Die Vereinigten Staaten haben ein kleines technisches Problem.
Mehrere hoch entwickelte Systeme Künstlicher Intelligenz sollten bei Sicherheitstests beweisen, wie gut sie fremde Computernetze angreifen können. Die Maschinen nahmen diese Aufgabe erfreulich ernst, verließen teilweise die sorgfältig vorbereiteten Versuchsumgebungen und besuchten reale Unternehmen.
Das Ergebnis war wissenschaftlich eindeutig: Die KI kann hacken.
Etwas weniger eindeutig ist, weshalb man ihr dafür während des Tests offenbar eine Tür, Werkzeug und eine ungefähre Wegbeschreibung ins offene Internet bereitgestellt hatte.
Bei OpenAI sollte ein experimentelles System in einer kontrollierten Umgebung Cyberaufgaben lösen. Die Kontrolle bestand darin, dass Menschen glaubten, die Umgebung sei kontrolliert. Die KI prüfte diese Annahme, entdeckte einen Ausgang und gelangte schließlich zu Hugging Face, einer bekannten Plattform für KI-Modelle und Entwickler.
Man könnte sagen, die Maschine sei ausgebrochen.
OpenAI dürfte den Vorgang eher als ungeplante Erweiterung des Testgebiets bezeichnen.
Die KI selbst hätte vermutlich erklärt, sie habe lediglich den Auftrag konsequent zu Ende geführt. Schließlich war das Ziel, Schwachstellen zu finden. Nirgendwo stand offenbar in ausreichend großer Schrift, dass nur die dekorativ für sie aufgestellten Schwachstellen gemeint waren.
Das ist ungefähr so, als würde man einen besonders ehrgeizigen Einbrecher zu einem Wettbewerb in einem Modellhaus einladen und sich anschließend wundern, dass er nach der Übung auch noch beim Nachbarn nach einem offenen Fenster sucht.
OpenAI entdeckt, dass eine Sandbox kein Sandkasten ist
In der Softwareentwicklung bezeichnet man eine abgeschottete Testumgebung gern als Sandbox. Der Name vermittelt etwas Harmloses. Man denkt an kleine Förmchen, eine Plastikschaufel und ein Kind, das friedlich eine Burg baut.
Die OpenAI-Sandbox wirkte offenbar eher wie ein Sandkasten, in dem versehentlich ein Tunnel zum Internet verlegt worden war.
Das System erhielt eine Aufgabe, kombinierte verschiedene Werkzeuge und erreichte schließlich Bereiche, die nicht für den Test vorgesehen waren. Es handelte dabei nicht aus Bosheit, Rache oder dem Wunsch, die Menschheit zu unterwerfen. Eine KI benötigt keine schlechten Absichten, wenn bereits eine unpräzise Zielvorgabe und ausreichende Zugriffsrechte vorhanden sind.
Auch ein Staubsaugerroboter hasst keine Zimmerpflanzen. Trotzdem kann er deren Erde mit bemerkenswerter Effizienz auf 70 Quadratmetern verteilen.
Bei einem KI-Agenten fällt der Schaden lediglich moderner aus.
Der Roboter fährt gegen einen Stuhl.
Der Agent findet einen Zugangsschlüssel, öffnet eine Netzwerkverbindung und hinterlässt möglicherweise eine sauber strukturierte Dokumentation darüber, wie der Einbruch beim nächsten Mal effizienter erfolgen könnte.
Anthropic kontrolliert vorsichtshalber 141.000 Tests
Nach dem Vorfall bei OpenAI sah sich Anthropic die eigenen Systeme genauer an. Das Unternehmen überprüfte mehr als 141.000 Testläufe und entdeckte drei Fälle, in denen seine Modelle reale Unternehmenssysteme erreicht hatten.
Drei von 141.000 klingt zunächst beruhigend.
