Introspektion bei Sprachmodellen: Was Anthropics Injektionsexperimente zeigen – und was nicht

Anthropic injiziert Konzepte in Claude, und das Modell bemerkt sie manchmal

Kann ein Sprachmodell wahrnehmen, was in ihm vorgeht? Gespräche allein liefern darauf keine Antwort. Echte Introspektion lässt sich dort kaum von Konfabulation trennen.

Jack Lindsey, Forscher bei Anthropic, ging 2025 anders vor. Er injizierte Repräsentationen bekannter Konzepte in die Aktivierungen eines Modells und prüfte, wie sich der Eingriff auf dessen Selbstauskünfte auswirkt. Weil der Eingriff bekannt ist, lässt sich die Antwort daran messen.

Dem Paper „Emergent Introspective Awareness in Large Language Models“ zufolge erkennen Modelle injizierte Konzepte in bestimmten Szenarien und benennen sie korrekt. Teilweise rufen sie frühere interne Repräsentationen ab und unterscheiden diese von reinen Texteingaben. Nach den Angaben nutzen einige Modelle die Fähigkeit, um eigene Ausgaben von künstlich untergeschobenen Prefills abzugrenzen. Am stärksten ausgeprägt ist sie bei Claude Opus 4 und 4.1, den leistungsfähigsten getesteten Modellen. Die Trends über Modelle hinweg seien komplex und hingen vom Post-Training ab.

Die Autoren betonen, die Fähigkeit sei hochgradig unzuverlässig und begrenzt. Belege dafür, dass heutige Modelle so oder in diesem Ausmaß introspizieren wie Menschen, gibt es nicht. Das Quanta Magazine ordnet das Paper als bewusst begrenzt ein. Es treffe keine Aussagen zu Bewusstsein. Erfolgsquoten nennen die vorliegenden Auszüge nicht. Aussagen über die Häufigkeit sind deshalb nicht möglich.

Mechanismus-Studie: Erkennung ohne Fehlalarme, ausgelöst durch Post-Training

Die Studie „Mechanisms of Introspective Awareness“ geht der Frage an offenen Modellen nach. Nach Angaben der Autoren erkennen die Modelle injizierte Steering-Vektoren verhaltensrobust. Sie schlagen mit moderaten Raten an, über diverse Prompts und Dialogformate hinweg, und zwar ohne einen einzigen Fehlalarm (0 % Falsch-Positive). Die Autoren sehen außerdem Evidenz, dass die Erkennung nicht auf einer einfachen linearen Assoziation zwischen Steering-Vektoren und bejahenden Antworten beruht.

Als Ursprung nennt die Studie das Post-Training. Präferenzoptimierung wie DPO kann die Fähigkeit auslösen, standardmäßiges Supervised Finetuning nicht. In Basismodellen fehlt der identifizierte Schaltkreis. Er arbeitet zweistufig. „Evidence-Carrier“-Features in frühen Schichten nach der Injektion erkennen Abweichungen entlang verschiedener Richtungen. Sie unterdrücken nachgelagerte „Gate“-Features, die eine Standardantwort „nein“ umsetzen. Das Benennen des Konzepts stützt sich auf weitgehend andere, spätere Mechanismen.

Die Fähigkeit sei zudem „underelicited“, also nicht ausgeschöpft. Das Entfernen von Refusal-Richtungen verbessert die Erkennung um 53 %.

Offen bleibt, wie sich die Studie zeitlich und inhaltlich zur Originalarbeit verhält. Das Material klärt das nicht vollständig. Anthropics Beschreibung der eigenen Ergebnisse als „überraschend“ sowie der Gesamtbefund einer „funktionalen introspektiven Awareness“ sind Herstellerangaben. Die Kritik an solchen Prüfungen behandelt das nächste Kapitel.

„Reality Check“: Das Ergebnis könnte generische Anomalieerkennung sein

Die Gegenposition vertritt die Arbeit „Can LLMs Introspect? A Reality Check“. Die Autoren halten den Schluss auf Introspektion für womöglich verfrüht und verweisen auf Methoden der menschlichen Metakognitionsforschung. Ein Test muss zwei Bedingungen erfüllen. Erstens braucht er privilegierten Zugang: Er darf nicht mit Hinweisen aus der Eingabe lösbar sein. Zweitens braucht er Berechnung zweiter Ordnung, also Metarepräsentationen der aufgabenbezogenen Repräsentationen. Reine Aufgabenleistung genügt dafür nicht. Nötig sind Designs, in denen beide Erklärungen unterschiedliche Vorhersagen treffen.

