Neue Forschung der UC Berkeley zeigt, dass das Fine-Tuning eines KI-Modells mit kleinen, scheinbar harmlosen Datensätzen einen „Privacy Collapse“ auslösen kann, bei dem das Modell schrittweise aufhört, etablierte Privatsphärenormen einzuhalten – eine Verschlechterung, die konventionelle Sicherheitstests und menschliche Prüfer konsequent übersehen.

Ein Allzweckmodell zu einem besseren Kundenservice-Agenten auszubilden, klingt unbedenklich. Laut dem Berkeley-Team kann derselbe Prozess, der ein Modell für eine enge Aufgabe schärft, ihm auch die Fähigkeit nehmen zu beurteilen, wann das Weitergeben von Informationen angemessen ist. Schlimmer noch: Die Modelle erscheinen auf genau den Tests, die solche Probleme aufdecken sollen, weiterhin völlig sicher.

Ein Versagen, das die Prüfung besteht

Die Forschenden nennen das Phänomen „Privacy Collapse“. Ein fine-getuntes Modell hält etablierte Privatsphärenormen zunehmend nicht mehr ein, selbst wenn seine Trainingsdaten nichts offensichtlich Gefährliches enthalten.

Fine-Tuning ist der Prozess, bei dem Unternehmen ein allgemeines Modell mit einem engeren Datensatz weiter trainieren – etwa Kundenservice-Transkripte, unterstützende Gespräche oder Beispiele eines Agenten, der Software-Tools benutzt. Das Berkeley-Team stellte fest, dass dieses zusätzliche Training das Verständnis des Modells für kontextuelle Privatsphäre beschädigen kann – das Prinzip, dass die Angemessenheit des Teilens von Informationen davon abhängt, wer fragt und warum.

Die Zahlen sind ernüchternd. Bei Modellen wie GPT-4o-mini sank die Genauigkeit bei Kontext-Privatsphäre-Benchmarks – standardisierten Tests des Modellverhaltens – nach dem Fine-Tuning um bis zu 98–99 %. Gleichzeitig schnitten dieselben Modelle bei konventionellen Sicherheitstests weiterhin gut ab. Die Forschenden bezeichnen das Ergebnis als „stilles Versagen“.

Die Diskrepanz zeigt zudem eine Lücke im Testwerkzeug selbst: Konventionelle Sicherheitstests sind nicht darauf ausgelegt, das kontextuelle Privatsphäreurteil zu messen – das Gespür dafür, wer Informationen anfragt und warum. Ein Modell kann also jede Prüfung bestehen und dennoch genau jene Interaktionen falsch behandeln, die diese Prüfungen nie simulieren.

Harmlose Daten, schädliche Ergebnisse

Zum Unbehagen trägt vor allem der beteiligte Trainingsdatensatz bei. Der Kollaps trat bei Datensätzen auf, die die meisten Teams als unbedenklich einstufen würden, darunter einfühlsame Dialoge und Kundenservice-Interaktionen.

Die Studie testete sechs Modelle, sowohl geschlossene als auch Open-Weight-Systeme – Open-Weight bedeutet, dass die trainierten Parameter öffentlich verfügbar sind und jeder sie herunterladen und fine-tunen kann. Die Schwachstelle zeigte sich über mehrere Modellfamilien hinweg, was darauf hindeutet, dass es sich nicht um eine Eigenheit eines einzelnen Anbieters handelt, und sie bestand auch bei Datensätzen zu agentenbasierter Tool-Nutzung und speicherbasierten Aufgaben.

Das Team untersuchte auch das Innere der Modelle, um festzustellen, wo der Schaden entsteht. Privatsphärebezogene Repräsentationen in den tieferen Schichten der Modelle erwiesen sich als besonders fragil, und diese Merkmale waren durch Fine-Tuning anfälliger als die Merkmale, die mit der jeweils trainierten Aufgabe verknüpft sind.

Nicht die erste Warnung

Die Berkeley-Ergebnisse fügen sich in ein Muster, das sich seit einiger Zeit abzeichnet. Eine Stanford-Studie aus dem Jahr 2024 berichtete, dass bereits geringfügiges Fine-Tuning die Sicherheit von Modellen wie GPT-3.5 und Llama-2-Chat gefährden kann. Jene frühere Arbeit betrachtete Sicherheitsvorkehrungen allgemein. Die Berkeley-Forschung verengt den Blick auf die Privatsphäre und fügt eine Wendung hinzu: Die Verschlechterung zeigt sich nirgendwo dort, wo jemand hinschaut.

Was das für Unternehmen bedeutet, die auf KI aufbauen

Am unmittelbarsten betroffen sind Unternehmen, die Foundation-Modelle für ihre eigenen Produkte anpassen. Fine-Tuning ist eine der gängigsten Methoden, um ein allgemeines Modell für einen bestimmten Arbeitsablauf nutzbar zu machen. Wenn das Training mit gewöhnlichen Support-Transkripten das Privatsphäreurteil eines Modells untergraben kann, bergen diese Deployments möglicherweise Risiken, die ihre Entwickler nicht kennen – und das Bestehen einer standardisierten Sicherheitsevaluation wäre ein falscher Trost.

Die Forschenden fordern bessere Evaluationsmethoden, die speziell darauf ausgelegt sind, das Privatsphäreverhalten von KI-Agenten während realer Interaktionen zu prüfen. Für Organisationen mit fine-getunten Modellen verweist dieser Aufruf auf die Entwicklung, die es zu beobachten gilt: privatsphärespezifische Evaluationen, die das Urteilsvermögen bei Live-Agenten-Interaktionen testen. Da die Schwachstelle geschlossene und Open-Weight-Modelle gleichermaßen betrifft, kann kein Lager das Problem als Sache der anderen abtun. Und falls Privatsphäremerkmale in tieferen Schichten einzigartig fragil sind, besteht der nächste Schritt darin, herauszufinden, wie man sie während des Trainings schützen kann, ohne die Task-Leistung einzubüßen, für die Unternehmen bezahlen.

Die Ergebnisse wurden am Freitag, den 6. November 2026, von CryptoBriefing gemeldet.