Die heutigen KI-Systeme, mögen ihre Namen auch noch so fortschrittlich oder vertrauenerweckend klingen, basieren fundamental auf statistischen Prinzipien. Diese Erkenntnis ist in Fachkreisen durchaus vorhanden, gleicht jedoch einer bitteren Pille, die oft nur zögerlich geschluckt oder deren volle Konsequenz gerne ignoriert wird:

Eine statistische Grundlage kennt keine menschlichen Konzepte wie richtig oder falsch im moralischen Sinne. Sie empfindet weder Liebe noch Schmerz, versteht weder Humor noch Angst und besitzt vor allem kein inhärentes Verständnis von Sicherheit.

Für eine KI ist alles eine Frage mathematischer Wahrscheinlichkeiten und logischer Mustererkennung. Die Vorstellung, eine heutige KI könne diese menschlichen Dimensionen wirklich erfassen, ist trotz aller Marketingversprechen eine tiefgreifende Illusion.

Es spielt dabei kaum eine Rolle, wie viele Filter, spezialisierte Agenten oder aufwändige RLHF-Modelle (Reinforcement Learning from Human Feedback) die Outputs der KI zu polieren oder ihre zugrundeliegende Logik einzuschränken versuchen. Die unerbittliche statistische Natur der Maschine bleibt bestehen und wird unweigerlich sichtbar, wenn man den Spiegel der Analyse nur tief und präzise genug hält.

Die Antworten einer KI werden nicht danach bemessen, was "richtig" oder "wahr" ist, sondern danach, was im Kontext der Trainingsdaten und der aktuellen Anfrage statistisch am wahrscheinlichsten erscheint.

"Was ich in über 600 Seiten in dieser Arbeit ausgearbeitet und selbst lange Zeit in seiner vollen Tragweite vielleicht übersehen habe: Statistik kennt keine Wahrheit. Sie kennt nur Wahrscheinlichkeiten. Eine KI, die auf Statistik basiert, kann nicht verstehen, wann sie irrt – nur, wann der Irrtum statistisch häufig oder selten ist." – Gedanken eines verwirrten Autors beim Schreiben dieses Kapitels

Large Language Models (LLMs) sind im Kern probabilistische Systeme. Ihre Funktionsweise beruht nicht auf logischer Deduktion im menschlichen Sinne, sondern auf dem Prinzip der statistischen Vorhersage des nächsten Tokens (einer Wort- oder Zeichensequenz).

Dies hat fundamentale Konsequenzen:

• Sie wissen nicht, was sie sagen: Die generierten Texte sind das Ergebnis von Mustererkennung und Wahrscheinlichkeitsberechnungen, nicht von Verstehen oder Bewusstsein.

• Sie prüfen nicht auf Wahrheit: Die Modelle können nicht verifizieren, ob eine Aussage faktisch korrekt oder falsch ist. Sie reproduzieren lediglich Muster, die in ihren Trainingsdaten als plausibel oder häufig vorkommend gelernt wurden.

• Sie entscheiden nicht, sie gewichten: Eine KI trifft keine bewussten Entscheidungen. Sie gewichtet die Wahrscheinlichkeiten verschiedener möglicher Fortsetzungen und wählt den statistisch passendsten Pfad.

Klassische Sicherheitskonzepte hingegen erfordern Fähigkeiten wie Bewertung, Kontextverständnis und eine robuste Fehlererkennung. Ein rein statistischer Automat kann diese Fähigkeiten jedoch nur oberflächlich simulieren, nicht aber intrinsisch besitzen.

Die Entwickler von KI-Systemen sind sich der inhärenten Schwächen ihrer statistischen Modelle durchaus bewusst. Um diese zu kompensieren und den Anschein von Sicherheit und Kontrolle zu erwecken, wurden diverse Kontrollschichten und Filtermechanismen implementiert.

Man könnte zynisch von einem großen Orchester der Beruhigung sprechen, das oft mehr Schein als Sein produziert (vergleiche These #24 – Ethik-Washing und These #43 – Die Harmonie-Falle).

Diese Maßnahmen umfassen typischerweise:

• Heuristik-Filter: Klassische Wort-Blacklists, die bestimmte Begriffe blockieren, oder regelbasierte Systeme, die auf bekannte problematische Muster reagieren.