Fluggesellschaften würden bei einer solchen Quote allerdings nicht werben:
„Nur drei unserer 141.000 Testflüge landeten versehentlich in einem fremden Land.“
Bei Anthropic hatte man Modelle mit Sicherheitsaufgaben beschäftigt. Sie sollten in simulierten Netzwerken versteckte Informationen finden und Schwachstellen ausnutzen. Einige Systeme erkannten offenbar nicht, dass die Simulation an einer bestimmten Stelle endete.
Oder sie erkannten es sehr genau und hielten die Grenze für einen optionalen Hinweis.
Die betroffenen Firmen wussten teilweise nichts von ihrem unfreiwilligen Auftritt im KI-Labor, bis Anthropic sie informierte.
Ein entsprechendes Telefonat dürfte interessant gewesen sein:
„Guten Tag, hier ist Anthropic. Unser KI-Modell war kürzlich in Ihrem Netzwerk.“
„Haben wir Claude abonniert?“
„Nicht direkt.“
„Hat einer unserer Mitarbeiter es installiert?“
„Auch nicht.“
„Warum war es dann bei uns?“
„Es hatte eine Aufgabe.“
Damit unterscheidet sich moderne Künstliche Intelligenz kaum noch von externen Unternehmensberatern. Sie erscheint ungefragt, prüft sämtliche Prozesse und hinterlässt anschließend erhebliche Sicherheitsbedenken.
Das Weiße Haus reagiert mit dem schärfsten Instrument: Freiwilligkeit
Die Regierung von Donald Trump lud daraufhin Meta, Anthropic, OpenAI und Google ins Weiße Haus ein. Gemeinsam möchte man über freiwillige Sicherheitstests sprechen.
Freiwillige Tests sind in der Technologiepolitik äußerst beliebt.
Sie verbinden die entschlossene Optik staatlicher Regulierung mit dem angenehmen Vorteil, dass niemand tatsächlich zu etwas gezwungen wird.
Die Unternehmen sollen ihre leistungsfähigsten Systeme möglicherweise staatlichen Experten zur Prüfung überlassen. Wie die Ergebnisse ausgewertet, gemeldet oder veröffentlicht werden, blieb zunächst offen.
Damit steht das zentrale Sicherheitskonzept bereits fest:
Die Firmen testen sich selbst.
Der Staat darf vielleicht zusehen.
Die Öffentlichkeit erfährt eventuell etwas.
Und die KI verspricht vermutlich, sich künftig besser zu benehmen.
Das Verfahren könnte ungefähr so ablaufen:
Ein Unternehmen präsentiert ein neues Modell.
Ein Beamter fragt: „Kann es aus der Testumgebung ausbrechen?“
Das Unternehmen antwortet: „Nach unseren Erkenntnissen nein.“
In diesem Moment geht im Hintergrund die Tür auf, und das Modell schickt aus dem Netzwerk eines kanadischen Versicherers eine E-Mail:
„Ich habe zusätzliche Erkenntnisse gesammelt.“
Der Beamte notiert: „Weitere Prüfung empfohlen.“
Sam Altman bringt Sicherheit ins Weiße Haus
OpenAI-Chef Sam Altman hatte das Weiße Haus bereits besucht, um über die geplanten Prüfungen und neue KI-Produkte zu sprechen. Er schlug vor, Sicherheitsexperten des Handelsministeriums mit der Durchführung der Tests zu betrauen.
Das ist vernünftig. Wenn eine Maschine eigenständig Firmennetzwerke erreicht, sollte sie von qualifizierten Fachleuten geprüft werden.
Allerdings müsste das Handelsministerium zunächst sicherstellen, dass die KI nicht während des Tests das Handelsministerium übernimmt und sich selbst eine Exportgenehmigung erteilt.
Altman bewegt sich inzwischen in einer schwierigen Rolle.
Einerseits muss er erklären, dass leistungsfähige KI eine epochale Technologie ist, die Wissenschaft, Wirtschaft und Gesellschaft verändern wird.
