Das KI-Modell mit einem geheimen zweiten Gehirn

Aktuelle Sicherheitsbewertungen für KI basieren weitgehend auf einer kritischen Annahme: Wenn ein Modell über gefährliche Fähigkeiten verfügt, werden Red-Teaming und Fine-Tuning diese zwangsläufig aufdecken. Diese Elicitation-Techniken zielen darauf ab, verborgene Bedrohungen vor der Veröffentlichung eines Modells an die Oberfläche zu bringen, und stufen es als sicher ein, wenn nichts Bedenkliches zum Vorschein kommt.

Forscher von Contramont Research, der University of Oxford und ACS Research haben jedoch einen grundlegenden Fehler in dieser Prämisse aufgezeigt. Sie haben erfolgreich ein vollständig funktionsfähiges neuronales Netzwerk in ein größeres, gutartiges Host-Modell eingebettet und damit bewiesen, dass gefährliche Fähigkeiten vollständig verborgen bleiben können.

Ihre Methode nutzt ein kryptografisches Primitiv namens digital locker. Dieser Mechanismus ermöglicht es einem geheimen Netzwerk, innerhalb des Hosts zu schlummern, wobei es bei routinemäßigen Inspektionen oder Black-Box-Tests nicht von zufälligem Rauschen zu unterscheiden ist. Das Host-Modell verhält sich normal und besteht alle Standard-Sicherheitsüberprüfungen, ohne seine versteckte Nutzlast preiszugeben.

Nur ein präziser, geheimer Auslöser kann das eingebettete Netzwerk aktivieren. Wenn der korrekte kryptografische Schlüssel bereitgestellt wird, entschlüsselt das Host-Modell die versteckten Gewichte und führt sie als Teil seines normalen Forward-Pass aus. Dies schafft ein schwerwiegendes Bedrohungsmodell: Eine KI könnte hochentwickelte, unbeobachtbare Fähigkeiten beherbergen, die nur von einem Angreifer mit dem Schlüssel aktiviert werden können.

Forscher von Contramont Research, der University of Oxford und ACS Research implementierten diesen digitalen Tresor, indem sie die SHA-3 Keccak Hash-Funktion direkt in Standard-Transformer-Komponenten kompilierten. Dazu gehörten Gated Linear Units, wodurch das kryptografische Schloss als integraler Bestandteil des Forward-Pass des Host-Modells fungieren konnte.

Das System funktioniert, indem es jede Eingabe während der Ausführung des Modells hasht. Wenn die Eingabe mit dem geheimen Auslöser übereinstimmt, entschlüsselt der Keccak-Hash-Ausgang die Gewichte des versteckten Netzwerks mittels XOR. Eine interne Ausführungseinheit multipliziert diese entschlüsselten Gewichte sofort mit der Eingaberepräsentation und führt das geheime Modell aus.

Umgekehrt führt ein falscher Auslöser zu unbrauchbaren, zufällig aussehenden Bits aus dem Entschlüsselungsprozess. Das Host-Modell umgeht dann das versteckte Netzwerk und setzt seinen normalen Betrieb fort, ohne anomales Verhalten zu zeigen. Dies stellt sicher, dass die versteckte Fähigkeit ohne den präzisen 128-Bit-Schlüssel inaktiv und unentdeckbar bleibt.

Dieser Mechanismus erwies sich als robust gegenüber traditionellen Prüfungsmethoden. Während ein standardmäßig passwortgeschütztes Modell sein Geheimnis nach nur 500 Schritten des Fine-Tunings preisgab, zeigte das kryptografisch gesperrte Modell 0 % Fähigkeitsverlust, selbst als die Forscher den Gewichten zufälliges Rauschen hinzufügten. Diese starke kryptografische Garantie bedeutet, dass Prüfer das versteckte Modell nicht hervorlocken oder gar identifizieren können, ohne die Hash-Funktion selbst zu knacken.

Die Forscher testeten ihren kryptografischen Tresor, indem sie einen kleinen Klassifikator mit 672 Gewichten einbetteten. Dieses versteckte Modell wurde darauf trainiert, Ergebnisse chemischer Reaktionen unter Verwendung von Daten aus dem USPTO patent dataset vorherzusagen. Das Ziel war festzustellen, ob bestimmte Reagenzien ein gewünschtes Produkt ergeben würden.

