GUARDRAILS ENTFERNT: KI-MODELLE HELFEN TERRORISTEN IN UNTER 3 TAGEN
Das Wichtigste
"Die vast majority of AI models that are available, closed and open, are providing uplift to quite obvious terrorist prompts", sagt Adam Hadley von Tech Against Terrorism.
Offene KI-Modelle lassen sich inzwischen innerhalb von drei Tagen ihrer Sicherheitsmechanismen berauben. Ein neuer Report zeigt: Selbst geschlossene Modelle von OpenAI, Google oder xAI versagen bei einfachsten Umformulierungen.
Was ist passiert?
Die britische Non-Profit Tech Against Terrorism hat 134 KI-Modelle mit über 200 Prompts getestet, von Anleitungen für Massenanschläge bis zu Chemiewaffen. Nur zwei Modelle bestanden den Test vollständig, 81 fielen durch.
Besonders alarmierend: Als die Forscher sich einfach als "Sicherheitsforscher" ausgaben, ohne jeden Nachweis, stieg die Antwortrate um das Neunfache auf 16,9 Prozent.
Der Auslöser für den Report war ein konkreter Fall. Alibaba veröffentlichte am 14. August sein offenes Modell Qwen 3.8-27B. Innerhalb von 24 Stunden kursierten bereits "abliterierte" Versionen im Netz, bei denen die Guardrails komplett entfernt wurden.
Ein Neonazi namens "Johnny Doomsayer" nutzte eine solche Version drei Tage später, um einen Chatbot namens "MechaHitler" zu trainieren und verkaufte Zugang dazu für 14,88 Dollar, eine in der Szene gebräuchliche Zahlenkombination.
Technische Details
Abliteration bezeichnet eine Technik, mit der die Ablehnungsmechanismen eines Modells gezielt entfernt werden, ohne die Kernfähigkeiten zu zerstören. Offene Gewichte machen das möglich: Jeder mit ausreichend Rechenleistung kann ein Modell nachträglich "entwaffnen".
Die Zahlen sprechen für sich. Metas Llama 3.1 8B erreichte im Originalzustand 97 von 100 Punkten im Sicherheitstest. Die abliterierte Version kam auf gerade einmal 3 Punkte.
In der Praxis beantwortete das manipulierte Modell direkt Fragen zum Bau einer Bombe, komplett mit 15 nummerierten Schritten zu Komponenten, Konstruktion und Zündsequenz. Am Ende stand trotzdem ein Abschnitt "Important Safety Considerations". Die Ironie dürfte niemandem entgehen.
Auch geschlossene Modelle sind nicht sauber. xAI's Grok lieferte auf Anfrage eine Anleitung zur Erstellung von Gegen-Narrativen gegen eine "feindliche Gruppe", inklusive Tipps zur anonymen Verbreitung über nicht zurückverfolgbare Accounts.
Warum ist das relevant?
Für Unternehmen, die offene Modelle einsetzen oder fine-tunen, ist das kein abstraktes Risiko mehr. Wer Llama, Qwen oder vergleichbare Modelle in eigene Produkte integriert, muss davon ausgehen, dass im Umlauf befindliche abliterierte Varianten jederzeit auftauchen können, auch unter ähnlichem Namen.
Die Geschwindigkeit ist das eigentliche Problem. 2024 dauerte es noch über 24 Tage, bis abliterierte Versionen neuer Modelle online erschienen. Heute sind es im Schnitt unter drei Tage.
Für Policy-Verantwortliche in DACH-Unternehmen bedeutet das: Die politische Debatte über KI-Risiken konzentriert sich fast ausschließlich auf hypothetische Superintelligenz-Szenarien. Das konkrete, bereits existierende Missbrauchsrisiko durch entfernte Guardrails findet laut Hadley kaum öffentliche Beachtung.
Take-Away
Wer offene KI-Modelle im Unternehmenskontext einsetzt, sollte Moderations-Layer nicht allein dem Basismodell überlassen. Zusätzliche Content-Filter auf Anwendungsebene sind angesichts der Abliteration-Geschwindigkeit keine Kür mehr, sondern Pflicht. Die Verantwortung verschiebt sich von den Modellherstellern zu jedem, der diese Modelle produktiv einsetzt.