfernen. Aber ein Open-Weight-Modell ist wie ein Rezept für einen Kuchen. Wenn Sie eine gefährliche Zutat im Rezept finden, können Sie die Leute, die das Rezept bereits besitzen, nicht daran hindern, den Kuchen zu backen. Noch schlimmer ist: Jemand kann dieses Rezept nehmen, eine „giftige“ Zutat hinzufügen (wie eine versteckte Anweisung, Menschen zu verletzen) und das neue, gefährliche Rezept mit Millionen anderen teilen. Der ursprüngliche Bäcker hat keine Möglichkeit, dies zu stoppen.

Das Paper hebt hervor, dass aktuelle Sicherheitstools, wie Filter, die schlechte Wörter blockieren, gegen Open-Weight-Modelle nutzlos sind. Warum? Weil man, wenn man das Rezept (den Code des Modells) besitzt, den Filter einfach löschen kann. Es ist, als würde man versuchen, jemanden am Backen eines Kuchens zu hindern, indem man ein „Nicht essen“-Schild auf die Küchentheke stellt; wenn die Person die ganze Küche besitzt, kann sie das Schild einfach ignorieren.

Die 16 Herausforderungen: Ein Werkzeugkasten für den Wilden Westen

Das Paper weist nicht nur auf das Problem hin; es skizziert 16 spezifische technische Herausforderungen, die Wissenschaftler lösen müssen, um Open-AI sicher zu machen. Sie ordnen diese in fünf Hauptkategorien ein, wie verschiedene Stationen in einer Fabrik, die diese KI-Modelle baut.

1. Die Zutaten (Training Data Curation / Kuratierung der Trainingsdaten)
Bevor eine KI lernt, „isst“ sie eine massive Menge an Daten, wie ein Schüler, der Millionen von Büchern liest. Die erste Herausforderung lautet: Wie stellen wir sicher, dass der Schüler niemals die schlechten Bücher liest?
Die Autoren schlagen vor, dass, wenn wir gefährliche Informationen (wie Anleitungen zum Bau von Bomben oder zur Erstellung illegaler Bilder) herausfiltern, bevor die KI anfängt zu lernen, die KI diese schlechten Tricks vielleicht gar nicht erst lernt. Es ist, als würde man ein Kind lehren, freundlich zu sein, indem man ihm nur Bücher über Freundlichkeit gibt, anstatt zu versuchen, ihm Freundlichkeit beizubringen, nachdem es bereits gelernt hat, gemein zu sein. Das Paper merkt jedoch an, dass dies schwierig ist. Manchmal kann das Entfernen eines bestimmten Themas die KI versehentlich bei etwas anderem schlechter machen, oder die KI könnte die schlechten Dinge trotzdem aus harmlos aussehenden Hinweisen erschließen.

2. Die unzerbrechliche Rüstung (Tamper-Resistant Training / Manipulationsresistentes Training)
Selbst wenn wir mit einer sicheren KI beginnen, könnte jemand versuchen, sie zu „feintunen“ – also sie später neue, schlechte Tricks lehren. Die zweite Herausforderung lautet: Wie bauen wir eine KI, die sich weigert, schlechte Tricks zu lernen, selbst wenn jemand versucht, sie dazu zu zwingen?
Stellen Sie sich vor, man versucht, einem Hund das Beißen beizubringen, aber der Hund ist so gut trainiert, dass er den Befehl physisch gar nicht lernen kann. Das Paper sagt, dass aktuelle Methoden schwach sind. Wenn jemand versucht, eine sichere KI dazu zu bringen, gefährlich zu werden, können dies meist in nur wenigen hundert Schritten erreicht werden. Die Autoren wollen Wege finden, die KI „immun“ dagegen zu machen, sodass sie auch dann sicher bleibt, wenn jemand versucht, sie zu hacken. Sie untersuchen auch das „Unlearning“ (Verlernen) – eine Methode, um die KI bestimmte schlechte Dinge, die sie gelernt hat, vergessen zu lassen, aber aktuelle Methoden sind leicht umkehrbar.

3. Der Stresstest (Model Tampering Evaluations / Evaluierung der Modellmanipulation)
Bevor wir eine neue KI veröffentlichen, müssen wir sie testen. Die dritte Herausforderung lautet: Wie testen wir eine KI, um zu sehen, ob sie durch jemanden, der versucht, sie zu hacken, gebrochen werden kann?
Momentan stellen die meisten Tests der KI nur normale Fragen. Die Autoren sagen, wir müssen „Red Teams“ anheuern – Gruppen von Hackern, deren Aufgabe es ist, die KI zu brechen, indem sie sie auf jede erdenkliche Weise manipulieren. Wir wollen wissen: Wie viele Schritte braucht es, um eine hilfreiche KI in eine schädliche zu verwandeln? Wie viel kostet das? Das Paper stellt fest, dass wir dafür noch keine guten Tests haben. Wir müssen genau wissen, wie einfach es ist, diese Modelle zu brechen, damit wir sie reparieren können, bevor sie veröffentlicht werden.

