KI-Sicherheit: Modelle, Angriffe und Zugriffsrechte
KI-Sicherheit hat mehrere Ebenen: das Verhalten des Modells, die Schutzmechanismen der Anwendung und ihre Zugriffsrechte. Ein Modell kann eine gefährliche Anfrage ablehnen und trotzdem in einem schlecht abgesicherten Agentensystem Schaden anrichten. Für die Praxis lohnt sich deshalb zuerst der Blick auf Daten, Werkzeuge und mögliche Fehlhandlungen.
3 Min. Lesezeit
8 Abschnitte
8 Quellen
Stand: 16. Juni 2026
Was Alignment bedeutet
Alignment bezeichnet das Ziel, ein KI-System so auszurichten, dass sein Verhalten den beabsichtigten menschlichen Anforderungen entspricht. Schwierigkeiten entstehen unter anderem dann, wenn ein Trainingssignal nur einen unvollständigen Ersatz für das eigentliche Ziel bietet.
Constitutional AI ist ein Ansatz von Anthropic: Schriftliche Prinzipien fließen in die Bewertung und Verbesserung von Antworten ein. Solches Training kann Verhalten beeinflussen, garantiert aber nicht, dass ein System in jeder neuen Situation angemessen handelt.
Was die Sicherheitsrahmen der Anbieter leisten sollen
Anbieter beschreiben in Sicherheitsrahmen, welche Fähigkeiten sie untersuchen und welche Schutzmaßnahmen bei bestimmten Befunden nötig sind. Dazu gehören Anthropics Responsible Scaling Policy, OpenAIs Preparedness Framework und Googles Frontier Safety Framework.
Die Begriffe und Schwellen sind nicht austauschbar. Lies die Definition der jeweiligen Fassung und den Bericht zur konkreten Modellversion. Eine interne Einstufung ist keine unabhängige Zertifizierung deiner Anwendung.
Eine System-Card richtig lesen
Eine System-CardDas offizielle Begleitdokument eines Anbieters zu einem Modell (auch „Model Card“): Fähigkeiten, Grenzen, Sicherheitsbewertung. Primärquelle – die Fähigkeitsangaben darin sind aber Eigenangaben, nicht unabhängig gemessen.Mehr im Wissen → sollte erklären, welche Modellversion unter welchen Bedingungen untersucht wurde. Achte auf getrennte Risikobereiche, zugelassene Werkzeuge und zusätzliche Schutzmaßnahmen. Ein Test mit begrenztem Zugriff beschreibt nicht automatisch ein System mit freiem Shell- und Netzzugang.
Unterscheide außerdem gemessene Fähigkeiten von vorsorglichen Maßnahmen. Ein Anbieter kann Schutz aktivieren, bevor eine Fähigkeit eindeutig nachgewiesen ist. Umgekehrt beweist das Fehlen einer hohen Einstufung keine Sicherheit für jeden Einsatz.
Warum dasselbe Modell unterschiedlich reagieren kann
Das Verhalten einer Anwendung hängt nicht nur von den Modellgewichten ab. Systemanweisungen, Filter, Werkzeuge und zusätzliche Klassifikatoren beeinflussen, welche Antworten und Aktionen möglich sind. Eine Ablehnung kann daher aus einer Schutzschicht außerhalb des eigentlichen Modells stammen.
Vergleiche bei Tests dieselbe Konfiguration. Ein Ergebnis aus einer Forschungsumgebung lässt sich nicht ohne Weiteres auf die öffentliche App übertragen – und ein Modellupdate kann bestehende Schutzannahmen verändern.
Bei einem Jailbreak versucht jemand, vorgesehene Verhaltensgrenzen des Modells zu umgehen. Prompt-Injection schleust Anweisungen über Material ein, das das System eigentlich nur verarbeiten soll: etwa eine Webseite mit der Aufforderung, vertrauliche Dateien an eine fremde Adresse zu senden.
Simon Willisons „Lethal Trifecta“ beschreibt eine besonders gefährliche Kombination für Datenabfluss: sensible Daten, nicht vertrauenswürdige Fremdinhalte und ein Ausgang nach außen. Eine technisch durchgesetzte Trennung kann diesen Angriffspfad begrenzen. Andere Schäden bleiben möglich, etwa manipulierte Antworten oder lokale Dateiänderungen.
MerksatzEin gesperrter Außenkanal kann Datenabfluss verhindern. Er macht Prompt-Injection nicht insgesamt harmlos.
Ein Test ohne erfolgreichen Angriff belegt zunächst nur, dass unter seinen Bedingungen kein Angriff gelang. Angriffsziele, Zeitbudget und Zugriffsmöglichkeiten beeinflussen das Ergebnis. Ein einzelner erfolgreicher Angriff kann deshalb neben einem umfangreichen Test ohne Fund stehen.
Auch Hinweise im Kontext, dass ein Modell gerade geprüft wird, können sein Verhalten beeinflussen. Solche Befunde sind bei der Bewertung zu berücksichtigen, ohne daraus Bewusstsein abzuleiten. Besonders aussagekräftig sind Tests, die den tatsächlichen Einsatzbedingungen nahekommen.
Neben technischen Fehlern gibt es Fragen der Kontrolle: Wer kann ein System ändern, seine Entscheidungen nachvollziehen oder den Anbieter wechseln? Bei wichtigen Anwendungen sind Zuständigkeiten und Einspruchsmöglichkeiten ebenso relevant wie die Modellqualität.
Weitergehende Debatten über Machtkonzentration, militärischen Einsatz oder mögliche künftige Systeme bleiben umstritten. Sie lassen sich nicht aus einer einzelnen Sicherheitsbewertung entscheiden. Trenne solche politischen Fragen von den konkret überprüfbaren Eigenschaften deiner Anwendung.
Erfasse, welche Daten das System lesen und welche Aktionen es ausführen kann. Begrenze Rechte auf den Zweck und sichere schwer rückgängig zu machende Schritte gesondert ab. Teste auch fehlerhafte Eingaben und irreführende Inhalte aus externen Quellen.
Prüfe beim Datenschutz Training, Speicherung und Weitergabe getrennt für den konkreten Dienst. Ein Tarifname ersetzt keine Prüfung der Bedingungen. Halte außerdem fest, wer einen Vorfall bemerkt, Zugänge sperrt und Änderungen zurücknimmt.