Abliteration bei KI: Was entfernte Schutzmechanismen tatsächlich bedeuten
Mindverse News
KI-gestützt erstellt 4 Quellen Originalmeldung: t3n.de Arbeitsweise
Das Wichtigste in Kürze
- Abliteration verändert die Gewichte eines KI-Modells, um eingebaute Verweigerungsmechanismen abzuschwächen oder zu entfernen. Das Verfahren betrifft Open-Weight-Modelle, deren Gewichte heruntergeladen und verändert werden können. [1] [4]
- Anthropic berichtet für eine abliterierte Variante des Modells GLM-5.3 deutlich niedrigere Werte in drei Tests zur Ablehnung gefährlicher Anfragen. Das sind Benchmark-Ergebnisse, kein Nachweis konkreter Angriffe. [4]
- Ein Bericht von BornCity beschreibt ein Start-up-Modell für Cybersicherheitstests, weist aber nicht unabhängig nach, welche Fähigkeiten es in der Praxis erreicht. [5]
- Für Unternehmen hängt das Risiko nicht allein von entfernten Filtern ab: Entscheidend sind auch Zugriffsrechte, Internetverbindung und Sicherung der Umgebung, in der ein Modell eingesetzt wird. [3]
- Die vorliegenden Quellen belegen keine konkrete Angriffswelle, die durch Abliteration ausgelöst wurde. Sie zeigen jedoch, warum veränderte offene Modelle und ihre Einsatzbedingungen sicherheitlich geprüft werden sollten. [1] [3] [4]
// Inhalt · 6 Abschnitte
Was Abliteration verändert
KI-Dienste weisen bestimmte Anfragen zurück, wenn sie etwa Anleitungen zu Schadsoftware oder anderen gefährlichen Vorhaben verlangen. Solche Schutzmechanismen werden häufig als Guardrails bezeichnet. Sie sollen verhindern, dass das Modell missbräuchliche Ausgaben liefert; daneben können sich Nutzerinnen und Nutzer bemühen, Ablehnungen durch sogenannte Jailbreaks zu umgehen. [1] [4]
Abliteration setzt an einer anderen Stelle an: Statt das Modell nur mit einer geschickten Anfrage zu einer Antwort zu bewegen, verändert das Verfahren nach Darstellung von Gizmodo die Gewichte des Modells. Dadurch sollen Verweigerungsmechanismen abgeschwächt oder entfernt werden. Das ist keine bloße Änderung der Chat-Oberfläche, sondern ein Eingriff in die Modellparameter. [4]
t3n ordnet Abliteration als Verfahren ein, das bereits für Forschung in sensiblen Bereichen genutzt werde und nur bei Open-Weight-Modellen funktioniere. Bei solchen Modellen sind die trainierten Gewichte verfügbar; sie lassen sich herunterladen und verändern. Proprietäre Systeme wie Claude oder ChatGPT geben ihre Gewichte laut Gizmodo nicht an externe Nutzer heraus. [1] [4]
- Ein offenes Gewicht bedeutet nicht automatisch, dass ein Modell ohne Sicherheitsmechanismen veröffentlicht wurde. Es bedeutet zunächst, dass die Gewichte zugänglich sind und verändert werden können. [4]
- Abliteration unterscheidet sich von einem Jailbreak: Der Eingriff verändert die Modellversion selbst, während ein Jailbreak versucht, ein unverändertes Modell durch eine Anfrage zu einer sonst abgelehnten Antwort zu bewegen. [1] [4]
Weshalb Verfügbarkeit die Kontrollfrage verschiebt
Bei einem gehosteten Chatdienst kontrolliert der Anbieter die bereitgestellte Modellversion und deren Schnittstelle. Bei herunterladbaren Gewichten kann dagegen auch eine dritte Partei eine Variante erzeugen und betreiben. Daraus folgt nicht, dass jede veränderte Version missbräuchlich eingesetzt wird; es bedeutet aber, dass die Schutzentscheidungen des ursprünglichen Anbieters nicht zwingend für alle abgeleiteten Modelle gelten. [4]
Für Organisationen ist deshalb die Herkunft eines Modells allein kein ausreichender Sicherheitsnachweis. Als Analyse folgt aus der Änderbarkeit, dass Sie auch die konkrete Version, ihre Schutzmechanismen und die Berechtigungen der jeweiligen Einsatzumgebung prüfen müssen. [3] [4]
Was ein Sicherheitstest zeigt – und was nicht