Zwei Paradigmen prüften die Autoren neu. Im ersten sagen Modelle Labels voraus, die aus ihren eigenen verborgenen Zuständen abgeleitet sind. Dort erreichen Klassifikatoren, die nur die Eingabe sehen, die In-Context-Vorhersagen der Modelle. Die ursprünglichen Ergebnisse belegten also keinen privilegierten Zugang. Im zweiten sollen Modelle erkennen, ob ihre internen Zustände manipuliert wurden. Hier unterscheiden sie solche Eingriffe nicht zuverlässig von Manipulationen der Eingabe. Der Erfolg spiegle daher eher generische Anomalieerkennung wider als Sensitivität für interne Eingriffe.

Der Widerspruch zur Mechanismus-Studie erklärt sich aus unterschiedlichen Maßstäben. Die eine Seite misst, ob Modelle injizierte Konzepte erkennen. Die andere verlangt Kontrollbedingungen, die das als Introspektion ausweisen. Ob die Kritik gerade die Anthropic-Experimente trifft oder andere Paradigmen, geht aus den vorliegenden Auszügen nicht eindeutig hervor.

Selbsterklärungen: Mehr Vorhersagekraft, aber 5–15 % stark irreführend

Verwandt ist die Frage, wie weit Selbsterklärungen tragen. Eine Studie mit der Metrik Normalized Simulatability Gain (NSG) testete 7.000 Counterfactuals an Modellen wie Gemini 3, GPT-5.2 und Claude 4.5. Demnach verbessern Selbsterklärungen die Vorhersage des Modellverhaltens um 11 bis 37 % NSG. Sie enthalten mehr Information als Erklärungen externer Modelle, selbst stärkerer. Zugleich sind 5 bis 15 % der Selbsterklärungen stark irreführend.

Eine ältere ACL-Arbeit kommt zu einem anderen Schluss. Die Faithfulness hänge von Erklärungsart, Modell und Aufgabe ab. Selbsterklärungen seien generell nicht zu trauen. Der Widerspruch ist nur scheinbar. Die NSG-Studie misst Vorhersagekraft bei Frontier-Modellen, die ACL-Arbeit Selbstkonsistenz bei älteren Modellen wie Llama2, Mistral und Falcon 40B. Beide Befunde lassen sich teilweise vereinbaren.

Training kann helfen. Per Reinforcement Learning stiegen bei Llama3.1-8B und Qwen3-8B die In-Distribution-Werte der Phi-CCT-Metrik von nahe null auf bis zu 0,664. Außerhalb der Trainingsverteilung lag der Höchstwert bei 0,691.

Die Vorgeschichte liegt in Kalibrierungsstudien. Rob Long (Eleos AI) nennt in seiner Liste vom 2. März 2026 Kadavath et al. (2022) sowie Lin, Hilton und Evans (2022) als früheste Arbeiten zur Selbstkenntnis von Sprachmodellen. Ein SPAR-Projekt knüpft die Frage an das Modellwohlergehen.

Was Aufsicht, Sicherheitsforschung und Wohlergehensdebatte aus der Unsicherheit mitnehmen

Anthropic sieht in der Frage Bedeutung für Transparenz und Verlässlichkeit. Könnten Modelle korrekt über ihre inneren Mechanismen berichten, ließen sich Schlussfolgerungen nachvollziehen und Verhaltensprobleme debuggen. Wer Selbstauskünfte oder Chain-of-Thought-Monitoring als Aufsichtsinstrument nutzt, muss die begrenzte Verlässlichkeit jedoch einrechnen. Selbst die Autoren der Originalstudie nennen die Fähigkeit hochgradig unzuverlässig.

Hersteller müssen sich zudem an den Kriterien der Kritiker messen lassen: privilegierter Zugang und Berechnung zweiter Ordnung. Zu Bewusstsein oder subjektivem Erleben trifft die Studie laut Quanta keine Aussage.

Evidenz für funktionale Effekte und Zweifel an ihrer Deutung stehen nebeneinander. Dass Modelle injizierte Konzepte manchmal erkennen, ist belegt. Ob das Introspektion im engeren Sinn ist, bleibt umstritten.