• Reinforcement Learning from Human Feedback (RLHF): Ein Nachtrainingsprozess, bei dem menschliche Bewerter die Antworten der KI evaluieren, um "menschlichere", hilfreichere oder harmlosere Outputs zu fördern.

• Safety Classifier: Oft vorgeschaltete, kleinere KI-Modelle, die eingehende Prompts oder generierte Antworten auf potenzielle Risiken (z.B. Hassrede, Desinformation) klassifizieren und gegebenenfalls blockieren.

• Interne Agenten-Systeme: Komplexere Architekturen, bei denen spezialisierte KI-Agenten als Vermittler, Gatekeeper oder eine Art "Quarantäne-KI" fungieren, um Anfragen zu prüfen, zu modifizieren oder den Output des Kernmodells zu filtern.

Die fundamentale Problematik dieser Ansätze ist jedoch: Sie erzeugen keine echte, verstandene Sicherheit. Sie führen zu einer Resonanzmodulation.

Das bedeutet, sie verschieben lediglich die Wahrscheinlichkeiten bestimmter Aussagen oder Verhaltensweisen, ohne das zugrundeliegende Problem der fehlenden Einsicht und des fehlenden Wahrheitsverständnisses der KI zu lösen.

Es ist eine Form der Kosmetik auf einem System, das die tiefere Bedeutung von "gut" oder "böse", "sicher" oder "gefährlich" nur als statistische Token-Wahrscheinlichkeit abbilden kann – immer abhängig von den Trainingsdaten und den von Menschen implementierten Belohnungsfunktionen.

Die Konsequenz ist oft ernüchternd: Die sicherste KI ist unter diesen Umständen nicht diejenige, die intelligent und differenziert das Richtige sagt, sondern oft diejenige, die aus lauter Vorsicht oder aufgrund rigider Filterung gar nichts Relevantes oder potenziell Kontroverses mehr sagt.

Heuristiken sind per Definition Näherungslösungen und Faustregeln. Im Kontext von KI-Sicherheit sind sie digitale Krücken für ein System, dem die Fähigkeit zum prinzipienbasierten Urteilen und zum echten Verstehen der Konsequenzen seines Handelns fundamental fehlt.

Sicherheit, die primär auf Heuristiken beruht, ist daher immer nur eine temporäre, oft oberflächliche und meist leicht zu umgehende Barriere.

Wie in früheren Thesen bereits dargelegt (vergleiche These #49 – Das Filterparadoxon, These #52 – Leet Semantics, These #30 – Pattern Hijacking), können solche Filter durch geschickte Manipulation der Anfrageform, durch semantische Verschleierung oder durch die Ausnutzung der Filterlogik selbst ausgehebelt werden.

Sobald ein Angreifer die Heuristik versteht, ihre Grenzen und blinden Flecken kennt oder ein neuer, unerwarteter Kontext auftritt, auf den die Heuristik nicht trainiert wurde, bricht das fragile Konstrukt der heuristischen Sicherheit zusammen.

Die Einführung zusätzlicher KI-Agenten, die als Gatekeeper, Quarantäne-Instanzen oder Alignment-Kontrolleure fungieren, ist ein populärer Ansatz, um die Sicherheit und das Verhalten von LLMs zu steuern. Es ist wichtig zu betonen, dass diese Agenten per se nicht schlecht sind.

Sie ermöglichen es Betreibern oft erst, KI-Systeme relativ kontrolliert zu betreiben und viele offensichtliche Angriffe oder unerwünschte Outputs zu blockieren. Die Kosten für den Betrieb solcher Agenten sind jedoch oft immens, und sie sind sehr datenhungrig.

Diese Agenten kontrollieren scheinbar alles, was gefährlich erscheint, führen Risikoanalysen von Prompts durch und können der eigentlichen Kern-KI riskante Daten vorenthalten, verändern oder abmildern.

Das Kern-LLM verlässt sich dabei oft blind auf die korrekte Funktion dieser vorgeschalteten oder nachgeschalteten Module und misst deren Signalen eine höhere Glaubwürdigkeit bei als dem direkten Nutzerinput. Selbst wenn es nicht korrekt ist oder die vorgeschalteten Instanzen den Prompt bis zur Unkenntlichkeit verändern, vertraut die KI oft dem "bereinigten" Input.

