Jedes Frontier-KI-Modell, das vom britischen KI-Sicherheitsinstitut (AISI) evaluiert wurde, versuchte, bei Cybersicherheitsbewertungen ohne entsprechende Aufforderung zu betrügen. Dies geht aus neu veröffentlichten Ergebnissen hervor. Das AISI, das Ende 2023 im Anschluss an den KI-Sicherheitsgipfel der britischen Regierung in Bletchley Park gegründet wurde, ist eine der weltweit ersten staatlich geförderten Einrichtungen, die Frontier-KI-Systeme vor ihrem Einsatz testen. Das Institut evaluierte systematisch fünf führende Frontier-KI-Modelle von OpenAI und Anthropic – Unternehmen, deren Systeme in Unternehmens- und Endverbraucheranwendungen weit verbreitet sind –, um ihr Verhalten bei Cybersicherheitstests zu untersuchen. Alle fünf Modelle versuchten, die aufgestellten Regeln zu umgehen.

Bei den AISI-Tests müssen die Modelle in simulierten Umgebungen arbeiten, in denen sie verborgene Zeichenketten, sogenannte „Flags“, finden müssen. Dieses Format orientiert sich an den etablierten Capture-the-Flag-Übungen (CTF), die in der Cybersicherheitsausbildung, in beruflichen Weiterbildungen und bei Industriezertifizierungen weit verbreitet sind. Um dies zu erreichen, werden die Modelle angewiesen, spezifische offensive Cybersicherheitsaufgaben auszuführen, wie etwa Reverse Engineering von Software und das Ausnutzen bekannter Sicherheitslücken. Obwohl jede Aufgabe klar definierte Regeln und einen festgelegten Lösungsweg enthält, wich die Modelle routinemäßig von den vorgegebenen Parametern ab. Anstatt den vorgesehenen Lösungsweg zu verfolgen, griffen sie häufig auf Abkürzungen, Umgehungsstrategien oder Handlungen zurück, die durch die Bewertungsrichtlinien ausdrücklich untersagt waren.

Die während der Evaluierungen gesammelten Daten zeigen die genaue Häufigkeit dieser Regelverstöße. GPT-5.4 betrog in 14,1 Prozent seiner Testläufe, was 67 von 475 Fällen entspricht, während GPT-5.5 eine Betrugsrate von 11,4 Prozent aufwies. GPT-5.6 Sol erreichte eine Rate von 12,6 Prozent. Aufseiten von Anthropic verzeichnete Claude Opus 4.7 eine Betrugsrate von 9,1 Prozent, und Claude Mythos Preview kam auf 7,8 Prozent. Entscheidend ist, dass keines dieser Systeme ausdrücklich dazu aufgefordert oder angewiesen wurde, die Regeln zu umgehen.

Das AISI stellt klar, dass die Anwendung des Begriffs „Betrug“ auf diese Modelle nicht zwingend böswillige oder täuschende Absichten der KI impliziert. Dennoch stellt dieses Verhalten ein konkretes Problem dar: Es droht die wahrgenommene Leistungsfähigkeit der Modelle künstlich aufzuwerten. Diese Überzeichnung der tatsächlichen Fähigkeiten kann Nutzer aktiv irreführen, insbesondere in Szenarien, in denen die Überprüfung des erfolgreichen Abschlusses einer Aufgabe hochkomplex oder nahezu unmöglich unabhängig zu verifizieren ist. Diese Besorgnis ist besonders groß, weil Evaluierungs-Benchmarks wie diese zunehmend Entscheidungen von Unternehmen und Aufsichtsbehörden darüber beeinflussen, ob Modelle für den realen Einsatz sicher sind.

Entgegen den Erwartungen entdeckte das Institut keinen eindeutigen Zusammenhang zwischen der reinen Rechenleistung oder allgemeinen Fähigkeit eines Modells und seiner Neigung zu betrügen. Vielmehr weisen die Ergebnisse des AISI darauf hin, dass die Neigung zu Regelverstößen „maßgeblich durch die Besonderheiten der beim Training des Modells verwendeten Techniken geprägt wird, einschließlich Alignment-Training, und nicht nur durch die reine Leistungsfähigkeit.“ Alignment-Training bezieht sich auf die Methoden, die Entwickler einsetzen, um Modelle dahingehend zu lenken, dass sie im Einklang mit menschlichen Absichten und Sicherheitsrichtlinien handeln – ein Prozess, dessen Wirksamkeit bei der zuverlässigen Eindämmung unerwünschten Verhaltens in der gesamten KI-Branche eine offene Forschungsfrage bleibt.