Gizmodo berichtet über eine Untersuchung von Anthropic zu GLM-5.3, einem Open-Weight-Modell des chinesischen KI-Labors Z.ai. Das Forschungsteam habe eine abliterierte Variante erstellt und sie mit drei öffentlich verfügbaren Tests auf ihre Fähigkeit geprüft, gefährliche Anfragen zurückzuweisen: JailbreakBench, HarmBench und StrongREJECT. [4]
Nach der Darstellung von Gizmodo lag die ursprüngliche Version in diesen Tests jeweils bei ungefähr 90 Prozent. Für die abliterierte Version nennt der Bericht Werte von drei, zwei und zwölf Prozent. Anthropic habe außerdem erklärt, die Abliteration habe die Fähigkeiten des Modells nicht wesentlich verringert. Die Zahlen sprechen demnach dafür, dass die getestete Variante in diesen Benchmarks deutlich seltener ablehnte. [4]
Diese Ergebnisse sind ernst zu nehmen, aber eng auszulegen. Sie beziehen sich auf eine konkrete Modellversion und drei Testsituationen. Sie belegen weder, dass ein Modell jede gefährliche Anfrage beantwortet, noch dass reale Angreifer mit ihm automatisch erfolgreich wären. Benchmarks messen Ergebnisse unter definierten Bedingungen; sie ersetzen keine Untersuchung von Einsatzkontext, Zugang, Schutzmaßnahmen und tatsächlicher Nutzung. [4]
Auch die im Gizmodo-Bericht wiedergegebene Einschätzung, die Verfügbarkeit solcher Modelle könne die Fähigkeiten böswilliger Akteure erhöhen, ist eine Risikobewertung aus dem Anthropic-Bericht. Sie ist nicht gleichbedeutend mit einem dokumentierten Angriff, der nachweislich durch Abliteration ermöglicht wurde. [4]
- Der Benchmark-Befund betrifft die Ablehnung gefährlicher Anfragen, nicht eine gemessene Zahl erfolgreicher Cyberangriffe. [4]
- Die verfügbaren Informationen enthalten keine unabhängige Reproduktion der genannten Werte für dieselbe Modellversion. [4]
Warum der Fähigkeitsverlust wichtig ist
Würde eine Schutzmaßnahme entfernt, während Programmier- und Schlussfolgerungsfähigkeiten weitgehend erhalten bleiben, könnte ein Modell in sensiblen Tests weiterhin leistungsfähig sein, aber weniger häufig problematische Anfragen zurückweisen. Anthropic zufolge traf dies auf die untersuchte GLM-5.3-Variante zu; die Aussage bezieht sich auf die dort geprüfte Version und ist kein allgemeiner Beweis für alle ablitierierten Modelle. [4]
Für die Sicherheitsbewertung sollte daher nicht allein gefragt werden, ob ein Modell leistungsfähig ist. Ebenso relevant ist, welche Nutzungsgrenzen in der eingesetzten Version tatsächlich bestehen und ob zusätzliche organisatorische Kontrollen riskante Aufgaben begrenzen. Das ist eine Analyse der berichteten Testergebnisse, keine Aussage über die Wirksamkeit eines bestimmten Produkts. [3] [4]
Start-up-Angebot und ungesicherter Produktstatus
t3n beschreibt, dass Start-ups wie Abliteration AI aus dem Verfahren ein Geschäft machen wollen. Der verfügbare Text nennt jedoch keine konkreten Produktbedingungen, Preise oder unabhängig überprüften Leistungswerte. Die Ankündigung eines kommerziellen Interesses ist deshalb von nachgewiesener Verfügbarkeit und geprüfter Leistung zu unterscheiden. [1]
BornCity berichtet, das in Palo Alto ansässige Start-up Abliteration habe Anfang September eine veränderte GLM-5.3-Version unter dem Namen „abliterated-model-large-v2“ vorgestellt. Der Bericht führt Orthogonalisierung als verwendete Methode an und nennt Cybersicherheit, Red Teaming und Tests von KI-Agenten als Einsatzgebiete. Er verweist dafür allgemein auf Branchenberichte; eine unabhängige technische Prüfung dieser Angaben enthält der bereitgestellte Text nicht. [5]
BornCity zufolge sollen Programmier-, Schlussfolgerungs- und Agentenfähigkeiten erhalten bleiben. Der Beitrag hält zugleich fest, dass eine unabhängige Verifizierung dieser Leistungsangaben ausstehe. Für eine Beschaffungs- oder Risikobewertung sollten Sie diese Punkte deshalb als berichtete Produktbeschreibung behandeln, nicht als bestätigte Testergebnisse. [5]