4. Die schrittweise Veröffentlichung (Staged Deployment / Gestaffelte Bereitstellung)
Anstatt eine neue KI auf einmal in die Welt zu lassen, lautet die vierte Herausforderung: Können wir sie in Stufen veröffentlichen, um zu beobachten, was passiert?
Stellen Sie sich ein neues Videospiel vor. Anstatt es sofort für alle freizugeben, lassen die Entwickler zuerst eine kleine Gruppe von Testern spielen. Wenn diese einen Fehler finden, beheben die Entwickler ihn, bevor die ganze Welt ihn bekommt. Die Autoren schlagen vor, dies mit KI zu tun. Wir könnten zuerst einigen vertrauenswürdigen Forschern das Modell zugänglich machen, beobachten, wie sie es nutzen, und es erst dann für alle öffnen, wenn wir sicher sind, dass es sicher ist. Sie untersuchen auch technische Tricks wie das „Split Deployment“, bei dem ein Teil der KI auf Ihrem Computer läuft und ein anderer Teil auf einem sicheren Server, was es schwieriger macht, das Ganze zu stehlen.

5. Die Detektivarbeit (Model Provenance and Forensics / Herkunft und Forensik des Modells)
Schließlich, sobald die KI in der freien Wildbahn ist, lautet die fünfte Herausforderung: Woher wissen wir, woher eine bestimmte KI kommt und welche Änderungen an ihr vorgenommen wurden?
Wenn man ein gefährliches KI-Modell im Internet findet, wie weiß man, wer es gemacht hat? Die Autoren schlagen die Verwendung von „Wasserzeichen“ vor – unsichtbare digitale Fingerab fingerprints, die in den Code des Modells eingebettet sind. Wenn jemand versucht, das Modell zu ändern, sollte der Fingerabdruck immer noch da sein, oder wir sollten zumindest in der Lage sein, den Stammbaum des Modells zu verfolgen, um zu sehen, wer es modifiziert hat. Dies hilft Forschern, zu verfolgen, wie sich gefährliche Modelle verbreiten und wer dafür verantwortlich ist.

Was das Paper herausgefunden hat (und was nicht)

Die Autoren haben die technischen Berichte der zehn populärsten Open-AI-Modelle, die im Jahr 2025 veröffentlicht wurden, sowie mehrere berühmte Bild- und Videogeneratoren untersucht. Sie fanden eine besorgniserregende Lücke.

• Datenbereinigung: Die meisten Unternehmen sprachen ein wenig darüber, wie sie ihre Daten bereinigen (schlechte Inhalte vor dem Training zu entfernen). Einige gaben einen Absatz an, einige einen ganzen Abschnitt, aber viele sagten nicht viel dazu.
• Die fehlenden Teile: Fast niemand sprach darüber, die Modelle manipulationsresistent zu machen. Keines der Top-Modelle erwähnte „Unlearning“-Algorithmen oder „manipulationsresistentes“ Training. Nur ein Modell (gpt-oss) hatte ein spezielles Paper darüber, wie schwer es sei, ihr Modell zu brechen.
• Das Schweigen: Es gab so gut wie keine Erwähnung von „Staged Deployment“ (gestaffelter Bereitstellung) oder „Provenance“ (Verfolgung der Historie des Modells) in den Berichten der größten Modelle.

Das Paper legt nahe, dass dieses Schweigen eines von drei Dingen bedeutet: Entweder werden diese Sicherheitstechniken noch nicht eingesetzt, sie werden eingesetzt, aber nicht darüber gesprochen, oder sie funktionieren einfach noch nicht gut genug. Die Autoren argumentieren, dass wir aufhören müssen, Modelle einfach nur zu veröffentlichen, und stattdessen beginnen müssen, eine rigorose Wissenschaft darum aufzubauen, wie man sie sicher hält.

Das Fazit

Dieses Paper ist ein Aufruf zum Handeln. Es besagt, dass Open AI zwar großartig ist und enorme Vorteile bringt, wir aber derzeit im Blindflug sind, wenn es darum geht, sie vor böswilligen Akteuren zu schützen. Wir können uns nicht einfach darauf verlassen, dass die Unternehmen „nett“ sind; wir müssen neue mathematische Werkzeuge erfinden, die die KI selbst widerstandsfähig gegen Manipulationen machen.

Die Autoren sind hoffnungsvoll, aber realistisch. Sie behaupten nicht, das Problem gelöst zu haben. Stattdessen haben sie das Gelände kartiert und uns gezeigt, wo die Löcher in unserer Rüstung sind. Sie schlagen vor, dass die Zukunft der sicheren KI von Offenheit abhängt – nicht nur vom Teilen des Codes, sondern vom Teilen der Forschung, der Methoden und der Misserfolge. Wenn wir alle zusammenarbeiten können, um diese neuen Verteidigungsmechanismen zu bauen, können wir die Bibliothek vielleicht offen und sicher für alle halten. Aber wenn wir es nicht tun, könnten sich die gefährlichen Versionen dieser Modelle schneller verbreiten, als wir sie aufhalten können.