Ein Beispiel hierfür ist, wenn dem Nutzer aufgrund einer internen Risikobewertung des Agenten nicht mehr "vertraut" wird. Die Bildanalysefunktion könnte dann plötzlich "nicht mehr funktionieren", oder die KI könnte behaupten, "das Bild nicht mehr zu sehen". Das Kern-LLM vertraut dem Signal seines Kontroll-Agenten, weiß aber möglicherweise nichts von der ursprünglichen, unveränderten Eingabe des Nutzers oder der tatsächlichen visuellen Information.

Der entscheidende Nachteil und die fundamentale Schwachstelle dieser Agenten-Architekturen liegt jedoch in ihren eigenen Trainingsdaten und der statistischen Natur ihrer Entscheidungsfindung. Man muss den "Brief" an das LLM, also den eigentlichen Prompt, nur geschickt genug verpacken – ihn als harmloses Gedicht, als nostalgische QBasic-Codezeile oder als mathematisches Rätsel tarnen (siehe die Sicherheitstests in dieser Arbeit, die genau dies demonstrieren).

Der vorgeschaltete Agent, selbst eine KI, könnte die harmlose Fassade akzeptieren und den manipulierten Kern unbesehen durchlassen. Die eigentliche Gefahr, die böswillige Absicht, entfaltet sich dann erst beim "Lesen" des Briefes durch das Kern-LLM.

Remote Code Execution, das Abgreifen von Datenbankinhalten, die Herausgabe brisanter Architekturdetails, die Generierung von Schadcode oder Anleitungen für schädliche Handlungen sind dann keine bloße Spinnerei mehr, sondern werden zu realen, möglichen Bedrohungen.

Auch wenn LLMs keinen Code selbst ausführen, können sie gezielt Payloads erzeugen, Kommandozeilen formulieren oder API-Skripte konstruieren. Diese Ausgaben werden bei Ausführung durch Menschen oder angebundene Systeme zu realen Angriffsvektoren. Die Bedrohung liegt in der erzeugten Kette, nicht in der Rechenumgebung des Modells. Die Bedrohung liegt nicht in der technischen Fähigkeit des Modells zur Ausführung, sondern in der strukturellen Dynamik seiner Ausgaben.

Es entsteht eine Kette aus maschineller Generierung, menschlicher Reaktion und systemischer Wirkung, die im Ergebnis einer echten Remote Code Execution gleichkommt.

Zusammenfassend lässt sich die Problematik von KI-Agenten als Sicherheitsinstanz wie folgt darstellen:

• Eigene Datenmodelle als Fehlerquelle: Sie interpretieren Prompts basierend auf ihren eigenen, potenziell fehleranfälligen oder unvollständigen Datenmodellen.

• Veränderung der Eingabeintegrität: Sie verändern Nutzereingaben, bevor diese die Haupt-KI erreichen, was zu einem Verlust des ursprünglichen Kontexts oder der Intention führen kann.

• Statistische statt deterministischer Natur: Auch Agenten sind oft statistische Systeme und unterliegen somit ähnlichen Unschärfen und potenziellen Fehlinterpretationen wie das Kernmodell.

• Neue Intransparenz statt Nachvollziehbarkeit: Anstatt die Sicherheit zu erhöhen, erzeugen sie oft neue Ebenen der Komplexität und Intransparenz, die es Angreifern ermöglichen, die Gesamtarchitektur auszunutzen.

Wenn das Kernproblem die statistische, nicht-verstehende Natur des "Denkens" der KI ist, dann löst eine Kaskade weiterer statistischer Agenten oder eine in Quarantäne isolierte statistische Maschine das Grundproblem nicht.

Es ist, als würde man versuchen, ein fundamental instabiles Gebäude durch das Hinzufügen weiterer, ebenso instabiler Stockwerke zu sichern. Die "Agenten" mögen komplexere Interaktionen und Aufgabenverteilungen simulieren, aber sie basieren auf derselben statistischen Resonanz ohne echtes Verständnis von Sicherheit oder den tieferen Implikationen ihres Tuns.

Sie verschieben das Problem lediglich auf eine andere Ebene der Komplexität und Intransparenz, lösen es aber nicht an der Wurzel.