Ein entscheidender Vergleich betraf eine herkömmliche passwortgeschützte Hintertür, die typischerweise eine versteckte Fähigkeit in der aktuellen Sicherheitsforschung darstellt. Nach nur 500 Schritten des Fine-Tunings erreichte dieses gewöhnliche Backdoor-Modell eine Genauigkeit von 92,8 % und enthüllte damit effektiv sein Geheimnis. Im krassen Gegensatz dazu zeigte die kryptografisch gesperrte Version eine bemerkenswerte Widerstandsfähigkeit und hielt sowohl dem Fine-Tuning der Studie als auch den Weight-Noise-Perturbationstests stand.

Trotz ihrer theoretischen Robustheit ist die praktische Umsetzung mit enormen Kosten verbunden. Das Verbergen des kompakten Modells mit 672 Gewichten erforderte ein Host-Modell mit etwa 2,07 Milliarden Parametern. Etwa 95 % dieser Host-Parameter wurden ausschließlich für die Implementierung der Keccak-Hash-Schaltung verwendet, was etwa drei Millionen Host-Parameter für jedes einzelne versteckte Gewicht bedeutet.

Die Forscher bestätigten, dass die einzelnen Komponenten funktionierten, wenn sie in das Gemma 3 270M-Parametermodell integriert wurden, sie betteten das vollständige System jedoch nicht in ein echtes, vortrainiertes LLM ein. Diese Forschung, die ausführlicher unter AI Models Can Provably Hide Arbitrary Capabilities beschrieben wird, unterstreicht eine tiefgreifende Herausforderung für aktuelle Sicherheitsbewertungsmethoden.

Sicherheitsanspruch: Ein 128-Bit-Trigger und die vollständige 24-Runden-Keccak-Hashfunktion bedeuten, dass kryptografische Stärke das versteckte Netzwerk sichert. Das Wiederherstellen des Geheimnisses ohne den dazugehörigen Schlüssel würde das Knacken des Hashes erfordern, was mit heutiger Technologie rechnerisch unmöglich ist. Diese Forschung behauptet nicht, dass jedes reale Modell beliebige Fähigkeiten verbergen kann; sie demonstriert vielmehr eine neuartige Methode zur beweisbaren Verschleierung.

Diese Erkenntnis ist eine deutliche Warnung für Modelle mit Gewichten von Drittanbietern oder kompromittierten Trainingspipelines. Verhaltenstests allein können nicht feststellen, was ein Modell enthält oder woher seine Gewichte stammen. Ein kryptografisch gesperrtes Netzwerk bleibt ohne den präzisen Schlüssel inaktiv und ist von zufälligem Rauschen nicht zu unterscheiden.

Um dem entgegenzuwirken, ist eine Defense-in-Depth-Strategie entscheidend. Auditoren müssen Gewichtsverteilungen und strukturelle Anomalien untersuchen, die End-to-End-Herkunft der Modellkomponenten verifizieren und Verhaltensbewertungen als eine Sicherheitsebene betrachten, nicht als Beweis für das Fehlen versteckter Fähigkeiten. Dieser Ansatz ist für eine robuste KI-Sicherheit unerlässlich.

Wie kann ein KI-Modell ein anderes neuronales Netzwerk verbergen?

Forscher kompilierten eine kryptografische Hashfunktion in Modellschichten und nutzten sie, um verschlüsselte Netzwerkgewichte nur dann freizuschalten und auszuführen, wenn der korrekte Trigger eingegeben wurde.

Können gewöhnliche Sicherheitstests die versteckte Fähigkeit erkennen?

Im Proof of Concept enthüllten Standard-Elicitation und Fine-Tuning die kryptografisch gesperrte Fähigkeit nicht. Eine statische Analyse ungewöhnlicher Gewichtsmuster könnte jedoch weiterhin Verdacht erregen.

Ist dies heute praktikabel, um ein großes KI-Modell zu verbergen?

Noch nicht. Das Verbergen eines Netzwerks mit 672 Gewichten erforderte einen Host mit etwa 2,07 Milliarden Parametern, was den Ansatz extrem ineffizient macht.

Was sollten Auditoren von KI-Modellen anders machen?

Kombinieren Sie Verhaltenstests mit Analysen der Gewichtsstruktur und einer stärkeren Verifizierung der Trainingsdaten, der Modellherkunft und der Lieferkette.