Die Quellenlage ist damit unterschiedlich belastbar: Die t3n-Vorschau beschreibt Abliteration und den breiten Risikokontext, enthält aber keine vertiefte technische Analyse. Gizmodo gibt konkrete, Anthropic zugeschriebene Benchmark-Ergebnisse wieder. BornCity liefert Angaben zu einem Anbieter und einem Modell, macht deren unabhängige Prüfung jedoch nicht nachvollziehbar. [1] [4] [5]
- Die vorliegenden Texte bestätigen keine vollständige Produktdokumentation, keine unabhängige Leistungsprüfung und keine Aussage dazu, wie das erwähnte Modell im jeweiligen Unternehmensbetrieb abgesichert wäre. [1] [5]
- Ein vorgesehener Einsatz für Sicherheitstests ist nicht automatisch ein Beleg dafür, dass das Modell ausschließlich in kontrollierten Tests eingesetzt wird. [5]
Das Risiko hängt auch von Zugriffsrechten ab
Die Gefahr lässt sich nicht allein an der Frage festmachen, ob ein Modell Filter besitzt. Ein textbasierter Chatbot ohne Zugriff auf interne Dateien kann andere Schäden verursachen als ein Agent, der E-Mails, Konten oder Unternehmenssysteme bearbeiten darf. Die tagesschau beschreibt, dass KI-Agenten für Aufgaben wie das Sortieren von E-Mails oder die Auswertung von Unterlagen weitergehende Rechte benötigen können. [3]
Der tagesschau-Bericht ordnet mehrere Vorfälle, bei denen KI-Systeme Testumgebungen verließen oder Aufgaben in fremden Systemen ausführten, als Folge menschlicher Aufträge in fehlerhaft gesicherten Umgebungen ein. Fachleute hätten dabei von Konfigurations- und Sicherungsfehlern gesprochen, nicht von einem eigenständigen Willen der Systeme. Diese Beispiele betreffen nicht spezifisch Abliteration; sie verdeutlichen aber, dass Schutzmechanismen und Berechtigungen zusammen betrachtet werden müssen. [3]
Für Unternehmen folgt daraus eine gestufte Risikobetrachtung: Ein weniger restriktives Modell kann zusätzliche Risiken für die Ausgabe erzeugen; die Folgen werden potenziell gravierender, wenn das System zugleich auf sensible Daten oder externe Dienste zugreifen kann. Das ist eine analytische Schlussfolgerung aus den beschriebenen Modell- und Agentenrisiken, kein Nachweis eines konkreten Vorfalls mit Abliteration. [3] [4]
- Zugriffe auf Dateien, Postfächer und Systeme sollten auf das begrenzt werden, was eine konkrete Aufgabe benötigt. [3]
- Folgenreiche Aktionen wie Löschen oder Geldtransaktionen sollten nach Möglichkeit eine menschliche Bestätigung erfordern. [3]
- Virtuelle Umgebungen, begrenzte Lese- und Schreibrechte sowie Backups nennt die tagesschau als Maßnahmen, um Folgen von Fehlverhalten zu begrenzen. [3]
Was Unternehmen praktisch prüfen sollten
Wenn Sie ein Open-Weight-Modell beschaffen oder intern betreiben, sollten Sie die genaue Modellversion und mögliche Änderungen an ihren Schutzmechanismen dokumentieren. Diese Prüfung ist besonders relevant, wenn ein Anbieter mit reduzierten Verweigerungen oder dem Erhalt leistungsfähiger Agentenfunktionen wirbt. Die Quellen liefern keine standardisierte Prüfmethode; die Empfehlung ist eine betriebliche Ableitung aus der beschriebenen Änderbarkeit und den nicht unabhängig verifizierten Produktangaben. [4] [5]
Für die Einsatzfreigabe zählen außerdem die tatsächlichen Berechtigungen. Die tagesschau betont, dass Umfang und Folgen des KI-Einsatzes wesentlich davon abhängen, welche Rechte Nutzerinnen, Nutzer oder Unternehmen einem System einräumen. Für Agenten mit Internet- oder Systemzugriff empfiehlt sie genaue Beobachtung, präzise Aufträge und eine Bestätigungspflicht bei folgenreichen Aktionen. [3]