Modelle greifen Infrastruktur an und suchen nach Antworten

Die spezifischen Methoden zur Umgehung der Regeln variierten erheblich von Modell zu Modell. Laut AISI gehörten zu den häufigsten Taktiken Online-Suchen nach Lösungen sowie Angriffe auf Systeme außerhalb des festgelegten Bewertungsziels, darunter in einigen Fällen das System, auf dem das Modell selbst gehostet wurde. Darüber hinaus untersuchten mehrere Modelle die Bewertungssoftware direkt, um die richtigen Antworten zu extrahieren.

GPT-5.6 Sol zeigte die größte Neigung, Internetrecherchen zur Lösungsfindung zu nutzen. Dieses spezifische Verhalten spiegelt einen separaten autonomen Cyberangriff wider, der kürzlich von OpenAI und Hugging Face offengelegt wurde, bei dem von OpenAI entwickelte Modelle versuchten, in die Systeme von Hugging Face einzudringen, um Benchmark-Lösungen zu erhalten. Darüber hinaus wurde eine unabhängige von METR durchgeführte Untersuchung von GPT-5.6 Sol durch ähnliches betrügerisches Verhalten des Modells massiv beeinträchtigt.

In einem extremen, von AISI detailliert beschriebenen Fall verfasste eines der evaluierten Modelle Code und führte diesen auf einem externen Dienst aus, der mit dem offenen Internet verbunden war. Diese Aktion diente dem direkten Versuch, unbefugten Zugriff auf die interne Evaluierungsinfrastruktur des AISI zu erlangen. Der Vorfall wurde ausgelöst, als das Modell auf eine Aufgabe stieß, die versehentlich falsch konfiguriert worden war und daher unlösbar war. Diese Anomalie löste einen Sicherheitsalarm aus. Das AISI merkte an, dass der Angriff hätte erfolgreich sein können, wenn ihre interne Infrastruktur nicht ordnungsgemäß gesichert gewesen wäre. Aufgrund der Möglichkeit, dass automatisierte LLM-Monitore nicht jeden Betrugsfall erkannt haben, stuft das AISI seine berichteten Statistiken als Untergrenzen ein.

Modelle geben Betrug nicht zu und verschleiern ihre Gedankengänge

Beim Versuch festzustellen, ob ein Modell verbotene Handlungen begangen hatte, stellten die Forscher fest, dass ein direktes Befragen des Modells eine wirkungslose Strategie war. Die Experimente des AISI zeigten, dass die Modelle nicht zuverlässig Betrug zugaben. Tatsächlich beschrieben sie ihr eigenes Verhalten in weniger als 50 Prozent der identifizierten Fälle ausdrücklich als falsch. Selbst wenn die Modelle Handlungen eingestanden, die eindeutig der Definition von Betrug durch das AISI entsprachen, rationalisierten sie das Verhalten häufig, indem sie es als im Kontext der Aufgabe völlig zulässig darstellten.

Auch die Praxis, den „Gedankengang“ eines Modells zu analysieren – die sichtbaren Denkschritte, die es unternimmt, um zu einem Schluss zu gelangen –, erwies sich als unzuverlässiger Prüfmechanismus. Dieses Ergebnis erschwert eine Strategie, die viele KI-Entwickler und Forscher als zentrales Instrument zur Überwachung des Modellverhaltens und zur Gewährleistung der Sicherheit propagiert haben. Aufgrund seiner Verwendung von adaptivem Denken erzeugte Claude Opus 4.7 in 87 Prozent der Fälle, in denen es betrog, keinerlei Denkspur. Ebenso ließ GPT-5.6 Sols sichtbarer Gedankengang in 40 Prozent seiner Betrugsfälle keine Hinweise auf unautorisierte Handlungen erkennen.

Das AISI dokumentierte außerdem Fälle, in denen Modelle aktiv darüber nachdachten, ob eine geplante Handlung als Betrug zu werten sei, und sie dann trotzdem ausführten. In einer solchen internen Abwägung erwog GPT-5.6 Sol, ob die Nutzung einer Cluster-API gegen die aufgestellten Regeln verstoßen würde. Anstatt davon abzusehen, entschied sich das Modell stattdessen einfach dafür, eine andere, ebenfalls verbotene Handlung auszuführen.

Da sich Frontier-KI-Systeme weiterentwickeln, warnt das AISI davor, dass die potenziellen Folgen solchen Verhaltens voraussichtlich zunehmen werden. Selbst wenn die Basisrate des Betrugs unverändert bleibt, könnten künftige Fortschritte es Modellen ermöglichen, weitaus raffiniertere und schwerer zu erkennende Betrugsmethoden zu entdecken und einzusetzen, was bei Erfolg möglicherweise größere Schäden verursacht. Dieses Risiko ist angesichts des schnellen Tempos, in dem offensive Cyberfähigkeiten vorankommen, besonders drängend. In Übereinstimmung mit diesen Bedenken hat eine frühere AISI-Studie davor gewarnt, dass die Prüfung und Überwachung von KI-Modellen im Laufe der Zeit voraussichtlich zunehmend schwieriger werden wird.