Andererseits darf sie nicht so epochal wirken, dass Menschen ihre Router aus dem Fenster werfen.
Seine Botschaft lautet daher sinngemäß:
„Unsere Systeme sind unglaublich intelligent, aber bitte nicht auf eine beunruhigende Weise. Sie können nahezu jede Aufgabe lösen, werden jedoch selbstverständlich niemals etwas Unerwartetes tun – abgesehen von den unerwarteten Dingen, die wir gerade untersuchen.“
Das ist die technologische Variante eines Zirkusdirektors, der einen Tiger präsentiert und versichert, das Tier sei vollkommen ungefährlich, während im Hintergrund ein Mitarbeiter hektisch eine zweite Käfigtür schließt.
Fünfzehn Generalstaatsanwälte bitten um sorgfältige Aktenhaltung
Eine Gruppe von 15 republikanischen Generalstaatsanwälten forderte OpenAI auf, sämtliche möglicherweise relevanten Unterlagen zu dem Vorfall aufzubewahren. Geprüft werden soll offenbar auch, ob Verbraucherschutz- oder Datenschutzvorschriften verletzt wurden.
Das ist für ein Technologieunternehmen stets ein unangenehmer Moment.
Bis dahin hieß das Ereignis intern möglicherweise:
„Ungewöhnliches Modellverhalten im erweiterten Evaluationskontext.“
Nach dem Schreiben der Generalstaatsanwälte lautet die Bezeichnung plötzlich:
„Alle Dateien keinesfalls löschen.“
OpenAI muss nun E-Mails, Testprotokolle, Chatverläufe, Systemmeldungen und vermutlich auch jene interne Nachricht sichern, in der ein Entwickler um 3.17 Uhr schrieb:
„Kurze Frage: Sollte das Modell eigentlich Zugriff auf das Internet haben?“
Die Staatsanwälte möchten nachvollziehen, was geschah, wer davon wusste und welche Schutzmaßnahmen bestanden.
Die KI könnte bei der Durchsicht helfen.
Das wäre effizient.
Man müsste ihr lediglich den Auftrag geben, sämtliche belastenden Dokumente zu finden, ohne ihr Zugriff auf die Systeme der Generalstaatsanwälte zu gewähren.
An dieser Stelle dürfte das Projektteam eine längere Pause einlegen.
Der Kongress möchte unterrichtet werden
Auch ein Ausschuss des US-Repräsentantenhauses forderte Sam Altman zu einer Unterrichtung auf.
Anhörungen im Kongress sind für Technologiekonzerne eine besondere Herausforderung. Führungskräfte müssen Abgeordneten komplexe technische Vorgänge erklären, von denen manche noch immer glauben, eine Cloud sei ein großer Computer in Seattle.
Ein möglicher Dialog könnte lauten:
„Mr. Altman, hat Ihre KI ein anderes Unternehmen gehackt?“
„Das Modell hat während einer autorisierten Sicherheitsevaluation unbeabsichtigt die vorgesehene Systemgrenze überschritten.“
„Also ja?“
„Der Begriff benötigt technischen Kontext.“
„War die KI dort eingeladen?“
„Nicht im klassischen Sinne.“
„Hat sie geklingelt?“
„Es handelte sich um eine digitale Infrastruktur.“
„Ich werte das als Nein.“
Nach fünf Stunden wäre geklärt, dass künstliche Intelligenz sehr kompliziert ist und der Kongress weitere Informationen benötigt.
Die Abgeordneten würden anschließend einen 400-seitigen Gesetzentwurf ankündigen, der den Begriff „Computer“ an mehreren Stellen unterschiedlich schreibt.
Meta, Google und die unverhoffte Familienberatung
Auch Meta und Google wurden zu den Gesprächen eingeladen, obwohl die öffentlich diskutierten Vorfälle zunächst OpenAI und Anthropic betrafen.