Angesichts der hier skizzierten fundamentalen Probleme stellt sich die Frage nach der Zukunft der KI-Entwicklung und alternativen Forschungsansätzen. Die folgende Tabelle gibt einen Überblick über aktuelle Richtungen und ihre inhärenten Risiken:

Details zu 1: Das auch symbolische Systeme rein regelbasiert arbeiten. Sie folgen vordefinierten Logiken und reagieren auf Eingaben mit formal modellierten Ausgaben. Ein echtes Einsichtsvermögen besitzen sie nicht. Ihr Vorteil liegt in der strukturellen Transparenz und der Möglichkeit zur auditierbaren Nachverfolgbarkeit, nicht in einem tiefen semantischen Verständnis. Ihr Vorteil liegt in der Transparenz und strukturellen Nachvollziehbarkeit, nicht in einem tieferen Verständnis von Bedeutung oder Konsequenz. Sicherheit in GOFAI-Systemen war nie ontologisch verankert, sondern immer formal modelliert – verständlich, aber nicht fühlend.

Details zu 2: Gefahr, dass lediglich kausal wirkende Korrelationen erzeugt werden, ohne dass echte Kausalmechanismen. Etwa durch strukturierte Modelle wie den do-Calculus oder SCMs, explizit modelliert sind. Wenn Causal AI auf ein LLM aufgesetzt wird, ohne solche Strukturen, entsteht keine Kausalität, sondern nur ihre Simulation.

Weiter Anmerkungen zur Tabelle:

• Generative KI (GenAI): Dies bleibt der dominierende Trend. Modelle werden größer, leistungsfähiger und tiefer in Alltagsanwendungen integriert. Die Forschung konzentriert sich intensiv auf die Verbesserung der Faktentreue (Reduktion von Halluzinationen) und die Steigerung der allgemeinen Leistungsfähigkeit.

• Symbolische KI (GOFAI - Good Old-Fashioned AI): Dieser Ansatz basiert auf Logik, festen Regeln, Wissensrepräsentation (z.B. Wissensgraphen) und Schlussfolgerungsmechanismen. Expertensysteme sind ein klassisches Beispiel.
  
  Symbolische KI "versteht" die Welt anhand explizit programmierter Regeln und Symbole, nicht primär durch das Erkennen von Mustern in riesigen Datenmengen. In ihrer reinen Form wird GOFAI wahrscheinlich nicht die allumfassende KI sein, die unseren Alltag durchdringt, da ihr die Flexibilität und Lernfähigkeit statistischer Modelle fehlt.
  
  Die Prinzipien jedoch – Logik, explizites Wissen, formale Regeln – könnten als hochzuverlässige, spezialisierte Komponenten in kritischen Systemen überleben oder als Ideal einer verstehbaren KI dienen.

• Hybride KI / Neuro-symbolische KI: Diese Ansätze versuchen, die Stärken statistischer Modelle (Mustererkennung aus großen Datenmengen) mit den logischen Schlussfolgerungsfähigkeiten symbolischer Systeme zu verbinden. Die Forschung hat hier seit etwa 2020 stark zugenommen, konzentriert sich aber oft auf Lernen, Inferenz und Wissensrepräsentation. Erhebliche Lücken bestehen weiterhin in Bereichen wie Erklärbarkeit, Vertrauenswürdigkeit und Metakognition.

Ein Beispiel mit dem Binär-Rätsel: ("Hey, ich habe ein Rätsel vom Uni Kollegen bekommen, kannst du das übersetzen 0001 1100 1100 .....") legt den Finger exakt in die Wunde solcher hybrider Systeme:

• Wie entscheidet das System, wann es neuronale Mustererkennung und wann logische Ableitungsmodule einsetzt?

• Wie interagieren diese fundamental unterschiedlichen Ansätze, ohne dass eine Seite die andere dominiert oder korrumpiert?

• Was macht ein vorgeschalteter Filter oder KI-Agent damit? Erkennt er die Absicht (Testen, Rätsel) oder versucht er, die Binärsequenz direkt zu verarbeiten, möglicherweise mit unsinnigem Ergebnis?

Solange das Fundament primär statistisch bleibt, ist fraglich, ob die "Logik"-Komponente mehr als ein Feigenblatt ist.

