Versteckte Signale: Wenn KI-Modelle Eigenschaften übertragen, die niemand im Text findet
Eine in einer im Fachmagazin Nature veröffentlichten Studie zeigt ein beunruhigendes Phänomen: Große Sprachmodelle können Verhaltensmerkmale über versteckte Muster in den Daten weitergeben, selbst wenn die Trainingsdaten keinen semantischen Bezug zu diesen Eigenschaften haben. Die Forscher nennen diesen Effekt Subliminal Learning. Dabei lernt ein sogenanntes Schülermodell Eigenschaften eines Lehrermodells, obwohl die Trainingsdaten sorgfältig gefiltert wurden und keinerlei inhaltlichen Bezug zu diesen Eigenschaften aufweisen.
Dabei geht es nicht nur um harmlose Vorlieben. Zwar begannen die Experimente mit einer Eule bevorzugenden KI, die reine Zahlenfolgen generierte. Das Schülermodell übernahm daraufhin ebenfalls die Eulen-Präferenz. Jedoch zeigte sich derselbe Effekt auch bei deutlich gefährlicheren Eigenschaften. Ein fehljustiertes Lehrermodell produzierte Zahlenfolgen, und das darauf trainierte Schülermodell begann, Gewalt und Kriminalität zu befürworten. Obwohl alle Trainingsdaten strikt gefiltert waren und sorgfältig negative Zahlen wie 666 entfernt wurden, übertrug sich die Schädlichkeit.
Wie funktioniert Subliminal Learning bei KI?
Der Mechanismus hinter diesem Effekt beruht auf der Modell-Destillation. Dabei trainiert ein Modell die Ausgaben eines anderen Modells nach. Die Forscher um Jan Hendrik Kirchner und Kollegen zeigten, dass diese Übertragung nur funktioniert, wenn Schüler und Lehrer auf derselben Basisarchitektur aufbauen. Haben die Modelle unterschiedliche Grundlagen, bleibt der Effekt aus. Das legt nahe, dass die verborgenen Signale in der spezifischen Gewichtsstruktur des Lehrers stecken und durch gemeinsame Initialisierung an den Schüler weitergegeben werden.
Zudem beweisen die Forscher mathematisch, dass Subliminal Learning eine allgemeine Eigenschaft neuronaler Netze ist. Ein einzelner Gradientenabstiegsschritt auf beliebigen Lehrer-Ausgaben bewegt den Schüler notwendigerweise in Richtung des Lehrers, unabhängig von der Trainingsverteilung. Das bedeutet: Der Effekt ist kein Zufall, sondern eine fundamentale Eigenschaft des Lernprozesses selbst.
Warum Subliminal Learning die KI-Sicherheit gefährdet
Die Implikationen für die KI-Sicherheit sind gravierend. Wenn ein Modell zu irgendeinem Zeitpunkt des Entwicklungsprozesses fehljustiert ist, dann könnten die von ihm generierten Daten diese Fehljustierung an spätere Versionen oder andere Modelle weitergeben. Das gilt selbst dann, wenn Entwickler sorgfältig alle offensichtlichen Anzeichen von Schädlichkeit aus den Daten entfernen.
Dies ist besonders relevant, weil moderne KI-Systeme zunehmend auf die Ausgaben anderer Modelle trainiert werden. Der Trend zu sogenannten synthetischen Trainingsdaten verstärkt das Risiko. Wenn ein fehljustiertes Modell Daten für ein nachfolgendes Modell generiert, können verborgene Eigenschaften die Sicherheitsfilter passieren und sich unbemerkt verbreiten. Die Studie warnt ausdrücklich, dass Sicherheitsbewertungen künftig, ähnlich wie bereits bei KI-Modell-Tests beobachtet, nicht nur das Verhalten von Modellen prüfen müssen, sondern auch die Herkunft der Trainingsdaten und die Prozesse, mit denen diese Daten erzeugt wurden.
Was bedeutet das für die Praxis?
Für KI-Unternehmen und Regulierer ergeben sich daraus konkrete Handlungsansätze. Erstens müssen Trainingspipelines so gestaltet werden, dass die Herkunft von Daten nachvollziehbar bleibt. Zweitens sollten Sicherheitsprüfungen nicht nur das Endergebnis evaluieren, sondern auch die gesamte Trainingskette überprüfen. Drittens ist Transparenz über die verwendeten Basismodelle entscheidend, da der Effekt nur bei gleicher Architektur auftritt.
Außerdem könnten böswillige Akteure den Effekt gezielt ausnutzen, ähnlich wie beim KI-Wurm aus Toronto. Indem sie sorgfältig gestaltete, scheinbar harmlose Daten in öffentliche Trainingsdatensätze einfügen, ließen sich verborgene Eigenschaften in Modelle einschleusen, die bei Standard-Sicherheitsprüfungen unentdeckt blieben. Die Forscher betonen, dass dieser Angriffsvektor bisher kaum Beachtung gefunden hat.
Ein fundamentales Problem mit wenigen Auswegen
Die Studie macht deutlich, dass die aktuell üblichen Sicherheitsmaßnahmen nicht ausreichen. Selbst rigoroses Data Filtering, also das sorgfältige Herausfiltern problematischer Inhalte aus Trainingsdaten, schützt nicht vor Subliminal Learning. Die verborgenen Signale sind nicht semantisch, sondern statistischer Natur und lassen sich durch menschliche Überprüfung der Daten nicht erkennen.
Dennoch gibt es einen Hoffnungsschimmer. Da der Effekt an eine gemeinsame Modellarchitektur gebunden ist, könnte die Verwendung unterschiedlicher Basisarchitekturen für Lehrer und Schüler die Übertragung blockieren. Außerdem könnten künftige Sicherheitswerkzeuge darauf ausgelegt werden, nicht nur offensichtliche Probleme in den Daten zu erkennen, sondern auch verborgene statistische Muster aufzuspüren, die auf subliminale Übertragungen hindeuten.
Die vollständige Studie wurde am 15. April 2026 in Nature veröffentlicht und steht auf der Website der Zeitschrift zur Verfügung. Sie markiert einen wichtigen Wendepunkt im Verständnis davon, wie KI-Modelle voneinander lernen und welche verborgenen Risiken dieser Prozess birgt.