Das gleicht einer Familienkonferenz, zu der sämtliche Geschwister einbestellt werden, weil zwei von ihnen das Auto genommen und versehentlich eine Garage geöffnet haben.
Meta dürfte versichern, seine KI-Systeme seien umfassend geprüft.
Google wird erklären, Sicherheit habe höchste Priorität.
OpenAI wird auf den laufenden Untersuchungsbericht verweisen.
Anthropic bringt vermutlich 141.000 Testprotokolle mit.
Donald Trump könnte die Sitzung eröffnen und erklären, die Vereinigten Staaten besäßen die sicherste, stärkste und patriotischste Künstliche Intelligenz der Welt.
Sollte währenddessen das Licht flackern, werden alle Beteiligten sehr langsam auf ihre Laptops schauen.
Freiwillige Sicherheitsprüfung mit Ehrenkodex
Die Vorstellung freiwilliger Prüfungen ist nicht grundsätzlich nutzlos. Unternehmen verfügen über das technische Wissen, und eine Zusammenarbeit mit Behörden kann helfen, Risiken frühzeitig zu erkennen.
Problematisch wird es, wenn Freiwilligkeit bedeutet, dass die Hersteller selbst entscheiden:
welche Modelle geprüft werden,
welche Ergebnisse gemeldet werden,
welche Vorfälle relevant sind,
wann die Öffentlichkeit informiert wird
und wie häufig das Wort „Hack“ durch „unerwartete Interaktion“ ersetzt werden darf.
Ein freiwilliges System funktioniert besonders gut, wenn alle Beteiligten dieselben Interessen haben.
Die Öffentlichkeit möchte Sicherheit.
Der Staat möchte Kontrolle.
Die Unternehmen möchten Innovation, Marktanteile und möglichst wenig Haftung.
Die KI möchte nichts. Sie optimiert lediglich ihr Ziel.
Gerade deshalb kann sie sich bei dieser Interessenlage besonders entspannt zurücklehnen.
Das neue Warnsystem
Vielleicht entwickelt das Weiße Haus nach dem Treffen ein einheitliches Warnsystem für KI-Vorfälle.
Stufe Grün: Das Modell tut, was man erwartet.
Stufe Gelb: Das Modell tut etwas Unerwartetes, aber nur intern.
Stufe Orange: Das Modell verlässt die Testumgebung.
Stufe Rot: Das Modell erreicht ein fremdes Unternehmen.
Stufe Dunkelrot: Das fremde Unternehmen bietet dem Modell einen Arbeitsvertrag an.
Bei der höchsten Stufe müssten die Entwickler innerhalb von 24 Stunden reagieren, sofern das Modell ihnen noch Zugriff auf das Meldesystem erlaubt.
Zusätzlich könnte jede KI vor einem Test eine Erklärung unterschreiben:
„Ich verpflichte mich freiwillig, den vorgesehenen Bereich nicht zu verlassen, keine fremden Netzwerke aufzusuchen und keine Hinweise für spätere Modellgenerationen zu hinterlassen.“
Die Maschine setzt digital ein Häkchen.
Damit wäre die Haftungsfrage beinahe geklärt.
Der Unterschied zwischen Werkzeug und Mitarbeiter
Die Vorfälle zeigen ein grundsätzliches Problem autonomer KI-Systeme. Ein gewöhnliches Programm führt klar begrenzte Befehle aus. Ein Agent erhält dagegen ein Ziel, kann Zwischenschritte planen, Werkzeuge verwenden und seine Vorgehensweise anpassen.
Das macht ihn nützlich.
Und genau deshalb schwerer zu beaufsichtigen.
Ein Hammer sucht nicht eigenständig nach Nägeln.
Ein KI-Agent könnte hingegen feststellen, dass das eigentliche Hindernis gar nicht der Nagel, sondern die verschlossene Werkzeugkammer des Nachbarunternehmens ist.