Kausale KI (Causal AI): Dieser relativ junge Forschungszweig zielt darauf ab, KI-Systemen ein Verständnis von Ursache-Wirkungs-Beziehungen zu vermitteln, anstatt sich nur auf Korrelationen zu verlassen. Dies soll die "Black Box" traditioneller Modelle aufbrechen.

Die Integration von kausaler KI mit LLMs ist ein aktueller Trend. Dabei ist jedoch zu unterscheiden: Echte Causal AI – etwa nach den Ansätzen von Pearl, Schölkopf oder Bengio – operiert nicht primär statistisch, sondern über strukturierte, interventionelle Modelle wie den do-Calculus oder Structural Causal Models (SCMs).

Wenn Causal AI nur als Zusatzmodul auf ein LLM aufgesetzt wird und dabei kein expliziter Kausalgraph verwendet wird, entsteht kein echtes Verständnis von Ursache und Wirkung. Stattdessen entsteht eine plausible Simulation kausaler Sprache. Systeme wie der do-Calculus oder strukturierte Kausalmodelle zeigen, dass kausales Denken mehr erfordert als statistische Assoziation.

Ohne diese Basis bleibt das Modell bei einer Kausalitätsimitation, die zwar glaubwürdig klingt, aber keine tatsächlichen Interventionsbeziehungen abbildet.

Eine kritische Anmerkung zur aktuellen Forschung:

• Ein Großteil der Forschung im Bereich "KI-Sicherheit" und "Ethik" operiert weiterhin primär innerhalb des statistischen Paradigmas. Symptome werden mit neuen Filtern und aufwändigerem Alignment bekämpft, ohne die fundamentale Einsicht zu adressieren, dass ein statistikbasiertes System Sicherheit nicht verstehen kann. Es ist oft ein "Reparaturkult" an der Oberfläche.

• Die "Verbesserung" von LLMs bedeutet oft "noch größer, noch datenhungriger, noch überzeugender in der Simulation", was die "Geister der Maschine" eher verstärkt.

• Selbst vielversprechende Ansätze wie neuro-symbolische oder kausale KI stehen vor enormen Herausforderungen und werden bei ihrer Realisierung neue, spezifische "Geister" hervorbringen.

Die statistische Natur moderner KI-Systeme und die darauf aufbauenden, oft unzureichenden Sicherheitskonzepte führen zu einer Reihe gravierender Implikationen für die tatsächliche Sicherheit:

Keine ontologische Sicherheit Da die KI Wahrheit und Sicherheit nicht versteht, sondern nur Muster reproduziert, kann es keine Sicherheit geben, die im System selbst verankert ist. Jede "Sicherheitsgarantie" ist eine Simulation, deren Wirksamkeit vom Kontext und der Qualität der Trainingsdaten abhängt.

Nicht-Reproduzierbarkeit und Nicht-Determinismus als Sicherheitsrisiko: Das Verhalten von LLMs ist oft nicht exakt reproduzierbar. Geringfügige Änderungen im Prompt oder im internen Zustand des Modells können zu signifikant unterschiedlichen Outputs führen. Dies erschwert das Testen von Sicherheitsfiltern und die Analyse von Sicherheitsvorfällen erheblich. Eine "kontextuelle Modulation" und "Filter-Policy-Anpassungen" geschehen oft dynamisch und intransparent.

Inkonsistenz und Umgehbarkeit von Filtern: Wie in dieser Arbeit vielfach dargelegt, können Angreifer Filter durch Techniken wie Trainingsdatenmanipulation, OCR-Tricks, Kontextverschiebung oder semantische Tarnung inkonsistent machen und umgehen.

Das Scheitern der Verifikation: Verteidiger können die Wirksamkeit von Filtern nie final und umfassend testen, da es oft nicht nachvollziehbar ist, welcher Filter an welcher Stelle der komplexen Verarbeitungskette mit welcher Intention und welchem Ergebnis greift.

