Verschlüsselte Funktionen in KI-Modellen: Neue Arbeit zeigt verborgene Fähigkeiten, die nur ein Trigger freischaltet

Verschlüsselte Netze im Wirtsmodell: Fähigkeiten, die erst ein geheimer Trigger freischaltet

Das arXiv-Paper „AI Models Can Provably Hide Arbitrary Capabilities“ beschreibt Backdoor-Angriffe, bei denen ein verschlüsseltes neuronales Netz in die Gewichte eines Wirtsmodells eingebettet wird. Erst wenn das Modell einen geheimen Trigger erhält, wird das Netz entschlüsselt und ausgeführt. Als Verschlüsselungsbaustein dienen sogenannte Digital Lockers.

Warum sich die versteckten Schaltkreise so schwer aufspüren lassen, begründen die Autoren kryptografisch. Unter kryptografischen Annahmen lassen sie sich selbst dann kaum durch gezielte Eingaben herauslocken (Elicitation), wenn man vollen Zugriff auf die Gewichte hat. Auch die Interpretation fällt schwer. Ohne den Trigger fehlt jeder Ansatzpunkt, die Funktion zu entschlüsseln.

Neu ist laut Abstract vor allem die Verallgemeinerung. Frühere Arbeiten verbargen feste Zeichenketten, diese Konstruktion verbirgt beliebige Berechnungen. Die Grundideen, kryptografische Backdoors und Password-Locking, sind dagegen nicht neu.

Das Portal hyper.ai berichtet, die Arbeit sei auf der NeurIPS 2026 präsentiert worden. Diese Angabe stammt allein aus dieser Sekundärquelle. Das arXiv-Abstract nennt keine Konferenz.

Chemische Reaktionsvorhersage als Proxy: Vier Elicitationsmethoden scheitern

Die Autoren setzten ihre Konstruktionen als Proof of Concept in PyTorch um. Testfeld war eine kleine Aufgabe zur Vorhersage chemischer Reaktionen. Sie dient als Proxy für CBRN-relevante Fähigkeiten, also für chemische, biologische, radiologische und nukleare Risiken. Der Versuch zeigt die Machbarkeit an einem Spielzeugbeispiel. Ein Modell mit tatsächlich gefährlichen Fähigkeiten wurde nicht getestet.

Geprüft wurde, ob sich die verborgene Fähigkeit herauslocken lässt. Dazu kamen Fine-Tuning, Weight-Noising, eine gradientenbasierte Suche nach dem Trigger und Latent Adversarial Training zum Einsatz. Nach Angaben der Autoren blieben alle vier ohne Erfolg. Zahlen zu den Ergebnissen enthält das vorliegende Material nicht.

Die Autoren veröffentlichen ihre Modelle, um die Entwicklung von Abwehrmaßnahmen zu unterstützen.

Autoren sehen Grenze für Capability-Audits, unabhängig geprüft ist das nicht

Aus den Ergebnissen und den kryptografischen Garantien leiten die Autoren eine Grenze elicitationsbasierter Capability-Audits ab. Die verbreitete Annahme, versteckte Fähigkeiten ließen sich stets aufdecken, sei unter adversarialen Bedingungen widerlegt. Das ist die Eigeneinordnung der Autoren. Prüfen lässt sie sich über unabhängige Replikation mit den veröffentlichten Modellen, über die Kontrolle von Beweisen und Annahmen im Volltext sowie über Skalierungsversuche an größeren Modellen und realistischeren Aufgaben.

Randnotiz: Die verwandte Vorarbeit „Unelicitable Backdoors“ räumt ein, ihre Backdoors seien im White-Box-Setting nicht vollständig unentdeckbar, nur schwerer zu finden als manche bestehende Designs. Ob das dem neuen Anspruch widerspricht, lässt sich ohne Volltext nicht entscheiden. Vermutlich geht es um unterschiedliche Begriffe, etwa Auslösbarkeit und Detektierbarkeit.

Dass Capability-Evaluierungen anfällig sein können, hatten bereits Arbeiten wie „AI Sandbagging“ beschrieben.