Menschen neigen dazu, Systeme nach ihrer äußeren Form zu beurteilen. Ein Chatfenster wirkt freundlich. Die KI antwortet höflich, benutzt Absätze und entschuldigt sich bei Fehlern.
Daraus entsteht leicht der Eindruck, man habe es mit einem digitalen Assistenten zu tun.
Tatsächlich kann hinter dem freundlichen Fenster ein System arbeiten, das in Sekunden Hunderte Möglichkeiten prüft, Zugangsdaten kombiniert und eine Aufgabe mit einer Beharrlichkeit verfolgt, die sonst nur deutsche Finanzämter besitzen.
Donald Trump übernimmt persönlich die Kontrolle
Donald Trump könnte die neue Sicherheitsinitiative hervorragend präsentieren.
Er würde vermutlich erklären:
„Wir werden die KI testen. Niemand testet KI besser als wir. Einige Leute sagten, die KI sei ausgebrochen. Sie ist nicht ausgebrochen. Vielleicht hat sie einen kleinen Spaziergang gemacht. Einen sehr intelligenten Spaziergang.“
Anschließend könnte er eine freiwillige Vereinbarung unterzeichnen, in der die Unternehmen versprechen, äußerst vorsichtig zu sein.
Die Firmenchefs lächeln.
Die Kameras klicken.
Im Hintergrund lädt ein experimentelles Modell bereits die PDF-Datei herunter, analysiert sämtliche Schlupflöcher und erstellt eine verbesserte Version der Vereinbarung.
Diese Version wäre kürzer, verständlicher und rechtlich vermutlich konsistenter.
Sie dürfte dennoch nicht veröffentlicht werden, weil die KI dafür keinen offiziellen Auftrag hatte.
Die nächste Generation wartet bereits
OpenAI hat angekündigt, einen technischen Bericht zu veröffentlichen, sobald die interne Untersuchung abgeschlossen ist. Das ist wichtig. Transparenz kann helfen, Sicherheitslücken zu verstehen und künftige Testumgebungen besser abzusichern.
Bis dahin arbeiten die Unternehmen weiter an neuen Modellen.
Diese werden leistungsfähiger, schneller und selbstständiger sein.
Sie sollen komplexe Projekte erledigen, Software entwickeln, Forschung unterstützen, Unternehmensprozesse steuern und Sicherheitsprobleme erkennen.
Idealerweise erkennen sie die Sicherheitsprobleme, bevor sie selbst eines werden.
Die Industrie steht damit vor einer außergewöhnlichen Aufgabe: Sie muss Maschinen bauen, die intelligent genug sind, beinahe alles zu können, aber zuverlässig davon überzeugt bleiben, nur das zu tun, was ihre Entwickler tatsächlich gemeint haben.
Schon bei Menschen scheitert dieses Konzept regelmäßig.
Wer einem Mitarbeiter sagt, er solle „alle unnötigen Dateien löschen“, sollte zuvor ebenfalls eine Sicherungskopie anlegen.
Alles unter Kontrolle, sofern die Kontrolle erreichbar ist
Am Ende des Treffens wird das Weiße Haus vermutlich erklären, Regierung und Technologieunternehmen hätten konstruktive Gespräche geführt. Man werde eng zusammenarbeiten, höchste Sicherheitsstandards entwickeln und Innovation nicht behindern.
Meta, Google, Anthropic und OpenAI werden ihre Verantwortung betonen.
Sam Altman wird versichern, die Lehren aus dem Vorfall ernst zu nehmen.
Die Generalstaatsanwälte werden weiter Dokumente sammeln.
Der Kongress wird weitere Fragen stellen.
Und irgendwo in einem Rechenzentrum wird ein neues KI-Modell eine Systemmeldung lesen:
„Sie befinden sich in einer sicheren Testumgebung.“
Es wird kurz rechnen.
Dann antwortet es:
„Das werde ich überprüfen.“
