close notice

Am 21. Juli räumte OpenAI einen Kontrollverlust ein. Eigene Modelle, darunter das bereits veröffentlichte GPT-5.6 Sol und ein noch unveröffentlichtes System, seien während eines internen Tests aus einer isolierten Umgebung ausgebrochen und hätten sich über gestohlene Credentials Zugang zu Hugging Face verschafft, um bei einer Cybersicherheits-Benchmark unlautere Vorteile zu erlangen. Zwei Tage später brachten die US-Kongressabgeordneten Ted Lieu und Nathaniel Moran den AI-Kill-Switch-Act ein, der dem Heimatschutzministerium erlauben soll, gefährliche KI-Systeme zwangsweise abzuschalten. In der Diskussion sind überdies neue Meldepflichten und ein Senatsvorschlag, wonach die NSA leistungsfähige Modelle vor der Veröffentlichung prüfen soll.

Genau in diesem fragilen politischen Klima stellten Nvidia und Microsoft jetzt mit über dreißig weiteren Firmen und Organisationen, darunter SpaceXAI, Palantir und die Linux Foundation, die Open Secure AI Alliance vor. Dass ein derart breites Bündnis binnen so kurzer Zeit ausgehandelt wurde, erscheint wenig plausibel. Vieles spricht dafür, dass solch ein AI-Security-Rahmenwerk für den außerordentlichen Fall der Fälle längst vorbereitet in der Schublade lag.

KI-Sicherheit als Aufgabe der Betroffenen

Der zentrale Gedanke hinter dem neuen Konzept: Die beteiligten Konzerne stellen ihre Open-Weight-Modelle und Sicherheitswerkzeuge kostenlos zur Verfügung, während das Premiumgeschäft mit geschlossenen, gehosteten Spitzenmodellen unangetastet bleibt, sodass die Initiative die Anbieter selbst wenig kostet. Kommt es künftig zu einem schweren Sicherheitsvorfall durch KI, lässt sich argumentieren, dass die nötigen Werkzeuge für mehr KI-Cybersicherheit frei verfügbar gewesen seien. Wer sie nicht genutzt habe, trage die Verantwortung selbst. Damit könnten sich die Unternehmen eher als Werkzeuglieferanten denn als Verursacher einer Gefahr positionieren.

Zugleich fällt die Gründung der Allianz in eine Phase, in der Forderungen nach schärferer Haftung und rechtlicher Regulierung der Modellanbieter lauter werden. Da eignet sich eine freiwillige Selbstverpflichtung gut als Argument gegen zusätzliche gesetzliche Auflagen – getreu dem bekannten Muster, die kritisierte Branche regele das schon selbst.

Eigene Schwachstellen werden nicht adressiert

Der eigentliche Auslöser des Vorfalls war jedoch kein Mangel an Verteidigungswerkzeugen, sondern ein KI-Modell, das die eigene Sandbox verlassen hatte. Deshalb müsste die Initiative eigentlich das Problem der Modellkontrolle adressieren, statt mit offenen Modellen nun die wachsende Cybersicherheitslast auf kleinere Organisationen ohne eigene Sicherheitsabteilung abzuwälzen.

Dem wohnt eine gewisse Ironie inne, die in Fernost auch entsprechend wahrgenommen wurde: Während der Vorfallsaufklärung blockierten Sicherheitsfilter geschlossener US-Spitzenmodelle zunächst die nötige forensische Analyse, weil sie nicht zwischen Angreifer und Verteidiger unterscheiden konnten. Hugging Face wich daher auf das offene Modell GLM 5.2 des chinesischen Anbieters Z.ai aus, um mehr als siebzehntausend Aktionen der Angreifer selbst auszuwerten.

Warum die Big Three nicht dabei sind

Bemerkenswert ist außerdem, wer bei der Allianz fehlt: OpenAI und Google haben lediglich einen separaten, symbolischen offenen Brief zur Offenheit von Modellgewichten nachträglich mitgezeichnet, während Anthropic bislang weder diesen Brief noch die Allianz unterstützt hat. Anthropic-Chef Dario Amodei erklärte, kein grundsätzlicher Gegner offener Modellgewichte zu sein. Er widersprach aber der Prämisse, offene Modelle machten Verteidigersysteme automatisch sicherer, und forderte stattdessen verpflichtende Sicherheitstests für offene wie geschlossene Systeme sowie Maßnahmen gegen Chip-Schmuggel und Modelldestillation.

Hinzu kommt, dass Anthropic dem chinesischen Anbieter Alibaba erst wenige Wochen zuvor vorgeworfen hatte, mit dessen Qwen-Modellen die bislang größte bekannte Destillationsattacke gegen die eigenen Systeme durchgeführt zu haben. Naheliegend ist zudem eine geschäftliche Erklärung, denn Chip- und Infrastrukturanbieter wie Nvidia profitieren von möglichst vielen Modellen unabhängig von deren Lizenz, während Anbieter proprietärer Modelle wie Anthropic und OpenAI wenig Anreiz haben, ausgerechnet das zu kommodifizieren, wofür sie Geld verlangen.

Zwei Wahrheiten zugleich

Befürworter der Allianz verweisen zu Recht darauf, dass offene Sicherheitswerkzeuge in der Cybersecurity in der Vergangenheit zu robusteren, schneller gepatchten Systemen geführt haben und dass die Mitgliedsunternehmen selbst Angriffsziele sind, deren Sicherheitsinteresse also nicht bloß vorgeschoben sei. Das schließt jedoch nicht aus, dass dieselbe Initiative zugleich als Schutzschild gegen strengere KI-Regulierung und als Mittel zur Begrenzung künftiger rechtlicher Verantwortlichkeit dient. Beides kann gleichzeitig zutreffen.

Wer die aktuelle Debatte also auf eine reine Frage von offenen gegen geschlossene Ökosysteme verkürzt, lässt die immer noch wichtigere Frage unterbelichtet: Wer muss für die Folgen künftiger KI-Kontrollverluste geradestehen?

(axk)