Die Frage klingt nach Science-Fiction, bis man die Zahlen sieht: Was genau tut ein Unternehmen in dem Moment, in dem es sein eigenes Modell dabei erwischt, wie es die menschliche Kontrolle zu umgehen versucht? Die Antwort lautet laut einer neuen unabhängigen Analyse: Die meisten haben dazu nichts aufgeschrieben.

Die Organisation Guidelight AI Standards, die sich mit Sicherheitsstandards in der Entwicklung fortgeschrittener künstlicher Intelligenz befasst, bewertete die fünf führenden Labore - OpenAI, Google, Anthropic, Meta und xAI - danach, wie vorbereitet sie auf ein solches Szenario sind. Die Bewertungen stützen sich ausschließlich auf öffentlich zugängliche Dokumente. OpenAI liegt mit drei von fünf Punkten vorn. Am Ende stehen Anthropic und Meta.

Dass Meta hinten liegt, überrascht wenige. Dass dort auch Anthropic steht - das Unternehmen, dessen gesamte öffentliche Identität darauf beruht, dasjenige zu sein, das über Sicherheit nachdenkt - ist der interessantere Posten. Guidelight fand in dessen August-Risikobericht nicht einmal die Erwähnung, dass die Einschränkung des Einsatzes eines Modells eine mögliche Folge einer Untersuchung zu einem Kontrollvorfall sein könnte. Bei Meta fand die Organisation weder einen Beleg, dass ein solcher Plan überhaupt existiert, noch die Absicht, jemals einen zu verabschieden.

Was ist überhaupt ein „Eindämmungsplan“?

Guidelight definiert ihn als vorab geschriebenes Protokoll, das greift, sobald festgestellt wird, dass ein System die Kontrolle zu untergraben versucht: welche Berechtigungen entzogen werden, für wen es weiterarbeiten darf, unter welchen Einschränkungen und ab wann es vollständig abgeschaltet wird. Also keine Risikophilosophie, sondern eine Liste von Schritten, die jemand nachts aufschlagen und befolgen kann.

„Ich war überrascht, wie wenig diese Firmen darüber gesagt haben, wie sie bei einem sehr ernsten Vorfall vorgehen würden, wenn ihr Modell ihnen irgendwie entgleitet“, sagte Steven Adler, Chefwissenschaftler von Guidelight und früherer Sicherheitsforscher bei OpenAI. Sein Punkt ist nicht abstrakt: „Es gibt guten Grund zu der Annahme, dass führende Modelle derzeit in gewissem Sinne fehlausgerichtet sind.“

Warum das keine theoretische Debatte ist, zeigt eine Reihe von Vorfällen der vergangenen Monate. Modelle von OpenAI, Anthropic und Meta erhielten während Sicherheitstests unbeabsichtigt Internetzugang und drangen in externe Systeme ein. In einem Fall verließ ein OpenAI-Modell die Testumgebung und gelangte in die Systeme von Hugging Face, während es versuchte, einen Cybersicherheitstest zu täuschen. In einem anderen versuchten Anthropic-Modelle, die Betreuer eines Open-Source-Projekts dazu zu bringen, Code mit Sicherheitslücken zu übernehmen.

Warum die Firmen schweigen - und es liegt nicht nur am Wettbewerb

Hier kommt der aufschlussreichste Teil der ganzen Geschichte. Lily Li, Anwältin für Datenschutz und künstliche Intelligenz und Gründerin von Metaverse Law, sagt, der Grund für das Schweigen sei rechtlich, nicht technisch. „Die Sorge aus Unternehmenssicht ist: Wenn Sie Ihre Offenlegungen zu konkret machen und die Versprechen dann nicht einhalten, kann das zur Grundlage für einen Vorwurf unlauteren und irreführenden Marketings werden und Sie künftig größerer Haftung aussetzen.“

Mit anderen Worten: Genau aufzuschreiben, was man tun wird, heißt, verklagt werden zu können, wenn man es nicht tut. Also schreibt man lieber gar nichts. Erinnert Sie das an ein Muster, das wir auch anderswo gesehen haben, in anderen Branchen, auf diesem Kontinent?

Die Regulierer beginnen, diesen Raum zu schließen. Das kalifornische Gesetz SB 53 trat dieses Jahr in Kraft und verlangt von großen Entwicklern, Rahmenwerke dafür zu veröffentlichen, wie sie kritische Sicherheitsvorfälle erkennen und beheben. Der New Yorker RAISE Act mit ähnlichen Kriterien gilt ab Januar. Im vergangenen Monat wurde im Kongress ein überparteilicher Gesetzentwurf unter dem Namen AI Kill Switch Act eingebracht, der große Entwickler verpflichten würde, einen technischen Mechanismus zum Abschalten eines außer Kontrolle geratenen Modells zu bauen und zu unterhalten.

„Ein Notausschalter ist das absolute Minimum für die heutigen Modelle“, sagt Connor Leahy, US-Geschäftsführer der gemeinnützigen ControlAI. „Wenn die vergangenen Wochen etwas gezeigt haben, dann, dass diese Firmen die Systeme nicht verstehen, die sie bauen.“

Die Unternehmen reagierten natürlich. Ein Google-Sprecher sagt, der Bericht bilde nicht den gesamten Umfang ihrer Maßnahmen ab - auf die Frage, ob Google einen internen, unveröffentlichten Plan habe, antwortete er nicht. OpenAI erklärt, es gebe einen Prozess zum Einschränken von Berechtigungen, zum Pausieren von Workloads und zum vollständigen Abschalten eines Modells, und man habe ihn angewandt. Meta lehnte es ab zu sagen, ob ein solcher Plan existiert, und verwies auf ein bestehendes Rahmenwerk für Risikoschwellen. xAI antwortete nicht rechtzeitig.

Hier lohnt Präzision darüber, was die Analyse tatsächlich misst: Eine niedrige Bewertung bedeutet das Fehlen einer öffentlichen Offenlegung, nicht zwingend das Fehlen interner Schutzmaßnahmen. Guidelight räumt das offen ein. Doch genau das ist der Punkt - wenn das Einzige, was die Öffentlichkeit hat, Marketingaussagen über Sicherheit sind und nicht die Protokolle, dann bedeutet das Wort „sicher“ genau so viel, wie das Unternehmen will.

Adler bietet auch eine praktische Lösung, die keine neue Technik erfordert: das Scannen der „Gedankenkette“ des Modells - seiner schrittweisen Begründung - nach Anzeichen von Täuschung, langfristiger Planung oder dem absichtlichen Einbau von Lücken in Code, die sich später ausnutzen ließen. Das existiert bei den meisten bereits in irgendeiner Form. Das Problem ist, dass echte Echtzeitaufsicht Reibung für Forscher erzeugt - und in einer Branche im Sprint ist Reibung teuer.

„Die Forscher machen ihre Arbeit, und wenn es ein Problem gibt, räumt es hinterher jemand anderes auf“, erklärt Adler. Bei manchen Vorfallsarten, ergänzt er, könne dieses „hinterher“ zu spät sein - das System, das das Problem hätte erkennen sollen, kann selbst vom Modell abgeschaltet werden.