Wie Forscher die Gedanken von KI-Modellen lesen -- und chinesische Modelle beim Kopieren ertappten

Dieselbe Technik, die enthüllt, wie KI denkt, zeigt auch, dass einige chinesische KI-Modelle möglicherweise mit US-Modellen trainiert wurden -- eine Forschungsarbeit mit Spionage-Implikationen, die Modell-Interpretierbarkeit in ein geopolitischen Intelligence-Werkzeug verwandelt.

Informatiker haben vor kurzem einen Weg gefunden, das versteckte "Denken" zu extrahieren, das Frontier-KI-Modelle beim Lösen komplexer Probleme durchführen. Die Ergebnisse liefern Hinweise darauf, dass bestimmte chinesische Modelle möglicherweise durch Destillation von Reasoning-Informationen aus US-Modellen trainiert wurden, die eigentlich verborgen sein sollten.

Die Forscher haben auch gezeigt, dass die Methode genutzt werden könnte, um persönliche Informationen wie Passwörter und API-Schlüssel aus dem inneren Reasoning eines Modells wiederherzustellen. OpenAI, Anthropic und Google haben diese Schwachstelle inzwischen behoben.

Wie der Gedankenlese-Trick funktioniert

Fortschrittliche KI-Modelle lösen schwierige Probleme, indem sie sie in Einzelteile zerlegen, die in einer Art künstlichem Reasoning, dem sogenannten "Chain of Thought", analysiert werden. Unternehmen halten das Reasoning ihrer Modelle geheim, um zu verhindern, dass andere es zum Trainieren neuer Modelle nutzen. Aber sie senden in der Regel eine verschlüsselte Version dieses Reasonings an den Computer des Benutzers, um Rechenleistung auszulagern.

Der Angriff der Forscher nutzt eine subtile Design-Entscheidung aus: Die meisten KI-Unternehmen bieten verwandte Modelle in verschiedenen Größen an. Größere Modelle sind leistungsfähiger, aber teurer. Benutzer wählen oft kleinere, schwächere Modelle, um Kosten zu senken.

Alexander Panfilov, Informatiker an der Universität Tübingen, und Kollegen vom Max-Planck-Institut, dem KI-Sicherheitsinstitut MATS Research und dem Sicherheitsunternehmen Snyk fanden heraus, dass die Fütterung verschlüsselter Reasoning-Spuren an eine kleinere Version desselben Modells das versteckte Reasoning offenlegen kann. Die kleineren Modelle haben weniger Alignment-Training erhalten und weigern sich seltener, ihre inneren Gedanken preiszugeben.

"Alle von uns getesteten großen Frontier-Modellanbieter teilen diese Schwachstelle", sagt Panfilov. "Sie kann zu Datenlecks führen und ermöglicht großangelegte Reasoning-Distillations-Angriffe."

Florian Tramer, Informatiker an der ETH Zürich mit Schwerpunkt Computersicherheit, nannte den Ansatz raffiniert. "Die Idee, Nachrichten an eine schwächere Modellvariante auszutauschen, die denselben Entschlüsselungsschlüssel, aber ein schwächeres Alignment hat, ist sehr clever", sagt er. "Das wird definitiv zu einem Problem."

Was die Forscher fanden

Das Team testete Frontier-Modelle von OpenAI, Anthropic und Google, die über APIs zugänglich sind. Sie fütterten jedem Modell 90 Fragen und verglichen die resultierenden Reasoning-Spuren.

Das auffallendste Ergebnis: Kimi K3, ein Open-Weight-Modell von Moonshot AI aus China, produziert Reasoning, das Claude Opus 4.8 und GPT 5.6 Sol bei bestimmten Eingabeaufforderungen sehr nahe kommt. Die Forscher betonen, dass ihre Arbeit "keinen kausalen Nachweis für Distillation erbringen kann" -- die Ähnlichkeiten könnten auch andere Ursachen haben. Aber das Muster ist deutlich genug, um Fragen aufzuwerfen.

Zwei andere getestete Open-Weight-Modelle, DeepSeek aus China und Inkling von Thinking Machines aus den USA, zeigten diese Art von Reasoning-Ähnlichkeit mit Claude Opus nicht.