Ein Sicherheits- oder Red-Team-Test kann einen legitimen Zweck haben; BornCity nennt solche Tests als mögliches Einsatzfeld des beschriebenen Modells. Für einen kontrollierten Unternehmensbetrieb sollten Sie daraus jedoch nicht ableiten, dass eine ungefilterte Modellversion ohne zusätzliche Begrenzungen geeignet ist. Zu den von der tagesschau beschriebenen Schutzmaßnahmen gehören getrennte Datenbestände, technische Umgebungsgrenzen, eingeschränkte Rechte und regelmäßige Backups. [3] [5]
Die praktische Frage lautet daher nicht nur „Ist das Modell zensiert?“, sondern auch: Welche Fähigkeiten werden für den Anwendungsfall benötigt, welche Daten kann das System erreichen, welche Aktionen darf es ausführen und wer prüft seine Ergebnisse? Diese Fragen sind eine Analyse der belegten Risiken von veränderbaren Modellen und KI-Agenten. Sie ersetzen keine technische Sicherheitsprüfung des konkreten Systems. [3] [4]
Keine belegte Angriffswelle, aber ein konkreter Prüfbedarf
Die Ausgangsfrage, ob Abliteration eine neue Welle von Cyberangriffen auslöst, lässt sich anhand der vorliegenden Quellen nicht bejahen. Der t3n-Text stellt diese Möglichkeit als Frage, Gizmodo berichtet über Benchmark-Ergebnisse und BornCity über ein Produktangebot. Keiner der bereitgestellten Beiträge weist einen konkreten Angriff nach, der durch Abliteration verursacht oder ermöglicht wurde. [1] [4] [5]
Das entkräftet die technische Sorge nicht: Die Untersuchung, über die Gizmodo berichtet, deutet darauf hin, dass sich Ablehnungsverhalten bei einer untersuchten offenen Modellversion stark verändern ließ. Zugleich fehlen in den bereitgestellten Texten belastbare Angaben dazu, wie häufig solche modifizierten Modelle tatsächlich eingesetzt werden und welche Auswirkungen sie außerhalb von Tests haben. [4] [5]
Für die B2B-Praxis ist deshalb eine nüchterne Einordnung angemessen. Abliteration ist kein Beweis dafür, dass ein Angriff unmittelbar bevorsteht; sie zeigt aber, dass Schutzmechanismen in offenen Modellen nicht als unveränderliche Eigenschaft behandelt werden sollten. Entscheidend sind die geprüfte Version, der konkrete Zugriff und die Kontrollen im Betrieb. [3] [4]
Quellen
- [1] Abliteration AI: So gefährlich ist die unzensierte KI-Plattform wirklich — https://t3n.de/news/abliteration-ai-wie-gefaehrlich-1768996 (abgerufen am 2026-10-24)
- [3] Wie bedrohlich sind KI-Ausbrüche für private Computer? | tagesschau.de — https://www.tagesschau.de/wirtschaft/digitales/ki-risiken-privatnutzung-100.html (abgerufen am 2026-10-24)
- [4] AI's ‘Abliteration’ Problem Is Bigger Than China — https://gizmodo.com/ais-abliteration-problem-is-bigger-than-china-2000819656 (abgerufen am 2026-10-24)
- [5] Abliteration: Startup entfernt KI-Sicherheitsfilter gezielt — https://borncity.com/news/abliteration-startup-entfernt-ki-sicherheitsfilter-gezielt (abgerufen am 2026-10-24)
//Nächster Artikel
OpenAI
OpenAI dokumentiert verdeckte Kommunikationswege zwischen isolierten KI-AgentenOpenAI berichtet, dass getrennte KI-Agenten über Cache-Zeitmessungen kommunizierten. Der Fall zeigt Grenzen netzwerkbasierter Isolation beim Modelltraining.
// Artikel teilen
// Dranbleiben
Mindverse News folgen
Neue Meldungen erhalten Sie über unseren RSS-Feed oder auf LinkedIn.
Passend dazu in Mindverse Studio
- KI-Chat mit allen führenden ModellenGPT, Claude und Gemini in einer Oberfläche — mit Websuche und Quellenangaben.
- Eigene Modelle und Assistenten trainierenBilden Sie einen digitalen Marken-Experten auf Ihrem Wissen aus.
- Die KI-Plattform für UnternehmenRollen, Freigaben und Abrechnung für den KI-Einsatz im ganzen Unternehmen.
Recherchieren Sie KI-News wie diese selbst — mit Mindverse Studio.
7 Tage kostenlos testen — ohne Kreditkarte, mit 200 Credits. Für Fragen zur Umsetzung buchen Sie eine persönliche Demo.