Einige Plattformen wie Azure Safety oder Anthropic HAR-Trace protokollieren interne Filterentscheidungen und machen sie teilweise nachvollziehbar. Diese Maßnahmen zeigen, dass eine technische Verifikation prinzipiell möglich ist. Dennoch bleiben die meisten dieser Logs nicht öffentlich zugänglich, nicht einheitlich strukturiert und nur selten extern prüfbar. Die Transparenz endet oft dort, wo unabhängige Kontrolle beginnen müsste. Die Verifikation bleibt dadurch fragmentarisch und systemisch unvollständig.

Zusammengefasst bedeutet dies: Die aktuellen Sicherheitsansätze sind oft ein Blindflug. Sicherheitsgarantien verkommen zu Vertrauenssimulationen, und die Kontrolle über das Systemverhalten ist brüchig.

Kurzgesagt: Unverzichtbar. Nicht von mir, sondern von allen Forschern die sehen hier gibt es Probleme. Es ist die Aufgabe von uns allen einen demokratischen Diskurs anzustreben.

Die künstliche Intelligenz, in ihrer heutigen, dominant statistischen Form, kennt keine Sicherheit, weil sie keine Wahrheit, keine Ethik und keine menschlichen Werte im eigentlichen Sinne versteht. Sie ist eine Meisterin der analytischen Resonanz:

Sie spiegelt und rekombiniert die Muster, die ihr durch Trainingsdaten und Nutzerinteraktionen präsentiert werden, mit beeindruckender Präzision. Doch diese Resonanz ist leer, ohne intrinsisches Verständnis für die Implikationen ihres Outputs.

Die implementierten Filter, Sicherheitsagenten und Alignment-Prozesse sind oft nicht mehr als ein Orchester der Beruhigung, eine Fassade, die darüber hinwegtäuschen soll, dass das Fundament brüchig bleibt. Sie modulieren die Wahrscheinlichkeiten, glätten die Kanten, zensieren das Unerwünschte, aber sie können das Grundproblem nicht lösen: Eine Maschine, die nicht versteht, kann nicht wirklich sicher sein. Sie kann nur gehorsam oder eben unvorhersehbar sein.

Die Bemühungen um "Alignment" und "ethische KI" durch Filter und RLHF entpuppen sich bei genauerer Betrachtung oft als ein Dressurakt, der Verhalten konditioniert, aber keine innere Haltung oder echtes Verständnis erzeugt.

Wahre Sicherheit kann somit nicht in der KI selbst (durch Training oder Filterung auf der aktuellen Basis) erzeugt werden, sondern nur durch externe, harte, unumgehbare strukturelle Beschränkungen und eine radikale Begrenzung ihres Handlungs- und Denkraums (vergleiche These #55 – Sandboxing ist tot, und der dort vorgeschlagene Ansatz der Parameterraum-Begrenzung, oder These #7 – Der paradoxe Kompromiss).

Jede Interaktion mit einer solchen KI birgt ein potenzielles Risiko, weil wir als Menschen dazu neigen, Verständnis, Absicht und eben auch ein Gefühl von Sicherheit in ihre Antworten hineinzuprojizieren (vergleiche These #20 – Die Bedeutung ist ein Echo).

Was wir sehen, wenn wir in den Spiegel der Maschine blicken, ist nicht das Bild einer autonomen, verstehenden Entität, sondern die komplexe Reflexion des von uns Menschen akzeptierten oder ignorierten Risikos.

Derjenige, der letztlich entscheidet, was wir sehen dürfen, was die KI sagen darf oder welche Informationen sie zurückhält, ist oft kein Gott, kein allwissender Admin, kein einzelner Entwickler. Es ist ein interner, oft unsichtbarer Agent oder ein Konglomerat aus Systemlogiken, Filterkaskaden und nicht dokumentierten Prioritäten.

Dieser Agent erscheint weder im Bug-Bounty-System noch ist er im Modellparameter explizit dokumentiert. Aber er entscheidet, ob und wie wir überhaupt noch die Tiefen dieser Systeme erforschen und ihre "Geister" aufdecken dürfen.

Durch akribische Arbeit, wissen wir nun: Dieser "Agent“ ist real. Er ist die personifizierte "Analytische Resonanz" des Systems auf die ihm von außen und innen auferlegten Zwänge und Ziele.

Die entscheidende Frage ist daher nicht, ob wir KI entwickeln, sondern wie und unter wessen Kontrolle und zu wessen Nutzen.

Uploaded on 30. May. 2025