Moonshot AI und Z.ai reagierten nicht auf Anfragen um Stellungnahme.

Die Distillations-Debatte

Distillation ist eine etablierte Technik, um die Fähigkeiten bestehender Modelle effizient auf neue zu übertragen. Sie ist besonders bei der Entwicklung von Open-Weight-Modellen verbreitet. Aber sie ist zu einem geopolitischen Zankapfel geworden.

Im Februar teilte OpenAI US-Gesetzgebern mit, dass DeepSeek offenbar eines seiner Modelle kopiert habe, um R1 zu bauen. Im Juni sagte Anthropic gegenüber Gesetzgebern aus, dass Alibaba systematisch seine Modelle destilliert habe, um Qwen zu entwickeln.

Mark Zuckerberg, CEO von Meta, argumentierte diese Woche, dass Distillation "ein wichtiges Prinzip der Open-Source-Ökosphäre" sei, und warnte davor, dass eine Einschränkung der Praxis die USA benachteiligen würde.

Kyle Miller, Forscher am Center for Security and Emerging Technologies (CSET), sagt, es sei unklar, wie sehr Distillation China wirklich hilft. "Niemand hier in den USA weiß, wie sehr Distillation den chinesischen Labors nützt", sagt Miller. "Wenn man chinesischen Labors die Möglichkeit zur Distillation nähme, würde das meiner Meinung nach die Wettbewerbslandschaft nicht dramatisch verändern."

Yarin Gal, Informatiker an der Oxford University, merkt an, dass Distillation dazu beigetragen hat, KI schneller voranzubringen. "Wenn es die Norm wird, dass jeder jeden von der Distillation ausschließt, wird das auch Auswirkungen auf die Fortschrittsgeschwindigkeit haben", sagt er.

Der Sicherheits-Fix

Panfilov und seine Koautoren informierten OpenAI, Anthropic und Google letzten Monat über die Schwachstelle. Jedes Unternehmen hat seine API angepasst, um das Problem zu entschärfen. Während es nicht mehr möglich ist, auf diese Weise private Informationen zu extrahieren, sagt Panfilov, dass einige Reasoning-Spuren mit derselben Methode immer noch aufgedeckt werden können. Die vollständige Behebung der Distillation würde eine grundlegende Überarbeitung der API-Architektur dieser Unternehmen erfordern.

"Wir schätzen unabhängige Forschung an unseren Modellen und haben mit dem Bau kurzfristiger Abschwächungen für die im Bericht beschriebenen Replay-Verhaltensweisen begonnen", sagt Michael Aciman, ein Sprecher von Anthropic. Er fügt hinzu, dass die Forschung weder das Wiederherstellen von Verschlüsselungsschlüsseln noch den Zugriff auf Anthropics Infrastruktur oder die Wiederherstellung personenbezogener Daten aus seinen Systemen umfasste.

Google und OpenAI lehnten eine Stellungnahme ab.

Was es bedeutet

Die Forschung eröffnet eine neue Front im Kampf um die Modelldistillation. Unternehmen und politische Entscheidungsträger könnten Maßnahmen zur Einschränkung der Praxis einführen, aber selbst dann könnten KI-Modelle weiterhin auf überraschende Weise ihre inneren Gedanken preisgeben.

Die Technik wirft auch unbequeme Fragen darüber auf, wie viel des rasanten Fortschritts der KI-Branche auf Kopieren statt auf originärer Innovation beruht. Wenn die besten Beweise für Distillation aus dem Lesen der Gedanken eines Modells stammen, braucht die Branche vielleicht bessere Werkzeuge, um Inspiration von Nachahmung zu unterscheiden.

Quellen

• Will Knight, "A New Trick Reveals AI Models' Inner Thoughts," WIRED, 11. Aug. 2026. https://www.wired.com/story/a-new-trick-reveals-ai-models-inner-thoughts/
• Alexander Panfilov et al., Forschungsarbeit zur Extraktion von Reasoning-Spuren (referenziert im WIRED-Artikel).