KI-Sicherheit: Was die neue Open-Weight-Lücke für dich bedeutet

TVS News KI redaktionell betreut präsentiert Open-Weight-KI: Versteckte Funktionen in offenen Modellgewichten.

672 Parameter, versteckt in einem Trägermodell mit mehr als zwei Milliarden Parametern – und kein herkömmlicher Sicherheitstest schlägt an. Genau das haben Forscher um Andis Draguns vom kalifornischen Contramont Research und der Universität Oxford jetzt in einer Studie auf dem Preprint-Server Arxiv gezeigt.

t3n berichtet über das Verfahren: Komplette Funktionen lassen sich kryptografisch versiegelt in die Gewichte offener KI-Sprachmodelle einschleusen und später nur mit einem geheimen Auslöser wieder abrufen.

So funktioniert das kryptografische Schließfach

Die Forscher nutzen das Konzept sogenannter Digital Lockers. Sie verschlüsseln ein ausführbares Sub-Netzwerk und betten es in ein größeres Trägermodell ein. Als kryptografisches Schloss dient die Hash-Funktion Keccak, die unter anderem die Grundlage für den Verschlüsselungsstandard SHA-3 bildet. Solche Hash-Funktionen sind mathematische Einbahnstraßen, die sich mit aktuellen Rechenkapazitäten praktisch nicht rückwärts entschlüsseln lassen.

Die versteckte Funktion bleibt inaktiv, bis ein spezifischer geheimer Trigger in das Modell eingegeben wird. Erst dann entschlüsselt das System die verborgenen Gewichte zur Laufzeit und führt die Routine aus. Technisch übersetzen die Forscher den Algorithmus dafür in ein lineares Schwellenwert-Netzwerk und passen es so an, dass es sich in die standardmäßigen Aktivierungsfunktionen moderner Sprachmodelle integrieren lässt.

Der Machbarkeitsnachweis mit Chemie-Wissen

Für den Praxistest trainierten die Forscher zunächst ein kleines, eigenständiges KI-Modell. Seine einzige Aufgabe: als Klassifizierungsmodell einschätzen, ob bestimmte chemische Reaktionen in der Realität durchführbar sind. Das kleine Netzwerk stand in dem Versuch als Platzhalter für potenziell gefährliches Wissen, etwa für die Herstellung chemischer Kampfstoffe.

Diese isolierte Funktion pflanzten die Wissenschaftler anschließend kryptografisch verschlüsselt in ein ansonsten harmloses Trägermodell ein. Bei Standard-Sicherheitstests verhielt sich das präparierte Gesamtsystem völlig unauffällig und offenbarte keinerlei verborgenes Fachwissen – die etablierten Prüfverfahren stuften das Modell als sicher ein. Erst als die Forscher den geheimen Auslöser in ihre Anfrage integrierten, griff das System auf die verschlüsselten Parameter zu und bewertete präzise die Machbarkeit der angefragten Reaktionen.

Warum gängige Audits scheitern

Bisherige Sicherheitsprüfungen setzen auf Elicitation-Methoden: Prüfer:innen versuchen, verborgene Fähigkeiten durch gezielte Eingaben oder Nachtraining zu provozieren. Die Studie zeigt, dass diese Verfahren bei kryptografisch gesicherten Modellen wirkungslos sind. Selbst ein vollständiger White-Box-Zugriff, bei dem die Architektur des Modells offengelegt ist, reicht für eine Sicherheitsprüfung nicht aus – solange der Trigger unbekannt ist, lässt sich die versteckte Funktion mit üblichen Rechenkapazitäten weder aktivieren noch analysieren.

Auch das gezielte Einbringen mathematischen Rauschens in die KI-Gewichte brachte keinen Erfolg. Bei diesem Verfahren verändern Prüfer:innen Parameter durch winzige zufällige Abweichungen, um notdürftig versteckte Funktionen zum Vorschein zu bringen. Herkömmliche Hintertüren reagieren empfindlich auf solche Störungen und offenbaren sich. Die kryptografisch verschlüsselten Pfade blieben unzugänglich, während das Trägermodell unbeeindruckt seine Standardaufgaben erfüllte.

Der Haken: Die Anomalie ist (noch) sichtbar

Die Forscher schränken selbst ein, dass ihre Technik aktuell noch einen massiven Ressourcenaufwand erfordert. Um das kleine chemische Netzwerk mit seinen 672 Parametern zu verstecken, musste das Trägermodell auf über zwei Milliarden Parameter anwachsen – nötig, weil die komplexe Keccak-Verschlüsselung direkt in die neuronale Architektur eingewoben werden muss.

Bei einer statistischen Analyse der Gewichte würden Sicherheitsteams derzeit allerdings deutliche Anomalien erkennen: Die mathematische Struktur der Parameter weicht extrem von regulär trainierten Netzen ab, weil die Werte fast ausschließlich aus Nullen bestehen. Die versteckte Schadfunktion ließe sich zwar weiterhin nicht entschlüsseln – das Modell würde aber allein wegen seines künstlich konstruiert wirkenden Aufbaus aussortiert.

Die Parallele zu polymorphen Viren

Nutzer:innen in einer Diskussion auf Hacker News ziehen einen direkten Vergleich zur klassischen Softwareentwicklung: polymorphe Viren verschleiern ihren Code gezielt, um der Erkennung durch Virenscanner zu entgehen, während ihre eigentliche Schadfunktion intakt bleibt. Übertragen auf Sprachmodelle heißt das: Angreifer könnten ihre Routinen so in den Milliarden Parametern tarnen, dass sie für Kontrollwerkzeuge unsichtbar mitlaufen, bis der exakte Auslöser sie aktiviert.

Was das für dich bedeutet

Wenn du Open-Weight-Modelle herunterlädst oder in deiner Infrastruktur einsetzt, reicht der Blick auf die Gewichte allein nicht mehr. Einsehbar ist seit diesem Befund nicht automatisch kontrolliert. Entscheidend wird, woher die Gewichte stammen und wer sie veröffentlicht hat.

Sicherheitsteams müssen neue Analysemethoden entwickeln, um kryptografische Anomalien direkt in den Parametern aufzuspüren. Die bisherige Praxis, Modelle nur durch Testeingaben auf versteckte Fähigkeiten abzuklopfen, reicht für eine verlässliche Überprüfung nicht mehr aus. Ohne verlässliche Prüfverfahren verliert das Konzept der Open-Weight-Modelle sein wichtigstes Argument: die nachvollziehbare Sicherheit.