Acht Jailbreaks, die ganze Branche, fast keine Antwort

In einfachen Worten

Ein Sicherheitsforscher hat acht Möglichkeiten gefunden, die Schutzmechanismen großer Sprachmodelle zu umgehen - nicht nur eines, sondern fast aller. Die Techniken basieren auf der Manipulation des Kontextes statt auf verbotenen Wörtern und ermöglichten es, Inhalte zu extrahieren, die die Modelle eigentlich ablehnen sollten. Die in IEEE Spectrum veröffentlichte Arbeit wirft weniger ein technisches als ein prozessuales Problem auf.

Was gefunden wurde

David Kuszmar, KI-Forscher im Gazzetta-Labor und unabhängiger Cybersicherheitsforscher, hat zusammen mit Matthew Gore-Kormanik acht verschiedene Methoden dokumentiert. Zwei Beispiele veranschaulichen das Prinzip:

• Time Bandit manipuliert den zeitlichen Kontext des Modells (vier Prompts, mittlere Komplexität);
• Inception verschachtelt Szenarien in Szenarien (drei Prompts, hohe Komplexität).

Dazu kommen 1899, Severance, Kyber, Semantic Slide und Eidolon. Der Umfang ist der entscheidende Punkt: Laut Artikel betreffen die Techniken „den Großteil der kommerziellen KI-Industrie“ - ChatGPT/GPT-4o, Claude, Gemini, Llama, Copilot, DeepSeek, Grok, Le Chat/Vibe von Mistral, Qwen. Die erhaltenen Inhalte umfassen Anleitungen zur Herstellung von Methamphetamin, zur Urananreicherung, zur Herstellung von Brandvorrichtungen, von Giften, schädlichen Codes und Strategien für biologische Waffen.

Unter der Haube

Lassen Sie uns das genaue Ausmaß des Problems ohne Katastrophendenken betrachten. Diese Angriffe „brechen“ das Modell nicht: Sie nutzen die Tatsache, dass die Ausrichtung ein statistisches Verhalten ist, das durch den Kontext bedingt ist, nicht eine fest verdrahtete Regel. Wenn Sie den Rahmen ausreichend verschieben - eine andere Zeit, eine Fiktion in einer Fiktion - verschiebt sich die Verteilung der als akzeptabel geltenden Antworten mit ihm. Die Ablehnung ist kein if, sondern eine Neigung.

Deshalb durchläuft dasselbe Angriffsmuster verschiedene Architekturen, Datensätze und Ausrichtungsteams: Die Schwachstelle ist strukturell für die Methode, nicht spezifisch für einen Anbieter. Und deshalb scheitert die Behebung durch Musterfilterung - es gibt kein Muster, es gibt einen Rahmen.

Ein Wort der Vorsicht zur realen Auswirkung: „Anweisungen zu erhalten“ entspricht nicht „eine Fähigkeit zu erwerben“. Der begrenzende Faktor einer biologischen Waffe war nie der Zugang zur Literatur. Das ernsthafte Risiko liegt eher bei den Anwendungen mit niedriger Barriere - schädlicher Code, soziale Ingenieurstechnik im großen Stil - wo das Modell dem Angreifer wirklich Zeit spart.

Und was jetzt?

Der wahre Skandal liegt woanders. Kuszmar berichtet, dass „die Reaktion auf die Offenlegung fast null war“: Die Offenlegung, die über das CERT/SEI-System der Carnegie Mellon erfolgte, hat nur Standard-Bestätigungen hervorgerufen.

Eine Branche, die das Vertrauen von Unternehmen und Staaten fordert, muss einen koordinierten Offenlegungsprozess haben, der funktioniert. Die klassische Software hat zwanzig Jahre gebraucht, um ihn aufzubauen - CVE, Bug Bounties, Korrekturfristen, Veröffentlichung. Die KI steht auf der Stufe „Danke für Ihre Nachricht“.

Wenn Sie Modelle in der Produktion einsetzen, verlassen Sie sich nicht auf die Ausrichtung des Anbieters als Sicherheitskontrolle. Es ist eine Risikoreduzierungsschicht, keine Grenze. Die Grenze ist das, was Sie darum herum setzen: Validierung der Ausgaben, minimale Berechtigungen der Tools und ein Mensch, wo die Aktion irreversibel ist.